Verbote und KI-Kompetenz
Bestimmte KI-Anwendungen sind untersagt, etwa Social Scoring, ausgewählte manipulative Systeme und bestimmte biometrische Anwendungen. Seit demselben Datum gilt auch die Pflicht zur KI-Kompetenz aus Artikel 4.
EU AI Act und KI-Compliance
EU AI Act pragmatisch für den Mittelstand: Was jetzt wirklich zu tun ist
Der EU AI Act (EU-KI-Verordnung) betrifft nicht nur Unternehmen, die eigene KI-Systeme entwickeln. Auch Unternehmen, die Chatbots, Textassistenten, Bewerbermanagement oder andere KI-Lösungen einsetzen, können Pflichten haben. Für den Einstieg braucht es trotzdem kein überdimensioniertes Compliance-Projekt.
Erste KI-Einordnung vereinbarenKostenfrei · 30 Minuten · remote
Kurz gesagt
Was der EU AI Act für den Mittelstand konkret bedeutet
Mittelständische Unternehmen sollten jetzt ein einfaches KI-Inventar anlegen, verbotene Anwendungen ausschließen, Transparenzpflichten prüfen, KI-Kompetenz passend zum Einsatz aufbauen und Verantwortlichkeiten festlegen. Eine vertiefte Prüfung ist vor allem bei sensiblen oder potenziell hochriskanten Anwendungen erforderlich.
Rechtsstand: 2. August 2026, einschließlich der Änderungen durch den AI Omnibus. Dieser Artikel dient der ersten betrieblichen Orientierung und ersetzt keine Rechtsberatung. Vor einer Entscheidung im Einzelfall sollten Fristen und Formulierungen gegen den aktuellen Verordnungstext geprüft werden.
Fristen
Warum Abwarten keine gute Strategie ist
Der EU AI Act, im Deutschen auch KI-Verordnung genannt, gilt schrittweise. Wer heute nicht weiß, welche KI-Systeme im eigenen Unternehmen verwendet werden, kann weder bestehende Pflichten beurteilen noch spätere Anforderungen sinnvoll vorbereiten.
Pflichten für GPAI-Anbieter
Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gelten.
Transparenzpflichten
Die Transparenzpflichten aus Artikel 50 gelten grundsätzlich seit diesem Datum. Sie betreffen unter anderem direkte Interaktionen mit KI-Systemen, Deepfakes und bestimmte KI-generierte oder manipulierte Inhalte.
Übergangsfrist und neue Verbote
Für generative KI-Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, endet die Übergangsfrist für die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2. Zeitgleich gelten zwei neue Verbote für KI zur Erzeugung intimer Darstellungen ohne Einwilligung und von Missbrauchsdarstellungen von Kindern.
Hochrisiko nach Anhang III
Eigenständige Hochrisiko-Systeme nach Artikel 6 Absatz 2, etwa in Personalauswahl, Bildung oder Kreditvergabe. Frist verschoben durch den AI Omnibus.
Hochrisiko in Produkten
KI als Sicherheitsbauteil in regulierten Produkten nach Artikel 6 Absatz 1 und Anhang I, etwa in Medizinprodukten oder Maschinen.
Die Verschiebung der Hochrisiko-Fristen beruht auf der Verordnung (EU) 2026/1744 (AI Omnibus), in Kraft seit dem 27. Juli 2026. Zeitplan nach Darstellung der EU-Kommission.
Risikobasierter Ansatz
Nicht jedes Unternehmen hat dieselben Pflichten
Der EU AI Act folgt einem risikobasierten Ansatz. Welche Anforderungen gelten, hängt insbesondere von drei Fragen ab:
Welche Rolle hat das Unternehmen?
Entwickelt und vermarktet es ein System unter eigenem Namen oder setzt es ein System eines Anbieters ein?
Wofür wird das System verwendet?
Ein Textassistent für interne Entwürfe ist anders zu bewerten als eine KI-gestützte Bewerberauswahl.
