Für Betriebe, die KI nutzen, aber nicht selbst herstellen: was die Verordnung heute verlangt und welche Fristen der KI-Omnibus verschoben hat.
Die EU-KI-Verordnung gilt auch für kleine Unternehmen, verlangt von den meisten aber wenig. Wer KI nur nutzt, muss verbotene Anwendungen meiden, die KI-Kompetenz der Beschäftigten fördern und KI-Inhalte in bestimmten Fällen kennzeichnen. Strenge Auflagen treffen nur Hochrisiko-Systeme, und sie gelten nach dem KI-Omnibus erst ab dem 2. Dezember 2027.
Dieser Artikel gibt den Stand vom November 2026 wieder und stützt sich auf Veröffentlichungen der EU-Kommission und der Bundesnetzagentur. Er ist keine Rechtsberatung. Wie ein einzelnes System einzuordnen ist, etwa eine Personalsoftware, klärt eine Anwältin oder ein Anwalt.
Gilt die EU-KI-Verordnung für kleine Unternehmen?
Ja. Die Verordnung (EU) 2024/1689 fragt nach Rolle und Risiko. Ob sie gilt, hängt nicht von der Größe des Betriebs ab. Die Rollen stehen in Artikel 3. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen auf den Markt bringt oder in Betrieb nimmt. Betreiber ist, wer ein System in eigener Verantwortung beruflich verwendet.
Ein Handwerksbetrieb, der Angebote mit ChatGPT vorbereitet, ist damit Betreiber. Dasselbe gilt für ein Büro, das den KI-Assistenten seiner Bürosoftware nutzt. Der Umfang der Pflichten wächst mit der Risikoklasse. Die Anforderungen an Hochrisiko-Systeme müssen vor allem deren Anbieter erfüllen. Für Betreiber alltäglicher KI-Werkzeuge bleibt ein überschaubarer Teil.
Ganz ohne Bedeutung ist die Größe nicht. Bei Geldbußen gilt für kleine und mittlere Unternehmen der niedrigere von zwei Höchstbeträgen. Außerdem sollen Kommission und Mitgliedstaaten nach Artikel 4 vor allem kleinere Betriebe beim Aufbau von KI-Kompetenz unterstützen.
Welche Pflichten Sie treffen, zeigt eine einfache Liste der KI-Werkzeuge im Betrieb und ihrer Zwecke. Der Blick auf Aufgaben, vorhandene Programme und Daten steht auch am Anfang unserer KI-Beratung.
Welche Fristen gelten im November 2026?
Die Verordnung ist seit dem 1. August 2024 in Kraft und wird in Stufen wirksam. Im Sommer 2026 hat die EU den Zeitplan geändert. Die Verordnung (EU) 2026/1744, kurz KI-Omnibus, ist seit dem 27. Juli 2026 in Kraft und verschiebt vor allem die Regeln für Hochrisiko-Systeme. Die Übersicht der EU-Kommission und der Zeitplan der Bundesnetzagentur nennen diese Daten (Stand: November 2026):
| Datum | Was gilt | Für kleine Betriebe |
|---|---|---|
| 2. Februar 2025 | Verbotene Praktiken, KI-Kompetenz | Gilt schon heute für jeden Betrieb, der KI nutzt |
| 2. August 2025 | Regeln für KI-Modelle mit allgemeinem Zweck | Betrifft die Hersteller der Modelle |
| 2. August 2026 | Transparenz nach Artikel 50 | Deepfakes offenlegen, Chatbot als KI erkennbar |
| 2. Dezember 2026 | Neue Verbote, Ende einer Frist für Anbieter | Für die meisten Betriebe ohne Folge |
| 2. Dezember 2027 | Hochrisiko-Systeme nach Anhang III | Wichtig bei KI für Personal, Bildung, Kredit |
| 2. August 2028 | Hochrisiko-KI in Produkten nach Anhang I | Wichtig für Hersteller |
Die neuen Verbote betreffen KI, die sexualisierte Darstellungen erkennbarer Personen ohne deren Zustimmung oder Missbrauchsdarstellungen von Kindern erzeugt.
Ältere Übersichten nennen für Hochrisiko-Systeme noch den August 2026 und den August 2027. Diese Daten sind überholt. Den Wortlaut finden Sie in Artikel 113 der konsolidierten Fassung vom 27. Juli 2026, die Änderungen selbst in der Verordnung (EU) 2026/1744 bei EUR-Lex.
Welche Risikoklassen gibt es?
