Zum Inhalt springen
Wissensdatenbank

13 Min. Lesezeit

KI-Verordnung für KMU: Stand Oktober 2026

Was die KI-Verordnung der EU für ein kleines Unternehmen bedeutet: Art. 4, Art. 50, KI-MIG und Bundesnetzagentur, mit der Änderung vom Juli 2026.

  • KI-Verordnung
  • KMU
  • Gesetzgebung
  • Artikel 50
  • Bundesnetzagentur

Stand: 10. Oktober 2026. Berücksichtigt: die Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744), am 24. Juli 2026 verkündet und seit dem 27. Juli 2026 in Kraft, und das KI-MIG, in Kraft seit dem 29. Juli 2026. Viele Seiten zum Thema nennen noch die alten Termine für Hochrisiko-KI.

Auf meiner Geschäftsnummer nimmt ein KI-Assistent ab, den ich selbst gebaut habe. Sein erster Satz sagt dem Anrufer, dass er mit einer KI spricht, und wenn das Gespräch aufgezeichnet wird, steht das im selben Satz. Dass ein Anrufer das erfährt, verlangt seit dem 2. August 2026 Artikel 50 der KI-Verordnung. Für die meisten kleinen Unternehmen ist diese Hinweispflicht der Teil des Gesetzes, der sie am schnellsten betrifft.

Vieles andere in der Verordnung richtet sich an Hersteller von Hochrisiko-KI oder an die Anbieter der großen Sprachmodelle, nicht an ein Büro, das ChatGPT nutzt. Wer sich im letzten Jahr eingelesen hat, sollte trotzdem noch einmal hinschauen: Im Juli 2026 wurde die Verordnung geändert, und in Deutschland gibt es seitdem eine zuständige Behörde.

Was die KI-Verordnung der EU konkret bedeutet

Für ein kleines Unternehmen, eine Kanzlei oder eine Praxis läuft es auf fünf Dinge hinaus:

  1. Wissen, welche KI Sie einsetzen. ChatGPT oder Copilot im Büro, ein Chatbot auf der Website, ein Telefonassistent, KI-Funktionen in der Buchhaltungs- oder Praxissoftware. Eine Liste auf einer Seite reicht.
  2. Die KI-Kompetenz Ihrer Mitarbeitenden unterstützen und festhalten, was Sie dafür getan haben (Art. 4). Ein Zertifikat ist laut EU-Kommission nicht nötig.
  3. Chatbot und Telefonassistent als KI erkennbar machen (Art. 50). Pflicht seit dem 2. August 2026.
  4. Deepfakes kennzeichnen, wenn Sie mit KI Bilder, Ton oder Video erzeugen, die echt wirken (ebenfalls Art. 50).
  5. Prüfen, ob KI bei Ihnen über Menschen entscheidet, etwa bei der Auswahl von Bewerbern oder der Bewertung der Kreditwürdigkeit einer Person. Das ist Hochrisiko-KI, mit strengen Regeln ab dem 2. Dezember 2027.

Daneben gilt die DSGVO unverändert weiter. Die KI-Verordnung sagt das selbst: Das Datenschutzrecht der Union bleibt unberührt (Art. 2 Abs. 7). Was nicht in ein KI-Tool gehört, regeln Sie am besten schriftlich, in einer KI-Richtlinie.

Nutzen Sie KI nur zum Schreiben und Zusammenfassen, sind Sie mit den Punkten 1 und 2 und einer kurzen Richtlinie weitgehend durch.

Was regelt die KI-Verordnung der EU?

Die KI-Verordnung ist die Verordnung (EU) 2024/1689. Als EU-Verordnung gilt sie in Deutschland unmittelbar. Sie arbeitet mit Risikostufen, und die Bundesnetzagentur fasst die Logik so zusammen: „Je höher das Risiko jedoch ist, desto strenger sind die Anforderungen an Transparenz, Sicherheit und Compliance." (Bundesnetzagentur, KI-Service Desk)

Wichtig für Sie ist eine Unterscheidung. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt. Betreiber ist, wer ein KI-System unter seiner Aufsicht nutzt, ausgenommen die rein private Nutzung (Bundesnetzagentur, Akteure und Pflichten). Ein Büro, das ChatGPT oder den Chatbot eines Dienstleisters nutzt, ist Betreiber. Wer ein KI-Produkt unter eigenem Namen weiterverkauft, kann Anbieter werden.

