Die EU-KI-Verordnung für kleine und mittlere Betriebe: Was gilt, was nicht

Die KI-Verordnung (englisch: AI Act, Verordnung (EU) 2024/1689) hat 113 Artikel und 13 Anhänge. Der weitaus größte Teil davon richtet sich an die, die KI-Systeme bauen und verkaufen, und an wenige, klar benannte Hochrisiko-Anwendungen. Für einen normalen Betrieb – Metallbau, Steinmetz, Steuerkanzlei, Handel – bleiben davon drei Punkte übrig: einer für alle, zwei nur in bestimmten Fällen. Diese Seite sagt, welche das sind, was ihn nicht betrifft, und was seit wann gilt. Stand: September 2026.

Nicht sicher, ob das Ihren Betrieb betrifft? Fünf kurze Fragen →

Was die Verordnung regelt

Sie sortiert KI nach Risiko, in vier Stufen. Je höher das Risiko, desto mehr Pflichten – und die meisten davon treffen den Anbieter (wer das System entwickelt oder unter eigenem Namen verkauft), nicht den Betreiber (wer es beruflich nutzt).

  1. Verboten (Artikel 5): zum Beispiel Sozialkreditsysteme, manipulative Systeme, Emotionserkennung am Arbeitsplatz. Gilt für jeden, seit 2. Februar 2025.
  2. Hochrisiko (Anhang III): KI in Personalauswahl, Kreditvergabe, kritischer Infrastruktur, Bildung, Justiz. Umfangreiche Pflichten, vor allem für Anbieter; Betreiber müssen solche Systeme nach Anleitung nutzen, überwachen und Betroffene informieren.
  3. Transparenzpflichten (Artikel 50): Kundenchatbots müssen sich zu erkennen geben, täuschend echt wirkende KI-erzeugte Bilder, Videos oder Tonaufnahmen müssen gekennzeichnet sein.
  4. Alles andere – und das ist die große Mehrheit: Textentwürfe, Übersetzungen, Zusammenfassungen, Copilot in Office. Dafür gibt es keine Produktpflichten. Es bleibt eine Vorschrift, die für alle gilt: die KI-Kompetenz der Mitarbeiter (Artikel 4).

Was einen normalen Betrieb nicht betrifft

  1. Die Anbieterpflichten. Risikomanagement, technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung – das ist Sache derer, die KI-Systeme herstellen. Wer ChatGPT, Copilot oder ein KI-Werkzeug im ERP nutzt, ist Betreiber.
  2. Die Hochrisiko-Vorschriften – solange der Betrieb KI nicht in einem der Anhang-III-Bereiche einsetzt. Texte schreiben, Angebote umformulieren, Auswertungen erklären lassen: kein Hochrisiko. Bewerber per KI vorsortieren oder Mitarbeiter per KI bewerten: dann schon.
  3. Registrierung, Meldung, Genehmigung. Für die Nutzung gängiger KI-Werkzeuge gibt es nichts davon.
  4. Ein KI-Beauftragter. Anders als beim Datenschutz verlangt die Verordnung keine benannte Person.

Was einen normalen Betrieb typischerweise betrifft

  1. KI-Kompetenz der Mitarbeiter (Artikel 4, seit 2. Februar 2025). Wer KI im Betrieb einsetzt, muss angemessene Maßnahmen treffen, um die KI-Kompetenz seiner Leute zu fördern – passend zu Aufgabe und Werkzeug. Keine vorgeschriebene Schulung, kein Zertifikat; aber die Frage „Wie haben Sie das sichergestellt?“ kommt von Versicherung, Kunden und Auditoren. Artikel 4 im Einzelnen · Was in eine Schulung gehört
  2. Transparenz in bestimmten Fällen (Artikel 50, seit 2. August 2026). Setzt der Betrieb einen Kundenchatbot ein, muss für Nutzer klar sein, dass sie mit KI interagieren – sofern das nicht ohnehin offensichtlich ist. KI-generierte oder manipulierte Bilder, Videos oder Tonaufnahmen, die wie echt wirken können, müssen als solche gekennzeichnet sein. Für KI-generierte Texte über Themen von öffentlichem Interesse gilt dies nur, wenn keine menschliche Prüfung und redaktionelle Verantwortung erfolgt. Die Pflicht für Chatbots richtet sich formal in erster Linie an den Anbieter; als Betrieb mit eigenem Website-Chatbot setzt man die Kennzeichnung trotzdem sichtbar um.
  3. Verbotene Praktiken (Artikel 5, seit 2. Februar 2025). Für Betriebe vor allem eins: keine Emotionserkennung am Arbeitsplatz, keine Bewertung von Mitarbeitern nach Gesichtsausdruck oder Stimme. Das ist verboten, nicht nur reguliert.

