KI-Verordnung: Was KMU Ende 2026 wirklich tun müssen

Zum EU AI Act kursieren viele veraltete Fristen und falsche Pflichten. Wir haben den Gesetzestext nach den Änderungen vom Juli 2026 gelesen und zeigen, was für kleine und mittlere Unternehmen jetzt gilt, was nicht und was ab Dezember 2027 kommt.

10. November 2026 · 6 Min. Lesezeit · Burak Dönmezer

Fast jedes Unternehmen nutzt inzwischen KI, oft ganz nebenbei: Texte mit ChatGPT, Zusammenfassungen mit Copilot, ein Chatbot auf der Webseite. Und fast jedes hat gehört, dass die EU dafür Regeln gemacht hat. Was genau gilt, ist schwer herauszufinden. Im Netz stehen noch viele Fristen, die im Sommer 2026 geändert wurden. Selbst auf Seiten von Kammern haben wir vertauschte Daten gefunden.

Wir haben deshalb den Gesetzestext mit allen Änderungen gelesen, die seit dem 27. Juli 2026 gelten. Dazu das deutsche Durchführungsgesetz. Dieser Artikel ersetzt unseren Beitrag vom November 2025, der in mehreren Punkten überholt war.

Die Fristen auf einen Blick

Seit oder ab	Was gilt
2. Februar 2025	Verbote bestimmter KI-Anwendungen, Pflicht zur KI-Kompetenz
2. August 2025	Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, etwa OpenAI oder Google
27. Juli 2026	Änderungen durch den „Digital Omnibus“ in Kraft
29. Juli 2026	Deutsches Gesetz KI-MIG: Die Bundesnetzagentur ist zuständig
2. August 2026	Hinweis bei Chatbots, Offenlegung von Deepfakes
2. Dezember 2026	Zwei weitere Verbote, etwa für KI-Nacktbilder ohne Einwilligung
2. Dezember 2027	Regeln für Hochrisiko-KI, etwa bei der Auswahl von Bewerbern
2. August 2028	Regeln für Hochrisiko-KI in Produkten wie Maschinen oder Spielzeug

Wichtig: Wer noch „Hochrisiko ab August 2026“ liest, hat einen veralteten Stand vor sich.

Betreiber oder Anbieter?

Die Verordnung unterscheidet zwei Rollen. Betreiber ist, wer ein KI-System beruflich nutzt. Ein Unternehmen, dessen Team mit ChatGPT oder Copilot arbeitet, ist Betreiber. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Betrieb nimmt.

Eine Falle steckt im Chatbot: Wer einen Chatbot oder einen KI-Assistenten unter eigenem Namen einsetzt, gilt für die Hinweispflicht als Anbieter. Das hat die EU-Kommission in ihren Leitlinien zu den Transparenzpflichten klargestellt, auch für fertig gekaufte Systeme.

Und wenn eine Agentur wie wir für Sie einen KI-Ablauf baut? Dann sind in der Regel Sie der Anbieter, weil Sie den Ablauf entwickeln lassen und unter Ihrem Namen nutzen. Eine Agentur wird erst Anbieter, wenn sie das System unter eigener Marke vertreibt.

Was jetzt Pflicht ist

1. KI-Kompetenz. Alle, die im Auftrag Ihres Unternehmens mit KI arbeiten, sollen wissen, was sie tun. Das gilt auch für Dienstleister. Seit Juli 2026 heißt es im Gesetz ausdrücklich: Sie müssen Maßnahmen ergreifen, aber kein bestimmtes Niveau garantieren. Laut Bundesnetzagentur sind weder Zertifikate noch eine bestimmte Schulungsform noch ein KI-Beauftragter vorgeschrieben. Sie empfiehlt aber, die Maßnahmen festzuhalten.

Ein Bußgeld für fehlende KI-Kompetenz gibt es in Deutschland nicht. Im Schadensfall kann sie aber als verletzte Sorgfaltspflicht zählen. Unser Rat ist eine einfache Liste, zum Beispiel so:

Werkzeug und Team	Maßnahme	Datum
ChatGPT, Vertrieb	Einführung, Regeln für Kundendaten	03.11.2026
Copilot, Buchhaltung	Schulung zu Fehlern der KI	10.11.2026

Inhaltlich sollte jede Maßnahme drei Dinge abdecken: wie das Werkzeug grob funktioniert, welche Daten hinein dürfen und dass KI überzeugend falsche Antworten geben kann.

2. Verbote kennen. Seit Februar 2025 verboten sind unter anderem Emotionserkennung am Arbeitsplatz, Bewertungssysteme für das soziale Verhalten von Menschen und manipulative Techniken. Ab dem 2. Dezember 2026 kommen KI-Anwendungen dazu, die Nacktbilder echter Personen ohne Einwilligung erzeugen.

