KI-Verordnung für kleine Unternehmen: Welche Pflichten seit August 2026 gelten

Wen die KI-Verordnung betrifft

Die Verordnung unterscheidet zwischen Anbietern, die KI-Systeme entwickeln, und Betreibern, die sie beruflich einsetzen. Ein Steuerbüro, das Rechnungen mit einem KI-Tool vorsortiert, ist Betreiber. Ein Verein, der einen Chatbot auf seiner Website anbietet, ebenfalls. Die Betreiberpflichten sind deutlich schlanker als die der Anbieter — aber es gibt sie, und sie gelten unabhängig von der Unternehmensgröße.

Die vier Risikoklassen — und wo Ihr Unternehmen landet

• Verboten: etwa Systeme zur Emotionserkennung am Arbeitsplatz oder zur Bewertung von Personen nach Sozialverhalten. Seit Februar 2025 untersagt.
• Hochrisiko: KI in Bewerberauswahl, Kreditvergabe, kritischer Infrastruktur oder Medizinprodukten. Umfangreiche Pflichten für Anbieter, Aufsichtspflichten für Betreiber.
• Begrenztes Risiko: Chatbots, Textgeneratoren, Bild- und Stimmsynthese. Hier gelten Transparenzpflichten — die Kategorie, in die die meisten Werkzeuge im Büroalltag fallen.
• Minimales Risiko: Spamfilter, Rechtschreibkorrektur, Empfehlungen im Onlineshop. Keine besonderen Pflichten.

Für die meisten kleinen Unternehmen ist die dritte Kategorie relevant. Wer KI in der Personalauswahl einsetzt, sollte genauer hinsehen: Das ist Hochrisiko, auch wenn das Tool harmlos wirkt.

Pflicht 1: KI-Kompetenz im Team

Seit dem 2. Februar 2025 verlangt Artikel 4, dass alle Personen, die im Unternehmen mit KI arbeiten, über ausreichende Kenntnisse verfügen: Was kann das Werkzeug, wo liegen seine Grenzen, welche Risiken entstehen, welche Regeln gelten. Ein formales Zertifikat ist nicht vorgeschrieben. Eine dokumentierte Schulung, angepasst an Rolle und eingesetzte Werkzeuge, erfüllt die Anforderung — und ist im Ernstfall der Nachweis, dass Sie Ihrer Sorgfaltspflicht nachgekommen sind.

Pflicht 2: Transparenz seit August 2026

Artikel 50 gilt seit dem 2. August 2026. Konkret heißt das: Wer einen Chatbot einsetzt, muss klar machen, dass der Gesprächspartner eine Maschine ist. Wer Bilder, Audio oder Videos mit KI erzeugt, die echt wirken könnten, muss sie als KI-generiert kennzeichnen. Wer Texte zu Themen von öffentlichem Interesse mit KI erstellt und veröffentlicht, muss das offenlegen — es sei denn, ein Mensch hat den Text redaktionell geprüft und verantwortet.

Für ein kleines Unternehmen bedeutet das meist: einen Hinweis am Chatbot, eine Kennzeichnung bei KI-Bildern und eine Seite auf der Website, die den KI-Einsatz erklärt.

Was Sie jetzt konkret tun sollten

• KI-Inventar anlegen: Welche Werkzeuge nutzt wer wofür? Eine einfache Tabelle reicht — sie ist die Grundlage für alles Weitere.
• Risikoklasse zuordnen: Für jedes Werkzeug prüfen, ob Hochrisiko-Bereiche wie Personal oder Kreditentscheidungen berührt werden.
• Nutzungsrichtlinie schreiben: Eine Seite genügt — was darf eingegeben werden, was nicht, wer prüft Ergebnisse, wie wird gekennzeichnet.
• Team schulen und dokumentieren: Datum, Teilnehmende, Inhalte festhalten.
• Transparenzhinweise umsetzen: Chatbot-Hinweis, Kennzeichnung, KI-Transparenzseite.
• Datenschutz prüfen: Für Werkzeuge, die personenbezogene Daten verarbeiten, braucht es einen Auftragsverarbeitungsvertrag — die DSGVO gilt neben der KI-Verordnung weiter.

Was passiert, wenn man nichts tut

Die Verordnung sieht Bußgelder vor, die sich am Umsatz orientieren — bei Verstößen gegen Transparenzpflichten bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Für kleine Unternehmen und Start-ups ist der jeweils niedrigere Betrag maßgeblich. Realistischer als ein Bußgeld ist aber ein anderes Risiko: Ein Mitarbeiter gibt Kundendaten in ein öffentliches KI-Tool ein, ein KI-generiertes Bild verletzt Persönlichkeitsrechte, ein Chatbot gibt falsche Zusagen. Die Verordnung zwingt zu genau den Regeln, die solche Fälle verhindern.