Seit dem 2. August 2026 ist eine Frage für viele Geschäftsführer plötzlich konkret geworden: Welche Pflichten bringt der EU AI Act für Unternehmen mit sich, die selbst gar keine eigene KI entwickeln, sondern nur fertige Werkzeuge wie Chatbots, Textgeneratoren oder Bilderkennung im Alltag einsetzen? Die Antwort betrifft praktisch jeden Betrieb, der KI-gestützte Tools nutzt – vom Kundenservice-Chatbot bis zur automatisch erstellten Produktbeschreibung.
Dieser Beitrag ordnet ein, was seit August 2026 konkret gilt, welche Rolle die Bundesnetzagentur als neue deutsche KI-Aufsicht spielt und welche Schritte für kleine und mittelständische Unternehmen jetzt sinnvoll sind.
Was ist der EU AI Act – und warum betrifft er auch kleine Betriebe?
Der EU AI Act, offiziell KI-Verordnung, ist das EU-weite Regelwerk für den Umgang mit künstlicher Intelligenz. Er unterscheidet Risikostufen: von verbotenen Praktiken über Hochrisiko-Systeme bis zu KI mit geringem Risiko, die lediglich Transparenzpflichten unterliegt. Die meisten kleinen und mittleren Unternehmen setzen keine Hochrisiko-KI ein, wohl aber Chatbots, Schreibassistenten oder Bildgeneratoren – und genau die fallen unter die Transparenzregeln. Wer annimmt, das Thema betreffe nur große Tech-Konzerne, irrt deshalb häufig.
EU AI Act für Unternehmen: Diese Pflichten gelten seit dem 2. August 2026
Am 2. August 2026 sind zentrale Vorschriften der KI-Verordnung anwendbar geworden, darunter die Transparenzpflichten aus Artikel 50. Seitdem gilt unter anderem:
- Chatbots und virtuelle Assistenten müssen so gestaltet sein, dass Nutzer erkennen, dass sie mit einem KI-System kommunizieren. Diese Pflicht trifft in erster Linie die Anbieter der Systeme; wer einen fertigen Chatbot einsetzt, sollte darauf achten, dass der Hinweis im eigenen Einsatz – etwa im Chatfenster der Website – sichtbar bleibt.
- Anbieter generativer KI müssen erzeugte Audio-, Bild-, Video- und Textinhalte maschinenlesbar kennzeichnen, etwa über Metadaten oder digitale Wasserzeichen. Unternehmen, die KI nutzen, müssen vor allem Deepfakes offenlegen sowie KI-generierte Texte, die zur Information der Öffentlichkeit veröffentlicht werden – es sei denn, ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung.
- Für Anbieter und Betreiber von Hochrisiko-Systemen gelten zusätzlich Vorgaben zu menschlicher Aufsicht und Qualitätsmanagement.
Parallel dazu ist mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) am 29. Juli 2026 die nationale Zuständigkeit geregelt worden: Die Bundesregierung hat die Bundesnetzagentur als zentralen nationalen Koordinator für die Umsetzung der KI-Verordnung bestimmt.
Die Bundesnetzagentur als neue KI-Aufsicht in Deutschland
Die Bundesnetzagentur übernimmt mehrere Rollen gleichzeitig: Sie ist zentrale Marktüberwachungsbehörde, Anlaufstelle für Beschwerden und richtet eine spezialisierte KI-Marktüberwachungskammer ein. Für Unternehmen relevant ist vor allem der kostenfreie KI-Service-Desk, der beim zuständigen Koordinierungs- und Kompetenzzentrum (KoKIVO) angesiedelt ist und gezielt Fragen aus der Praxis beantwortet. Die Behörde betont ausdrücklich, dass sie ihre Informationsangebote an den Bedürfnissen kleiner und mittlerer Unternehmen sowie Start-ups ausrichtet – ein Hinweis darauf, dass der Gesetzgeber weiß, wie unübersichtlich das Thema für Betriebe ohne eigene Rechtsabteilung ist.
Bußgelder und Sonderregeln für KMU
Verstöße gegen die KI-Verordnung können teuer werden. Laut den bei der IHK Schwaben veröffentlichten Bußgeldrahmen drohen bei Verstößen gegen Transparenzpflichten wie Artikel 50 bis zu 15 Millionen Euro oder bis zu 3 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ausfällt. Für verbotene KI-Praktiken sind die Sätze mit bis zu 35 Millionen Euro oder 7 Prozent des Jahresumsatzes noch höher. Wichtig für den Mittelstand: Bei kleinen und mittleren Unternehmen gilt jeweils der niedrigere der beiden Beträge als Obergrenze. Das senkt das Risiko, ändert aber nichts daran, dass die Pflichten auch für kleine Betriebe gelten.
