Seit dem 2. August 2026 gilt der Großteil der europäischen KI-Verordnung. Wer die Berichterstattung der letzten Monate verfolgt hat, rechnete mit einem Datum, an dem für viele Unternehmen ein umfangreicher Pflichtenkatalog beginnt. So ist es nicht gekommen – und was stattdessen gilt, lässt sich in einem Nachmittag erledigen.
1. Was seit August wirklich gilt
Kurz vor dem Stichtag hat die EU nachgesteuert: Mit der Digital-Omnibus-Verordnung, in Kraft seit Ende Juli 2026, wurden die Pflichten für Hochrisiko-Systeme nach hinten geschoben – auf Dezember 2027, für KI in regulierten Produkten sogar auf August 2028. Was zum 2. August 2026 tatsächlich scharf gestellt wurde, sind die Transparenzregeln.
Für den Mittelstand heißt das: Der aufwendige Teil der Verordnung ist für die meisten Betriebe entweder gar nicht einschlägig oder liegt noch über ein Jahr entfernt. Der Teil, der jetzt gilt, ist überschaubar.
| Pflicht | Termin | Betrifft |
|---|---|---|
| Verbotene Praktiken (Art. 5) | seit 2. Februar 2025 | alle Unternehmen |
| KI-Kompetenz der Mitarbeitenden (Art. 4) | seit 2. Februar 2025 | jeder, der KI einsetzt |
| Pflichten für Anbieter großer Basismodelle | seit 2. August 2025 | OpenAI, Google und Co. – nicht Sie |
| Transparenz bei Chatbots und generierten Inhalten (Art. 50) | seit 2. August 2026 | wer KI nach außen sichtbar einsetzt |
| Maschinenlesbare Kennzeichnung generierter Inhalte (Art. 50 Abs. 2) | ab 2. Dezember 2026 | Anbieter generativer Systeme |
| Hochrisiko-Systeme nach Anhang III | ab 2. Dezember 2027 | Personalauswahl, Bonitätsprüfung u. a. |
| Hochrisiko-KI in regulierten Produkten (Anhang I) | ab 2. August 2028 | Maschinen- und Medizinproduktehersteller |
Der Aufschub ist keine Entwarnung, sondern eine Verlängerung der Vorbereitungszeit. Wer Personalauswahl oder Bonitätsprüfung automatisiert, hat jetzt Zeit, das sauber aufzusetzen – nicht einen Grund, es liegen zu lassen.
2. Vier Risikoklassen, in Alltagssprache
Die Verordnung reguliert keine Technologie, sondern Anwendungsfälle. Dasselbe Sprachmodell kann in der einen Verwendung völlig unproblematisch und in der anderen hochriskant sein. Maßgeblich ist immer, wozu Sie es einsetzen.
Anwendungen, die es in der EU nicht geben darf – unabhängig von Zustimmung oder gutem Zweck.
Software, die aus Kamerabildern die Stimmung der Belegschaft auswertet, oder eine Bewertung von Menschen nach ihrem Sozialverhalten. Im Mittelstand praktisch nie im Einsatz, aber es lohnt der prüfende Blick auf zugekaufte Analyse-Tools.
Systeme, die über Zugang zu Arbeit, Geld oder Bildung mitentscheiden.
Vorauswahl von Bewerbungen, Bewertung von Mitarbeitenden, Bonitätsprüfung von Kunden. Hier gelten Dokumentations-, Protokollierungs- und Aufsichtspflichten – seit dem Digital Omnibus allerdings erst ab Dezember 2027.
Systeme, bei denen Menschen wissen müssen, dass eine Maschine im Spiel ist.
Der Chatbot auf Ihrer Website, generierte Bilder in der Werbung, KI-erzeugte Texte zu Themen von öffentlichem Interesse. Der Aufwand ist meist ein Hinweis an der richtigen Stelle.
Alles andere – und das ist im Mittelstand die überwiegende Mehrheit.
Textentwürfe, Übersetzungen, interne Wissenssuche, Dokumentenklassifikation, Rechnungsauslesung. Für diese Klasse sieht die Verordnung keine besonderen Pflichten vor.
3. Was in einem normalen Betrieb betroffen ist
In der Praxis fällt fast alles, was kleine und mittelständische Unternehmen heute mit KI machen, in die unterste Klasse: Angebotstexte formulieren, Protokolle zusammenfassen, Rechnungen auslesen, im eigenen Handbuch suchen. Dafür sieht die Verordnung keine besonderen Pflichten vor.
Es gibt zwei Stellen, an denen es typischerweise kippt – und die sollten Sie kennen:
- Personal. Sobald Software Bewerbungen vorsortiert, Leistungen bewertet oder Beförderungen vorschlägt, ist die Hochrisiko-Klasse erreicht. Das gilt auch dann, wenn am Ende ein Mensch entscheidet – die Vorauswahl ist bereits die Weichenstellung.
- Bonität. Automatisierte Kreditwürdigkeitsprüfungen von Privatkunden fallen ebenfalls darunter.
Wichtig ist dabei die Rolle: Wer ein System einkauft und einsetzt, ist Betreiber und nicht Anbieter. Die Hauptlast der Dokumentation liegt beim Hersteller. Ihre Aufgabe ist, bestimmungsgemäß einzusetzen, die Aufsicht sicherzustellen und im Zweifel belegen zu können, was Sie einsetzen.