Welche Auswirkungen kann die Anwendung haben?
Je stärker Gesundheit, Sicherheit oder Grundrechte betroffen sein können, desto genauer muss geprüft werden.
Viele Mittelständler werden überwiegend als Betreiber beziehungsweise Anwender von KI-Systemen handeln. Trotzdem können sich aus dem konkreten Einsatz Transparenz-, Informations-, Kompetenz- oder Dokumentationsanforderungen ergeben.
Die vier Prüfbereiche
Was der Mittelstand konkret prüfen sollte
Vier Bereiche, in denen sich für die meisten mittelständischen Unternehmen entscheidet, ob und welche Pflichten greifen.
1
Verbotene Praktiken ausschließen
Bestimmte KI-Anwendungen sind seit dem 2. Februar 2025 verboten. Dazu zählen unter anderem ausgewählte Formen manipulativer Systeme, Social Scoring und bestimmte biometrische Anwendungen. Die Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen ist nach Artikel 5 Absatz 1 Buchstabe f verboten und nur aus medizinischen oder Sicherheitsgründen zulässig. Ab dem 2. Dezember 2026 kommen zwei weitere Verbote hinzu: KI zur Erzeugung intimer Darstellungen ohne Einwilligung der abgebildeten Person und KI zur Erzeugung von Missbrauchsdarstellungen von Kindern.
Für die meisten Unternehmen ist diese Prüfung schnell erledigt, sollte aber ausdrücklich dokumentiert werden. Besonders aufmerksam: Anwendungen in Personal, Überwachung, Zugangskontrolle und Bewertung von Personen.
Fallgruppen und Beispiele in den Leitlinien der EU-Kommission zu verbotenen KI-Praktiken.
2
Transparenzpflichten prüfen
Artikel 50 enthält besondere Transparenzpflichten, etwa für Systeme, die direkt mit Menschen interagieren, bestimmte KI-generierte oder manipulierte Inhalte, Deepfakes, Emotionserkennung und biometrische Kategorisierung sowie bestimmte KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse.
Nicht jeder KI-generierte Text muss pauschal gekennzeichnet werden: Entscheidend sind Art, Zweck und Veröffentlichungskontext, für einzelne Pflichten bestehen Ausnahmen. Ein öffentlich eingesetzter Chatbot sollte klar erkennen lassen, dass Nutzer mit einem KI-System interagieren. Die maschinenlesbare Markierung nach Artikel 50 Absatz 2 gilt grundsätzlich seit dem 2. August 2026. Nur für generative KI-Systeme, die bereits vor diesem Datum in Verkehr gebracht wurden, läuft die Übergangsfrist bis zum 2. Dezember 2026.
Vertiefung in den Leitlinien der EU-Kommission zu Artikel 50 und den Quick Facts zu den Transparenzpflichten.
3
KI-Kompetenz passend zum Einsatz aufbauen
Artikel 4 verpflichtet Anbieter und Betreiber, Maßnahmen zur Entwicklung von KI-Kompetenz zu unterstützen. Seit der Neufassung durch den AI Omnibus vom 27. Juli 2026 ist kein bestimmtes oder „ausreichendes“ Kompetenzniveau mehr vorgeschrieben. Sinnvoller als eine Standardschulung für alle ist eine rollenbezogene Betrachtung:
- Welche Systeme verwendet die jeweilige Person?
- Welche Fehler und Risiken muss sie erkennen?
- Welche Daten dürfen eingegeben werden?
- Wann muss ein Ergebnis geprüft oder eskaliert werden?
- Wer trägt die fachliche Verantwortung für die Entscheidung?
Für einfache Textassistenten können kurze Leitlinien reichen. Bei sensiblen oder hochriskanten Anwendungen braucht es mehr Fachwissen, dokumentierte Abläufe und wirksame menschliche Aufsicht. Von der Lockerung in Artikel 4 unberührt bleibt die Schulungspflicht für Betreiber von Hochrisiko-Systemen zur menschlichen Aufsicht nach Artikel 26 Absatz 2.
