Die KI-Verordnung einfach erklärt: 4 Risikoklassen, alle Fristen, die Bußgelder und was der Mittelstand als Betreiber jetzt wirklich tun muss.
Jannis Gerlinger
Mit KI erstelltDie KI-Verordnung, in Deutschland oft auch EU AI Act genannt, ist das erste umfassende KI-Gesetz der EU. Sie ordnet jedes KI-System einer von vier Risikoklassen zu und knüpft daran abgestufte Pflichten. Die gute Nachricht für den Mittelstand: Wer KI nur nutzt und nicht selbst entwickelt, hat überschaubare Pflichten.
Die Verordnung gilt seit dem 1. August 2024 und wird bis 2028 stufenweise wirksam. Wichtig zu wissen: Die meisten Unternehmen sind Betreiber, nicht Anbieter. Für sie laufen am Ende zwei konkrete Pflichten zusammen, die Mitarbeiterschulung und die Offenlegung von Deepfakes. Die großen Hochrisiko-Anforderungen treffen nur Spezialfälle, und sie wurden im Juli 2026 nach hinten verschoben.
Dieser Überblick erklärt die vier Risikoklassen mit Beispielen, den genauen Zeitplan, die Bußgelder samt der oft übersehenen KMU-Entlastung und was du jetzt tun solltest. Er bündelt unsere Detailartikel zur Schulungspflicht nach dem EU AI Act und zu den verbotenen KI-Praktiken.
Die KI-Verordnung ist ein risikobasiertes Gesetz. Sie verbietet nicht KI an sich, sondern reguliert sie umso strenger, je größer das Risiko für Menschen und Grundrechte ist. Ein Spam-Filter wird anders behandelt als eine KI, die über Kreditvergaben entscheidet.
Maßgeblich ist die Definition aus Artikel 3 der Verordnung. Ein KI-System ist demnach ein maschinengestütztes System, das mit unterschiedlichem Grad an Autonomie arbeitet, nach der Einführung anpassungsfähig sein kann und aus Eingaben ableitet, wie es Ergebnisse wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugt. Diese weite Definition erfasst von der Bilderkennung bis zum Sprachmodell praktisch alle modernen KI-Werkzeuge.
Die Verordnung unterscheidet außerdem zwischen Rollen. Der Anbieter entwickelt ein System, der Betreiber setzt es ein. An dieser Unterscheidung hängt, welche Pflichten dich treffen. Mehr dazu weiter unten.
Die KI-Verordnung kennt vier Risikoklassen: 1. unannehmbares Risiko (verboten), 2. hohes Risiko, 3. begrenztes Risiko (Transparenzpflicht), 4. minimales Risiko. Jede Klasse hat eigene Regeln.
| Risikoklasse | Regel | Beispiele |
|---|---|---|
| Unannehmbares Risiko | Verboten seit Februar 2025 | Social Scoring, Emotionserkennung am Arbeitsplatz, manipulative Systeme |
| Hohes Risiko | Strenge Pflichten, Konformitätsprüfung, ab Dezember 2027 | KI in Personalauswahl, Kreditvergabe, Medizinprodukten |
| Begrenztes Risiko | Transparenzpflicht seit August 2026 | Chatbots, KI-generierte Texte und Bilder (Deepfakes) |
| Minimales Risiko | Frei nutzbar, kaum Auflagen | Spam-Filter, Übersetzer, KI in Videospielen |
Für den Mittelstand ist die Einordnung beruhigend. Der typische Einsatz, ein Chatbot auf der Website, ein KI-Textwerkzeug im Büro oder ein Übersetzer, fällt fast immer unter begrenztes oder minimales Risiko (Bundesnetzagentur, 2026). Hochrisiko wird es nur in klar umrissenen Fällen, vor allem bei KI für die Personalauswahl oder die Bewertung der Kreditwürdigkeit. Wer solche Systeme einsetzt, hat zusätzliche Pflichten, etwa eine echte menschliche Aufsicht.
Die KI-Verordnung wird nicht auf einen Schlag wirksam, sondern in Stufen. Diese Stufen haben sich im Juli 2026 verschoben: Mit der Verordnung (EU) 2026/1744, dem sogenannten Digital Omnibus, hat die EU die Hochrisiko-Pflichten um 16 Monate nach hinten gelegt. Die folgenden Daten sind der aktuelle Stand.
Die Verordnung tritt in Kraft. Noch sind keine Pflichten anwendbar, die Übergangsfristen beginnen zu laufen.
Verbotene Praktiken sind untersagt. Die KI-Kompetenz- und Schulungspflicht nach Artikel 4 gilt für alle Unternehmen, ohne Übergangsfrist.
