KI-Verordnung für kleine Unternehmen: Was gilt wann?

Betrifft die KI-Verordnung auch kleine Betriebe?

Ja, und zwar unabhängig von der Größe. Die Verordnung unterscheidet nicht zwischen Konzern und Handwerksbetrieb, sondern nach Rollen und Risiken. Wer ein KI-System entwickelt und auf den Markt bringt, ist Anbieter. Wer ein KI-System beruflich nutzt, ist Betreiber. Ein Steuerbüro, in dem Mitarbeitende mit einem Chat-Assistenten E-Mails entwerfen, ist damit Betreiber im Sinne der Verordnung.

Die gute Nachricht: Für Betreiber, die KI für alltägliche Büroaufgaben nutzen, sind die Pflichten überschaubar. Die aufwendigen Anforderungen der Verordnung, etwa Risikomanagement, technische Dokumentation und Konformitätsbewertung, treffen vor allem Anbieter und Hochrisiko-Anwendungen. Für kleine und mittlere Unternehmen sieht die Verordnung zudem Erleichterungen vor, und der Digital Omnibus hat diese 2026 noch ausgeweitet.

Welche Pflichten gelten heute schon?

Für typische kleine Betriebe, die KI-Werkzeuge nutzen, sind heute drei Bereiche relevant.

1. KI-Kompetenz fördern (Artikel 4). Seit dem 2. Februar 2025 müssen Anbieter und Betreiber dafür sorgen, dass ihre Beschäftigten mit KI umgehen können. Das betrifft auch Personen, die im Auftrag des Unternehmens KI nutzen, etwa freie Mitarbeitende. Was das konkret heißt, erklärt der nächste Abschnitt.

2. Verbotene Praktiken (Artikel 5). Ebenfalls seit Februar 2025 sind bestimmte Anwendungen verboten. Für Betriebe am wichtigsten: Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit Ausnahmen aus medizinischen oder Sicherheitsgründen), die Bewertung von Menschen nach ihrem sozialen Verhalten und manipulative Techniken, die Menschen schaden. Ab dem 2. Dezember 2026 kommen zwei neue Verbote hinzu: KI, die ohne Einwilligung realistische intime Bilder identifizierbarer Personen erzeugt, und KI, die Darstellungen sexuellen Kindesmissbrauchs erzeugt.

3. Transparenz (Artikel 50). Seit dem 2. August 2026 gilt: Wer mit KI Bilder, Videos oder Tonaufnahmen erzeugt, die echte Personen, Orte oder Ereignisse täuschend echt darstellen, muss das offenlegen. Menschen, die mit einem KI-System sprechen, etwa einem Chatbot auf einer Website, müssen erkennen können, dass sie es mit einer Maschine zu tun haben. Diese Pflicht richtet sich in erster Linie an den Anbieter des Chatbots; wer einen solchen Chatbot einsetzt, sollte aber prüfen, ob der Hinweis tatsächlich erscheint.

Was bedeutet KI-Kompetenz nach dem Digital Omnibus?

Die ursprüngliche Fassung von Artikel 4 war streng formuliert. Sie verlangte, dass Unternehmen

„Maßnahmen [ergreifen], um nach besten Kräften ein ausreichendes Maß an KI-Kompetenz bei ihrem Personal und anderen Personen sicherzustellen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind.“ Artikel 4 der KI-Verordnung in der Fassung von 2024, zitiert nach TÜV Rheinland Consulting

Mit der Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, wurde Artikel 4 vollständig neu gefasst. Anbieter und Betreiber müssen nun Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Ausdrücklich heißt es, dass sie kein bestimmtes Kompetenzniveau einzelner Personen garantieren müssen. Aus einer Erfolgspflicht ist damit eine Bemühenspflicht geworden. Zugleich sollen Kommission und Mitgliedstaaten die Unternehmen, gerade kleine und mittlere, dabei unterstützen.

Für die Praxis heißt das: Die Pflicht ist nicht weggefallen. Sie verlangt weiterhin sinnvolle, an Aufgabe und Vorwissen angepasste Maßnahmen. Bewährt haben sich:

• eine KI-Nutzungsrichtlinie, die festlegt, welche Werkzeuge erlaubt sind und welche Daten tabu sind,
• eine Grundlagenschulung für alle, die KI nutzen, mit Teilnahmenachweis,
• eine Ansprechperson für Fragen und
• eine kurze Dokumentation, wer wann woran teilgenommen hat.

Ein eigenes Bußgeld für Verstöße gegen Artikel 4 sieht die Verordnung nicht vor. Dokumentierte Maßnahmen sind trotzdem sinnvoll: Sie zeigen im Ernstfall, dass das Unternehmen seine Sorgfaltspflichten ernst nimmt, und sie senken das Risiko, dass vertrauliche Daten in falsche Werkzeuge gelangen.

Was hat der Digital Omnibus sonst noch geändert?

Der Digital Omnibus zur KI wurde im Mai 2026 politisch vereinbart, am 24. Juli 2026 im Amtsblatt der EU veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Für kleine und mittlere Unternehmen sind vor allem drei Änderungen wichtig:

Außerdem wurde eine neue Kategorie für „kleine Unternehmen mittlerer Kapitalisierung“ eingeführt: Firmen, die keine KMU mehr sind, aber weniger als 750 Beschäftigte haben. Sie erhalten ähnliche Erleichterungen wie KMU, etwa vereinfachte Dokumentationsvorlagen.

Was kommt bis 2028 auf Betriebe zu?

Die wichtigste Frist für Betreiber ist der 2. Dezember 2027. Ab dann gelten die Pflichten für Hochrisiko-Anwendungen nach Anhang III. Für kleine Betriebe ist das vor allem dann relevant, wenn sie KI im Personalbereich einsetzen: zur Sichtung von Bewerbungen, zur Leistungsbewertung oder zur Planung von Beförderungen. Betreiber solcher Systeme müssen unter anderem die Gebrauchsanweisung des Anbieters befolgen, eine menschliche Aufsicht durch geschulte Personen sicherstellen, Protokolle aufbewahren und Beschäftigte informieren, bevor sie ein solches System am Arbeitsplatz einsetzen.

Am 2. August 2028 folgen die Regeln für KI, die in regulierte Produkte eingebaut ist. Das betrifft vor allem Hersteller, kaum aber Betriebe, die KI nur nutzen.

Praxisbeispiel: Ein Handwerksbetrieb mit 25 Beschäftigten

Beispiel zur Veranschaulichung: Ein Sanitärbetrieb nutzt einen Chat-Assistenten für Angebotstexte und Kundenmails. Zwei Mitarbeitende im Büro haben private Konten angelegt, die Monteure diktieren Berichte in eine Transkriptions-App.

Was der Betrieb jetzt tun sollte: ein Werkzeug mit Unternehmensvertrag wählen und private Konten ablösen, eine kurze Nutzungsrichtlinie einführen (keine Kundennamen und Preise in nicht freigegebene Werkzeuge), eine halbtägige Schulung für alle KI-Nutzenden durchführen und die Teilnahme dokumentieren. Hochrisiko-Pflichten betreffen den Betrieb nicht, solange er KI nicht für Personalentscheidungen einsetzt. Aufwand: wenige Tage, verteilt auf einige Wochen.