KI-Verordnung für kleine Unternehmen: Was ab dem ersten KI-Tool gilt und was nicht

Die EU-KI-Verordnung betrifft nicht nur Softwarefirmen. Sobald ein Betrieb ChatGPT, Copilot oder DeepL nutzt, gelten drei Regeln. Welche das sind, welche Fristen zählen und was für kleine Betriebe ausdrücklich nicht gilt.

Die EU-KI-Verordnung (Verordnung (EU) 2024/1689) klingt nach einem Gesetz für Konzerne und Softwarehersteller. Ein Teil davon gilt aber für jeden Betrieb, der ein KI-Tool beruflich nutzt, also auch für die Kanzlei mit sechs Leuten und den Onlineshop mit zwölf. Dieser Artikel sortiert, was für kleine Betriebe gilt, was nicht, und wann.

Wer betroffen ist

Die Verordnung unterscheidet Anbieter und Betreiber. Anbieter entwickeln KI-Systeme oder bringen sie unter eigenem Namen in Verkehr. Betreiber nutzen ein KI-System in eigener Verantwortung, außer zu rein privaten Zwecken. Ein Betrieb, in dem jemand mit ChatGPT Mails vorformuliert, ist Betreiber. Größe, Branche und Umsatz spielen dafür keine Rolle.

Betreiber zu sein ist nicht dramatisch. Für gängige Tools wie Chat-Assistenten, Übersetzer oder Bildgeneratoren gelten drei überschaubare Regeln. Die schweren Pflichten der Verordnung treffen Hochrisiko-Systeme und deren Anbieter.

Regel 1: Maßnahmen zur KI-Kompetenz (Art. 4, seit 2. Februar 2025)

Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Das ist die Fassung seit dem Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026). Ein Zertifikat ist nicht nötig, eine feste Frequenz auch nicht. Ein internes Verzeichnis der Maßnahmen reicht als Beleg, sagt die EU-Kommission. Art. 4 hat keinen eigenen Bußgeldtatbestand.

Praktisch heißt das: eine kurze Schulung, die zu eurem Betrieb passt, und ein Verzeichnis, wer wann daran teilgenommen hat. Ausführlich im Artikel Schulungspflicht.

Regel 2: Keine verbotenen Praktiken (Art. 5, seit 2. Februar 2025)

Einige Einsätze sind verboten, zum Beispiel Social Scoring, Emotionserkennung am Arbeitsplatz oder manipulative Systeme. Seit dem 27. Juli 2026 kommen Verbote für nicht einvernehmliche intime Darstellungen und Missbrauchsdarstellungen dazu. Für einen normalen Betrieb ist Art. 5 selten ein Thema, aber die Fälle sind mit Bußgeld belegt, und sie sind deshalb in jeder guten Richtlinie ausgeschlossen. Wer KI bei Bewerbungen, Kreditentscheidungen oder zur Überwachung von Mitarbeitenden einsetzen will, braucht vorher anwaltlichen Rat.

Regel 3: Transparenz nach außen (Art. 50, seit 2. August 2026)

Drei Fälle betreffen kleine Betriebe:

Ein Chatbot oder Voicebot muss sich als KI zu erkennen geben, spätestens bei der ersten Interaktion, außer es ist offensichtlich.
Realistische KI-Bilder, -Videos und -Stimmen, die nach außen gehen, müssen als KI-erzeugt gekennzeichnet sein.
Veröffentlichte KI-Texte zu Themen von öffentlichem Interesse brauchen einen Hinweis, außer eine Person hat sie redaktionell geprüft und verantwortet.

Für Betreiber gibt es keine Schonfrist. Die Frist bis zum 2. Dezember 2026 gilt nur für Anbieter von Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden, und nur für die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2. Verstöße gegen Art. 50 sind mit Bußgeld belegt (Art. 99 Abs. 4); für kleine und mittlere Unternehmen gilt der jeweils niedrigere Betrag. Details im Artikel Chatbot kennzeichnen.

Was für kleine Betriebe nicht gilt

Keine Anmeldung, kein Register. Die EU-Datenbank nach Art. 71 betrifft Anbieter von Hochrisiko-Systemen. Wer ChatGPT nutzt, meldet das nirgends an.
Kein Zertifikat, keine vorgeschriebene Schulung mit Stempel. Weder für den Betrieb noch pro Person.
Keine Konformitätsbewertung. Die betrifft Hochrisiko-Systeme und deren Anbieter.
Keine Hochrisiko-Pflichten, solange ihr keine Hochrisiko-Systeme einsetzt. Diese Pflichten (inklusive der Betreiberpflichten nach Art. 26) sind auf den 2. Dezember 2027 für Anhang-III-Systeme und den 2. August 2028 für Anhang-I-Systeme verschoben. Ein Hochrisiko-Einsatz wäre zum Beispiel KI, die über Einstellungen oder Kredite entscheidet.

Wer in Deutschland zuständig ist

Seit dem 29. Juli 2026 ist die Bundesnetzagentur Marktüberwachungsbehörde, zentrale Anlaufstelle und Beschwerdestelle (KI-MIG). Sie veröffentlicht Erläuterungen zu Art. 4 und Art. 50 und ist die Stelle, an die du Fragen richten kannst. Sie erkennt keine Schulungen an und vergibt keine Siegel.

Die Fristen auf einen Blick

2. Februar 2025: Art. 4 (KI-Kompetenz) und Art. 5 (Verbote)
27. Juli 2026: Digital Omnibus in Kraft, Art. 4 neu gefasst, neue Verbote in Art. 5
29. Juli 2026: Bundesnetzagentur zuständig
2. August 2026: Art. 50 (Transparenz) für alle
2. Dezember 2026: maschinenlesbare Kennzeichnung für Anbieter von Bestandssystemen
2. Dezember 2027: Hochrisiko-Pflichten für Anhang-III-Systeme
2. August 2028: Hochrisiko-Pflichten für Anhang-I-Systeme

Alle Einträge mit Primärquelle stehen im Rechtsstand.

Was ein kleiner Betrieb jetzt tut

1. Festlegen, welche Tools erlaubt sind, mit welchem Konto und mit welchen Regeln. Das ist die Freigabeliste.
2. Das Team schulen, kurz und mit den eigenen Regeln, und die Teilnahme im Verzeichnis festhalten.
3. Prüfen, ob KI-Ergebnisse nach außen gehen, und die passenden Kennzeichnungen einbauen.
4. Alles datiert ablegen, damit bei Nachfragen ein Dokument vorliegt.

Der Betroffenheits-Check zeigt in fünf Fragen, welche der drei Regeln Betriebe wie deinen typischerweise betreffen.

Quellen

Orientierungshilfe, keine Rechtsberatung im Einzelfall.