Was für Hochrisiko-KI-Systeme zusätzlich gilt
Nur wenige KMU betreiben echte Hochrisiko-KI-Systeme, etwa im Bereich Personalauswahl, Kreditvergabe oder sicherheitskritischen Anwendungen. Für diese Systeme kommen zusätzliche Pflichten zu menschlicher Aufsicht und dokumentiertem Qualitätsmanagement hinzu. Die Fristen für eigenständige Hochrisiko-Systeme nach Anhang III wurden im Zuge des sogenannten Digital Omnibus auf den 2. Dezember 2027 verschoben, wie die Bundesnetzagentur bestätigt. Wer unsicher ist, ob eine eingesetzte Software – etwa ein Bewerbermanagement-Tool mit KI-Funktion – in diese Kategorie fällt, sollte das frühzeitig klären, statt die Frist im Kalender zu übersehen.
Was Sie als Unternehmen jetzt konkret tun sollten
Für die meisten kleinen und mittleren Unternehmen läuft es auf eine überschaubare, aber wichtige Liste hinaus:
- Bestandsaufnahme: Welche KI-Tools sind im Einsatz – Chatbot, Texterstellung, Bildbearbeitung, Bewerbermanagement, Telefonassistenz?
- Prüfen, ob Kunden und Nutzer klar erkennen können, dass sie mit einem KI-System kommunizieren oder KI-generierte Inhalte sehen.
- Mitarbeitende im Umgang mit KI-Werkzeugen schulen, wie es die seit Februar 2025 geltenden Kompetenzanforderungen der Verordnung nahelegen.
- Bei Unsicherheit fachliche Beratung einholen, bevor neue KI-gestützte Prozesse eingeführt werden.
Wer beispielsweise einen Telefonassistenten für die Terminbuchung einsetzt, muss auch dort für Transparenz sorgen – ein Aspekt, den wir bereits in unserem Beitrag zum KI-Telefonbot angesprochen haben. Wird eine Lösung individuell entwickelt statt von der Stange gekauft, lässt sich die Kennzeichnungspflicht meist direkt sauber in die Software einbauen, statt sie nachträglich aufzusetzen – ein Vorteil, den wir auch im Beitrag zu maßgeschneiderter Software beschrieben haben.
Häufige Fragen
Muss ich als kleines Unternehmen aktiv werden, wenn ich nur ChatGPT oder einen Chatbot nutze?
In vielen Fällen ja – aber anders, als oft behauptet wird. Die Pflicht, einen Chatbot als KI erkennbar zu machen, liegt vor allem beim Anbieter des Systems. Als nutzendes Unternehmen sollten Sie sicherstellen, dass dieser Hinweis in Ihrem Einsatz sichtbar bleibt. Eigene Kennzeichnungspflichten entstehen vor allem, wenn Sie Deepfakes oder KI-generierte Texte zur Information der Öffentlichkeit veröffentlichen, ohne dass ein Mensch sie redaktionell verantwortet. Die Unternehmensgröße spielt dabei keine Rolle.
Was passiert, wenn die Kennzeichnungspflicht nicht eingehalten wird?
Es drohen Bußgelder, die für kleine und mittlere Unternehmen zwar gedeckelt, aber dennoch spürbar sind. In der Praxis reagieren Aufsichtsbehörden bei Erstverstößen häufig zunächst mit Hinweisen – verlassen sollte man sich darauf aber nicht.
Gilt der EU AI Act auch für Software, die ich von einem Dienstleister entwickeln lasse?
Ja. Als Betreiber der Software bleiben Sie in der Verantwortung, auch wenn ein externer Dienstleister sie programmiert hat. Es lohnt sich, die Anforderungen bereits bei der Beauftragung zu klären, statt sie nachträglich nachzurüsten.
Wo bekomme ich als KMU kostenlose Unterstützung?
Der KI-Service-Desk der Bundesnetzagentur richtet sich gezielt an kleine und mittlere Unternehmen und beantwortet Grundsatzfragen zur Einordnung kostenfrei. Für die technische Umsetzung in Ihren konkreten Systemen ist meist zusätzliche fachliche Unterstützung sinnvoll.
Betrifft mich das auch, wenn meine Telefonassistenz-Lösung KI nutzt?
Ja. Auch ein KI-gestützter Telefonassistent muss Anrufer erkennbar darüber informieren, dass sie mit einem KI-System sprechen, sobald dies für die Interaktion relevant ist.
Sie sind unsicher, ob Ihre eingesetzten KI-Werkzeuge die aktuellen Anforderungen erfüllen, oder planen eine neue KI-gestützte Lösung für Ihren Betrieb? In einem unverbindlichen Erstgespräch ordnen wir gemeinsam ein, wo Ihr Unternehmen steht. Kontaktieren Sie uns oder buchen Sie direkt einen Termin.
