Künstliche Intelligenz ist längst nicht nur ein Thema internationaler Technologiekonzerne. Kleine Unternehmen, Handwerksbetriebe, Agenturen, Online-Shops, Kanzleien und Selbstständige setzen täglich KI ein. Die gute Nachricht: Wer ChatGPT oder vergleichbare Werkzeuge für normale Büroarbeiten verwendet, braucht nicht plötzlich eine eigene Compliance-Abteilung. Ignorieren sollte man die EU-KI-Verordnung trotzdem nicht.
Was ist der EU AI Act?
Der EU AI Act, offiziell die Verordnung (EU) 2024/1689, regelt Entwicklung, Bereitstellung und Nutzung künstlicher Intelligenz. Er verfolgt einen risikobasierten Ansatz: Je größer das mögliche Risiko für Menschen, Sicherheit oder Grundrechte, desto umfangreicher die Anforderungen.
Nicht jede KI-Nutzung ist Hochrisiko-KI. Eine Produktbeschreibung mit ChatGPT ist regulatorisch etwas anderes als die automatisierte Bewertung von Bewerbern.
Gilt der EU AI Act auch für kleine Unternehmen?
Ja. Eine generelle Ausnahme für KMU oder Selbstständige gibt es nicht. Als KMU gelten nach der europäischen Definition grundsätzlich Unternehmen mit weniger als 250 Beschäftigten und höchstens 50 Millionen Euro Jahresumsatz oder 43 Millionen Euro Bilanzsumme. Der AI Act sieht jedoch Beratung, Testumgebungen und vereinfachte Verfahren vor und berücksichtigt bei Sanktionen Größe und wirtschaftliche Leistungsfähigkeit.
Welche Rolle hat mein Unternehmen?
1. Sie nutzen eine fertige KI
Wer ChatGPT, Microsoft Copilot, Google Gemini, Übersetzer, Bildgeneratoren, Chatbots oder KI-Funktionen vorhandener Software beruflich einsetzt, ist typischerweise Betreiber („Deployer“). Das ist für viele KMU der Normalfall.
2. Sie entwickeln oder vermarkten eine KI-Lösung
Wer ein System entwickelt, unter eigener Marke anbietet, erheblich verändert oder für einen neuen Hochrisiko-Zweck einsetzt, kann Anbieterpflichten übernehmen. Dann können deutlich umfangreichere Anforderungen entstehen.
ChatGPT im Unternehmen: weiterhin erlaubt?
Grundsätzlich ja. Texte formulieren, E-Mails vorbereiten, zusammenfassen, übersetzen, Ideen entwickeln oder Code entwerfen ist durch den AI Act nicht pauschal verboten. Der Einsatz sollte aber organisiert werden: erlaubte Werkzeuge, zulässige Daten, menschliche Prüfung und Verantwortlichkeiten müssen zum Risiko passen.
ChatGPT mit klaren, überprüfbaren Prompts einsetzen (Zum Artikel)
KI-Kompetenz: Pflicht ohne Standardzertifikat
Artikel 4 gilt seit dem 2. Februar 2025. Nach der Änderung durch den AI Omnibus müssen Anbieter und Betreiber Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihrer Beschäftigten und anderer handelnder Personen zu unterstützen. Ein bestimmtes individuelles Kompetenzniveau muss nicht garantiert werden. KI-Schulungen, Nachweise und Zertifizierungswege 2026 vergleichen (Zum Artikel)
Die Maßnahmen dürfen kontext- und risikobasiert sein. Wer gelegentlich Werbetexte erstellt, benötigt nicht dieselbe Unterweisung wie eine Person, die KI-Ausgaben in Personalentscheidungen einbezieht. Ein verpflichtendes Standardzertifikat oder eine bestimmte Governance-Struktur schreibt Artikel 4 nicht vor; ein internes Protokoll über Schulungen und Richtlinien ist sinnvoll.
Eine einfache KI-Unterweisung kann erklären:
- Welche KI-Systeme dürfen verwendet werden?
- Welche Unternehmens- und personenbezogenen Daten dürfen eingegeben werden?
- Warum können Systeme falsche Informationen erzeugen?
- Wann ist menschliche Prüfung erforderlich?
- Wer verantwortet veröffentlichte Inhalte?
- Welche Anwendungen sind verboten oder freigabepflichtig?
KI-Ergebnisse kritisch prüfen und Risiken erkennen (Zum Artikel)
Passendes Produkt in meinem Shop
KI ohne Bauchschmerzen
Der deutschsprachige Praxisratgeber unterstützt kleine Unternehmen mit Regeln, Risikobewertung, 50 Prompt-Vorlagen und einem 21-Tage-Plan für einen kontrollierten KI-Einsatz.
