„Bis zu 35 Millionen Euro Bußgeld für KI-Verstöße“ – mit solchen Schlagzeilen wurde der 2. August 2026 angekündigt. Seit diesem Datum ist die europäische KI-Verordnung, besser bekannt als EU AI Act, in weiten Teilen anwendbar. In vielen Geschäftsführungen im Mittelstand herrscht seither eine Mischung aus Unsicherheit und schlechtem Gewissen: Müssen wir jetzt ein großes Compliance-Projekt starten? Dürfen wir ChatGPT überhaupt noch nutzen?
Die kurze Antwort: Es ist deutlich entspannter, als die Schlagzeilen vermuten lassen. Die gefürchteten Hochrisiko-Pflichten wurden im Sommer 2026 per „Digital Omnibus“ auf Ende 2027 verschoben. Was seit dem 2. August 2026 tatsächlich gilt, sind überschaubare Transparenzpflichten – etwa die Kennzeichnung von Chatbots – und die KI-Kompetenzpflicht, die formal sogar schon seit Februar 2025 besteht. Beides bekommst du mit wenigen gezielten Maßnahmen in den Griff.
In diesem Artikel findest du den aktuellen Rechtsstand ohne Juristendeutsch, die exakten Fristen und eine Checkliste für die nächsten 30 Tage. Ein Hinweis vorab: Dieser Artikel ist sorgfältig recherchiert, ersetzt aber keine Rechtsberatung im Einzelfall.
Was seit dem 2. August 2026 wirklich gilt
Der EU AI Act ist bereits seit August 2024 in Kraft, seine Pflichten greifen aber gestaffelt. Seit dem 2. August 2026 ist die Verordnung in weiten Teilen anwendbar – und vor allem: Erst seit diesem Datum dürfen die Aufsichtsbehörden Verstöße untersuchen und Bußgelder verhängen. In Deutschland ist dafür seit Ende Juli 2026 die Bundesnetzagentur als zentrale Marktüberwachungsbehörde zuständig.
Die Verordnung sortiert KI-Systeme nach Risiko:
- Verbotene Praktiken (z. B. Social Scoring oder manipulative KI): bereits seit dem 2. Februar 2025 untersagt – für normale Unternehmens-KI ohne Bedeutung.
- Hochrisiko-Systeme (z. B. KI in Bewerbungsverfahren oder bei der Kreditvergabe): strenge Pflichten, die aber verschoben wurden – dazu gleich mehr.
- Transparenzpflichtige Systeme (Chatbots, generative KI, Deepfakes): Kennzeichnungspflichten nach Artikel 50, aktiv seit dem 2. August 2026.
- Minimales Risiko: der große Rest – von der Rechtschreibkorrektur bis zur Spam-Erkennung. Hier gelten keine besonderen Pflichten.
Für die meisten kleinen und mittleren Unternehmen heißt das: Der Großteil deiner KI-Nutzung fällt in die unterste Kategorie. Wirklich relevant sind zwei Dinge – Transparenz und Kompetenz.
Entwarnung: Hochrisiko-Pflichten erst ab Dezember 2027
Der ursprüngliche Zeitplan sah vor, dass ab dem 2. August 2026 auch die kompletten Hochrisiko-Pflichten gelten – also Risikomanagement, technische Dokumentation, Konformitätsbewertung und Registrierung für KI-Systeme etwa im Personalwesen. Genau das ist nicht passiert.
Mit dem sogenannten Digital Omnibus zur KI – der Änderungsverordnung (EU) 2026/1744, veröffentlicht im Amtsblatt der EU am 24. Juli 2026 und in Kraft seit dem 27. Juli 2026 – hat die EU die Fristen entzerrt:
- Hochrisiko-Systeme nach Anhang III (u. a. Recruiting-Software, Kreditwürdigkeitsprüfung, Bildung, kritische Infrastruktur): Die Pflichten gelten erst ab dem 2. Dezember 2027.
- KI in regulierten Produkten nach Anhang I (z. B. Maschinen oder Medizinprodukte): erst ab dem 2. August 2028.
Wichtig: Verschoben wurden nur die Hochrisiko-Pflichten. Die Transparenzpflichten nach Artikel 50 und die KI-Kompetenzpflicht nach Artikel 4 gelten unverändert. Den Verfahrensstand dokumentiert das Europäische Parlament öffentlich.
Für dich bedeutet das: Wenn du ein KI-gestütztes Bewerbermanagement oder Scoring einsetzt, hast du bis Ende 2027 Zeit, dich sauber aufzustellen. Panik ist unnötig – Vorbereitung trotzdem sinnvoll.
