„Der AI Act betrifft mich nicht, ich entwickle ja keine KI“ — das ist die wahrscheinlich häufigste Fehleinschätzung, die wir aktuell bei Selbständigen und KMU hören. Tatsache ist: Wer ChatGPT, Microsoft Copilot, Notion AI, Jasper, Midjourney oder einen Kundenservice-Chatbot geschäftlich nutzt, ist Betreiber eines KI-Systems im Sinne der EU-Verordnung — und hat damit Pflichten.
Die meisten dieser Pflichten sind nicht dramatisch, wenn man sie kennt. Seit 2. August 2026 überwachen aber die nationalen Behörden die Einhaltung — in Deutschland vor allem die Bundesnetzagentur.
Was ist der AI Act und warum sollten Sie ihn ernst nehmen?
Der EU AI Act (Verordnung EU 2024/1689) ist die weltweit erste umfassende KI-Regulierung. Er trat am 1. August 2024 in Kraft und folgt einem risikobasierten Ansatz: Je gefährlicher das KI-System, desto strenger die Pflichten.
Drei Punkte sind für Selbständige und KMU besonders wichtig:
- Der AI Act gilt extraterritorial. Auch Anbieter außerhalb der EU sind betroffen, sobald ihre Systeme in der EU eingesetzt werden. Das heißt: ChatGPT, Claude, Gemini & Co. müssen sich anpassen — die Anbieter haben aber auch Anforderungen an die Anwender in der EU.
- Der AI Act unterscheidet zwischen Anbieter (entwickelt und vertreibt KI-Systeme) und Betreiber (setzt KI-Systeme im eigenen Unternehmen ein). Die meisten KMU sind Betreiber.
- Die Pflichten greifen gestaffelt. Manche gelten schon, die für Hochrisiko-Systeme kommen erst Ende 2027 oder 2028. Wer wartet, überhört die Stichtage.
Welche Fristen gelten 2025 bis 2028?
| Stichtag | Was passiert? |
|---|---|
| 1. August 2024 | AI Act tritt in Kraft |
| 2. Februar 2025 | Verbot „unannehmbar riskanter“ KI-Praktiken (Social Scoring, manipulative KI). KI-Kompetenz-Pflicht für alle Anbieter und Betreiber. |
| 2. August 2025 | Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (etwa OpenAI, Anthropic). Sanktionsvorschriften gelten. |
| 2. August 2026 | Allgemeiner Geltungsbeginn, u. a. Transparenzpflichten (Art. 50) für Chatbots, Deepfakes und KI-Texte zu Themen von öffentlichem Interesse. Die Behörden überwachen die Einhaltung. |
| 2. Dezember 2026 | Ende der Übergangsfrist für die maschinenlesbare Kennzeichnung (Art. 50 Abs. 2) bei Systemen, die schon vor dem 2. August 2026 angeboten wurden. Neue Verbote für nicht einvernehmliche intime Deepfakes und Darstellungen von Kindesmissbrauch. |
| 2. Dezember 2027 | Pflichten für Hochrisiko-KI-Systeme nach Anhang III (z. B. Personalauswahl, Bildung, Kreditwürdigkeit) — ursprünglich 2. August 2026. |
| 2. August 2028 | Pflichten für Hochrisiko-KI in regulierten Produkten (Anhang I) — ursprünglich 2. August 2027. |
Die Verschiebung der Hochrisiko-Fristen stammt aus dem Digital Omnibus, Verordnung (EU) 2026/1744: am 8. Juli 2026 unterzeichnet, am 24. Juli 2026 im Amtsblatt der EU veröffentlicht, in Kraft seit 27. Juli 2026 (Stand: September 2026). Für KMU, die KI im Büroalltag nutzen, sind damit zwei Stichtage entscheidend: Februar 2025 (KI-Kompetenz-Pflicht) und August 2026 (Transparenzpflichten). Wer Hochrisiko-Systeme einsetzt, etwa in der Personalauswahl, muss zusätzlich den 2. Dezember 2027 im Blick haben.