Was sich durch die Verordnung nicht geändert hat und oft mit ihr verwechselt wird: der Datenschutz. Kundendaten oder andere vertrauliche Informationen dürfen nicht ungeprüft in öffentliche oder nicht freigegebene KI-Werkzeuge eingegeben werden – das galt schon vorher; die KI-Verordnung ist nicht der Grund, die DSGVO ist es.

Was seit wann gilt

  1. 1. August 2024 – die Verordnung tritt in Kraft.
  2. 2. Februar 2025 – die Verbote (Artikel 5) und die KI-Kompetenz (Artikel 4) gelten.
  3. 2. August 2025 – Pflichten für Anbieter großer KI-Modelle (ChatGPT, Gemini, Claude und ähnliche) gelten.
  4. 2. August 2026 – die Transparenzpflichten (Artikel 50) und der Großteil der übrigen Vorschriften gelten.
  5. Hochrisiko: Mit der Überarbeitung im Juli 2026 („Digital Omnibus“) nach hinten verschoben – die Bereiche aus Anhang III gelten ab 2. Dezember 2027, produktintegrierte Hochrisiko-KI ab 2. August 2028. Für die meisten Betriebe ohne Belang.

Was ein Betrieb jetzt tut

  1. Klären, wo KI im Einsatz ist. Welche Werkzeuge, welche Leute, wofür. Meist: Büro, Vertrieb, Kalkulation, Geschäftsführung.
  2. Prüfen, ob etwas davon Hochrisiko oder Chatbot ist. Personalauswahl, Bewertung von Mitarbeitern, Kundenchat: dann genauer hinsehen. Sonst weiter zu Schritt 3.
  3. Regeln und Wissen. Eine Seite Regeln (welche Werkzeuge, was darf hinein, wer prüft), ein Vortrag oder Workshop – was in eine KI-Kompetenz-Schulung gehört.
  4. Belegen. Dokumentieren Sie Regeln, Unterweisung und Teilnahme. Eine Prüfung je Mitarbeiter kann dabei ein nachvollziehbarer Bestandteil sein: bei AI4Cert rund eine Stunde, mit Prüfnummer, Sammelnachweis für den Betrieb und Siegel für die Website.

Betrieb anmelden Wozu ein KI-Kompetenznachweis?

Häufige Fragen

Gilt die KI-Verordnung auch für kleine Betriebe? Ja, sobald der Betrieb KI-Werkzeuge beruflich nutzt – auch ChatGPT oder Copilot im Büro. Der größte Teil der Verordnung richtet sich aber an Hersteller und an Hochrisiko-Anwendungen. Für einen normalen Betrieb bleiben drei Punkte: die KI-Kompetenz der Mitarbeiter (Artikel 4) für alle, dazu in bestimmten Fällen die Transparenzpflichten (Artikel 50, etwa bei einem Kundenchatbot) und die verbotenen Praktiken (Artikel 5).

Muss ich die Nutzung von ChatGPT im Betrieb melden oder anmelden? Nein. Es gibt keine Registrierung, keine Meldung und keine Genehmigung für die Nutzung gängiger KI-Werkzeuge im Büro.

Brauche ich einen KI-Beauftragten? Nein. Anders als beim Datenschutz verlangt die KI-Verordnung keine benannte Person im Betrieb.

Muss ich Kunden sagen, dass ein Chatbot antwortet? Ja. Wer einen Chatbot gegenüber Kunden einsetzt, muss erkennbar machen, dass eine KI antwortet (Artikel 50) – es sei denn, das ist ohnehin offensichtlich. Auch KI-generierte oder manipulierte Bilder, Videos oder Tonaufnahmen, die wie echt wirken können, müssen als solche gekennzeichnet sein.

Was ist eine Hochrisiko-KI, und betrifft mich das? KI in Bereichen wie Personalauswahl, Kreditvergabe, kritischer Infrastruktur, Bildung oder Strafverfolgung (Anhang III). Ein Betrieb, der Texte mit KI schreibt oder Auswertungen erklären lässt, ist davon nicht betroffen. Wer KI einsetzt, um Bewerber auszusortieren oder Mitarbeiter zu bewerten, sollte genau hinsehen.

Seit wann gilt die KI-Verordnung? In Kraft seit 1. August 2024. Verbote und KI-Kompetenz gelten seit 2. Februar 2025, Pflichten für Anbieter großer KI-Modelle seit 2. August 2025, die Transparenzpflichten und der Großteil der übrigen Vorschriften seit 2. August 2026. Die Hochrisiko-Vorschriften wurden mit der Überarbeitung 2026 verschoben: Anhang-III-Bereiche ab 2. Dezember 2027, produktintegrierte Hochrisiko-KI ab 2. August 2028.