Die Verordnung ordnet KI-Anwendungen nach dem Risiko für Menschen. Die Kommission beschreibt vier Stufen.
| Stufe | Beispiele | Folge |
|---|---|---|
| Verboten | Gefühle von Beschäftigten erkennen, Social Scoring | Einsatz nicht erlaubt |
| Hohes Risiko | Bewerber auswählen, Lernende bewerten, Kredit prüfen | Strenge Auflagen ab 2. Dezember 2027 |
| Transparenz | Chatbots, künstliche Bilder, Töne und Videos | Erkennbar machen, dass KI beteiligt ist |
| Minimal | Spamfilter, Videospiele | Keine besonderen Pflichten |
Die Bundesnetzagentur hält in ihrer Übersicht der Risikostufen fest, dass von den allermeisten KI-Anwendungen keine besonderen Risiken ausgehen.
Für die Einstufung zählt der Zweck. Dasselbe Sprachmodell ist beim Formulieren einer E-Mail unkritisch. Sortiert es Bewerbungen vor, fällt der Einsatz in einen Bereich, den die Verordnung als hochriskant führt.
Die verbotenen Praktiken stehen in Artikel 5. Für Arbeitgeber ist vor allem ein Punkt wichtig. KI, die Gefühle von Beschäftigten am Arbeitsplatz erkennen soll, ist verboten, außer aus medizinischen Gründen oder Sicherheitsgründen.
Was verlangt Artikel 4 zur KI-Kompetenz?
Artikel 4 gilt seit dem 2. Februar 2025 für alle Anbieter und Betreiber. Sie müssen Maßnahmen ergreifen, damit ihre Beschäftigten und andere Personen, die in ihrem Auftrag mit KI arbeiten, KI-Kompetenz aufbauen. Zu berücksichtigen sind Vorkenntnisse, Erfahrung und der Zusammenhang, in dem die Systeme eingesetzt werden.
Der KI-Omnibus hat den Artikel neu gefasst. Die Pflicht bleibt bestehen, Unternehmen müssen aber für niemanden ein bestimmtes Kompetenzniveau garantieren. Die nationalen Behörden überwachen die Pflicht seit dem 2. August 2026. Das schreibt die Kommission in ihren Fragen und Antworten zur KI-Kompetenz (Stand: 20. Oktober 2026).
Ein Zertifikat ist nicht vorgeschrieben, ein festes Format auch nicht. Die Bundesnetzagentur empfiehlt in ihren Hinweisen zur KI-Kompetenz drei Schritte:
- Bedarf ermitteln: wer mit welchen KI-Systemen arbeitet, zu welchem Zweck und mit welchen Risiken.
- Maßnahmen gestalten, die zu Vorkenntnissen und Aufgaben passen, vom Selbstlernprogramm bis zur mehrstufigen Fortbildung.
- Dokumentieren und auffrischen: festhalten, welche Maßnahmen es gab, in welchem Umfang und wer teilgenommen hat. Das Wissen erneuern, wenn sich Systeme oder Einsatz ändern.
Für Beschäftigte, die ChatGPT für Werbetexte oder Übersetzungen nutzen, nennt die Kommission als Schulungsinhalt die besonderen Risiken, etwa erfundene Angaben in den Antworten. Nur die Gebrauchsanweisung zu verteilen, reicht nach ihrer Einschätzung oft nicht.
Wann müssen wir KI-Inhalte kennzeichnen?
Die Transparenzpflichten aus Artikel 50 gelten seit dem 2. August 2026. Der Artikel trennt zwischen Anbietern und Betreibern.
Anbieter müssen ihre Systeme so gestalten, dass Menschen erfahren, wenn sie mit einer KI schreiben oder sprechen, außer das ist offensichtlich. Erzeugte Texte, Bilder, Töne und Videos müssen sie maschinenlesbar markieren. Für Systeme, die vor dem 2. August 2026 auf dem Markt waren, haben Anbieter dafür bis zum 2. Dezember 2026 Zeit.
Betreiber trifft die Pflicht vor allem in zwei Fällen, die im Betrieb vorkommen können:
- Deepfakes: Wer Bilder, Töne oder Videos erzeugt oder verändert, die wirklichen Personen, Orten oder Ereignissen ähneln und für echt gehalten würden, muss offenlegen, dass sie künstlich sind.
- Texte von öffentlichem Interesse: Wer einen KI-Text veröffentlicht, um die Öffentlichkeit über solche Angelegenheiten zu informieren, muss das offenlegen. Die Pflicht entfällt, wenn ein Mensch den Text geprüft hat und jemand die redaktionelle Verantwortung trägt.
Der Hinweis muss spätestens beim ersten Kontakt klar erkennbar sein. Als Hilfe hat die Kommission am 10. Juni 2026 einen freiwilligen Verhaltenskodex zur Kennzeichnung veröffentlicht.
In unserer eigenen Lernplattform KeinBock.io halten wir es so: KI-erzeugte Fotos auf der Startseite sind als solche gekennzeichnet, und Nutzer bestätigen einen KI-Hinweis, bevor sie die KI-Funktionen verwenden.
Wann wird ein Werkzeug zum Hochrisiko-System?
