EU-KI-Verordnung für Unternehmen: Was Sie beachten müssen

Die EU-KI-Verordnung für Unternehmen ist die erste umfassende Regulierung für Künstliche Intelligenz in Europa. Sie gilt seit Februar 2025 schrittweise und betrifft auch Betriebe, die KI nur anwenden. Dieser Artikel zeigt, welche Pflichten für kleine und mittlere Unternehmen konkret greifen, wann sie gelten und wie Sie prüfen, ob Ihr Betrieb betroffen ist.

Der Zeitplan hat sich 2026 durch den Digital Omnibus geändert — die wichtigsten Pflichten für Hochrisiko-Systeme wurden verschoben. Stand September 2026 gilt der folgende Überblick auf Basis der Verordnung (EU) 2024/1689 und der Änderungsverordnung (EU) 2026/1744. Dieser Artikel ersetzt keine Rechtsberatung; für die eigene Situation prüft der Einzelfall.

Wer sich einen Überblick über die rechtliche Gesamtlage verschaffen will, findet im Datenschutz-Leitfaden für KI im Unternehmen die DSGVO-Seite dazu. Hier geht es speziell um die KI-Verordnung.

Was die EU-KI-Verordnung für Unternehmen regelt

Die Verordnung klassifiziert KI-Systeme nach Risiko. Je höher die Risikoklasse, desto strenger die Pflichten. Für das Verständnis genügen drei Stufen.

Ganz unten stehen minimale/unbestimmte Risiken: die meisten Büro-Assistenten und Textwerkzeuge. Für sie gelten vor allem die allgemeinen Regeln wie die Transparenzpflicht. In der Mitte liegen Hochrisiko-Systeme: KI, die etwa bei der Bewerberauswahl, der Kreditwürdigkeitsprüfung oder in regulierten Produkten eingesetzt wird. Für sie gelten umfangreiche Anforderungen an Daten, Dokumentation und menschliche Aufsicht. Ganz oben stehen verbotene Praktiken: KI, die Menschen manipuliert oder ihre Schwächen ausnutzt — diese Anwendungen sind seit Februar 2025 verboten.

Dazu kommt ab August 2025 eine eigene Regel für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI). Diese Pflichten treffen vor allem die Hersteller großer Modelle, nicht Ihre Anwendung.

Für Ihren Betrieb ist die entscheidende Frage: Sind Sie Anbieter oder Betreiber? Ein Anbieter entwickelt oder vermarktet ein KI-System. Ein Betreiber (Anwender) setzt es ein. Die meisten KMU sind Betreiber — und haben deutlich weniger Pflichten als Anbieter.

Diese Unterscheidung wirkt sich auch praktisch aus: Wer ein eigenes System anbietet, muss Konformität nachweisen, Risikomanagement betreiben und Meldepflichten erfüllen. Wer ein fertiges Tool einsetzt, profitiert davon, dass der Anbieter diese Pflichten trägt — Ihre Aufgabe ist die ordnungsgemäße Anwendung. Am Ende dieses Artikels finden Sie eine Selbstprüfung, mit der Sie Ihre Rolle in wenigen Minuten bestimmen.

Die Risikoklassen in drei Punkten

Die Einordnung in Risikoklassen bestimmt, wie streng die Regeln sind. Drei Punkte genügen für den Einstieg: Unbedenkliche Anwendungen wie Textassistenten unterliegen nur den allgemeinen Regeln. Hochrisiko-Anwendungen in Bewerberauswahl, Kreditprüfung oder regulierten Produkten brauchen umfangreiche Dokumentation und menschliche Aufsicht. Und einige Praktiken sind von vornherein verboten, etwa KI mit manipulativer Wirkung.

Gilt die EU-KI-Verordnung für kleine und mittlere Unternehmen?

Ja, grundsätzlich. Die Bestimmungen für natürliche Personen und Unternehmen (etwa die KI-Kompetenz und die Transparenzpflichten) gelten unabhängig von der Unternehmensgröße. Es gibt keine generelle KMU-Ausnahme.

Was es gibt, sind Erleichterungen. Beim Aufbau von KI-Kompetenz und der Dokumentation werden KMU als Nutzer nicht über Gebühr belastet. Und bei formalen Pflichten der Hochrisiko-Klasse gelten Praktiken wie gemeinsame Aufsichtsmaßnahmen und Musterverträge — die Verordnung will gerade kleinen Betrieben den Einstieg erleichtern, statt sie zu erschlagen.

Zur Einordnung: Typischerweise ist für die meisten kleinen Betriebe ohne Hochrisiko-Einsatz die KI-Kompetenz das Einzige, was sie aktiv umsetzen müssen — ergänzt um die Kennzeichnung, wo sie nach außen mit KI kommunizieren. Ob Ihr Betrieb darunterfällt, klären Sie mit der Selbstprüfung weiter unten.

Der Zeitplan: Wann gilt was

Die Regeln kommen in Wellen. Die folgende Tabelle zeigt die für Unternehmen relevanten Daten.

Dabei gilt: Die Fristverschiebung durch den Digital Omnibus betrifft bewusst nur Hochrisiko-Systeme. Die bereits laufenden Regeln (Verbote und KI-Kompetenz seit Februar 2025 sowie Transparenz seit August 2026) bleiben unverändert.

Für Anwender ohne Hochrisiko-Einsatz sind damit Stand September 2026 zwei Daten relevant: die KI-Kompetenz (läuft bereits, keine neue Frist) und die Transparenzpflichten (seit 2. August 2026 gültig). Wer planen muss, plant die Hochrisiko-Fälle für Dezember 2027 und August 2028 ein.

