Die KI-Verordnung gilt seit August 2026, die Hochrisiko-Pflichten folgen 2027
Die KI-Verordnung (Verordnung (EU) 2024/1689), oft auch EU-KI-Gesetz oder im Englischen EU AI Act genannt, ist das weltweit erste umfassende Gesetz für künstliche Intelligenz. Und deutsche KMU sind mittendrin. Wer KI einsetzt, ob eingekauft oder selbst entwickelt, muss handeln.
Ein verbreiteter Irrtum: Seit dem 2. August 2026 sei alles scharfgestellt. Stimmt nicht.
Die Verordnung gilt seit diesem Datum allgemein, und die Transparenzpflichten greifen tatsächlich. Die schweren Hochrisiko-Pflichten aus Anhang III wurden dagegen auf Dezember 2027 verschoben.
Die Strafen bei Verstößen? Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Für KMU gelten reduzierte Sätze, aber die Summen bleiben empfindlich.
Panik ist keine Strategie. Vorbereitung schon.
Was die KI-Verordnung regelt
Die KI-Verordnung klassifiziert KI-Systeme in vier Risikoklassen. Je höher das Risiko, desto strenger die Anforderungen.
Unakzeptables Risiko (verboten). Social Scoring, manipulative KI-Systeme, biometrische Echtzeit-Überwachung in öffentlichen Räumen. Verboten seit Februar 2025. Zum 2. Dezember 2026 kommen KI-Systeme dazu, die nicht einvernehmliche intime Deepfakes oder Darstellungen sexuellen Kindesmissbrauchs erzeugen.
Hohes Risiko. KI in Personalauswahl, Kreditvergabe, Gesundheitsdiagnostik, Sicherheitskomponenten. Hier greifen umfangreiche Dokumentations-, Test- und Überwachungspflichten. Fällig ab Dezember 2027 (Anhang III) beziehungsweise August 2028 (Anhang I).
Begrenztes Risiko. Chatbots und Deepfake-Tools. Transparenzpflicht nach Artikel 50: Nutzer müssen wissen, dass sie mit KI interagieren, und KI-generierte Inhalte müssen maschinenlesbar gekennzeichnet sein. Das gilt seit dem 2. August 2026.
Eine Schonfrist bis Dezember 2026 hat allein die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2, und auch die nur für generative Systeme, die vorher schon auf dem Markt waren. Die Hinweispflicht bei Chatbots nach Artikel 50 Absatz 1 gilt ohne Übergang.
Emotionserkennung gehört nicht hierher. Am Arbeitsplatz und in Bildungseinrichtungen ist sie seit dem 2. Februar 2025 verboten, außer aus medizinischen oder Sicherheitsgründen. Außerhalb dieser Bereiche gilt sie als Hochrisiko nach Anhang III; die reine Transparenzpflicht nach Artikel 50 Absatz 3 ist nur der Restfall.
Minimales Risiko. Spam-Filter, empfehlungsbasierte Suche, automatische Textvervollständigung. Keine besonderen Auflagen.
Die meisten KMU werden in die Kategorien “begrenztes Risiko” oder “minimales Risiko” fallen. Wer aber KI in HR-Prozessen oder Kreditentscheidungen einsetzt, muss die Hochrisiko-Anforderungen erfüllen.
Die Rolle von KMU: Anbieter oder Betreiber?
Die KI-Verordnung unterscheidet zwischen Anbietern und Betreibern. Anbieter entwickeln KI-Systeme und bringen sie auf den Markt. Betreiber setzen sie ein.
Die meisten deutschen KMU sind Betreiber. Sie kaufen ein KI-Tool ein und setzen es in ihren Geschäftsprozessen ein. Betreiber haben weniger Pflichten als Anbieter, tragen aber dennoch Verantwortung.
Was Betreiber von Hochrisiko-KI tun müssen: menschliche Aufsicht sicherstellen, Eingabedaten auf Qualität prüfen. Eine Grundrechte-Folgenabschätzung nach Artikel 27 kommt nur für bestimmte Betreiber dazu: öffentliche Stellen, private Anbieter öffentlicher Dienste sowie Kreditwürdigkeitsprüfung und Lebens- und Krankenversicherungs-Tarifierung. Zusätzlich: Vorfälle dokumentieren und an die zuständige Behörde melden.
Wenn Sie ein bestehendes KI-System erheblich verändern, zum Beispiel durch Fine-Tuning auf eigenen Daten, können Sie zum Anbieter werden. Dann gelten die umfangreicheren Anbieterpflichten.