3. Eigene Chatbots kennzeichnen. Antwortet auf Ihrer Webseite, am Telefon oder per E-Mail eine KI direkt Ihren Kunden, muss das spätestens beim ersten Kontakt klar erkennbar sein. Eine Klausel in den AGB reicht nicht. Keine Pflicht besteht, wenn Ihr Team KI nur als Hilfe nutzt und die Antwort selbst abschickt.

4. Deepfakes offenlegen. Realistische Bilder, Videos oder Tonaufnahmen, die echt wirken, müssen als KI-Inhalt erkennbar sein. Die Kommission nennt als Beispiele einen KI-Avatar des Geschäftsführers und ein KI-Produktbild, das die Ware besser zeigt als in echt. Inhalte von vor dem 2. August 2026 müssen nicht nachträglich gekennzeichnet werden.

Was keine Pflicht ist

Nicht jeder KI-Text braucht einen Hinweis. Kennzeichnen müssen Sie nur Texte, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren und die kein Mensch geprüft hat. Werbetexte und Produktbeschreibungen sind ausdrücklich nicht gemeint.
Kein Zertifikat und kein KI-Beauftragter. Angebote, die das als Pflicht verkaufen, übertreiben.
Kein Hochrisiko für typische Büro-KI. Wer Bestellungen oder Rechnungen mit KI ausliest, ist nicht im Hochrisiko-Bereich. Solange dabei niemand direkt mit der KI spricht, gibt es auch keine Hinweispflicht. Es bleiben die KI-Kompetenz und die DSGVO. Wie solche Abläufe sicher laufen, zeigen wir am Beispiel der Auftragserfassung und des Rechnungseingangs.

Was ab Dezember 2027 kommt

Ab dem 2. Dezember 2027 gelten die Regeln für Hochrisiko-KI. Für KMU ist vor allem ein Bereich wichtig: Personal. Dazu gehören KI-Systeme, die Bewerbungen sichten, filtern oder bewerten. Ebenso solche, die über Beförderungen, Kündigungen oder Leistung mitentscheiden. Ebenfalls dabei sind die Prüfung der Kreditwürdigkeit von Privatpersonen sowie Risikobewertung und Preise bei Lebens- und Krankenversicherungen.

Wer solche Systeme nutzt, muss dann unter anderem für menschliche Aufsicht sorgen, Protokolle mindestens sechs Monate aufbewahren und die Beschäftigten vorher informieren.

Vorsicht bei Allzweck-Werkzeugen: Wer ChatGPT oder ein ähnliches Werkzeug gezielt nutzt, um Bewerbungen zu filtern, kann nach unserer Lesart des Gesetzes selbst zum Anbieter eines Hochrisiko-Systems werden. Wie weit das bei gelegentlicher Nutzung reicht, ist noch offen. Die Leitlinien der Kommission dazu liegen bisher nur als Entwurf vor. Planen Sie solche Einsätze deshalb mit Bedacht.

Und die DSGVO?

Die KI-Verordnung ersetzt den Datenschutz nicht. Die Datenschutzkonferenz empfiehlt unter anderem:

einen klaren Zweck für jeden KI-Einsatz,
einen Auftragsverarbeitungsvertrag bei KI-Diensten aus der Cloud,
betriebliche statt privater Konten,
keine Entscheidung mit rechtlicher Wirkung allein durch die KI.

Bußgelder

Verstöße gegen die Verbote kosten bis zu 35 Millionen Euro oder 7 Prozent des Jahresumsatzes, Verstöße etwa gegen die Hinweispflicht bis zu 15 Millionen Euro oder 3 Prozent. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge.

Wo Sie kostenlos Hilfe bekommen

Der KI-Service-Desk der Bundesnetzagentur bietet mit dem „KI-Compliance-Kompass“ eine erste Einschätzung, in welche Risikoklasse Ihr Einsatz fällt.
Die Mittelstand-Digital Zentren haben kostenlose, anbieterneutrale KI-Trainer.
Die EU-Kommission betreibt einen eigenen AI Act Service Desk mit einem Prüfwerkzeug.

Fazit

Für die meisten kleinen und mittleren Unternehmen ist die KI-Verordnung heute überschaubar: Mitarbeitende befähigen und das kurz festhalten, die Verbote kennen und den eigenen Chatbot kennzeichnen. Mehr Aufmerksamkeit braucht nur, wer KI bei Bewerbungen oder Personalentscheidungen einsetzt. Dafür bleibt Zeit bis Dezember 2027.

Stand: 10. November 2026. Dieser Artikel ersetzt keine Rechtsberatung.