Die vier Risiko-Klassen: Wo gehören Sie hin?
Der AI Act unterteilt KI-Systeme in vier Risikostufen mit jeweils unterschiedlichen Pflichten:
Verboten
Social Scoring, manipulative KI, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum zur Strafverfolgung (mit Ausnahmen). Verboten seit Feb 2025.
Hochrisiko
KI in Biometrie, kritischer Infrastruktur, Bildung, Beruf (Bewerber-Auswahl!), Kreditwürdigkeit, Strafverfolgung, Justiz, Migration. Strenge Pflichten für Anbieter, Aufsichts- und Informationspflichten für Betreiber — ab 2. Dezember 2027.
Begrenztes Risiko
Chatbots, KI-generierte Inhalte, Deepfakes. Transparenzpflicht: Nutzer müssen wissen, dass sie mit KI interagieren oder dass Inhalte KI-generiert sind.
Minimales Risiko
Spam-Filter, KI in Videospielen. Keine spezifischen Pflichten — die KI-Kompetenz-Pflicht gilt trotzdem, freiwillige Verhaltenskodizes sind möglich.
Nach Einschätzung der EU-Kommission fällt die überwiegende Mehrheit der heute genutzten KI-Systeme in die Klasse „Minimales Risiko“. Chatbots und KI-Inhalte gehören zu „Begrenztes Risiko“. Wer aber KI zur Bewerber-Auswahl, für Entscheidungen über Beschäftigte oder zur Bewertung von Lernergebnissen einsetzt, landet in der Regel in der Hochrisiko-Klasse (Anhang III).
Was müssen KMU konkret tun?
Konkret für typische KMU-Anwendungen:
1. Wenn Sie ChatGPT, Copilot, Notion AI & Co. nutzen
Sie sind Betreiber im Sinne des AI Act. Pflichten:
- Maßnahmen ergreifen, die die KI-Kompetenz Ihrer Mitarbeiter fördern (Art. 4, siehe unten).
- Seit 2. August 2026: Deepfakes als künstlich erzeugt offenlegen und KI-Texte kennzeichnen, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren — es sei denn, ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung (Art. 50 Abs. 4).
- Keine personenbezogenen Daten von Kunden in öffentliche KI-Systeme einspeisen, ohne dass die DSGVO-konforme Rechtsgrundlage gegeben ist.
2. Wenn Sie einen Chatbot auf Ihrer Website haben
- Klar erkennbar machen, dass der Nutzer mit einer KI spricht. Rechtlich trifft diese Transparenzpflicht den Anbieter des Chatbots (Art. 50 Abs. 1). Wer einen Chatbot unter eigenem Namen entwickeln lässt und in Betrieb nimmt, kann selbst Anbieter sein.
- Datenverarbeitung in Datenschutzerklärung dokumentieren.
- Sicherstellen, dass der Chatbot keine sensiblen Entscheidungen automatisch trifft.
3. Wenn Sie KI-generierte Bilder, Videos oder Texte veröffentlichen
- Die maschinenlesbare Kennzeichnung (z. B. Wasserzeichen) müssen die Anbieter der Tools liefern (Art. 50 Abs. 2). Für Systeme, die schon vor dem 2. August 2026 angeboten wurden, gilt eine Übergangsfrist bis 2. Dezember 2026 (Stand: September 2026).
- Sie selbst müssen Deepfakes offenlegen: KI-Bilder, -Videos oder -Audios, die echten Personen, Orten oder Ereignissen ähneln und fälschlich echt wirken könnten. Bei offensichtlich künstlerischen, satirischen oder fiktionalen Werken genügt ein Hinweis in geeigneter Weise.