Offizielle Einordnung in den Fragen und Antworten der EU-Kommission zur KI-Kompetenz.
4
Hochrisiko-Anwendungen früh erkennen
Hochrisiko ist nicht gleichbedeutend mit „leistungsfähiger KI“. Entscheidend ist der beabsichtigte Einsatzzweck. Besondere Aufmerksamkeit verdienen Anwendungen in Personalgewinnung und Beschäftigtenmanagement, Bildung und Prüfungen, kritischer Infrastruktur, Zugang zu wesentlichen privaten oder öffentlichen Leistungen, biometrischer Identifizierung sowie Medizinprodukten und anderen regulierten Produkten.
Eine KI zur Vorauswahl von Bewerbungen kann in den Hochrisikobereich fallen. Ein interner Assistent zur Formulierung einer Stellenanzeige ist dagegen nicht allein deshalb hochriskant, weil generative KI eingesetzt wird. Die Pflichten für diese Systeme greifen ab dem 2. Dezember 2027, für KI in regulierten Produkten ab dem 2. August 2028. Die Zeit bis dahin ist knapp, wenn Anbieterunterlagen, Datenflüsse und menschliche Aufsicht erst noch geklärt werden müssen.
Details zur Einordnung in den Leitlinien der EU-Kommission zu Hochrisiko-KI-Systemen.
Vorgehen
Was Unternehmen jetzt konkret tun sollten
Fünf Schritte vom ersten Überblick bis zur schlanken, gelebten Dokumentation.
Der Weg zum Maßnahmenplan
Von der ersten Übersicht bis zur schlanken Dokumentation
Inventar
Priorität
Rolle & Risiko
Verantwortung
Dokumentation
1
Ein einfaches KI-Inventar erstellen
Erfassen Sie nicht nur offiziell beschaffte Anwendungen, sondern auch eingebaute Funktionen in vorhandener Software und frei genutzte Werkzeuge. Für den Anfang genügen:
- Name und Anbieter des Systems, verantwortlicher Fachbereich
- Einsatzzweck, betroffene Personen, verwendete Daten
- mögliche Auswirkungen einer Fehlentscheidung
- eigene Rolle als Anbieter oder Betreiber, vorläufige Risikoeinordnung
- notwendige Freigaben und Kontrollen
Das Ziel ist zunächst Transparenz, nicht Perfektion.
2
Kritische Anwendungen priorisieren
Nicht jedes System braucht dieselbe Prüftiefe. Beginnen Sie mit Anwendungen, die Entscheidungen über Personen vorbereiten, personenbezogene oder vertrauliche Daten verarbeiten, nach außen mit Kunden interagieren, sicherheitsrelevante Prozesse steuern oder deren Ergebnisse ohne fachliche Prüfung weiterverarbeitet werden.
Ein interner Textassistent hat in der Regel eine andere Priorität als ein System zur Bewerberbewertung oder Produktionssteuerung.
3
Rolle und Risikoklasse klären
Prüfen Sie je Anwendung: Sind wir Anbieter oder Betreiber? Fällt der Einsatz unter eine verbotene Praxis? Besteht eine Transparenzpflicht? Könnte es sich um ein Hochrisiko-System handeln? Welche weiteren Regeln gelten, etwa Datenschutz, Arbeitsrecht oder branchenspezifische Vorgaben?
