Seit Anfang August ist die KI-Verordnung allgemein anwendbar. Der Digital Omnibus hat kurz zuvor die Fristen für Hochrisiko-Systeme verschoben – nicht aber die Pflichten, die kleine und mittlere Unternehmen im Alltag treffen.
Die KI-Verordnung (EU) 2024/1689 ist am 2. August 2026 allgemein anwendbar geworden. Wenige Tage zuvor ist der sogenannte Digital Omnibus in Kraft getreten, der die Anwendungsfristen für Hochrisiko-Systeme deutlich nach hinten verschiebt.
| Bereich | Gilt seit / ab |
|---|---|
| Verbotene Praktiken (Art. 5) | 2. Februar 2025 |
| KI-Kompetenz (Art. 4) | 2. Februar 2025 |
| Pflichten für allgemeine KI-Modelle | 2. August 2025 |
| Allgemeine Anwendbarkeit, Transparenz (Art. 50), Sanktionen | 2. August 2026 |
| Maschinenlesbare Kennzeichnung für Bestandssysteme | 2. Dezember 2026 |
| Hochrisiko-Systeme nach Anhang III | 2. Dezember 2027 |
| Hochrisiko-KI in regulierten Produkten (Anhang I) | 2. August 2028 |
Die verbreitete Lesart, die Regulierung sei „verschoben worden", trifft also nur auf einen Ausschnitt zu – und ausgerechnet nicht auf den, der KMU im Alltag betrifft.
Die Verordnung unterscheidet vor allem zwischen Anbieter und Betreiber. Wer KI-Systeme entwickelt oder unter eigenem Namen in Verkehr bringt, ist Anbieter und trägt die Hauptlast: Konformitätsbewertung, technische Dokumentation, Risikomanagement, Registrierung.
Wer KI beruflich einsetzt, ist Betreiber. Das trifft auf die große Mehrheit der mittelständischen Unternehmen zu – und bedeutet deutlich weniger, aber nicht nichts.
KI-Kompetenz sicherstellen. Beschäftigte, die KI-Systeme nutzen, müssen deren Funktionsweise und Grenzen einschätzen können. Diese Pflicht gilt seit Februar 2025, ist mit dem allgemeinen Anwendungsbeginn aber sanktionsbewehrt geworden. Der Nachweis ist einfach zu führen und wird trotzdem selten geführt.
Transparenz herstellen. Interagieren Menschen direkt mit einem KI-System – Chatbot auf der Website, Voicebot in der Telefonzentrale –, müssen sie darüber informiert werden, sofern es nicht offensichtlich ist. KI-generierte oder manipulierte Bild-, Ton- und Videoinhalte, die realen Inhalten ähneln, sind als solche kenntlich zu machen.
Bestimmungsgemäß verwenden. Betreiber müssen die Gebrauchsanweisung des Anbieters beachten. Wer ein System zweckentfremdet, verlässt den geschützten Rahmen.
Verbotene Praktiken vermeiden. Für Unternehmen praktisch relevant ist vor allem das Verbot der Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie das Verbot manipulativer Systeme.
Die KI-Verordnung regelt Produktsicherheit. Sobald personenbezogene Daten im Spiel sind, gilt zusätzlich das Datenschutzrecht – vollständig und unabhängig. Zu klären sind dort:
Diese Ebene ist in der Praxis die aufwendigere – und diejenige, die bei Kontrollen zuerst geprüft wird.
Die verlängerten Hochrisiko-Fristen sind kein Grund abzuwarten. Sie sind Vorbereitungszeit – und in vielen Unternehmen ist die Frage, welche KI-Systeme überhaupt genutzt werden, bis heute nicht beantwortet.
Nein, nur einen Teil davon. Die allgemeine Anwendbarkeit ab dem 2. August 2026 bleibt bestehen. Verschoben wurden die Pflichten für Hochrisiko-Systeme: eigenständige Systeme nach Anhang III auf den 2. Dezember 2027, in Produkte eingebettete Systeme nach Anhang I auf den 2. August 2028.
Ja, aber überschaubar. Sie sind dann Betreiber, nicht Anbieter. Die schweren Dokumentations- und Konformitätspflichten liegen beim Anbieter. Bei Ihnen bleiben die KI-Kompetenzpflicht, die Transparenzpflichten dort, wo Kunden mit KI interagieren, sowie die datenschutzrechtliche Ebene.
Art. 4 KI-VO verpflichtet Unternehmen, für ein ausreichendes KI-Verständnis der Personen zu sorgen, die KI-Systeme in ihrem Auftrag betreiben. Ein Zertifikat ist nicht vorgeschrieben. Praktikabel ist eine kurze Schulung zu Funktionsweise, Grenzen, Halluzinationen und internen Nutzungsregeln – mit Teilnehmerliste und Datum als Nachweis.
Ja. Wer ein KI-System unter eigenem Namen oder eigener Marke anbietet, den Zweck wesentlich ändert oder ein bestehendes System erheblich modifiziert, kann in die Anbieterrolle rutschen – mit deutlich weitergehenden Pflichten. Das ist bei White-Label-Chatbots auf der eigenen Website ein realer Fall.
30 Minuten Erstgespräch – kostenlos, unverbindlich und ohne Verkaufsdruck.