Regulierung

KI-Verordnung: Was ab wann für ein KMU gilt

Stand: 10. Oktober 2026. Die EU-KI-Verordnung (Verordnung (EU) 2024/1689, geändert im Juli 2026) ordnet KI-Anwendungen nach Risikostufen ein. Ein KMU, das KI-Werkzeuge nutzt, hat heute eine allgemeine Pflicht: Maßnahmen zu ergreifen, damit seine Teams diese Werkzeuge verstehen, ohne ein bestimmtes Niveau gewährleisten oder ein Zertifikat erwerben zu müssen. Bestimmte Praktiken sind seit Februar 2025 verboten, und seit August 2026 müssen manipulierte Inhalte („Deepfakes“), die man verbreitet, gekennzeichnet werden. Die meisten Büroanwendungen ziehen keine weitere Pflicht nach sich. Hochrisiko-Anwendungen wie die Vorauswahl von Bewerbungen, die Kreditvergabe oder die Überwachung von Beschäftigten unterliegen ab dem 2. Dezember 2027 verschärften Pflichten und verdienen vor jedem Einsatz eine eigene Prüfung.

Wer betroffen ist

Anbieter oder Betreiber

Die Verordnung unterscheidet zwei Rollen.

Der Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen in Verkehr. Softwarehersteller fallen in diese Gruppe.
Der Betreiber verwendet ein KI-System in eigener Verantwortung im beruflichen Rahmen. Eine private, nicht berufliche Nutzung ist nicht erfasst.

Ein KMU, das ein KI-Werkzeug kauft oder abonniert, ist fast immer Betreiber. Der Großteil der aufwendigen Pflichten liegt beim Anbieter.

Eine Ausnahme ist für KMU wichtig. Sie werden zum Anbieter eines Hochrisiko-Systems, wenn Sie Ihren Namen daran anbringen, wenn Sie es wesentlich verändern oder wenn Sie seine Zweckbestimmung so ändern, dass es zum Hochrisiko-System wird (Artikel 25).

Zeitplan

Was gilt, Datum für Datum

Zeitplan für die Anwendung der KI-Verordnung
Datum	Was gilt	Wer betroffen ist
1. August 2024	Inkrafttreten der Verordnung	—
2. Februar 2025	Verbotene Praktiken (Art. 5). Maßnahmen zur KI-Kompetenz (Art. 4)	Alle
2. August 2025	KI-Modelle mit allgemeinem Verwendungszweck, Governance, Sanktionen	Modellanbieter, Mitgliedstaaten
27. Juli 2026	Inkrafttreten des Omnibus (Verordnung 2026/1744). Artikel 4 gelockert	Alle
2. August 2026	Transparenz (Art. 50): Deepfakes, bestimmte veröffentlichte Texte	Anbieter und Betreiber
2. Dezember 2026	Neue Verbote: nicht einvernehmliche intime Inhalte einer identifizierbaren Person, Darstellungen sexuellen Kindesmissbrauchs	Alle
2. Dezember 2027	Hochrisiko-Systeme nach Anhang III (Personalauswahl, Kredit usw.)	Anbieter und Betreiber
2. August 2028	Hochrisiko-Systeme in regulierten Produkten (Anhang I)	Anbieter und Betreiber

Die Termine 2027 und 2028 stehen fest. Sie hängen nicht von der Veröffentlichung technischer Normen ab.

In der Praxis

Was ein KMU tun sollte, das KI nutzt

Wissen, welche Werkzeuge genutzt werden.
Die Verordnung verlangt keine Bestandsaufnahme als solche. Die folgenden Punkte können Sie aber nur auf Werkzeuge anwenden, die Sie kennen.
Maßnahmen ergreifen, damit Ihre Teams diese Werkzeuge verstehen (Art. 4).
Das gilt für Ihre Beschäftigten und für Personen, die sie in Ihrem Auftrag nutzen, etwa einen Dienstleister. Eine Sensibilisierungsveranstaltung, eine schriftliche Nutzungsregel oder eine gezielte Schulung sind Beispiele. Ein Zertifikat ist nicht erforderlich. Ein internes Verzeichnis der ergriffenen Maßnahmen genügt.
Prüfen, dass keine Anwendung verboten ist (Art. 5).
Ein nützliches Beispiel im Unternehmen: Emotionserkennung am Arbeitsplatz ist verboten, außer aus medizinischen Gründen oder aus Sicherheitsgründen.
Kennzeichnen, was gekennzeichnet werden muss (Art. 50).
Ein manipuliertes Bild, Audio oder Video, das Sie verbreiten, muss als erzeugt oder manipuliert gekennzeichnet werden. Ein Text, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, ebenfalls, es sei denn, eine Person, die die redaktionelle Verantwortung trägt, hat ihn geprüft.
Hochrisiko-Anwendungen vor dem 2. Dezember 2027 erkennen.
Siehe den nächsten Abschnitt.

Hohes Risiko

Hochrisiko-Anwendungen

Anhang III listet die betroffenen Bereiche auf. Für ein KMU sind drei am häufigsten:

Personalauswahl: gezielte Schaltung von Stellenanzeigen, Vorauswahl von Bewerbungen, Bewertung von Bewerbern.
Personalmanagement: Entscheidungen über Beförderung oder Kündigung, Zuweisung von Aufgaben nach persönlichen Merkmalen, Überwachung von Leistung und Verhalten.
Finanzdienstleistungen: Bewertung der Kreditwürdigkeit oder Kredit-Scoring (außer Betrugserkennung), Preisgestaltung bei Lebens- und Krankenversicherungen.

Die übrigen Bereiche sind Biometrie, kritische Infrastrukturen, Bildung, Zugang zu öffentlichen Diensten und Notdiensten, Strafverfolgung, Migration und Justiz.

