Gilt der EU AI Act überhaupt für mein kleines Unternehmen?

Ja. Der EU AI Act (offiziell KI-Verordnung) kennt keine generelle Ausnahme für kleine Unternehmen — er gilt für alle, die KI in der EU anbieten oder einsetzen. Wie viel auf Sie zukommt, hängt aber von Ihrer Rolle ab: Die meisten KMU sind „Betreiber“ (englisch: Deployer) — Sie nutzen fertige KI-Werkzeuge (ChatGPT, einen Website-Chatbot, KI-Bildgeneratoren), Sie bauen keine eigene Hochrisiko-KI. Für Betreiber sind die Pflichten deutlich schlanker als für die Hersteller der KI-Systeme. Entscheidend ist also nicht die Frage „betrifft es mich?“, sondern „in welcher Rolle — und was davon gilt schon jetzt?“.

Was hat der „Digital Omnibus“ geändert?

Ende 2025 hatte die EU-Kommission ein Vereinfachungspaket vorgeschlagen, den „Digital Omnibus“. Es ist inzwischen beschlossen: Das Europäische Parlament hat am 16. Juni 2026 zugestimmt, der Rat der EU am 29. Juni 2026 endgültig grünes Licht gegeben. Das Wichtigste daraus für die Praxis: Die anspruchsvollen Pflichten für Hochrisiko-KI wurden nach hinten verschoben — eigenständige Hochrisiko-Systeme (etwa KI im Recruiting oder bei der Kreditvergabe) müssen erst ab dem 2. Dezember 2027 die Anforderungen erfüllen, in Produkte eingebettete Systeme (z. B. in Medizingeräten, Maschinen, Fahrzeugen) ab dem 2. August 2028. Auch die Pflicht zur KI-Kompetenz wurde sprachlich entschärft: von „ein ausreichendes Niveau sicherstellen“ zu „die Entwicklung von KI-Kompetenz fördern“.

Was gilt trotzdem ab dem 2. August 2026?

Der verschobene Teil ist der aufwendige — der Teil, der ab dem 2. August 2026 gilt, ist der, der die meisten kleinen Unternehmen tatsächlich berührt: die Transparenzpflichten aus Artikel 50. Die Grundidee ist einfach: Menschen sollen erkennen können, wenn sie es mit KI zu tun haben. Konkret:

• Chatbots und KI-Assistenten: Wer mit einer KI interagiert, muss darüber informiert werden — der Website-Chatbot muss also erkennbar machen, dass am anderen Ende kein Mensch sitzt.
• KI-generierte Inhalte: Die maschinenlesbare Markierung künstlich erzeugter Ausgaben (Artikel 50 Absatz 2) ist Sache der Anbieter — also der Hersteller der KI-Werkzeuge, nicht ihrer Anwender. Für Unternehmen, die KI-Inhalte veröffentlichen, zählen die beiden folgenden Punkte.
• Deepfakes: Werden KI-generierte Gesichter, Stimmen oder Szenen (etwa in Werbung) veröffentlicht, muss offengelegt werden, dass sie künstlich erzeugt oder manipuliert wurden.
• Emotions- oder Biometrie-Erkennung: Setzen Sie KI ein, die Gefühle erkennt oder Menschen biometrisch kategorisiert, müssen die betroffenen Personen informiert werden.

Eine technische Feinheit: Die maschinenlesbare Markierung von KI-Ausgaben (Artikel 50 Absatz 2) hat für Systeme, die vor dem 2. August 2026 schon im Einsatz waren, eine kurze Schonfrist bis zum 2. Dezember 2026. Die sichtbaren Kern-Pflichten — Chatbot-Hinweis und Deepfake-Kennzeichnung — gelten aber ab dem 2. August 2026.

