KI-Verordnung: Welche Pflichten haben Unternehmen seit August 2026?

Von Clemens Hübschmann · Stand: September 2026

Stand: 15. September 2026. Der Beitrag ordnet die Rechtslage ein und ersetzt keine Rechtsberatung.

Gilt die KI-Verordnung auch für kleine Unternehmen?

Ja. Die Verordnung kennt keine Größenschwelle. Sie knüpft an die Rolle an, die ein Unternehmen im Umgang mit KI einnimmt.

Betreiber ist, wer ein KI-System unter eigener Verantwortung beruflich nutzt. Dazu zählt der Handwerksbetrieb mit fünf Mitarbeitenden, der ChatGPT für Angebotstexte nutzt, genauso wie der Konzern mit eigener KI-Abteilung. Auch KI-Funktionen in Standardsoftware fallen darunter: der Copilot in Microsoft 365, die Textvorschläge im CRM, der Übersetzer im Browser.

Anbieter ist, wer ein KI-System entwickelt oder unter eigenem Namen auf den Markt bringt. Wichtig für den Mittelstand: Wer ein fremdes System wesentlich verändert oder es für einen Hochrisiko-Zweck einsetzt, für den es nicht gedacht war, kann selbst zum Anbieter werden und übernimmt die entsprechenden Pflichten.

Kleine und mittlere Unternehmen werden an einigen Stellen entlastet. Für sie gelten niedrigere Obergrenzen bei Bußgeldern und vereinfachte Dokumentationsanforderungen. Der Digital Omnibus hat diese Erleichterungen im Juli 2026 auf kleine Unternehmen mittlerer Kapitalisierung ausgeweitet (sogenannte Small Mid-Caps).

Nicht erfasst ist die rein private Nutzung außerhalb einer beruflichen Tätigkeit. Ebenfalls ausgenommen sind Forschung und Entwicklung, solange ein System noch nicht in Verkehr gebracht oder in Betrieb genommen wurde.

Welche Pflichten gelten konkret?

Die Verordnung arbeitet mit Risikostufen. Je höher das Risiko, desto mehr Pflichten. Für die meisten mittelständischen Betriebe sieht das Bild so aus:

Verbotene Praktiken (seit 2. Februar 2025). Bestimmte Anwendungen sind vollständig untersagt, unabhängig von der Unternehmensgröße. Dazu gehören Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (Ausnahme: medizinische Zwecke und Sicherheit), Social Scoring, manipulative Techniken, die Menschen zu Entscheidungen drängen, die ihnen schaden, und das ungezielte Auslesen von Gesichtsbildern aus dem Internet. Der Digital Omnibus hat den Katalog um Systeme ergänzt, die nicht einvernehmliche intime Darstellungen oder Missbrauchsdarstellungen erzeugen. Praxisrelevant für Betriebe: Keine Software einsetzen, die Stimmung oder Emotionen von Beschäftigten oder Bewerbern auswertet.

Hochrisiko-Systeme (ab 2. Dezember 2027 bzw. 2. August 2028). Anhang III der Verordnung listet Einsatzfelder, in denen KI als hochriskant gilt. Für den Mittelstand am wichtigsten ist der Personalbereich: Systeme, die Bewerbungen filtern, über Beförderung oder Kündigung mitentscheiden, Aufgaben zuteilen oder die Leistung von Beschäftigten überwachen. Weitere Felder sind Kreditwürdigkeitsprüfung, Risikobewertung in der Lebens- und Krankenversicherung, Bildung und Prüfungen sowie kritische Infrastruktur. Betreiber solcher Systeme müssen sie nach Herstellervorgabe nutzen, eine menschliche Aufsicht durch geschulte Personen sicherstellen, Eingabedaten und Protokolle im Blick behalten und ihre Beschäftigten vorab informieren. Anhang I betrifft KI als Sicherheitsbauteil in regulierten Produkten wie Maschinen oder Medizinprodukten.

Transparenzpflichten (seit 2. August 2026). Wer Deepfakes erzeugt, muss sie kennzeichnen. Wer KI-generierte Texte zu Themen von öffentlichem Interesse veröffentlicht, ebenfalls, es sei denn, ein Mensch hat den Text redaktionell geprüft und verantwortet ihn. Chatbots müssen sich als KI zu erkennen geben. Das ist zwar Anbieterpflicht, aber wer einen Chatbot auf der eigenen Website betreibt, sollte prüfen, dass der Hinweis vorhanden ist. Für die maschinenlesbare Kennzeichnung synthetischer Inhalte gilt eine Übergangsfrist bis zum 2. Dezember 2026, sofern das System schon vor dem 2. August 2026 auf dem Markt war.