4. Die Pflicht, die alle übersehen
Während über Hochrisiko-Systeme diskutiert wurde, gilt seit Februar 2025 eine Regel, die deutlich mehr Betriebe betrifft: Wer KI einsetzt, muss dafür sorgen, dass die Menschen, die damit arbeiten, sie auch verstehen. Das betrifft den Handwerksbetrieb mit fünf ChatGPT-Lizenzen genauso wie den Konzern.
Der Digital Omnibus hat diese Pflicht im Juli 2026 entschärft: Sie müssen kein bestimmtes Kompetenzniveau garantieren, sondern nachvollziehbar Maßnahmen ergreifen, die es fördern. Ein eigener Bußgeldtatbestand ist damit nicht verbunden. Trotzdem ist es die Stelle mit dem besten Verhältnis von Aufwand zu Wirkung – und zwar unabhängig von der Verordnung.
Der eigentliche Gewinn liegt woanders: Die meisten Fehlanwendungen im Betrieb entstehen nicht aus bösem Willen, sondern weil niemand gesagt hat, dass man Kundendaten nicht in ein beliebiges Chatfenster kopiert.
5. Transparenz: wo ein Hinweis genügt
Das ist der Teil, der seit August tatsächlich gilt. Er lässt sich auf einen Grundsatz eindampfen: Niemand soll unbemerkt mit einer Maschine sprechen oder ein erzeugtes Bild für echt halten.
- Chatbots müssen als solche erkennbar sein. Ein Satz im Interface reicht; er muss nur vor dem ersten Kontakt da sein und darf nicht im Kleingedruckten stehen.
- Realistisch wirkende erzeugte Bilder, Videos und Tonaufnahmen brauchen einen sichtbaren Hinweis. Eine unsichtbare technische Markierung im Dateiformat genügt ausdrücklich nicht.
- KI-erzeugte Texte zu Themen von öffentlichem Interesse sind zu kennzeichnen – es sei denn, ein Mensch hat sie redaktionell geprüft und verantwortet sie.
Für die maschinenlesbare Kennzeichnung generierter Inhalte läuft eine Übergangsfrist bis Dezember 2026. Sie trifft ohnehin in erster Linie die Anbieter der Systeme, nicht deren betriebliche Anwender.
6. Eine Bestandsaufnahme in einer Stunde
Der praktische Einstieg ist eine Liste. Setzen Sie sich mit den Bereichsverantwortlichen zusammen und schreiben Sie auf, was tatsächlich im Einsatz ist – nicht, was offiziell eingeführt wurde. Erfahrungsgemäß tauchen dabei zwei bis drei Werkzeuge auf, von denen die Geschäftsführung nichts wusste.
| System | Wozu | Welche Daten | Klasse |
|---|---|---|---|
| ChatGPT (5 Lizenzen, Vertrieb) | Angebotstexte, E-Mail-Entwürfe | keine Kundendaten (Regel besteht) | minimal |
| Chatbot auf der Website | Erstauskunft für Interessenten | Chatverlauf, freiwillige Kontaktdaten | transparenzpflichtig |
| Vorsortierung von Bewerbungen | Ranking eingehender Bewerbungen | Bewerberdaten | hochrisiko |
Ergänzen Sie je Zeile, wer verantwortlich ist. Damit haben Sie den Kern dessen, was eine Prüfung sehen will – und nebenbei die Übersicht, die vor der nächsten Werkzeugentscheidung ohnehin nützlich ist.
7. Was das für Ihre Systeme heißt
Wer KI-Anwendungen nicht nur einkauft, sondern bauen lässt, kann einen Großteil der Nachweispflichten in die Architektur verlegen, statt sie später als Papierarbeit nachzuholen. Vier Punkte, die dabei den Unterschied machen:
Protokollieren, was hinein- und was herausgegangen ist. Ohne Protokoll lässt sich hinterher nicht belegen, wie eine Auskunft zustande kam – weder gegenüber einer Behörde noch gegenüber dem eigenen Betriebsrat.
Quellen mitliefern. Ein System, das seine Antwort mit dem Dokument belegt, aus dem sie stammt, ist nicht nur nachvollziehbar, sondern auch nachprüfbar.
Menschliche Freigabe an den Stellen, an denen die Ausgabe Folgen hat. Nicht überall – aber überall dort, wo eine falsche Antwort jemandem schadet.
Festhalten, wo die Daten liegen. Ob ein Modell im eigenen Haus läuft oder Inhalte an einen Anbieter gehen, ist die erste Frage in jeder Prüfung – nach der KI-Verordnung wie nach der DSGVO.
Eine Wissensdatenbank, die jede Antwort mit der Quelle belegt, aus der sie stammt, erfüllt einen guten Teil davon nebenbei – und ist für die Anwender auch schlicht brauchbarer, weil sie die Antwort nachschlagen können.
Ausführlich dazu: Wissensdatenbank mit KI – wann RAG sich lohnt
Unklar, in welche Klasse Ihre Anwendungen fallen?
Im kostenlosen Erstgespräch gehen wir Ihre Liste durch und ordnen ein, was davon tatsächlich Pflichten auslöst und was nicht. In den meisten Fällen ist die Antwort beruhigender als erwartet.
Hinweis: Dieser Beitrag ordnet die KI-Verordnung aus Sicht der technischen Umsetzung ein und ersetzt keine Rechtsberatung. Rechtsstand: 4. September 2026. Die Fristen wurden durch die Digital-Omnibus-Verordnung zuletzt im Juli 2026 geändert – prüfen Sie deshalb den aktuellen Stand, bevor Sie Entscheidungen darauf stützen.
Mehr zum Leistungsumfang: KI-Beratung & Wissensdatenbanken