4. Wenn Sie KI in der Personalauswahl einsetzen
Achtung: Das fällt in der Regel unter Hochrisiko. Die Pflichten gelten nach dem Digital Omnibus ab 2. Dezember 2027 (Stand: September 2026). Konformitätsbewertung und Risikomanagement sind Sache des Anbieters (Art. 16). Als Betreiber müssen Sie unter anderem (Art. 26):
- das System nach der Betriebsanleitung des Anbieters verwenden
- die menschliche Aufsicht kompetenten Personen übertragen
- den Betrieb überwachen und automatisch erzeugte Protokolle, soweit sie bei Ihnen liegen, mindestens sechs Monate aufbewahren
- vor dem Einsatz Arbeitnehmervertreter und betroffene Beschäftigte informieren
- Bewerber informieren, wenn das System Entscheidungen über sie trifft oder dabei unterstützt
Die KI-Kompetenz-Pflicht (gilt seit Februar 2025!)
Artikel 4 des AI Act — oft übersehen, aber für alle Anbieter und Betreiber relevant, unabhängig von der Unternehmensgröße.
Seit dem 2. Februar 2025 müssen Anbieter und Betreiber dafür sorgen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen. Der Digital Omnibus (in Kraft seit 27. Juli 2026) hat die Pflicht abgeschwächt: Unternehmen müssen Maßnahmen ergreifen, die die KI-Kompetenz ihres Personals fördern — ein bestimmtes Kompetenzniveau müssen sie nicht mehr garantieren (Stand: September 2026).
Seit 2. August 2026 können die nationalen Aufsichtsbehörden die Einhaltung kontrollieren. Ein Zertifikat ist nicht nötig: Laut EU-Kommission (Fragen und Antworten zur KI-Kompetenz) reicht es, Schulungen und andere Maßnahmen intern festzuhalten.
Was heißt „KI-Kompetenz“ konkret?
- Schulung: Mitarbeiter, die KI nutzen, sollten die Funktionsweise grundlegend verstehen.
- Nutzungsrichtlinien: Schriftliche Regeln, welche Tools erlaubt sind, welche Daten eingegeben werden dürfen, wer wofür KI nutzen darf.
- Risiko-Sensibilisierung: Mitarbeiter wissen, dass KI Halluzinationen produzieren kann, dass Daten möglicherweise zum Training verwendet werden, dass automatische Entscheidungen Bias enthalten können.
- Dokumentation: Wer wurde wann zu welchem Thema geschult? Vorgeschrieben ist das nicht, aber so können Sie Ihre Maßnahmen gegenüber der Aufsicht belegen.
Ein festes Format schreibt das Gesetz nicht vor. Laut EU-Kommission gibt es keinen Einheitsansatz: Die Maßnahmen richten sich nach Ihren Tools, deren Risiken und dem Wissensstand Ihres Teams. Es muss kein mehrtägiges Seminar sein.
Wie hoch sind die Bußgelder?
Die Bußgelder im AI Act sind nach Kategorie gestaffelt:
| Verstoß | Maximum |
|---|---|
| Verbotene KI-Praktiken | 35 Mio € oder 7 % des weltweiten Vorjahresumsatzes |
| Verstöße gegen Pflichten von Anbietern, Betreibern und weiteren Akteuren (u. a. Betreiberpflichten nach Art. 26, Transparenzpflichten nach Art. 50) | 15 Mio € oder 3 % des weltweiten Vorjahresumsatzes |
| Falsche, unvollständige oder irreführende Angaben gegenüber Behörden oder notifizierten Stellen | 7,5 Mio € oder 1 % des weltweiten Vorjahresumsatzes |
Bei großen Unternehmen gilt jeweils der höhere der beiden Werte. Für KMU und Start-ups gilt der niedrigere — sie sind aber nicht generell ausgenommen (Art. 99 KI-Verordnung). Die Beträge sind Obergrenzen: Bei der Höhe berücksichtigt die Behörde unter anderem Art, Schwere und Dauer des Verstoßes sowie die Größe des Unternehmens.