Minimales Risiko. Alles andere, und das ist der weitaus größte Teil der KI-Nutzung im Mittelstand: Textassistenten, Übersetzung, Bildbearbeitung, Spam-Filter, Suchfunktionen. Hier gibt es keine besonderen Pflichten außer der KI-Kompetenz nach Artikel 4.

Über allen Stufen steht Artikel 4. Er gilt für jeden Betreiber und jeden Anbieter, unabhängig davon, welches Risiko die eingesetzten Systeme haben.

Ist KI-Schulung für Mitarbeiter Pflicht?

Kurz: Maßnahmen ja, Kursnachweis nein. Artikel 4 verlangt seit dem 2. Februar 2025, dass Unternehmen Maßnahmen ergreifen, um die KI-Kompetenz ihrer Beschäftigten zu fördern. Mit der Neufassung durch den Digital Omnibus im Juli 2026 ist kein bestimmtes Niveau mehr vorgeschrieben, es gibt keine Nachweispflicht gegenüber einer Behörde und kein eigenes Bußgeld. Die im Netz kursierende Zahl von 35 Millionen Euro Strafe für fehlende Schulungen ist falsch, sie stammt aus dem Katalog für verbotene Praktiken.

Verschwunden ist die Pflicht damit nicht. Wer Hochrisiko-Systeme betreibt, braucht ab Dezember 2027 eine Aufsicht durch geschulte Personen. Und bei einem Schaden, etwa durch Kundendaten in einem öffentlichen Tool, ist ein dokumentiertes Schulungskonzept der Nachweis, dass das Unternehmen seiner Sorgfalt nachgekommen ist.

Wer geschult werden muss, was in die Schulung gehört und wie der Nachweis aussieht, habe ich in einem eigenen Beitrag beantwortet: KI-Schulungspflicht nach Artikel 4, wer, was, welcher Nachweis.

Ab wann gilt was? Der Zeitplan nach dem Digital Omnibus

Die Verschiebung der Hochrisiko-Fristen ist eine Verschnaufpause für Betriebe, die solche Systeme einsetzen oder planen. Sie ändert nichts an den Pflichten, die seit 2025 und 2026 gelten.

Was passiert bei Verstößen gegen die KI-Verordnung?

Die Bußgeldrahmen in Artikel 99 sind gestaffelt:

• Verbotene Praktiken: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
• Verstöße gegen die übrigen Pflichten, etwa für Hochrisiko-Systeme oder Transparenz: bis zu 15 Millionen Euro oder 3 Prozent
• Falsche oder irreführende Angaben gegenüber Behörden: bis zu 7,5 Millionen Euro oder 1 Prozent

Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge. Artikel 4 ist nicht bußgeldbewehrt.

Bußgelder sind aber nur ein Teil des Risikos. Die Bundesnetzagentur ist seit August 2026 auch Beschwerdestelle, das heißt, Beschäftigte, Kunden und Wettbewerber können Verstöße melden. Dazu kommen zivilrechtliche Haftung bei Schäden, Datenschutzbußgelder nach DSGVO und Meldungen über das Hinweisgebersystem. Wer keinen Überblick über seine KI-Systeme hat, kann auf keine dieser Situationen vorbereitet reagieren.

Gilt die Verordnung auch für KI, die wir nur intern nutzen?

Ja. Betreiber ist, wer ein System beruflich einsetzt, ob Kunden davon etwas mitbekommen, spielt keine Rolle. Ein intern genutztes Tool zur Bewerbervorauswahl ist ein Hochrisiko-System, auch wenn es nie nach außen sichtbar wird.

Wer ein KI-System selbst entwickelt und im eigenen Betrieb einsetzt, ist Anbieter und Betreiber zugleich. Die Verordnung spricht hier von „in Betrieb nehmen" und behandelt das wie ein Inverkehrbringen.

Ausgenommen ist nur die rein persönliche, nicht berufliche Nutzung.

Müssen bestehende KI-Anwendungen rückwirkend angepasst werden?

Für Artikel 4 und die Transparenzpflichten: ja, sie gelten für alles, was heute im Einsatz ist. Es gibt keinen Bestandsschutz für die Kompetenzpflicht oder für die Kennzeichnung.