Hochrisiko-KI: Die Details
Nicht jede KI ist gleich reguliert. Die Hochrisiko-Kategorie betrifft spezifische Anwendungsbereiche, die in Anhang III der Verordnung aufgelistet sind.
Dazu gehören: biometrische Identifizierung, kritische Infrastruktur, Bildungszugang, Personalentscheidungen, Kreditvergabe, Strafverfolgung. In jedem dieser Bereiche kann eine fehlerhafte KI-Entscheidung erheblichen Schaden anrichten. Für diese Anhang-III-Fälle gilt der 2. Dezember 2027.
Der zweite Hochrisiko-Pfad läuft über Anhang I: KI, die als Sicherheitskomponente in Produkten steckt, die ohnehin unter EU-Harmonisierungsrecht fallen. Maschinen, Medizinprodukte, Aufzüge, Spielzeug. Hier ist der Stichtag der 2. August 2028.
Für Hochrisiko-KI gelten strenge Anforderungen an das Risikomanagement. Sie müssen ein Risikomanagementsystem einrichten, das den gesamten Lebenszyklus des KI-Systems abdeckt.
Die technische Dokumentation muss nachweisen, wie das System funktioniert, welche Daten verwendet werden und welche Tests durchgeführt wurden. Diese Dokumentation muss für die Behörden zugänglich sein.
Menschliche Aufsicht ist Pflicht. Kein Hochrisiko-KI-System darf vollständig autonom Entscheidungen treffen, die Menschen betreffen. Es muss immer einen Menschen geben, der eingreifen kann.
KI-Kompetenz: Die Pflicht, die seit 2025 läuft
Seit Februar 2025 gilt die KI-Kompetenzpflicht nach Artikel 4. Der KI-Omnibus hat sie 2026 entschärft: Sie müssen Maßnahmen ergreifen, um die KI-Kompetenz Ihrer Leute zu fördern.
Garantieren, dass jede einzelne Person ein bestimmtes Niveau erreicht, müssen Sie nicht. Es bleibt eine Bemühenspflicht, und die gilt unabhängig von der Risikoklasse.
Das heißt nicht, dass jeder Mitarbeiter zum Data Scientist werden muss. Es heißt: Wer mit KI-Tools arbeitet, muss deren Möglichkeiten und Grenzen verstehen.
Wie umfangreich die Schulung sein muss, hängt vom Einsatzbereich ab. Ein Marketing-Team, das einen KI-Textgenerator nutzt, braucht andere Kenntnisse als ein HR-Team mit KI-gestützter Bewerberauswahl.
Was eine gute KI-Schulung abdeckt: Grundverständnis der Technologie, Erkennen von Halluzinationen und Fehlern, korrekte Prompt-Formulierung, Datenschutz bei KI-Nutzung. Dokumentieren Sie die Maßnahmen, die Sie ergriffen haben. Nachzuweisen ist Ihre Bemühung, nicht das Können jedes Einzelnen.
Erleichterungen für KMU
Die EU hat erkannt, dass KMU nicht dieselben Ressourcen haben wie Konzerne. Deshalb gibt es Erleichterungen.
Vereinfachte technische Dokumentation. KMU müssen weniger ausführlich dokumentieren als Großunternehmen. Der Umfang wird angepasst, die Grundanforderungen bleiben.
Regulatorische Sandboxes. Geschützte Umgebungen, in denen KMU ihre KI-Systeme unter Aufsicht testen können. In Deutschland betreibt die Bundesnetzagentur das KI-Reallabor und führt seit August 2026 die Marktüberwachung; die Fachaufsicht teilt sie sich mit BaFin, BfArM und dem BSI.
Vorrang beim Zugang. Artikel 62 gibt KMU bevorzugten Zugang zu den Reallaboren, dazu Informations- und Schulungsangebote. Das spart vor allem Zeit im Verfahren.
Reduzierte Bußgelder. Während Großunternehmen mit bis zu 35 Millionen Euro rechnen müssen, gelten für KMU proportionale Sätze. Das mindert das Risiko, nimmt aber die Pflicht nicht weg.
Konkrete Handlungsschritte für deutsche KMU
Wo fangen Sie an? Ein pragmatischer Fahrplan in fünf Schritten.