Praxis-Checkliste für KMU
Was Sie jetzt konkret machen sollten:
Sofort (spätestens diesen Monat)
- Liste aller KI-Tools im Unternehmen erstellen (ChatGPT, Copilot, Notion AI, Bild-KI, Chatbots…)
- Einseitige KI-Nutzungsrichtlinie verfassen (Welche Tools, welche Daten dürfen rein, wer darf was)
- 30-Min-Workshop mit dem Team: Funktionsweise, Risiken, Richtlinie
- Datum der Schulung dokumentieren
Seit August 2026 (Transparenzpflichten)
- Deepfakes auf Ihrer Website oder in Werbung als künstlich erzeugt offenlegen
- KI-Texte zu Themen von öffentlichem Interesse kennzeichnen, wenn kein Mensch sie redaktionell prüft und verantwortet
- Chatbots: prüfen, ob klar erkennbar ist, dass Nutzer mit einer KI sprechen
- Datenschutzerklärung um KI-Verarbeitung ergänzen
Bis 2. Dezember 2027 (nur bei Hochrisiko, z. B. KI in der Personalauswahl)
- Betreiberpflichten nach Art. 26 vorbereiten: Betriebsanleitung, menschliche Aufsicht, Protokolle, Information von Beschäftigten und Bewerbern
- Lieferanten prüfen: Erfüllt der Anbieter seine Pflichten, etwa die Konformitätsbewertung?
- Vertrags-Klauseln in Kundenverträgen, falls KI Teil der Leistung ist
Häufige Fragen
Bin ich als kleines Unternehmen wirklich betroffen?
Wenn Sie ein KI-Tool geschäftlich nutzen: Ja. Die KI-Kompetenz-Pflicht gilt unabhängig von der Unternehmensgröße. Eine schriftliche KI-Richtlinie schreibt das Gesetz nicht vor — sie ist aber ein einfacher Weg, Ihre Maßnahmen festzuhalten.
Was ist mit ChatGPT — gilt das überhaupt als KI im Sinne des Gesetzes?
Ja. ChatGPT, Claude, Gemini und Copilot sind KI-Systeme, die auf KI-Modellen mit allgemeinem Verwendungszweck beruhen. Die Pflichten für diese Modelle (seit 2. August 2025) treffen die Anbieter, etwa OpenAI oder Google. Für Sie als Betreiber gelten vor allem die KI-Kompetenz-Pflicht und die Transparenzpflichten.
Reicht eine KI-Richtlinie auf einer halben A4-Seite?
Einen Umfang schreibt das Gesetz nicht vor, und laut EU-Kommission gibt es keinen Einheitsansatz. Für kleine Unternehmen ohne Hochrisiko-Anwendungen ist eine kurze Richtlinie ein guter Anfang. Wichtig sind drei Punkte: (1) welche Tools dürfen genutzt werden, (2) welche Daten dürfen rein, (3) wer haftet bei Fehlern. Dazu gehört eine Einweisung, die zu Ihren Tools und Aufgaben passt.
Müssen wir KI-generierte Texte auf der Website kennzeichnen?
Nur in bestimmten Fällen. Seit 2. August 2026 müssen Betreiber KI-Texte kennzeichnen, die veröffentlicht werden, um die Öffentlichkeit über Themen von öffentlichem Interesse zu informieren — nicht aber, wenn ein Mensch den Text geprüft hat und die redaktionelle Verantwortung trägt. Bei Bildern, Videos und Audios gilt die Offenlegungspflicht für Deepfakes, also Inhalte, die echten Personen, Orten oder Ereignissen ähneln und fälschlich echt wirken könnten. Eine abstrakte Grafik ist kein Deepfake (Art. 50 KI-Verordnung).
Wer kontrolliert das in Deutschland?
Zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle ist die Bundesnetzagentur. Das regelt das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG), in Kraft seit 29. Juli 2026. Für KI-Systeme im direkten Zusammenhang mit Finanzdienstleistungen ist die BaFin zuständig. KI-Modelle mit allgemeinem Verwendungszweck beaufsichtigt das KI-Büro der EU-Kommission. Für den Datenschutz bleiben die Datenschutzbehörden zuständig (Stand: September 2026).