Ein neues EU-Gesetz mit Bußgeldern in Millionenhöhe – und kaum jemand sagt dem Mittelstand klar, was davon ihn eigentlich betrifft. Der EU AI Act ist seit 2024 in Kraft, seine Pflichten greifen aber gestaffelt über mehrere Jahre. Am 2. August 2026 wird die für die meisten kleinen und mittleren Unternehmen wichtigste Stufe scharf: die Transparenzpflichten für KI-Systeme. Dieser Beitrag ordnet ohne Juristendeutsch ein, welche Pflichten für Ihr Unternehmen wirklich gelten, ab wann – und welche der vieldiskutierten Verschiebungen Sie tatsächlich betreffen.
Dieser Beitrag gibt den Stand vom 26. Juli 2026 wieder und ist keine Rechtsberatung. Für die verbindliche Bewertung Ihres Einzelfalls konsultieren Sie eine Rechtsanwältin bzw. einen Rechtsanwalt oder Ihre Datenschutzbeauftragte bzw. Ihren Datenschutzbeauftragten.
Die vier Risikoklassen in Klartext
Der EU AI Act reguliert KI risikobasiert: Nicht jede Anwendung wird gleich behandelt, sondern nach ihrem Gefährdungspotenzial für Menschen. Vier Klassen bestimmen, welche Pflichten gelten – und für die allermeisten KMU-Anwendungen ist nur die dritte relevant.
- Verbotene KI-Praktiken (Art. 5): Anwendungen wie Social Scoring oder manipulatives Nudging sind seit dem 2. Februar 2025 grundsätzlich verboten. Für normale Geschäftswebsites praktisch nie relevant.
- Hochrisiko-KI (Annex III): KI in sensiblen Bereichen wie Personalauswahl, Kreditvergabe oder kritischer Infrastruktur. Streng reguliert, aber für ein typisches KMU-Angebot kaum einschlägig.
- Begrenztes Risiko / Transparenz (Art. 50): Chatbots, KI-generierte Texte, Bilder und Videos. Hier greift die Pflicht, KI-Interaktionen und KI-Inhalte offenzulegen – genau die Ebene, die die meisten KMU trifft.
- Minimales Risiko: Alltägliche Anwendungen wie Spamfilter oder Produktempfehlungen. Keine besonderen Pflichten.
Bin ich als KMU betroffen? Der 3-Fragen-Test
Wichtig vorweg: Der AI Act kennt keine generelle Ausnahme für kleine Unternehmen. Betroffenheit hängt nicht von der Firmengröße ab, sondern davon, ob und wie Sie KI einsetzen. Drei Fragen grenzen Ihre Pflichten schnell ein.
- Sind Sie Anbieter oder Betreiber?Betreiber (Deployer) nutzen KI im eigenen Betrieb – etwa ChatGPT für Texte oder einen zugekauften Website-Chatbot. Anbieter (Provider) entwickeln oder vermarkten KI-Systeme selbst. Die meisten KMU sind Betreiber, für die deutlich leichtere Pflichten gelten.
- Setzen Sie einen Chatbot oder KI-Inhalte auf Ihrer Website ein?Wenn Besucher mit einer KI interagieren oder Sie KI-generierte Texte, Bilder oder Videos veröffentlichen, greift ab dem 2. August 2026 die Transparenzpflicht aus Art. 50 – Offenlegung und Kennzeichnung werden verpflichtend.
- Nutzen Sie KI intern im Team?Sobald Mitarbeitende KI-Werkzeuge verwenden, greift die KI-Kompetenz-Pflicht aus Art. 4 – unabhängig von der Risikoklasse und bereits seit Februar 2025.
Ab wann gilt was? Der Zeitstrahl
Die Fristen des AI Act sind gestaffelt, und der im Juni 2026 final beschlossene „Digital Omnibus" hat einen Teil davon verschoben. Entscheidend für KMU: Die Verschiebung betrifft die Hochrisiko-Ebene – nicht die Transparenzpflichten.
| Pflicht | Rechtsgrundlage | Gilt ab | Betrifft welches KMU |
|---|---|---|---|
| Verbotene Praktiken | Art. 5 | 2. Februar 2025 | praktisch keines |
| KI-Kompetenz der Mitarbeitenden | Art. 4 | 2. Februar 2025 | jedes, das KI intern nutzt |
| Transparenz für Chatbots & KI-Inhalte | Art. 50 | 2. August 2026 | jedes mit Chatbot oder KI-Content |
| Kennzeichnung KI-generierter Inhalte (maschinenlesbar) | Art. 50 Abs. 2 | 2. August 2026 (Bestandssysteme: 2. Dezember 2026) | Anbieter generativer KI |
| Hochrisiko-Pflichten (Annex III) | AI Act i.V.m. Digital Omnibus | 2. Dezember 2027 | kaum ein typisches KMU |
| Hochrisiko in regulierten Produkten (Annex I) | AI Act i.V.m. Digital Omnibus | 2. August 2028 | kaum ein typisches KMU |
Fristen des EU AI Act für Unternehmen (Stand 26.07.2026)
KI-Kompetenz (Art. 4) – die unterschätzte Pflicht
Art. 4 verlangt seit dem 2. Februar 2025, dass Unternehmen ein „ausreichendes Maß an KI-Kompetenz" ihrer Mitarbeitenden und Auftragnehmer sicherstellen, die KI einsetzen – etwa durch Schulung und klare Nutzungsregeln. Diese Pflicht gilt risikoklassen-unabhängig für jeden Anbieter und Betreiber. Sie wird ab dem 3. August 2026 behördlich durchsetzbar; Art. 4 selbst sieht keine direkten Bußgelder vor, das Fehlen von KI-Kompetenz kann aber bei anderen Verstößen erschwerend wirken. Wer ChatGPT, Copilot oder ähnliche Werkzeuge im Team nutzt, sollte den Umgang dokumentiert schulen.