Die Bereiche stehen in Anhang III. Für kleine Betriebe sind am ehesten Personal, Bildung und Kredit berührt. Gemeint sind Systeme, die Bewerber auswählen oder über Beförderung und Kündigung mitentscheiden, die Lernergebnisse bewerten oder die Kreditwürdigkeit von Privatpersonen prüfen. Artikel 6 nimmt eng begrenzte Hilfsaufgaben aus. Diese Ausnahme gilt nie, wenn das System Profile von Menschen bildet.
Die Pflichten dafür gelten ab dem 2. Dezember 2027. Betreiber müssen dann nach Artikel 26 unter anderem das System nach Anleitung verwenden, die Aufsicht einer Person mit der nötigen Kompetenz und Befugnis übertragen, Protokolle mindestens sechs Monate aufbewahren und Beschäftigte vor dem Einsatz am Arbeitsplatz informieren.
Vorsicht bei Eigenbauten: Wer ein allgemeines KI-Werkzeug so umwidmet, dass es einen Zweck aus Anhang III erfüllt, kann nach Artikel 25 selbst als Anbieter gelten. Dann kommen deutlich mehr Pflichten hinzu.
Zwei Grundsätze halten wir in unseren Projekten unabhängig von der Einstufung ein. Heikle Urteile über Menschen überlassen wir nicht der KI. Im Schulbereich von KeinBock.io bewertet deshalb keine KI die Lernenden. Und wo KI in Abläufe eingreift, schlägt sie vor und ein Mensch entscheidet. In der Betriebsplattform für einen Dachdeckerbetrieb kann ein angebundener KI-Assistent den Planungsstand lesen und Einteilungen nur als Entwurf ablegen. Gültig wird ein Entwurf erst durch einen Menschen. Schreibende Zugriffe stehen im Protokoll.
Was sollte ein kleiner Betrieb jetzt tun?
Für die meisten Betriebe sind es fünf Schritte:
- Bestand aufnehmen: welche KI-Werkzeuge laufen, wer sie nutzt und wofür. KI-Funktionen in vorhandener Bürosoftware gehören dazu.
- Zwecke prüfen: jeden Einsatz gegen die verbotenen Praktiken und gegen Anhang III halten. Für die erste Einordnung bietet die Bundesnetzagentur im KI-Service Desk den KI-Compliance Kompass an.
- Regeln aufschreiben: welche Werkzeuge erlaubt sind, welche Daten nicht hineingehören und wer Ergebnisse prüft. Eine Anleitung steht im Artikel „ChatGPT im Unternehmen einführen“.
- Schulen und festhalten: eine Einweisung je Aufgabe, mit Datum und Teilnehmenden, und eine Wiederholung, wenn sich Werkzeuge ändern.
- Kennzeichnung klären: Der Chatbot auf der Website gibt sich als KI zu erkennen, künstliche Bilder und Videos mit echtem Anschein tragen einen Hinweis.
Die KI-Verordnung ersetzt den Datenschutz nicht. Sobald personenbezogene Daten verarbeitet werden, gilt daneben die DSGVO. Dazu gibt es eine eigene Checkliste zu KI und DSGVO.
Wer kontrolliert und was droht bei Verstößen?
In Deutschland ist die Bundesnetzagentur die zentrale Stelle. Grundlage ist das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG), das am 29. Juli 2026 in Kraft getreten ist. Die Behörde ist laut ihrer Pressemitteilung vom 29. Juli 2026 Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle. Ihr KI-Service Desk richtet sich besonders an kleine und mittlere Unternehmen. Für einzelne Bereiche bleiben Fachbehörden wie die BaFin zuständig.
Artikel 99 nennt die Obergrenzen der Geldbußen. Bei verbotenen Praktiken sind es bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Bei Verstößen unter anderem gegen die Betreiberpflichten und die Transparenzpflichten sind es bis zu 15 Millionen Euro oder 3 Prozent. Für kleine und mittlere Unternehmen gilt der jeweils niedrigere der beiden Werte.
Artikel 4 steht in dieser Aufzählung nicht. Auch die deutschen Bußgeldvorschriften in § 15 KI-MIG nennen ihn nicht (Stand: November 2026). Folgenlos ist fehlende Schulung trotzdem nicht. Die Bundesnetzagentur weist darauf hin, dass ein Mangel an KI-Kompetenz als Verletzung der Sorgfaltspflicht gelten kann, vor allem wenn dadurch ein Schaden entsteht.
Nächster Schritt
Wenn Sie klären möchten, wo KI in Ihrem Betrieb sinnvoll ist und worauf Sie dabei achten müssen, beginnen Sie mit unserer KI-Beratung. Wir schauen auf Ihre Aufgaben, die vorhandenen Programme und die Daten. Am Ende liegt eine schriftliche Entscheidungsgrundlage vor, mit geeigneten Einsatzfällen, nötigen Zugriffen und Risiken. Die rechtliche Prüfung im Einzelfall ersetzt das nicht.