Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Auch KMU, die KI-Tools beruflich nutzen, sind als Betreiber betroffen, insbesondere von der Pflicht zur KI-Kompetenz und den Transparenzpflichten.

Seit wann gilt der EU AI Act?

Die Verordnung ist seit dem 1. August 2024 in Kraft. Die Regeln gelten gestaffelt: Verbote und KI-Kompetenz seit dem 2. Februar 2025, der Großteil der übrigen Regeln ab dem 2. August 2026.

Müssen Chatbots gekennzeichnet werden?

Ja. Menschen müssen erkennen können, dass sie mit einem KI-System interagieren, sofern das nicht offensichtlich ist.

EU AI Act für KMU: Pflichten, Fristen & Checkliste

Der EU AI Act ist das erste umfassende Gesetz zur Regulierung künstlicher Intelligenz weltweit. Er gilt nicht nur für Tech-Konzerne, sondern auch für kleine und mittlere Unternehmen, die KI-Tools wie ChatGPT, Chatbots oder KI-gestützte Software nutzen. Dieser Artikel erklärt verständlich, was der EU AI Act regelt, welche Fristen gelten und was KMU jetzt konkret tun sollten.

Hinweis: Dieser Artikel bietet einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Einzelne Fristen und Details können sich durch Nachbesserungen der EU noch ändern.

Was ist der EU AI Act?

Der EU AI Act (auf Deutsch auch „KI-Verordnung“) ist eine EU-Verordnung, die seit dem 1. August 2024 in Kraft ist. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten. Ihr Ziel: KI soll sicher, transparent und im Einklang mit Grundrechten eingesetzt werden, ohne Innovation unnötig zu bremsen.

Der AI Act unterscheidet vor allem zwischen Anbietern (wer ein KI-System entwickelt oder unter eigenem Namen anbietet) und Betreibern (wer ein KI-System beruflich nutzt). Die meisten KMU sind Betreiber, etwa wenn sie ChatGPT im Marketing oder einen Chatbot auf der Website einsetzen.

Der risikobasierte Ansatz

Der AI Act ordnet KI-Anwendungen nach ihrem Risiko ein. Je höher das Risiko, desto strenger die Regeln:

Risikoklasse	Beispiele	Folge
Unannehmbares Risiko	Social Scoring, manipulative KI, bestimmte Emotionserkennung am Arbeitsplatz	Verboten
Hohes Risiko	KI bei Personalauswahl, Kreditvergabe, kritischer Infrastruktur, Bildung	Strenge Pflichten (z. B. Risikomanagement, Dokumentation, menschliche Aufsicht)
Begrenztes Risiko	Chatbots, KI-generierte Inhalte, Deepfakes	Transparenzpflichten
Minimales Risiko	Spamfilter, KI in Office-Tools, Textentwürfe	Keine besonderen Pflichten (außer KI-Kompetenz)

Für die meisten KMU sind vor allem zwei Themen relevant: die KI-Kompetenz der Mitarbeitenden und die Transparenzpflichten.

Die wichtigsten Fristen

1. August 2024: Inkrafttreten.
2. Februar 2025: Verbotene KI-Praktiken sind untersagt, und die Pflicht zur KI-Kompetenz (Art. 4) gilt.
2. August 2025: Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (z. B. große Sprachmodelle) gelten.
2. August 2026: Der Großteil der übrigen Regeln gilt, darunter die Transparenzpflichten (Art. 50) und viele Pflichten für Hochrisiko-Systeme.
2. August 2027: Weitere Pflichten für Hochrisiko-KI in bestimmten regulierten Produkten.

Was bedeutet der AI Act konkret für KMU?

1. KI-Kompetenz sicherstellen (Art. 4)

Unternehmen, die KI einsetzen, müssen dafür sorgen, dass ihre Mitarbeitenden über ausreichende KI-Kompetenz verfügen, passend zu ihrer Rolle. Das gilt unabhängig von der Risikoklasse. Ein bestimmtes Zertifikat ist nicht vorgeschrieben, eine Dokumentation der Maßnahmen ist aber sinnvoll. Ausführlich erklärt im Artikel KI-Schulung Pflicht: KI-Kompetenz nach Art. 4.

2. Transparenz bei Chatbots und KI-Inhalten (Art. 50)

Interagieren Menschen mit einem KI-System, etwa einem Chatbot auf Ihrer Website, müssen sie erkennen können, dass sie mit einer KI sprechen, sofern das nicht offensichtlich ist. Bestimmte KI-generierte oder manipulierte Inhalte, etwa Deepfakes, müssen als solche gekennzeichnet werden.

3. Hochrisiko-Anwendungen erkennen

Setzen Sie KI zum Beispiel bei der Bewerberauswahl ein, kann das als Hochrisiko-Anwendung gelten. Dann kommen umfangreichere Pflichten auf Sie zu. Prüfen Sie solche Anwendungen besonders sorgfältig, im Zweifel mit rechtlicher Beratung.

4. Verbotene Praktiken vermeiden

Für typische KMU-Anwendungen selten relevant, aber wichtig zu kennen: Bestimmte Praktiken, etwa Emotionserkennung von Mitarbeitenden am Arbeitsplatz (mit engen Ausnahmen), sind verboten.

Welche Strafen drohen?

Der AI Act sieht empfindliche Bußgelder vor: bei verbotenen Praktiken bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, bei anderen Verstößen geringere Höchstbeträge. Für KMU und Start-ups gelten jeweils die niedrigeren Grenzen. Die Durchsetzung übernehmen nationale Behörden; in Deutschland ist dafür die Bundesnetzagentur vorgesehen.

Checkliste: Was KMU jetzt tun sollten

KI-Inventur: Listen Sie auf, welche KI-Tools in Ihrem Unternehmen genutzt werden, auch inoffiziell.
Einordnen: Prüfen Sie, in welche Risikoklasse die Anwendungen fallen.
Schulen und dokumentieren: Sorgen Sie für KI-Kompetenz im Team und halten Sie das fest.
KI-Richtlinie aufstellen: Wer darf welche Tools wofür nutzen, und welche Daten sind tabu?
Transparenz umsetzen: Chatbots kennzeichnen, KI-Inhalte bei Bedarf markieren.
Datenschutz mitdenken: Der AI Act ergänzt die DSGVO, er ersetzt sie nicht.

Wir unterstützen Sie mit praxisnahen KI-Schulungen inklusive Schulungsnachweis und helfen in der KI-Beratung dabei, Ihre KI-Nutzung strukturiert aufzustellen.

EU AI Act: Was KMU jetzt wissen müssen