Transparenz (Art. 50) – Chatbots und KI-Inhalte kennzeichnen
Ab dem 2. August 2026 greift die Transparenzpflicht : Nutzer müssen vor der Interaktion erfahren, dass sie mit einer KI und nicht mit einem Menschen sprechen (Art. 50 Abs. 1) – außer es ist ohnehin offensichtlich. Ein menschlich wirkender Service-Bot erfüllt diese Ausnahme nicht. Ebenso müssen KI-generierte oder -manipulierte Inhalte als solche erkennbar sein – die KI-Kennzeichnung regelt das im Detail. Für die maschinenlesbare Kennzeichnung KI-generierter Inhalte (Art. 50 Abs. 2) gilt eine Feinheit: Systeme, die bereits vor dem 2. August 2026 am Markt waren, haben bis zum 2. Dezember 2026 Zeit; neu eingeführte Systeme müssen sofort kennzeichnen. Was das konkret für Ihre Website bedeutet, vertieft der Beitrag zu den AI-Act-Pflichten für Websites -Pflichten auf der eigenen Seite.
Bußgelder: Was realistisch droht
Die Sanktionen des AI Act (Art. 99) sind gestaffelt: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. € oder 3 % bei Verstößen gegen die Transparenzpflichten aus Art. 50, und bis zu 7,5 Mio. € oder 1 % bei Falschauskünften gegenüber Behörden. Für kleine und mittlere Unternehmen sowie Start-ups gilt jeweils der niedrigere der beiden Werte. Die abschreckend hohen Prozentzahlen zielen auf Großkonzerne – für ein KMU ist das reale Risiko der absolute Euro-Deckel, kombiniert mit dem Verhältnismäßigkeitsgrundsatz. Ernst nehmen sollte man die Pflichten trotzdem, denn Abmahnungen durch Wettbewerber setzen keine Behördenbußgelder voraus.
Wurde nicht alles verschoben? Was der Digital Omnibus wirklich änderte
Die Schlagzeile „EU verschiebt den AI Act" ist verkürzt. Der Digital Omnibus, dem der Rat der EU am 29. Juni 2026 final zustimmte, verschiebt die Hochrisiko-Pflichten – die für stand-alone-Systeme nach Annex III auf den 2. Dezember 2027, für in Produkte eingebettete KI nach Annex I auf den 2. August 2028. Die Transparenzpflichten aus Art. 50 bleiben davon unberührt und werden am 2. August 2026 bindend. Wer also einen Chatbot betreibt oder KI-Texte veröffentlicht, kann sich auf die „Verschiebung" nicht berufen – für ihn wurde nichts verschoben. Die Änderungen entfalten ihre Rechtswirkung mit der Veröffentlichung im Amtsblatt, die vor dem Stichtag erwartet wird.
In der Praxis: KI-Features von Anfang an konform bauen
Bei eigenen Web-Projekten mit KI-Funktion – etwa dem KI-gestützten Buchungs- und Assistenz-Feature in unserem PMS-Projekt Lease Loop – bauen wir den Transparenzhinweis und die DSGVO-konform e Datenverarbeitung von Anfang an mit ein, statt sie nachzurüsten. Das ist der günstigere Weg: Ein Kennzeichnungshinweis, der schon in der Komponente steckt, kostet in der Entwicklung nichts – ein nachträglicher Umbau unter Fristdruck dagegen schon.
Kurz zusammengefasst
- Keine generelle KMU-Ausnahme – die Pflicht richtet sich nach der KI-Nutzung, nicht nach der Firmengröße.
- Für die meisten KMU sind es genau zwei Hausaufgaben: Mitarbeitende KI-fit machen (Art. 4) und KI-Interaktionen transparent kennzeichnen (Art. 50).
- Art. 4 gilt seit Februar 2025, Art. 50 wird am 2. August 2026 bindend.
- Verschoben wurden nur die Hochrisiko-Pflichten (Dezember 2027 / August 2028) – nicht die Transparenz.
- Bußgelder bei Transparenzverstößen bis 15 Mio. € / 3 %, für KMU der niedrigere Wert; Abmahnungen sind das realistischere Risiko.