Pflicht 1: Chatbots und KI-Inhalte kennzeichnen (Artikel 50)
Die Transparenzpflichten aus Artikel 50 sind seit dem 2. August 2026 aktiv. Die EU-Kommission hat dazu offizielle FAQ veröffentlicht. Praktisch relevant für KMU sind drei Situationen:
Chatbots und KI-Assistenten
Wenn Menschen direkt mit einem KI-System interagieren – etwa mit dem Chatbot auf deiner Website –, müssen sie darüber informiert werden, und zwar zu Beginn der Interaktion. Ausnahme: Es ist ohnehin offensichtlich. Ein schlichter Hinweis wie „Du chattest mit unserem KI-Assistenten“ reicht in der Regel aus. Aufwand: eine Zeile Text.
KI-generierte Bilder, Videos und Audio
Generative KI-Systeme müssen ihre Ausgaben maschinenlesbar als KI-generiert markieren. Diese Pflicht trifft primär die Anbieter der Systeme – also etwa OpenAI, Google oder Adobe –, nicht dich als Nutzer. Deine Aufgabe: seriöse Tools einsetzen und Markierungen nicht absichtlich entfernen. Laut EU-Kommission gilt für Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, eine Übergangsfrist für die maschinenlesbare Markierung bis zum 2. Dezember 2026. Inhalte, die vor dem Stichtag erstellt wurden, müssen nicht nachträglich gekennzeichnet werden.
Deepfakes und Texte zu öffentlichen Themen
Wer Deepfakes veröffentlicht – also täuschend echte KI-Bilder, -Videos oder -Stimmen realer Personen –, muss das klar offenlegen. Und wer KI-generierte Texte publiziert, um die Öffentlichkeit über Themen von öffentlichem Interesse zu informieren, muss das ebenfalls kennzeichnen – es sei denn, ein Mensch hat den Text redaktionell geprüft und trägt die Verantwortung dafür. Dein normaler Marketing-Content mit menschlicher Endkontrolle ist davon also nicht betroffen.
Pflicht 2: KI-Kompetenz im Team sicherstellen (Artikel 4)
Die am häufigsten übersehene Pflicht ist zugleich die älteste: Schon seit dem 2. Februar 2025 verlangt Artikel 4 von allen Unternehmen, die KI-Systeme anbieten oder einsetzen, ein „ausreichendes Maß an KI-Kompetenz“ bei den Mitarbeitern. Das gilt auch für den Betrieb, der ChatGPT nur für Angebotstexte nutzt – nicht nur für Tech-Konzerne.
Was „ausreichend“ bedeutet, hängt vom Einsatzkontext ab: Wer KI nur für Textentwürfe nutzt, braucht weniger Tiefe als ein Team, das KI-Ergebnisse in Kundenentscheidungen einfließen lässt. Ein bestimmtes Zertifikat schreibt die Verordnung nicht vor. Entscheidend ist, dass du nachweisen kannst, dass geschult wurde: Wer wurde wann zu welchen Inhalten geschult? Ein einfaches Schulungsprotokoll genügt. Seit August 2026 können die Aufsichtsbehörden fehlende Kompetenz-Maßnahmen bei Untersuchungen zu deinen Lasten berücksichtigen.
Wie du die Schulungspflicht konkret und ohne großen Aufwand umsetzt, haben wir in einem eigenen Artikel zur KI-Kompetenzpflicht beschrieben. Wenn du das Thema direkt praktisch angehen willst: In unserem KI-Workshop bekommt dein Team genau diese Grundlagen – inklusive Nachweis für deine Unterlagen.
Sanktionen: Was wirklich droht – und wie KMU geschützt sind
Die Bußgeldrahmen klingen dramatisch: Laut Artikel 99 der KI-Verordnung drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene KI-Praktiken und bis zu 15 Millionen Euro oder 3 Prozent für Verstöße gegen andere Pflichten – darunter die Transparenzregeln. Den vollständigen Rahmen findest du im Wortlaut von Artikel 99.
Für den Mittelstand gibt es aber eine entscheidende Entlastung: Bei KMU und Start-ups gilt laut Artikel 99 jeweils der niedrigere der beiden Beträge – also der Prozentsatz vom eigenen Umsatz statt der Millionensumme. Zudem müssen die Behörden bei der Bemessung die wirtschaftliche Überlebensfähigkeit kleiner Unternehmen berücksichtigen. Dazu kommen weitere KMU-Erleichterungen wie der bevorzugte, kostenlose Zugang zu KI-Reallaboren und vereinfachte Formen der technischen Dokumentation bei Hochrisiko-Systemen.
Realistisch betrachtet wird eine Behörde bei einem erstmaligen, kleinen Verstoß – etwa einem nicht gekennzeichneten Chatbot – zunächst Abhilfe verlangen. Wer dokumentiert vorbereitet ist und kooperiert, steht dabei deutlich besser da.