KI-Kompetenz: gilt schon seit Februar 2025

Ein Punkt, den viele übersehen, weil er nicht neu ist: Die Pflicht zur KI-Kompetenz (Artikel 4) gilt bereits seit dem 2. Februar 2025. Unternehmen, die KI einsetzen, müssen dafür sorgen, dass die Mitarbeiter, die damit arbeiten, ein angemessenes Verständnis dafür haben — was das Werkzeug kann, wo seine Grenzen liegen, welche Risiken es gibt. Der Digital Omnibus hat die Formulierung entschärft (jetzt: die Entwicklung von KI-Kompetenz „fördern“), die Erwartung bleibt aber: Wer sein Team ChatGPT und Co. nutzen lässt, sollte eine kurze Einweisung nachweisen können. Die staatliche Überwachung und Durchsetzung startet ab dem 2. August 2026.

Was kleine Unternehmen konkret bis zum 2. August 2026 tun sollten

Aus der Beratungspraxis: Für die meisten KMU ist das kein Monatsprojekt, sondern ein Nachmittag. Diese Punkte decken das ab, was für Betreiber realistisch relevant ist:

• Chatbot kennzeichnen. Läuft auf Ihrer Website ein KI-Chatbot oder -Assistent? Ergänzen Sie einen klaren Hinweis, z. B. „Sie chatten mit einem KI-Assistenten“. Ein Satz, technisch trivial.
• KI-Inhalte einordnen. Nicht jedes KI-Bild ist kennzeichnungspflichtig: Es geht um fotorealistische Darstellungen, die als echte Aufnahme durchgehen — abstrakte Illustrationen, Grafiken und Icons fallen nicht darunter. Bei KI-gestützten Texten greift die Pflicht nur für Beiträge zu Themen von öffentlichem Interesse, und auch dort nicht, wenn ein Mensch sie vor der Veröffentlichung prüft und dafür geradesteht.
• Deepfakes offenlegen. Nutzen Sie KI-Gesichter oder -Stimmen in Werbung oder Kommunikation, machen Sie den künstlichen Ursprung kenntlich.
• Team kurz einweisen. Halten Sie fest, dass und wie Ihre Mitarbeiter im Umgang mit den eingesetzten KI-Werkzeugen geschult wurden — eine knappe interne Notiz reicht als Nachweis.
• KI-Inventar machen. Listen Sie einmal auf, wo im Betrieb überhaupt KI im Spiel ist. Diese Übersicht ist die Grundlage für alles Weitere — und deckt oft Schatten-KI auf, von der die Leitung nichts wusste.

Wer ohnehin gerade einführt, baut die Kennzeichnung am besten von Anfang an ein: ein KI-Chatbot für die Website — rechtssicher gekennzeichnet kostet so keinen Cent mehr als einer ohne Hinweis. Und auch für einen internen KI-Assistenten, der aus Ihren Dokumenten antwortet, gilt: Die Belegschaft soll wissen, dass sie mit einer Maschine spricht.

Was droht bei Verstößen?

Verstöße gegen die Transparenzpflichten können mit Bußgeldern von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden — je nachdem, welcher Betrag höher ist. Das klingt drastisch, ist aber die gesetzliche Obergrenze; durchgesetzt wird durch nationale Marktüberwachungsbehörden, und die Sanktionen sollen verhältnismäßig sein. Bei einem kleinen Betrieb, der einen Chatbot-Hinweis vergisst, bewegt man sich in einer anderen Welt als bei einem Konzern mit systematischem Verstoß. Der Punkt ist nicht Angst, sondern: Die Pflichten sind so günstig zu erfüllen, dass es keinen Grund gibt, sie liegen zu lassen.

Was noch nicht dran ist — aber kommt

Damit die Verhältnismäßigkeit klar bleibt: Die wirklich aufwendigen Hochrisiko-Pflichten (Risikomanagement, technische Dokumentation, menschliche Aufsicht für KI in Recruiting, Kreditvergabe, kritischer Infrastruktur) sind auf Dezember 2027 bzw. August 2028 verschoben. Verbotene Praktiken — etwa Social Scoring oder manipulative KI — sind dagegen schon seit dem 2. Februar 2025 untersagt. Für die meisten kleinen Unternehmen bleibt es 2026 also bei Transparenz und KI-Kompetenz; der Rest hat Zeit.