KI-Verordnung: Welche Pflichten für Ihr Unternehmen gelten
Die meisten Unternehmen sind Betreiber, nicht Anbieter. Und die meisten KI-Anwendungen sind kein Hochrisiko. Wichtig ist, das für jedes System zu wissen.
Die KI-Verordnung (EU AI Act) regelt KI nach Risiko. Welche Pflichten für Sie gelten, hängt von zwei Fragen ab: Sind Sie Anbieter oder Betreiber eines KI-Systems? Und in welche Risikoklasse fällt es? Für die meisten Anwendungen im Unternehmen sind heute vor allem KI-Kompetenz und Transparenz relevant. Die Hochrisiko-Pflichten gelten nach dem AI-Omnibus erst ab Dezember 2027.
Ist die KI-Verordnung in Kraft?
Ja. Die Verordnung ist seit dem 1. August 2024 in Kraft und gilt stufenweise. Mit dem AI-Omnibus, veröffentlicht im Amtsblatt der EU am 24. Juli 2026, wurden einige Fristen verschoben.
| Ab | Was gilt |
|---|---|
| 2. Februar 2025 | Verbotene Praktiken, Pflicht zur Förderung von KI-Kompetenz |
| 2. August 2025 | Regeln für KI-Modelle mit allgemeinem Verwendungszweck, Sanktionen |
| 2. August 2026 | Transparenzpflichten (Art. 50), etwa Hinweis bei Chatbots |
| 2. Dezember 2026 | Kennzeichnung KI-generierter Inhalte (Art. 50 Abs. 2), neue Verbote |
| 2. Dezember 2027 | Pflichten für Hochrisiko-Systeme nach Anhang III, etwa im Personalbereich |
| 2. August 2028 | Pflichten für Hochrisiko-Systeme in regulierten Produkten (Anhang I) |
Sind Sie Anbieter oder Betreiber?
- Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen in Verkehr. Sie tragen die meisten Pflichten.
- Betreiber setzen ein KI-System in eigener Verantwortung ein, etwa ein eingekauftes Tool oder eine für sie gebaute Anwendung für interne Zwecke.
Die meisten Unternehmen sind Betreiber. Vorsicht bei Hochrisiko-Systemen: Wer ein solches System unter eigenem Namen anbietet oder wesentlich verändert, kann selbst zum Anbieter werden.
Welche Risikoklassen gibt es?
| Risikoklasse | Beispiele | Folge |
|---|---|---|
| Unannehmbares Risiko | Social Scoring, manipulative Techniken, Emotionserkennung am Arbeitsplatz (mit engen Ausnahmen) | Verboten |
| Hohes Risiko | Bewerberauswahl und Leistungsbewertung, Kreditwürdigkeit, Sicherheitsbauteile von Produkten | Umfangreiche Pflichten für Anbieter und Betreiber |
| Begrenztes Risiko | Chatbots, KI-generierte Bilder, Audio und Texte zur Information der Öffentlichkeit | Transparenzpflichten |
| Minimales Risiko | Spamfilter, interne Assistenten ohne Entscheidungen über Personen | Keine zusätzlichen Pflichten |
Ein interner Wissensassistent oder ein Agent, der Rechnungen abgleicht, fällt meist unter minimales oder begrenztes Risiko. Ein System, das Bewerbungen vorsortiert, ist hochriskant.
Welche Pflichten haben Betreiber?
Für alle Betreiber:
- KI-Kompetenz unterstützen: Mitarbeitende, die mit KI arbeiten, sollen sie verstehen und richtig einsetzen können.
- Transparenz: Menschen müssen erkennen können, dass sie mit einer KI interagieren, etwa mit einem Chatbot. Deepfakes und bestimmte KI-generierte Texte müssen gekennzeichnet werden.
Zusätzlich für Betreiber von Hochrisiko-Systemen (Art. 26):
- System gemäß Gebrauchsanweisung einsetzen,
- menschliche Aufsicht durch qualifizierte Personen sicherstellen (Human in the Loop),
- Eingabedaten im eigenen Einflussbereich prüfen,
- Betrieb überwachen und Protokolle aufbewahren,
- Beschäftigte informieren, wenn das System am Arbeitsplatz eingesetzt wird.
Ist die KI-Schulung verpflichtend?
Eine bestimmte Schulung oder ein Zertifikat schreibt die Verordnung nicht vor. Seit Februar 2025 müssen Unternehmen sich aber um die KI-Kompetenz ihrer Mitarbeitenden kümmern. Nach dem AI-Omnibus heißt das: die Entwicklung von KI-Kompetenz unterstützen, ohne ein festes Niveau garantieren zu müssen. Eine kurze, dokumentierte Einweisung in Ihre KI-Richtlinie und die genutzten Tools ist ein guter Weg.
Was droht bei Verstößen?
Für verbotene Praktiken bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, für Verstöße gegen andere Pflichten bis zu 15 Millionen Euro oder 3 %. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge.
So gehen Sie vor
- Erfassen: Alle KI-Anwendungen in ein KI-Register eintragen.
- Einordnen: Für jedes System Rolle und Risikoklasse bestimmen.
- Pflichten zuordnen: Wer kümmert sich um Transparenz, Aufsicht, Dokumentation?
- Dokumentieren: Einstufung und Maßnahmen festhalten und regelmäßig prüfen.
Datenschutz bleibt dabei eine eigene Prüfung. Was technisch dazugehört, beschreibt der Beitrag zu DSGVO-konformer KI.
Häufige Fragen
Gilt die KI-Verordnung auch für kleine Unternehmen?
Ja, sie gilt unabhängig von der Unternehmensgröße. Für kleine und mittlere Unternehmen gibt es Erleichterungen, etwa niedrigere Bußgeldobergrenzen.
Ist ein interner KI-Assistent ein Hochrisiko-System?
In der Regel nicht, solange er keine Entscheidungen über Personen in den Bereichen des Anhangs III trifft, etwa Personal oder Kreditvergabe.
Müssen wir KI-generierte Texte kennzeichnen?
Nicht jeden Text. Kennzeichnungspflichten betreffen vor allem Deepfakes und KI-generierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, sofern sie nicht von Menschen redaktionell geprüft wurden.
Stand: Oktober 2026, nach dem AI-Omnibus. Quellen: Verordnung (EU) 2024/1689 und Änderungen durch den AI-Omnibus. Dieser Beitrag ersetzt keine Rechtsberatung.