Die Falle bei der Rollenfrage: Wer ein System unter eigenem Namen oder eigener Marke anbietet, es wesentlich verändert oder für einen anderen als den vorgesehenen Zweck einsetzt, wird nach Artikel 25 selbst zum Anbieter, mit den vollen Anbieterpflichten. Das betrifft in der Praxis auch Unternehmen, die einen Chatbot unter eigener Marke veröffentlichen oder auf einem allgemeinen KI-Modell eine eigene Anwendung aufbauen. Ein Unternehmen kann dabei mehrere Rollen gleichzeitig einnehmen und muss dann alle zugehörigen Pflichten kumulativ erfüllen. Sind mehrere Unternehmen an der Entwicklung beteiligt, sollte die Einhaltung vertraglich mit den Zulieferern abgesichert werden, denn die Verordnung kennt kein Konstrukt gemeinsamer Verantwortlichkeit wie das Datenschutzrecht.
Bei unklaren oder sensiblen Fällen sollte die Einordnung fachlich und gegebenenfalls juristisch geprüft werden.
4
Verantwortlichkeiten festlegen
Jedes relevante KI-System braucht einen fachlichen Eigentümer. Diese Person muss nicht alle technischen oder rechtlichen Fragen selbst beantworten, sollte aber wissen, wofür das System eingesetzt wird, wer Änderungen freigibt, wer Vorfälle bewertet, wie Ergebnisse kontrolliert werden und wann Datenschutz, Informationssicherheit oder Rechtsberatung einzubeziehen sind.
Ohne klare Zuständigkeit bleibt selbst eine gute Richtlinie wirkungslos.
5
Maßnahmen schlank dokumentieren
Dokumentation muss nicht mit einem umfangreichen Governance-Handbuch beginnen. Häufig reichen zunächst ein gepflegtes KI-Inventar, eine kurze Nutzungsrichtlinie, rollenbezogene Einweisungen, dokumentierte Freigaben für kritische Anwendungen, ein Verfahren für Fehler und Vorfälle sowie eine regelmäßige Überprüfung.
Vorlagen ohne gelebten Prozess schaffen nur Scheinsicherheit.
Zur Orientierung
Drei typische Beispiele
Eine erste Einordnung, keine abschließende Rechtsprüfung.
| Anwendung | Erste Einordnung | Sinnvoller nächster Schritt |
|---|---|---|
| Textassistent für interne Entwürfe | Meist kein Hochrisiko-Einsatz, aber Fragen zu Daten, Prüfung und KI-Kompetenz bleiben | Nutzungsregeln festlegen, sensible Daten ausschließen, Ergebnisse fachlich prüfen |
| Chatbot auf der Website | Transparenzpflicht kann greifen, da Menschen direkt mit KI interagieren | KI-Nutzung kenntlich machen, Eskalation zu einem Menschen vorsehen, Antworten testen |
| KI priorisiert Bewerbungen | Potenziell hochriskanter Einsatz im Beschäftigungskontext nach Anhang III; die Pflichten greifen ab dem 2. Dezember 2027 | Vertiefte Einordnung, Anbieterunterlagen, Datenschutz, Mitbestimmung und menschliche Aufsicht prüfen, bevor die Frist greift |
Typische Fehlmuster
Was Mittelständler nicht tun sollten
Ein Komplettprojekt auf Verdacht starten
Ein großes Compliance-Programm ist nicht automatisch besser. Ohne Inventar und Priorisierung werden Zeit und Budget oft in unkritische Systeme investiert, während sensible Anwendungen übersehen werden.
Nur auf den Softwareanbieter vertrauen
Anbieter müssen eigene Pflichten erfüllen. Das entbindet das einsetzende Unternehmen nicht von seinen Aufgaben als Betreiber. Der konkrete Einsatz im eigenen Prozess bleibt entscheidend.
Den EU AI Act isoliert betrachten
Der EU AI Act ersetzt weder die Datenschutz-Grundverordnung noch Arbeitsrecht, Mitbestimmung, Informationssicherheit oder branchenspezifische Vorgaben. In der Praxis müssen diese Anforderungen gemeinsam betrachtet werden.
Nur eine Richtlinie veröffentlichen
Eine Richtlinie ohne bekannte Systeme, Verantwortlichkeiten und passende Kompetenzmaßnahmen verändert den tatsächlichen Einsatz nicht.