Für Hochrisiko-Systeme sieht Artikel 111 eine Bestandsschutzregel vor: Systeme, die vor dem jeweiligen Stichtag in Verkehr gebracht wurden, fallen erst dann unter die neuen Pflichten, wenn sie danach wesentlich verändert werden. Das entlastet Betriebe mit Altsystemen, verlangt aber, dass man weiß, welche Systeme das sind und wann sie eingeführt wurden.

Praktische Empfehlung: Jetzt ein Inventar anlegen, damit die Frage nach Bestandsschutz später beantwortbar ist.

Wer ist in Deutschland für die KI-Verordnung zuständig?

Seit dem 29. Juli 2026 gilt das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG). Es benennt die Bundesnetzagentur als zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle. Seit dem 2. August 2026 führt sie die Aufsicht.

Bei der Bundesnetzagentur ist ein Koordinierungs- und Kompetenzzentrum eingerichtet, das für einheitliche Auslegung sorgen soll. Für Unternehmen gibt es einen kostenlosen Service-Desk als erste Anlaufstelle bei Fragen zur Verordnung. Geplant sind zudem KI-Reallabore, in denen neue Anwendungen unter vereinfachten Bedingungen getestet werden können.

Für einzelne Bereiche bleiben Fachbehörden zuständig, etwa im Finanzsektor. Für die Aufsicht über KI-Modelle mit allgemeinem Verwendungszweck ist das KI-Büro der Kommission auf EU-Ebene verantwortlich.

Was sollten Unternehmen jetzt tun?

Fünf Schritte, die jeder Betrieb ohne großen Aufwand gehen kann:

1. KI-Inventar anlegen. Alle Systeme erfassen, auch die KI-Funktionen in Standardsoftware und die Tools, die einzelne Mitarbeitende auf eigene Faust nutzen. Für jedes System: Zweck, Anbieter, Nutzergruppe, verarbeitete Daten, Einführungsdatum.
2. Rolle klären. Für jedes System festhalten, ob das Unternehmen Betreiber oder Anbieter ist. Bei Eigenentwicklungen und angepassten Systemen genau hinsehen.
3. Risikostufe zuordnen. Verboten, Hochrisiko-Kandidat, transparenzpflichtig oder minimales Risiko. Hochrisiko-Kandidaten bekommen den Termin 2. Dezember 2027 in den Plan.
4. KI-Richtlinie und Kompetenzmaßnahmen aufsetzen. Eine kurze betriebliche Richtlinie, die erlaubte Tools, verbotene Eingaben und Verantwortlichkeiten regelt, plus eine Basisschulung für alle und rollenspezifische Vertiefung. Beides dokumentieren.
5. Verantwortung benennen. Jemand im Betrieb muss das Thema dauerhaft im Blick haben, intern oder als externe Stabsstelle.

Die ausführliche Checkliste mit Nachweisen je Schritt steht hier.

Wer diese fünf Schritte gleich in der Systematik der ISO/IEC 42001 anlegt, dem Standard für KI-Managementsysteme, hat damit den Grundstein für eine spätere Zertifizierung gelegt. Die Verordnung verlangt das nicht, aber die Struktur passt und erspart doppelte Arbeit.

Wenn Sie wissen wollen, wo Ihr Unternehmen steht: Der KI-Act-Check auf dieser Website braucht wenige Minuten und zeigt, welche Pflichten Sie betreffen. Oder Sie schreiben mir direkt. Innerhalb von zwei Werktagen melde ich mich persönlich.

Häufige Fragen

Clemens Hübschmann berät mit KIConsulting NRW mittelständische Unternehmen bei der Einführung von KI und beim Aufbau der dazugehörigen Governance. Er ist TÜV-zertifizierter Certified AI Representative, AI Coordinator und ISO 42001 Specialist und beim BAFA als Berater registriert. TÜV-geprüfte Qualifikation ID 0217464679 · bei der BAFA gelistet, Nr. 228603. Mehr über mich

Quellen

• Verordnung (EU) 2024/1689 (KI-Verordnung), Amtsblatt der EU
• Verordnung (EU) 2026/1744 (Digital Omnibus zur KI), Amtsblatt der EU vom 24. Juli 2026
• Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG), in Kraft seit 29. Juli 2026
• Europäische Kommission, Fragen und Antworten zur KI-Kompetenz (Artikel 4), aktualisiert Juli 2026
• Bundesnetzagentur, Pressemitteilung vom 29. Juli 2026