KI-Verordnung Übersicht: was ab wann gilt

WasGilt abBetrifft ein KMU?
Verbotene Praktiken und KI-Kompetenz (Art. 4)2. Februar 2025Ja, Art. 4 gilt für jeden Betreiber
Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (die großen Sprachmodelle)2. August 2025Nein, das betrifft die Hersteller
Änderung durch die Digital-Omnibus-Verordnung (2026/1744)27. Juli 2026Ja, sie ändert Art. 4 und verschiebt Termine
KI-MIG, Bundesnetzagentur als Aufsicht29. Juli 2026Ja, das ist Ihre Behörde
Transparenzpflichten (Art. 50)2. August 2026, nicht verschobenJa, bei Chatbot, Telefonassistent oder Deepfakes
Hochrisiko-KI nach Anhang III, etwa Bewerberauswahl oder Kreditwürdigkeit2. Dezember 2027Nur, wenn KI über Menschen mitentscheidet
Hochrisiko-KI in Produkten (Anhang I)2. August 2028Vor allem Hersteller

Quellen für die Termine: Verordnung (EU) 2026/1744 auf EUR-Lex und Art. 113 im AI Act Service Desk der EU-Kommission; die Beispiele aus Anhang III stehen in Anhang III, Nr. 4 Buchst. a und Nr. 5 Buchst. b.

Was sich im Juli 2026 geändert hat

Die größte Änderung für KMU steht in Art. 4. Früher ging es darum, ein ausreichendes Maß an KI-Kompetenz sicherzustellen. Jetzt ergreifen Anbieter und Betreiber Maßnahmen, um die Entwicklung der KI-Kompetenz zu unterstützen, und der Text sagt ausdrücklich, dass sie für niemanden ein bestimmtes Niveau garantieren müssen (2026/1744, EUR-Lex). Die Pflicht ist geblieben, eine Prüfung pro Person ist es nicht.

Außerdem rücken die Regeln für Hochrisiko-KI nach hinten, siehe Tabelle. Wenn Sie lesen, Art. 50 sei bis zum 2. Dezember 2026 verschoben: Das gilt nur für Anbieter von Systemen, die schon vor dem 2. August 2026 auf dem Markt waren, und nur für die maschinenlesbare Markierung erzeugter Inhalte (Art. 111 Abs. 4 in der Fassung von 2026/1744). Die Hinweispflicht bei Chatbots und Telefonassistenten gilt seit dem 2. August 2026.

KI-Verordnung Artikel 4: KI-Kompetenz

Art. 4 gilt seit dem 2. Februar 2025 für jedes Unternehmen, das KI einsetzt, ohne Ausnahme für kleine Betriebe. Er verlangt Maßnahmen, keine bestimmte Form: Eine Schulung zählt, eine Unterweisung auch, eine gelesene und unterschriebene KI-Richtlinie ebenfalls. Laut EU-Kommission ist kein Zertifikat nötig, und Sie können intern festhalten, welche Schulungen und anderen Maßnahmen Sie durchgeführt haben (AI literacy Q&A, Stand 27.07.2026).

Ein eigenes Bußgeld für Art. 4 gibt es nicht. Er steht nicht im Bußgeldkatalog von Art. 99 Abs. 4 (AI Act Service Desk) und nicht in § 15 KI-MIG (gesetze-im-internet.de). Die Pflicht gilt trotzdem. Stellt die Marktüberwachung einen Verstoß fest, müssen Betreiber nach Art. 79 geeignete Korrekturmaßnahmen ergreifen (Bundesnetzagentur, Akteure und Pflichten). Ohne Dokumentation können Sie außerdem nicht zeigen, dass Sie die Pflicht erfüllen.

Was genau in eine Schulung gehört, wie oft Sie schulen und wie ein Nachweis aussieht, steht in KI-Kompetenz nach Art. 4: Pflicht und Nachweis, mit kostenloser Vorlage für ein Schulungsregister.