Zielbild
Kein Compliance-Projekt, sondern ein belastbarer Überblick
Für die meisten mittelständischen Unternehmen ist das erste sinnvolle Ziel kein vollständiges KI-Managementsystem. Es ist ein belastbarer Überblick.
Auf dieser Grundlage lässt sich entscheiden, ob eine einfache Richtlinie genügt oder ob für einzelne Systeme eine vertiefte technische und rechtliche Prüfung erforderlich ist.
1.Wir wissen, welche KI-Systeme eingesetzt werden.
2.Wir kennen Zweck, Daten und betroffene Personen.
3.Wir haben verbotene und sensible Anwendungen geprüft.
4.Wir kennen unsere Rolle und die wesentlichen Pflichten.
5.Verantwortlichkeiten, Freigaben und menschliche Kontrolle sind geklärt.
6.Beschäftigte erhalten die für ihre Aufgaben nötige Orientierung.
7.Änderungen und neue Anwendungen werden regelmäßig bewertet.
Kostenfreie Orientierung
Unterstützung bei der ersten Einordnung
Wenn unklar ist, welche KI-Systeme im Unternehmen tatsächlich genutzt werden und welche davon zuerst betrachtet werden sollten, hilft eine strukturierte Bestandsaufnahme.
Wir klären drei Fragen:
- Wo stehen Sie beim Umgang mit KI-Systemen?
- Welche Anwendungen sind besonders relevant?
- Welcher nächste Schritt ist für Ihr Unternehmen sinnvoll?
Remote und unverbindlich. Ersetzt keine vollständige rechtliche Prüfung.
Über den Autor: Daniel BlaschkeSenior Consultant für digitale Transformation und angewandte KI. Mehr als 20 Jahre IT- und Projekterfahrung in Business Analyse, Product Ownership, IT-Projektmanagement, Prozessgestaltung und Umsetzungsbegleitung.
- Praxisnahe Einordnung an der Schnittstelle von KI, Prozessen und Governance
- Fokus auf Priorisierung statt Compliance-Projekt auf Verdacht
- Teil des Leistungsfelds Compliance und Datenschutz, mit Prozessaufnahme und Umsetzungsbegleitung aus einer Hand
- Autorisierter INQA-Coach für Digitalisierung und angewandte KI
Häufige Fragen
EU AI Act im Mittelstand kurz beantwortet
Gilt der EU AI Act auch für kleine und mittlere Unternehmen?
Ja. Ob eine Pflicht greift, hängt nicht von der Unternehmensgröße ab, sondern von Rolle, System und Einsatzzweck. Größenabhängig ist dagegen der Aufwand: Für kleine und mittlere Unternehmen und seit dem AI Omnibus auch für sogenannte Small Mid-Caps mit weniger als 750 Beschäftigten gelten unter anderem vereinfachte Dokumentationsanforderungen, ein verhältnismäßiges Qualitätsmanagement und niedrigere Bußgeldobergrenzen.
Betrifft der EU AI Act auch Unternehmen, die nur ChatGPT oder Microsoft Copilot nutzen?
Grundsätzlich können auch reine Anwender betroffen sein. Einfache Nutzung bedeutet nicht automatisch Hochrisiko. Trotzdem sollten Unternehmen den Einsatz erfassen, Datenregeln festlegen, Ergebnisse kontrollieren und passende Maßnahmen zur KI-Kompetenz treffen.
Muss jedes Unternehmen einen KI-Beauftragten benennen?
Nein. Für die allgemeinen Anforderungen aus Artikel 4 schreibt der EU AI Act keine bestimmte Governance-Struktur und keinen KI-Beauftragten vor. Klare interne Zuständigkeiten sind trotzdem sinnvoll.
Muss jeder KI-generierte Inhalt gekennzeichnet werden?