Ab dem 2. Dezember 2027 muss der Betreiber eines solchen Systems insbesondere (Art. 26):

es gemäß der Betriebsanleitung des Anbieters verwenden;
die menschliche Aufsicht Personen übertragen, die kompetent, geschult und mit der nötigen Befugnis ausgestattet sind;
für die Relevanz der Eingabedaten sorgen, sofern er sie kontrolliert;
den Betrieb überwachen, die Nutzung bei einem Risiko aussetzen und schwerwiegende Vorfälle melden;
die automatisch erzeugten Protokolle mindestens sechs Monate aufbewahren;
die Arbeitnehmervertretung und die betroffenen Beschäftigten vor der Inbetriebnahme am Arbeitsplatz informieren;
die Personen informieren, die von einer durch das System getroffenen oder unterstützten Entscheidung betroffen sind;
mit den zuständigen Behörden zusammenarbeiten.

Diese Anwendungen verdienen vor jedem Einsatz eine eigene Prüfung. Wenn Sie bereits eine Personal- oder Kreditsoftware mit integrierter KI nutzen, fragen Sie Ihren Hersteller jetzt, ob er sie als Fall von Anhang III einstuft und ab wann seine Betriebsanleitung verfügbar ist.

Sanktionen

Die Höchstbeträge der Geldbußen

Die Höchstbeträge der Verordnung (Art. 99) sind:

verbotene Praktiken: 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes;
sonstige Pflichten, darunter die des Betreibers und die Transparenz: 15 Millionen Euro oder 3 %;
falsche Angaben gegenüber Behörden: 7,5 Millionen Euro oder 1 %.

Bei einem Großunternehmen gilt der höhere der beiden Beträge. Bei einem KMU oder einem Start-up gilt der niedrigere. Seit Juli 2026 können Sanktionen auch in einer Verwarnung oder einer nicht finanziellen Maßnahme bestehen, und die Mitgliedstaaten müssen die wirtschaftliche Tragfähigkeit von KMU berücksichtigen.

Artikel 4 steht in keiner dieser Listen. Für ihn gibt es keinen europäischen Höchstbetrag. Eine etwaige Sanktion richtet sich nach nationalem Recht.

Begleitung

Was Optim-AI tun kann

Die zweitägige Diagnose erfasst die KI-Werkzeuge, die im Unternehmen bereits genutzt werden.
Das Audit kartiert die tatsächliche Nutzung, auch die nicht gemeldete, und weist auf Anwendungen hin, die unter Anhang III fallen könnten.
Die Regeln für die KI-Nutzung, die mit dem Gegenmaßnahmenplan geliefert werden, sind so geschrieben, dass Ihre Teams sie lesen, und bereit zur Aufnahme in die Arbeitsordnung. Sie dokumentieren schriftlich die ergriffenen Maßnahmen.
Der Einführungsauftrag ist ein eigener Auftrag, mit einem schriftlichen Bericht, den gezeigten Unterlagen und einem kurzen Bewertungsfragebogen vor und nach der Sitzung, um zu messen, was sich verändert hat. Er ist eine mögliche Maßnahme nach Artikel 4, nicht die einzige.

Optim-AI ist keine Anwaltskanzlei. Bei einer Hochrisiko-Anwendung liegt die abschließende rechtliche Prüfung bei Ihrem Rechtsbeistand.

Häufige Fragen

Die Fragen von Geschäftsführungen

Macht die Nutzung von Copilot oder ChatGPT mein KMU zum Betreiber eines Hochrisiko-Systems?

In der Regel nicht. Ein Schreib- oder Zusammenfassungsassistent fällt nicht unter Anhang III. Das ändert sich, wenn Sie ihn für einen dort genannten Zweck einsetzen, etwa zur Vorauswahl von Bewerbungen. Artikel 4 gilt für Sie weiterhin und, wenn Sie Deepfakes verbreiten, auch Artikel 50.

Müssen alle Beschäftigten geschult werden und ein Zertifikat erwerben?

Nein. Seit dem 27. Juli 2026 verlangt die Verordnung Maßnahmen zur Förderung der KI-Kompetenz, ohne ein bestimmtes Niveau gewährleisten zu müssen. Die Kommission stellt klar, dass kein Zertifikat nötig ist. Die Maßnahmen richten sich nach den Personen und den Werkzeugen. Halten Sie sie schriftlich fest.

Muss ich mit KI geschriebene Texte kennzeichnen?

Nur Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, und nur, wenn sie nicht von einem Menschen unter der redaktionellen Verantwortung einer Person geprüft wurden. Ein Werbe-Newsletter oder ein Produktdatenblatt fällt grundsätzlich nicht in diese Kategorie.

Unsere Personalsoftware sortiert Lebensläufe. Was ist jetzt zu tun?

Diese Art von Werkzeug fällt unter Anhang III. Die Betreiberpflichten gelten ab dem 2. Dezember 2027. Fragen Sie bis dahin den Hersteller nach seiner Einschätzung und seiner Betriebsanleitung, benennen Sie die Person, die das Werkzeug beaufsichtigen wird, und planen Sie die Information der Arbeitnehmervertretung.

Droht einem KMU eine Geldbuße von 35 Millionen Euro?

Dieser Höchstbetrag betrifft verbotene Praktiken. Für ein KMU gilt der niedrigere der beiden vorgesehenen Beträge, und die Behörde kann sich auf eine Verwarnung beschränken.

Quellen

Die herangezogenen Texte

Stand dieser Seite: 10. Oktober 2026. Die Artikel wurden in der von der Europäischen Kommission veröffentlichten konsolidierten Fassung vom 27. Juli 2026 gelesen.