Deine Checkliste: In 30 Tagen auf der sicheren Seite
- KI-Inventar anlegen: Liste alle KI-Tools im Unternehmen auf – auch die inoffiziellen. Pro Tool: Wofür wird es genutzt, wer nutzt es, welche Daten fließen hinein? Eine einfache Tabelle reicht.
- Chatbot und KI-Kontakte kennzeichnen: Website-Chatbot, KI-Telefonassistent oder KI-Avatar? Ein klarer Hinweis zu Gesprächsbeginn – erledigt in einer Stunde.
- Anbieter prüfen: Frag deine KI-Tool-Anbieter, ob sie die maschinenlesbare Markierung nach Artikel 50 umsetzen. Seriöse Anbieter haben darauf eine Antwort.
- Schulung durchführen und dokumentieren: Eine strukturierte Grundlagenschulung für alle, die mit KI arbeiten – mit Teilnehmerliste, Datum und Inhalten als Nachweis.
- KI-Richtlinie aufsetzen: Zwei, drei Seiten Spielregeln: Welche Tools sind erlaubt, welche Daten tabu, wer prüft Ergebnisse? Wie das geht, zeigt unsere Anleitung zur KI-Richtlinie im Unternehmen.
- Hochrisiko-Check machen: Prüfe, ob eines deiner Tools in die Anhang-III-Kategorien fällt (v. a. Personalauswahl, Kreditentscheidungen). Falls ja: Frist 2. Dezember 2027 vormerken und den Anbieter nach seinem Compliance-Fahrplan fragen.
Häufige Fragen
Gilt der EU AI Act auch für kleine Unternehmen, die nur ChatGPT nutzen?
Ja. Sobald du ein KI-System beruflich einsetzt, bist du „Betreiber“ im Sinne der Verordnung. Die Pflichten sind für reine Nutzer aber überschaubar: KI-Kompetenz im Team sicherstellen (Artikel 4) und Kennzeichnung, wenn Kunden direkt mit KI interagieren oder du Deepfakes veröffentlichst. Ein Verbot gängiger Tools gibt es nicht.
Muss ich KI-generierte Texte auf meiner Website kennzeichnen?
In den meisten Fällen nein. Die Kennzeichnungspflicht für KI-Texte greift nur, wenn du die Öffentlichkeit über Themen von öffentlichem Interesse informierst und kein Mensch die redaktionelle Verantwortung übernimmt. Produkttexte, Blogartikel oder Newsletter, die ein Mensch geprüft und freigegeben hat, sind nicht betroffen. Die maschinenlesbare Markierung im Hintergrund ist Sache des Tool-Anbieters.
Ist unsere Recruiting-Software jetzt ein Hochrisiko-System?
KI-Systeme zur Auswahl oder Bewertung von Bewerbern stehen in Anhang III und gelten damit als Hochrisiko. Die zugehörigen Pflichten greifen nach dem Digital Omnibus aber erst ab dem 2. Dezember 2027 – und die Hauptlast trägt der Softwarehersteller. Als Betreiber wirst du vor allem für menschliche Aufsicht und die bestimmungsgemäße Nutzung sorgen müssen. Jetzt sinnvoll: Tool inventarisieren und den Anbieter nach seiner Roadmap fragen.
Brauchen wir einen KI-Beauftragten wie beim Datenschutz?
Nein. Anders als die DSGVO mit dem Datenschutzbeauftragten schreibt der AI Act keine bestimmte Rolle vor. Sinnvoll ist trotzdem, eine Person im Haus zu benennen, die das KI-Inventar pflegt, Schulungen organisiert und neue Tools freigibt – sonst kümmert sich am Ende niemand.
Fazit
Der 2. August 2026 war kein Compliance-Erdbeben für den Mittelstand. Die schweren Hochrisiko-Pflichten kommen erst ab Dezember 2027, und was jetzt gilt, ist machbar: Chatbots kennzeichnen, Mitarbeiter nachweisbar schulen, KI-Nutzung inventarisieren und eine kurze Richtlinie aufsetzen. Wer diese Punkte in den nächsten Wochen abarbeitet, ist auf der sicheren Seite – und nutzt die Fristverschiebung als Vorsprung statt als Aufschub.
Wenn du wissen willst, wo dein Unternehmen konkret steht: In unserer KI-Beratung gehen wir dein KI-Inventar, die Kennzeichnungspflichten und deinen Fahrplan bis 2027 gemeinsam durch – pragmatisch und ohne Juristendeutsch. Melde dich einfach für ein unverbindliches Erstgespräch.