KI-Verordnung Artikel 50: die Kennzeichnungspflicht

Art. 50 enthält mehrere Pflichten, und sie treffen nicht alle dieselben.

Chatbots und Telefonassistenten. Menschen müssen erfahren, dass sie mit einem KI-System interagieren, es sei denn, das ist für eine aufmerksame Person offensichtlich. Der Hinweis muss klar sein und spätestens bei der ersten Interaktion kommen (Art. 50 Abs. 1 und 5, AI Act Service Desk). Formal richtet sich diese Pflicht an den Anbieter, der das System so bauen muss. Der Anrufer hört aber Ihren Firmennamen, nicht den des Herstellers. Deshalb: Öffnen Sie Ihren Chat, rufen Sie Ihre eigene Nummer an, und hören Sie, ob der Hinweis kommt. Die IHK Aachen rät, die Ausnahme „offensichtlich" zurückhaltend anzuwenden (IHK Aachen, KI-generierte Inhalte kennzeichnen). Am Telefon sieht niemand, mit wem er spricht.

Deepfakes. Wer als Betreiber Bild-, Ton- oder Videoinhalte erzeugt oder manipuliert, die Deepfakes sind, muss offenlegen, dass sie künstlich erzeugt oder manipuliert wurden (Art. 50 Abs. 4). Nicht jedes KI-Bild ist ein Deepfake. Die IHK Aachen schreibt: „Eine vollständig künstlich erzeugte Person, die nicht existiert, ist nicht automatisch ein Deepfake." Entscheidend seien der Inhalt, der Einsatzzweck und die Frage, ob das Bild täuschen kann.

Texte zu Angelegenheiten von öffentlichem Interesse. Veröffentlichen Sie KI-Texte, um die Öffentlichkeit über solche Themen zu informieren, müssen Sie das offenlegen. Die Pflicht entfällt, wenn ein Mensch den Text geprüft hat und jemand die redaktionelle Verantwortung übernimmt (Bundesnetzagentur, Transparenzpflichten). Die IHK Aachen nennt als Beispiele Politik, Wahlen und öffentliche Krisen, und: „Ein ungeprüftes Weiterleiten oder Veröffentlichen eines KI-Ergebnisses reicht nicht aus."

Maschinenlesbare Markierung. Dass KI-erzeugte Inhalte technisch markiert werden, etwa mit Wasserzeichen oder Metadaten, ist Sache des Anbieters (Art. 50 Abs. 2). Nutzen Sie ein fertiges Tool, werden Sie dadurch nicht automatisch zum Anbieter (IHK Aachen).

Verstöße gegen Art. 50 stehen im Bußgeldkatalog: bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes. Für KMU gilt der jeweils niedrigere der beiden Werte (Art. 99 Abs. 4 Buchst. g und Abs. 6, AI Act Service Desk). Mehr zur Hinweispflicht beim Telefon: AI Act Artikel 50 und die KI-Rezeption.

KI-Verordnung in Deutschland: KI-MIG und Bundesnetzagentur

Seit dem 29. Juli 2026 gilt das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), verkündet im BGBl. 2026 I Nr. 223. Laut Bundesministerium für Digitales und Staatsmodernisierung setzt es die europäischen Vorgaben „1:1 in Deutschland um" (BMDS, 29.07.2026). Die Bundesnetzagentur ist seitdem Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für die KI-Verordnung. In voll harmonisierten Produktbereichen bleiben die bisherigen Behörden zuständig, etwa die BaFin im Finanzsektor (Bundesnetzagentur, 29.07.2026).

Für ein KMU sind zwei Angebote der Bundesnetzagentur nützlich. Der KI-Service Desk sammelt Informationen zur Umsetzung. Der KI-Compliance Kompass ist ein Online-Tool, mit dem Sie einschätzen, ob Ihr KI-System unter die Verordnung fällt und in welche Risikoklasse es gehört. Er „bietet Orientierung und ist keine verbindliche Bewertung" (Factsheet KMU und Start-ups, Stand November 2025). Dasselbe Factsheet nennt einen vorrangigen und kostenlosen Zugang zu KI-Reallaboren für KMU, die die Auswahlkriterien erfüllen. Es stammt von vor der Änderung im Juli 2026 und beschreibt Art. 4 noch in der alten Fassung.