Regeln für KI mit allgemeinem Verwendungszweck greifen. Die Aufsichtsstrukturen und das Bußgeldregime treten in Kraft.
Der Großteil der Verordnung gilt, darunter die Transparenzpflicht nach Artikel 50. Das ist die Stufe, die den Mittelstand betrifft.
Pflichten für Hochrisiko-Systeme wie KI in der Personalauswahl oder Kreditvergabe. Ursprünglich für August 2026 geplant, durch den Digital Omnibus verschoben.
KI als Sicherheitskomponente in regulierten Produkten wie Maschinen oder Medizinprodukten. Ursprünglich August 2027.
Für die meisten Unternehmen sind zwei Daten relevant. Seit Februar 2025 gilt die Schulungspflicht: Wer KI im Betrieb einsetzt, muss seine Mitarbeiter ausreichend qualifizieren. Und seit dem 2. August 2026 gilt die Transparenzpflicht nach Artikel 50. Wichtig ist dabei, wen sie trifft: Dass ein Chatbot sich als KI zu erkennen gibt, muss nach Artikel 50 Absatz 1 der Anbieter des Systems sicherstellen, nicht der Mittelständler, der ihn einbindet. Den Betreiber trifft dagegen die Pflicht, Deepfakes offenzulegen. Die Details zur Schulungspflicht stehen in unserem Artikel zur KI-Schulungspflicht nach dem EU AI Act.
Mit KI erstellt
Diese Frage entscheidet, wie viel auf dich zukommt. Die Unterscheidung ist einfacher, als das Gesetz klingt.
Ein Anbieter entwickelt ein KI-System oder bringt es unter eigenem Namen auf den Markt. Ein Betreiber setzt ein vorhandenes KI-System im eigenen Unternehmen ein. Wer ChatGPT, einen gekauften Chatbot oder ein KI-Tool nutzt, ist Betreiber. Das ist der typische Mittelständler, und für ihn gilt nur ein Bruchteil der Pflichten.
Als Betreiber treffen dich unabhängig von der Risikoklasse zwei Pflichten: Erstens die KI-Kompetenz nach Artikel 4, also die Schulung deiner Mitarbeiter, die KI nutzen. Diese Pflicht gilt seit Februar 2025, ohne Größenausnahme. Zweitens die Offenlegungspflicht nach Artikel 50 Absatz 4, die seit dem 2. August 2026 gilt.
Diese zweite Pflicht wird oft zu weit gefasst. Sie verlangt vom Betreiber zwei Dinge: Deepfakes offenlegen, also täuschend echt wirkende KI-Bilder, KI-Videos und KI-Audio. Und KI-generierte Texte kennzeichnen, wenn sie die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren. Für Texte gibt es eine praxisrelevante Ausnahme: Sie entfällt, wenn ein Mensch den Inhalt fachlich geprüft hat und eine benannte Person die redaktionelle Verantwortung trägt. Eine reine Rechtschreibprüfung genügt dafür ausdrücklich nicht.
Dass ein Chatbot sich als KI zu erkennen gibt, ist dagegen nach Artikel 50 Absatz 1 Sache des Anbieters. Wer einen fertigen Chatbot einbindet, muss das nicht selbst nachrüsten. Vorsicht nur, wenn du ein System unter eigenem Namen anbietest oder wesentlich veränderst: Dann kannst du nach Artikel 25 selbst zum Anbieter werden.
Zusätzliche Pflichten entstehen nur, wenn du ein Hochrisiko-System betreibst, etwa eine KI für die Bewerberauswahl. Dann musst du die KI gemäß Anleitung nutzen, eine kompetente menschliche Aufsicht sicherstellen und Vorfälle melden. Für den Standardfall im Mittelstand bleibt es bei den zwei genannten Pflichten. Eine durchdachte KI-Strategie plant diese Punkte von Anfang an ein, statt sie nachträglich aufzusetzen.
Mit KI erstellt
Die Bußgelder der KI-Verordnung sind hoch, aber für KMU gibt es eine wichtige Entlastung, die in vielen Berichten fehlt.
Euro oder 7% Umsatz für verbotene Praktiken
Quelle: Art. 99 KI-VO, 2024
Euro oder 3% Umsatz für sonstige Verstöße
Quelle: Art. 99 KI-VO, 2024
Euro oder 1% Umsatz für falsche Angaben
Quelle: Art. 99 KI-VO, 2024
Die genannten Höchstbeträge gelten jeweils als der höhere der beiden Werte, also etwa 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Das klingt bedrohlich, und für Konzerne ist es das auch.