Ein KI-Verzeichnis ist besonders sinnvoll
Auch wenn für gewöhnliche Nutzung nicht automatisch ein universelles Register vorgeschrieben ist, sollten Unternehmen wissen, welche KI sie einsetzen. So wird Shadow AI sichtbar.
| KI-System | Einsatz | Verantwortlich | Daten | Prüfung |
|---|---|---|---|---|
| ChatGPT | Marketingtexte | Marketing | keine Kundendaten | niedrig |
| Copilot | Zusammenfassungen | Verwaltung | interne Dokumente | Datenschutz prüfen |
| KI-Chatbot | Kundenservice | Support | Kundenanfragen | Transparenz prüfen |
| Bewerber-KI | Auswahl | Personal | Bewerberdaten | Hochrisiko prüfen |
Vorsicht bei Bewerbungen und Personalentscheidungen
KI-Systeme für Rekrutierung, Auswahl oder bestimmte Personalentscheidungen können unter Anhang III fallen. Für solche Hochrisiko-Systeme sieht der AI Act strengere Anforderungen an Risikomanagement, Dokumentation, Transparenz und menschliche Aufsicht vor. Nach dem 2026 in Kraft getretenen AI Omnibus gelten die zentralen Regeln für Anhang-III-Systeme ab 2. Dezember 2027; für bestimmte produktbezogene Systeme nach Anhang I ab 2. August 2028.
Müssen KI-Inhalte gekennzeichnet werden?
Es kommt darauf an. Artikel 50 enthält verschiedene Transparenzpflichten. Menschen müssen unter den jeweiligen Voraussetzungen erkennen können, dass sie mit KI interagieren. Betreiber müssen bestimmte Deepfakes als künstlich erzeugt oder manipuliert offenlegen. Für bestimmte KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse gelten ebenfalls Regeln. Das bedeutet nicht, dass jede gewöhnliche KI-unterstützte Produktbeschreibung pauschal „erstellt mit ChatGPT“ tragen muss.
AI Act und DSGVO sind getrennt zu prüfen
Der AI Act ersetzt die DSGVO nicht. Eine Kundendatenbank, Patientenakte, Bewerbungsmappe, vertrauliche E-Mail oder interne Vertragsdatenbank sollte nicht ungeprüft in einen öffentlichen KI-Dienst kopiert werden. Rechtsgrundlage, Zweck, Datenminimierung, Auftragsverarbeitung, Drittlandtransfer und Schutz von Geschäftsgeheimnissen bleiben separat zu bewerten.
Lokale KI als datenschutzfreundlichere Betriebsoption prüfen (Zum Artikel)
Welche Anwendungen sind besonders kritisch?
- Personalwesen: Bewertung von Bewerbern oder Beschäftigten.
- Kredit und Bonität: Beurteilung natürlicher Personen.
- Biometrie: Identifikation oder Kategorisierung anhand biometrischer Merkmale.
- Kritische Infrastruktur: sicherheitsrelevante Steuerung.
- Medizinische und sicherheitskritische Produkte: KI als Produkt oder Sicherheitskomponente.
Je stärker eine KI Entscheidungen mit erheblichen Folgen für Menschen beeinflusst, desto sorgfältiger muss ihre Risikokategorie geprüft werden.
Zeitplan: Was gilt 2026?
- Seit 2. Februar 2025: Definitionen, verbotene Praktiken und KI-Kompetenz.
- Seit 2. August 2025: Governance und Pflichten für General-Purpose-AI-Modelle.
- Seit 2. August 2026: große weitere Teile, darunter wichtige Transparenz- und Durchsetzungsregeln.
- Ab 2. Dezember 2026: zusätzliche durch den AI Omnibus eingeführte Verbote und einzelne Übergangsfristen.
- Ab 2. Dezember 2027: zentrale Hochrisiko-Regeln für Anhang III.
- Ab 2. August 2028: Hochrisiko-Regeln für bestimmte Produkte nach Anhang I.
Welche Strafen drohen?
Für verbotene KI-Praktiken sieht der Rechtsrahmen grundsätzlich bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor; bei anderen aufgeführten Verstößen bis zu 15 Millionen Euro oder 3 Prozent. Für KMU ist grundsätzlich der niedrigere Wert aus absolutem Höchstbetrag und Umsatzprozentsatz maßgeblich. Sanktionen müssen verhältnismäßig sein und berücksichtigen unter anderem Größe, Schwere, Verantwortlichkeit und organisatorische Maßnahmen.
EU AI Act Checkliste für kleine Unternehmen
- Systeme erfassen: offizielle Werkzeuge und mögliche Shadow AI aufnehmen.
- Zweck dokumentieren: Anbieter, Nutzer, Daten und Entscheidungsrolle notieren.