Das KI-MIG hat einen eigenen Bußgeldparagrafen. § 15 KI-MIG betrifft Verstöße gegen die Art. 21, 27, 45 und 86 KI-Verordnung, mit Geldbußen bis 50.000 Euro (§ 15 KI-MIG). Art. 4 steht nicht darin.

Aus der Grenzregion: Aachen und Südlimburg

Ich sitze in Vaals, an der Grenze zu Aachen. Auf beiden Seiten gilt dieselbe EU-Verordnung mit denselben Artikeln 4 und 50. Verschieden ist die Aufsicht. In Deutschland ist sie mit dem KI-MIG geregelt. In den Niederlanden ist noch keine Aufsichtsbehörde per Gesetz benannt: Die Regierung will der Datenschutzbehörde (Autoriteit Persoonsgegevens) und der Rijksinspectie Digitale Infrastructuur eine koordinierende Rolle geben, und der Gesetzentwurf soll im zweiten Quartal 2027 ins Parlament kommen (Planungsbrief Digitale Zaken vom 31.08.2026, Kamerstuk 26643 Nr. 1554; Internetkonsultation Uitvoeringswet AI-verordening). In Belgien ist laut dem belgischen Wirtschaftsministerium FOD Economie noch keine Aufsichtsbehörde offiziell benannt (VRT NWS, 29.07.2026).

Für ein Büro in Aachen, Herzogenrath oder Kerkrade ändert das an den Pflichten nichts. Wer Mitarbeitende oder Mandanten auf beiden Seiten hat, kann mit einer Liste der KI-Tools, einem Schulungsregister und einer KI-Richtlinie für beide Standorte arbeiten. Unterschiedlich ist nur die Behörde, die prüft.

KI für KMU: in sechs Schritten startklar

Schritt 1: die Liste. Fragen Sie im Team nach, welche KI genutzt wird, auch die, die niemand gekauft hat: die KI-Taste im E-Mail-Programm, die Zusammenfassung im Videocall, das private ChatGPT-Konto einer Mitarbeiterin. Notieren Sie pro Tool, wofür es genutzt wird und welche Daten hineingehen.

Schritt 2: das Risiko pro Tool. Für fast alles auf Ihrer Liste ist das gering. Hochrisiko wird es erst, wenn das Tool über Menschen mitentscheidet. Der KI-Compliance Kompass der Bundesnetzagentur gibt eine erste Einschätzung. Im Zweifel fragen Sie den Hersteller und heben seine Antwort auf.

Schritt 3: die KI-Kompetenz. Eine kurze Erklärung pro Tool reicht für den Anfang: was es gut kann, wo es Dinge erfindet, was nicht hineingehört. Halten Sie fest, wer wann welche Erklärung bekommen hat. Das Schulungsregister ist dafür gemacht.

Schritt 4: der Hinweis. Chatbot und Telefonassistent sagen zu Beginn, dass sie KI sind. Prüfen Sie es selbst. Erzeugen Sie Deepfakes, kennzeichnen Sie sie.

Schritt 5: die KI-Richtlinie. Ein bis vier Seiten: welche Tools erlaubt sind, welche Daten nie hineingehören, wer Ansprechpartner ist, was bei einem Fehler passiert. Eine kostenlose Vorlage habe ich dafür erstellt.

Schritt 6: drei Fragen an Ihre Anbieter. Gibt es einen Auftragsverarbeitungsvertrag? Ist das Training mit Ihren Daten ausgeschlossen? Wo werden die Daten verarbeitet? Das sind Fragen aus dem Datenschutz, aber ohne die Antworten können Sie Schritt 5 nicht ausfüllen. Mehr dazu in Daten in eigener Hand.

Setzen Sie sich danach einen Termin in einem halben Jahr, um die Liste durchzugehen. Es kommen Tools dazu, und auch die Verordnung ändert sich noch.