Für KMU und Start-ups dreht die Verordnung diese Logik um: Hier gilt jeweils der niedrigere der beiden Werte (Art. 99 Abs. 6 KI-VO). Diese Sonderregel deckelt das Risiko für kleinere Unternehmen spürbar. Wer also keine verbotenen Praktiken einsetzt und seine zwei Betreiberpflichten erfüllt, muss keine existenzbedrohenden Strafen fürchten.
Die KI-Verordnung lässt sich in überschaubare Schritte übersetzen. Die folgende Checkliste deckt ab, was ein Betreiber im Mittelstand angehen sollte.
Der wichtigste Schritt ist der erste. Aus knapp 20 Jahren Digital-Erfahrung von Gründer Jannis Gerlinger, von UX/UI über E-Commerce bis KI, zeigt sich: Die größte Hürde ist selten das Gesetz selbst, sondern der fehlende Überblick, welche KI im Haus überhaupt läuft. Eine interne Richtlinie schafft hier Klarheit und ist zugleich Teil der Schulungspflicht. Wie du KI insgesamt datenschutzkonform einführst, beschreibt unser Leitfaden zu DSGVO-konformer KI-Nutzung.
Die zentrale Aufsichts- und Marktüberwachungsbehörde für KI in Deutschland ist die Bundesnetzagentur. Deutschland hat ihr diese Rolle mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) übertragen, das seit dem 29. Juli 2026 in Kraft ist, soweit keine spezialisierten Fachbehörden zuständig sind.
Für kleinere Unternehmen ist vor allem der KI-Service-Desk der Bundesnetzagentur interessant. Er ist als niedrigschwellige Anlaufstelle gedacht und unterstützt Unternehmen, Behörden und Organisationen bei der Umsetzung der KI-Verordnung. Wer unsicher ist, ob ein System unter eine bestimmte Risikoklasse fällt, findet hier eine erste Orientierung.
Du bist unsicher, welche Pflichten der KI-Verordnung dein Unternehmen treffen? In einer kostenlosen Erstberatung ordnen wir deinen KI-Einsatz ein und benennen die konkreten Schritte, die für dich gelten.
Die KI-Verordnung wirkt auf den ersten Blick mächtig, ist für den Mittelstand aber gut beherrschbar. Wer KI nur nutzt, ist Betreiber und hat zwei reale Pflichten: Mitarbeiter schulen, das gilt bereits, und seit August 2026 Deepfakes offenlegen. Die Hochrisiko-Anforderungen, die ohnehin nur Spezialfälle treffen, wurden auf Dezember 2027 verschoben. Die hohen Bußgelder sind für KMU durch die Deckelung auf den niedrigeren Wert entschärft.
Verschaffe dir zuerst einen Überblick, welche KI in deinem Haus läuft, ordne sie den Risikoklassen zu und setze die Schulung um. Damit erfüllst du den Großteil der Anforderungen. Die Verordnung ist kein Grund, KI zu meiden, sondern ein Rahmen, sie verantwortungsvoll zu nutzen.
Du willst KI einführen und dabei von Anfang an rechtssicher sein? Wir bauen KI-Systeme für den Mittelstand, DSGVO-konform und auf Wunsch komplett lokal, und denken die Pflichten der KI-Verordnung mit. Buch dir eine kostenlose Erstberatung, in 15 Minuten klären wir deinen Stand.
Jannis Gerlinger ist Geschäftsführer der JANGER GmbH. Seit über 15 Jahren entwickelt er digitale Lösungen, erst im UX/UI Design und E-Commerce, heute mit dem Fokus auf sichere KI-Systeme für den Mittelstand. Mit seiner TÜV-Zertifizierung in Verkaufspsychologie verbindet er technisches Know-how mit einem tiefen Verständnis für Geschäftsprozesse.
Die neuesten Praxis-Tipps zur KI-Einführung direkt in dein Postfach. Kein Spam, jederzeit abbestellbar.
Mit KI erstelltArt. 22 DSGVO regelt automatisierte KI-Entscheidungen bei Bewerbern, Bonität und Preisen. So prüfst du deinen KI-Einsatz und bleibst compliant.
Weiterlesen
Mit KI erstelltBetriebsrat und KI: § 87 BetrVG macht Mitbestimmung fast immer Pflicht. Welche Systeme betroffen sind und wie du es in 5 Schritten klärst.
Weiterlesen
Mit KI erstelltEin Auftragsverarbeitungsvertrag mit dem KI-Anbieter ist ab dem ersten Kundendatum Pflicht: was rein muss, wer ihn 2026 anbietet und wie du ihn abschließt.
WeiterlesenIn 15 Minuten findest du heraus, wo KI in deinem Betrieb den größten Hebel hat. Kostenlos, unverbindlich.