Ihre Pflichten als Anwender: KI-Kompetenz, Transparenz, Dokumentation

Für typische KMU stehen drei Pflichten im Mittelpunkt.

KI-Kompetenz der Mitarbeiter

Alle Unternehmen, die KI einsetzen, müssen den Aufbau von KI-Kompetenz ihres Personals unterstützen. Seit dem Digital Omnibus heißt es „unterstützen und fördern" statt „sicherstellen" — also eine Förderpflicht, kein Zertifikatszwang. Ein vorgeschriebenes Format gibt es nicht. Eine Dokumentation der Schulung ist empfohlen, weil sie im Zweifel nachweist, dass Sie die Anforderung ernst nehmen. Wie Sie das kostengünstig umsetzen, zeigt der Leitfaden zur KI-Schulung für Mitarbeiter.

Ob Verstöße gegen diese Pflicht direkt bußgeldbewehrt sind, ist rechtlich umstritten — das sollten Sie nicht als Fakt annehmen. Wahrscheinlicher ist, dass die Aufsicht zunächst auf Information und Nachsteuerung setzt.

Transparenzpflichten seit August 2026

Seit dem 2. August 2026 müssen KI-Systeme, die mit Menschen interagieren (etwa Chatbots), als KI erkennbar sein. KI-generierte Inhalte und Deepfakes sind zu kennzeichnen. Was das für Ihren Web- oder Kundenservice-Chatbot heißt, hat der Beitrag zum KI-Chatbot konkret zusammengefasst: ein kurzer Hinweis „Ich antworte KI-gestützt" genügt meist, sollte aber sichtbar sein.

Dokumentation und menschliche Aufsicht

Wo Sie Hochrisiko-Systeme einsetzen, gehören Dokumentation und menschliche Aufsicht zur Pflicht. Für die wenigen KMU, die etwa KI in der Bewerberauswahl nutzen (dann ab Dezember 2027 relevant), lohnt es sich, beides früh aufzubauen. Für alle anderen reicht eine einfache Dokumentation der eingesetzten Anwendungen — sie schützt Sie auch gegenüber der DSGVO und unterstützt die Arbeit Ihres Betriebsrats, wo das Thema Mitbestimmung bei KI relevant ist.

Selbstprüfung: Ist Ihr Unternehmen betroffen?

Diese kurze Prüfung beantwortet die Frage in vier Schritten.

1. Rolle klären: Setzen Sie KI ein (Betreiber) oder entwickeln Sie sie (Anbieter)? Betreiber haben weniger Pflichten.
2. Risikoklasse prüfen: Führen Sie KI in Bewerberauswahl, Kreditprüfung oder regulierten Produkten ein? Wenn nein: keine Hochrisiko-Pflichten bis 2027/2028.
3. Kommunikation prüfen: Nutzen Sie Chatbots oder generieren Sie Inhalte nach außen? Dann gelten die Transparenzpflichten seit August 2026.
4. Mitarbeiter prüfen: Setzt Ihr Team KI ein? Dann muss der Kompetenzaufbau unterstützt und dokumentiert werden.

Wer die Punkte 1, 3 und 4 mit „ja" und Punkt 2 mit „nein" beantwortet, also KI einsetzt, keine Hochrisiko-Fälle hat, nach außen kommuniziert und ein Team schult, hat drei Aufgaben: Kennzeichnung, Schulungsförderung, Dokumentation. Das ist überschaubar. Wer Hochrisiko-Systeme betreibt, sollte rechtzeitig juristische Begleitung suchen.

Bußgelder und praktische Risiken

Die Verordnung sieht empfindliche Sanktionen vor. Bei verbotenen Praktiken drohen Bußgelder bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes. Bei anderen Verstößen reicht der Rahmen bis zu 15 Mio. Euro oder 3 Prozent des Umsatzes. Für KMU gilt jeweils der niedrigere der beiden Werte — die Quote orientiert sich also an Ihrer tatsächlichen Größe.

Für die allermeisten kleinen Betriebe sind die praktischen Risiken weniger bußgeldrechtlicher als geschäftlicher Natur: Ein nicht gekennzeichneter Chatbot, fehlende Kompetenz-Förderung oder der Einsatz verbotener Praktiken können Reputation kosten und Geschäfte gefährden. Wer die Grundregeln einhält, hält sich von den Schweregraden fern, die die hohen Bußgelder auslösen.

Ein realistisches Beispiel: Ein Betrieb betreibt einen Support-Chatbot, der automatisch antwortet, ohne als KI gekennzeichnet zu sein. Schon das kann Abmahnungen von Kunden oder eine Beanstandung der Marktüberwachung nach sich ziehen. Der betriebliche Aufwand für die Kennzeichnung ist dagegen minimal — ein sichtbarer Hinweis im Chat-Fenster. Die Verhältnismäßigkeit zwischen kleinem Aufwand und reellem Risiko spricht dafür, die Grundregeln schlicht und früh umzusetzen.

Die Aufsicht in Deutschland liegt bei der Bundesnetzagentur: Sie ist die zentrale Marktüberwachungsbehörde für KI und betreibt einen KI-Servicedesk. Die Rechtsgrundlage liefert das deutsche Durchführungsgesetz von 2026. Fragen zum eigenen Vorhaben können Sie dort klären, bevor Sie investieren.