Schritt 1: Inventur. Listen Sie alle KI-Systeme auf, die Sie einsetzen. Auch die unbewussten: automatische Textvervollständigung, KI-gestützte Suchfunktionen, Chatbots auf der Website.
Schritt 2: Risikoklassifizierung. Ordnen Sie jedes System einer Risikoklasse zu. Die meisten werden “minimal” oder “begrenzt” sein. Identifizieren Sie die wenigen mit hohem Risiko.
Schritt 3: Transparenz sicherstellen. Für alle KI-Systeme mit begrenztem Risiko: Kennzeichnen Sie KI-generierten Content. Informieren Sie Nutzer, wenn sie mit KI interagieren.
Schritt 4: Hochrisiko-Systeme aufrüsten. Dokumentation erstellen, menschliche Aufsicht implementieren, Monitoring einrichten. Stichtag ist der 2. Dezember 2027, und das klingt nach viel Zeit. Ist es nicht. Hier lohnt sich professionelle Unterstützung.
Schritt 5: Mitarbeiter schulen. Die KI-Kompetenzpflicht gilt bereits seit Februar 2025. Starten Sie Schulungsprogramme für alle, die mit KI arbeiten.
Was der KI-Omnibus tatsächlich verschoben hat
Die Verschiebung ist keine Debatte mehr, sondern geltendes Recht. Der sogenannte Digital Omnibus on AI, die Verordnung (EU) 2026/1744 vom 8. Juli 2026, ist seit dem 27. Juli 2026 in Kraft.
Verschoben wurde genau zweierlei. Die Hochrisiko-Pflichten aus Anhang III rutschen vom 2. August 2026 auf den 2. Dezember 2027.
Die Pflichten für Anhang-I-Produkte, also KI als Sicherheitskomponente, rutschen vom 2. August 2027 auf den 2. August 2028.
Und was nicht verschoben wurde? Die verbotenen Praktiken gelten seit Februar 2025.
Die KI-Kompetenzpflicht läuft ebenfalls seit Februar 2025 weiter. Verschoben wurde sie nicht, aber der KI-Omnibus hat im Juli 2026 ihren Inhalt abgeschwächt.
Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026. Aufgeschoben ist bis Dezember 2026 allein die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2, und auch die nur für generative Systeme, die vorher schon auf dem Markt waren.
Verwechseln Sie diese Verordnung nicht mit dem zweiten Omnibus-Paket, das DSGVO, ePrivacy und die Cookie-Einwilligung ändern soll. Das ist bislang nur ein Kommissionsvorschlag, kein geltendes Recht.
Für Ihre Planung ändert der Aufschub wenig. Die Vorbereitung auf Hochrisiko-Anforderungen dauert Monate: Risikomanagementsystem, Dokumentation, Testprotokolle, Aufsichtsprozesse.
Nutzen Sie die gewonnenen 16 Monate für die Arbeit, die ohnehin ansteht. Inventur, Klassifizierung und Schulung kosten wenig und sind die Voraussetzung dafür, dass Sie später überhaupt wissen, welche Ihrer Systeme unter Anhang III fallen.
Wer jetzt anfängt, hat Vorsprung. Wer bis Mitte 2027 wartet, hetzt hinterher.
Zusammenspiel mit DSGVO und NIS2
Die KI-Verordnung existiert nicht isoliert. Wer KI-Systeme mit personenbezogenen Daten betreibt, muss gleichzeitig die DSGVO einhalten.
Die Schnittmengen sind groß. Ein KI-System, das Kundendaten verarbeitet, unterliegt der DSGVO-Datenschutzfolgenabschätzung und den Transparenzpflichten der KI-Verordnung. Wer in einem NIS2-regulierten Sektor operiert, hat zusätzliche Cybersicherheitspflichten.
Einen Überblick über alle regulatorischen Anforderungen bietet unser EU-Compliance-Leitfaden. Die NIS2-spezifischen Anforderungen beschreiben wir im NIS2-Umsetzungsleitfaden.
Förderung für KI-Compliance
Die Umsetzung der KI-Gesetz-Anforderungen kostet Geld. Die gute Nachricht: Es gibt Förderprogramme. Unser Fördermittel-Leitfaden für KI-Projekte listet die relevanten Programme auf.
Sie setzen KI ein und wollen sicherstellen, dass Ihre Systeme konform sind? Vereinbaren Sie ein Erstgespräch. Wir prüfen Ihre KI-Anwendungen und zeigen Ihnen, was Sie konkret tun müssen.