Wie ich das in der Praxis regele

Ich baue KI-Anwendungen für kleine Organisationen: Assistenten auf eigenen Dokumenten, Dokumentenverarbeitung, Telefonassistenten und Anbindungen, die einen manuellen Arbeitsschritt ersetzen. Die Fragen aus der KI-Verordnung regele ich im Aufbau gleich mit, angefangen bei denselben wie im Plan oben: Wo dürfen die Daten liegen, und was darf das Modell sehen? Beim Telefonassistenten ist der Hinweis, dass der Anrufer mit einer KI spricht, fester Teil der Begrüßung. Mehr dazu unter KI-Automatisierung und KI-Beratung & Automatisierung in Aachen.

Möchten Sie wissen, was KI für Ihr Unternehmen leisten kann, oder etwas bauen lassen? Nehmen Sie Kontakt auf. Informationen oder eine Schulung für Ihr Team können Sie über /de/contact anfragen.

Dieser Artikel ist eine allgemeine Erläuterung, keine Rechtsberatung. Die KI-Verordnung ist neu und wird noch angepasst. Lassen Sie konkrete Fragen von einer auf KI- und Datenschutzrecht spezialisierten Kanzlei prüfen.

Häufige Fragen

Was regelt die KI-Verordnung der EU?

Die KI-Verordnung (Verordnung (EU) 2024/1689) legt Regeln für KI-Systeme fest, abgestuft nach Risiko: Je höher das Risiko, desto strenger die Anforderungen. Für ein typisches KMU zählen vor allem drei Dinge: die KI-Kompetenz der Mitarbeitenden (Art. 4), die Transparenzpflichten (Art. 50) und die Frage, ob KI über Menschen entscheidet (Hochrisiko nach Anhang III).

Gilt die KI-Verordnung auch für kleine Unternehmen?

Ja. Wer KI beruflich einsetzt, ist Betreiber, und Art. 4 gilt für alle Anbieter und Betreiber. Erleichterungen gibt es bei den Bußgeldern: Für KMU gilt der niedrigere Wert aus Festbetrag und Umsatzanteil. Bei Sanktionen müssen die Mitgliedstaaten die Interessen und die wirtschaftliche Lebensfähigkeit von KMU berücksichtigen.

Was steht in Artikel 4 der KI-Verordnung?

Anbieter und Betreiber ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals zu unterstützen. Seit der Änderung vom Juli 2026 müssen sie kein bestimmtes Niveau garantieren. Laut EU-Kommission ist kein Zertifikat nötig, eine interne Dokumentation reicht.

Gibt es ein Bußgeld für Verstöße gegen Artikel 4?

Nein, kein eigenes. Art. 4 steht weder im Bußgeldkatalog von Art. 99 Abs. 4 KI-Verordnung noch in § 15 KI-MIG. Die Pflicht gilt trotzdem.

Was verlangt Artikel 50 der KI-Verordnung?

Transparenz. Menschen müssen erfahren, dass sie mit einem KI-System sprechen, spätestens bei der ersten Interaktion, es sei denn, es ist offensichtlich. Deepfakes müssen offengelegt werden, ebenso KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, sofern kein Mensch sie redaktionell geprüft hat. Art. 50 gilt seit dem 2. August 2026.

Gibt es eine Kennzeichnungspflicht für KI-Bilder im Marketing?

Nicht automatisch. Laut IHK Aachen ist eine vollständig künstlich erzeugte Person, die nicht existiert, nicht automatisch ein Deepfake. Entscheidend sind Inhalt, Einsatzzweck und ob das Bild täuschen kann. Wer einen Deepfake veröffentlicht, muss ihn offenlegen.

Wer ist in Deutschland für die KI-Verordnung zuständig?

Seit dem 29. Juli 2026 die Bundesnetzagentur, auf Grundlage des KI-MIG. Sie ist Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle. In einigen Bereichen bleiben die bisherigen Aufsichtsbehörden zuständig, etwa die BaFin im Finanzsektor.

Quellen

Alle abgerufen am 10.10.2026.

Lass uns etwas bauen.

Hast du eine Idee, ein Problem oder ein Projekt? Ich helfe dir gern weiter. Ohne Verpflichtungen, einfach ein gutes Gespräch.

  • Unverbindlich
  • 30 Minuten
  • Keine Verkaufsgespräche
  • Direkt umsetzbare Ratschläge
Kostenloses Kennenlerngespräch planenNachricht senden