- Risiko bewerten: Assistenz von Entscheidungen mit erheblichen Auswirkungen trennen.
- KI-Richtlinie erstellen: erlaubte Dienste, verbotene Daten, Prüfung und Kennzeichnung regeln.
- Beschäftigte sensibilisieren: Schulung am tatsächlichen Einsatz ausrichten.
- Maßnahmen dokumentieren: Datum, Teilnehmer, Inhalte und Richtlinien festhalten.
- Datenschutz separat prüfen: besonders bei Kunden-, Mitarbeiter-, Bewerber- und Gesundheitsdaten.
- Neue Systeme vor Einführung prüfen: nicht nur „Ist es praktisch?“, sondern auch „Dürfen und wollen wir es so einsetzen?“
Braucht ein KMU einen AI Officer?
Nicht automatisch. Artikel 4 schreibt keine bestimmte Governance-Struktur vor. Dennoch sollte eine Person verantwortlich sein – etwa Geschäftsführung, IT-, Datenschutz-, Informationssicherheits- oder Compliance-Verantwortliche. Entscheidend ist die klare Zuständigkeit.
Die einfachste KI-Strategie
KI darf unterstützen – Verantwortung bleibt beim Menschen.
- Keine vertraulichen Daten unkontrolliert eingeben.
- Ergebnisse vor wichtigen Entscheidungen prüfen.
- Beschäftigte über Risiken und Grenzen informieren.
- Kritische Anwendungen dokumentieren und bewerten.
- Verantwortlichkeiten eindeutig festlegen.
Der AI Act ist nicht nur Bürokratie
Eine klare KI-Strategie reduziert Datenschutzrisiken, verhindert Shadow AI, schützt Geschäftsgeheimnisse, verbessert Ergebnisse und schafft Vertrauen. Für einen Betrieb mit zehn Beschäftigten können wenige klare Regeln wertvoller sein als ein 200-seitiges Handbuch.
FAQ: EU AI Act für kleine Unternehmen
Gilt der EU AI Act auch für Selbstständige?
Ja, wenn sie KI-Systeme beruflich einsetzen oder anbieten. Eine generelle Ausnahme allein wegen geringer Unternehmensgröße gibt es nicht.
Darf ich ChatGPT weiterhin im Unternehmen verwenden?
Ja. Der normale Einsatz generativer KI ist nicht verboten. Datenschutz, Geschäftsgeheimnisse, Ergebnisprüfung und anwendungsbezogene KI-Kompetenz bleiben wichtig.
Muss ich meine Mitarbeiter wegen des AI Act schulen?
Anbieter und Betreiber müssen die Entwicklung anwendungsbezogener KI-Kompetenz unterstützen. Ein bestimmtes individuelles Niveau, Standardkurs oder Zertifikat ist nicht vorgeschrieben.
Muss jeder KI-generierte Text gekennzeichnet werden?
Nein. Artikel 50 enthält konkrete Transparenzpflichten, unter anderem für bestimmte Deepfakes und Texte von öffentlichem Interesse, aber keine pauschale Kennzeichnungspflicht für jeden KI-unterstützten Text.
Muss ich ein KI-Verzeichnis führen?
Für gewöhnliche KI-Nutzung besteht nicht automatisch eine universelle Registerpflicht. Eine interne Übersicht ist organisatorisch dennoch empfehlenswert.
Ist eine Bewerber-KI Hochrisiko-KI?
Systeme für Rekrutierung, Bewerberauswahl und bestimmte Personalentscheidungen können als Hochrisiko-KI eingestuft werden und sollten sorgfältig geprüft werden.
Wann gelten die Hochrisiko-Regeln?
Für Systeme nach Anhang III ab 2. Dezember 2027; für bestimmte produktbezogene Systeme nach Anhang I ab 2. August 2028.
Fazit: jetzt handeln, nicht in Panik geraten
Für die meisten KMU beginnt Compliance nicht mit komplizierter Zertifizierung, sondern mit fünf Schritten: KI-Systeme erfassen, Risiken bewerten, Regeln definieren, Beschäftigte informieren und Verantwortlichkeiten festlegen. Die wichtigste Frage lautet nicht „Nutzen wir KI?“, sondern: „Welche KI nutzen wir – und was lassen wir sie entscheiden?“
Quellen und weiterführende Informationen
Redaktioneller Stand: 14. August 2026. Primärquellen: Verordnung (EU) 2024/1689, EU-Kommission: Navigating the AI Act, EU-Kommission: AI Literacy FAQ und EU-Kommission: AI Omnibus in Kraft. Wegen weiterer Leitlinien sollten Unternehmen den Stand besonders bei Hochrisiko-Anwendungen regelmäßig prüfen.