Nein. Die Transparenzpflichten sind an bestimmte Systeme, Inhalte und Zwecke gebunden. Beispielsweise gelten besondere Regeln für Deepfakes und für Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden. Unterlag ein solcher Text einer menschlichen Überprüfung und trägt eine Person die redaktionelle Verantwortung, entfällt die Pflicht. Die maschinenlesbare Markierung nach Artikel 50 Absatz 2 gilt grundsätzlich seit dem 2. August 2026. Nur für generative KI-Systeme, die bereits vor diesem Datum in Verkehr gebracht wurden, läuft die Übergangsfrist bis zum 2. Dezember 2026.
Brauchen alle Beschäftigten eine KI-Schulung?
Es ist kein einheitliches Trainingsformat und kein bestimmtes Zertifikat vorgeschrieben. Die Maßnahmen sollten zu Rolle, Vorwissen, System und Risiko passen. Beschäftigte, die nur einen einfachen Textassistenten nutzen, benötigen eine andere Einweisung als Personen, die ein sensibles Entscheidungssystem bedienen.
Reicht eine KI-Richtlinie aus?
Nein. Eine Richtlinie ist nur ein Baustein. Unternehmen brauchen zusätzlich einen Überblick über die eingesetzten Systeme, eine Risikoeinordnung, Verantwortlichkeiten und funktionierende Kontrollen.
Quellen und weiterführende Informationen
Worauf sich die Angaben auf dieser Seite stützen
- Verordnung (EU) 2024/1689 im EUR-LexUrsprungsfassung des EU AI Act vom 13. Juni 2024, ohne die Änderungen des AI Omnibus.
- Verordnung (EU) 2026/1744 (AI Omnibus)Änderungsverordnung vom 8. Juli 2026, in Kraft seit dem 27. Juli 2026. Grundlage für die verschobenen Hochrisiko-Fristen, die Neufassung von Artikel 4 und die Erleichterungen für KMU und Small Mid-Caps.
- EU-Kommission: Überblick und Zeitplan zum EU AI ActOffizielle Einordnung von Geltungsbereich und schrittweisem Anwendungszeitplan.
- EU-Kommission: Fragen und Antworten zur KI-KompetenzOffizielle Erläuterung der Pflichten aus Artikel 4 zur KI-Kompetenz.
- EU-Kommission: Leitlinien zu verbotenen KI-PraktikenLeitlinien zur Auslegung der seit Februar 2025 geltenden Verbote.
- EU-Kommission: Leitlinien zu Hochrisiko-KI-SystemenOffizielle Einordnung, wann ein KI-System als Hochrisiko gilt.
- EU-Kommission: Leitlinien zu Transparenzpflichten nach Artikel 50Erläuterung, welche Systeme und Inhalte Kennzeichnungspflichten unterliegen.
- EU-Kommission: Quick Facts zu Transparenzpflichten für KI-SystemeBestätigt den Geltungsbeginn 2. August 2026 und die Übergangsfrist bis 2. Dezember 2026 für vor diesem Datum in Verkehr gebrachte generative Systeme.
- EU-Kommission: AI Omnibus ist in KraftGrundlage für die Verschiebung der Hochrisiko-Fristen und die Änderung der Kompetenzanforderungen.
Rechtsstand 2. August 2026, einschließlich der Änderungen durch die Verordnung (EU) 2026/1744. Eine konsolidierte Fassung des EU AI Act mit diesen Änderungen lag bei EUR-Lex zum Redaktionsschluss noch nicht vor, deshalb sind beide Rechtsakte einzeln verlinkt. Diese Seite wird bei Rechtsänderungen, neuen Leitlinien und mindestens quartalsweise überprüft. Sie ersetzt keine Rechtsberatung und keine vollständige Einzelfallprüfung.
Welche KI-Systeme sollten Sie zuerst einordnen?
Eine erste Einschätzung zu Rolle, Risiko und nächstem Schritt erhalten Sie im kostenfreien 30-Minuten-Gespräch.
Einordnung vereinbaren