EU-KI-Verordnung für kleine Unternehmen erklärt (Leitfaden 2026)

Die EU-KI-Verordnung (EU AI Act) betrifft mehr KMU, als der Begriff „KI-Regulierung“ vermuten lässt. Ein kleines Unternehmen trainiert vielleicht kein Foundation Model, setzt KI aber möglicherweise in Recruiting, Kundensupport, Dokumentenverarbeitung, Kreditentscheidungen oder Personalmanagement ein. Die Verordnung unterscheidet zwischen Anbietern, die Systeme entwickeln oder in Verkehr bringen, und Betreibern, die sie beruflich nutzen – und die Pflichten hängen stark vom jeweiligen Anwendungsfall ab.

Dieser Leitfaden ist ein praktischer Ausgangspunkt, keine Rechtsberatung. Für formale Entscheidungen sollten die offiziellen Leitlinien der Europäischen Kommission und der endgültige Verordnungstext herangezogen werden, zumal sich der Zeitplan der Umsetzung weiterentwickelt hat. Mit Stand Juni 2026 gibt die Kommission an, dass verbotene Praktiken und die Pflichten zur KI-Kompetenz seit dem 2. Februar 2025 gelten, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025 und dass die Transparenzregeln für August 2026 vorgesehen sind. Nach der politischen Einigung zur Vereinfachung im Mai 2026 sind bestimmte Regeln für eigenständige Hochrisiko-Systeme für den 2. Dezember 2027 und Regeln für in Produkte integrierte Hochrisiko-Systeme für den 2. August 2028 vorgesehen.

Der Kerngedanke: Reguliert wird die Nutzung, nicht das Schlagwort

Die Verordnung folgt einem risikobasierten Ansatz. Die meisten alltäglichen KI-Anwendungen haben ein minimales oder begrenztes Risiko. Ein Spamfilter und ein interner Schreibassistent werden nicht so behandelt wie ein System, das darüber entscheidet, ob eine Person einen Arbeitsplatz, einen Kredit oder eine wesentliche Dienstleistung erhält.

Die erste Compliance-Aufgabe ist daher eine Bestandsaufnahme: Welche Systeme werden genutzt, zu welchem Zweck, mit welchen Daten, und wer ist von ihren Ergebnissen betroffen?

Vier praktische Risikostufen

Unannehmbares Risiko

Bestimmte Praktiken sind verboten, darunter schädliche Manipulation, Social Scoring, einige Formen der biometrischen Kategorisierung sowie Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen. Diese Verbote gelten seit Februar 2025. Ein KMU sollte nicht davon ausgehen, dass ein gekauftes Produkt automatisch unbedenklich ist; auch der Betreiber muss verstehen, was das Produkt tut.

Hohes Risiko

Zu den Hochrisiko-Kategorien gehören bestimmte KI-Anwendungen in Beschäftigung, Bildung, wesentlichen Dienstleistungen, kritischer Infrastruktur, Biometrie, Strafverfolgung, Migration und Justiz. Ein Recruiting-Tool, das Bewerber in eine Rangfolge bringt, kann deutlich stärker reguliert sein als ein Chatbot, der Produktfragen beantwortet.

Pflichten für Hochrisiko-Systeme können Risikomanagement, Data Governance, Protokollierung, technische Dokumentation, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit umfassen. KMU sollten spezialisierte Rechtsberatung einholen, bevor sie Systeme in diesen Bereichen entwickeln oder einsetzen.

Transparenzrisiko

Manche Systeme sind erlaubt, müssen aber transparent sein. Die Kommission nennt Chatbots als klares Beispiel: Menschen sollten wissen, wann sie mit einer Maschine interagieren. Auch generierte Inhalte und Deepfakes können Kennzeichnungs- oder Offenlegungspflichten auslösen. Transparenz sollte von Anfang an in die Benutzeroberfläche eingeplant und nicht nachträglich ergänzt werden.

Minimales oder kein Risiko

Laut Kommission fällt die große Mehrheit der in der EU genutzten KI-Systeme in diese Kategorie. Pflichten aus der DSGVO, dem Verbraucherrecht, dem Arbeitsrecht, dem Urheberrecht oder aus Vertraulichkeitsvereinbarungen entfallen dadurch nicht. „Minimales Risiko nach der KI-Verordnung“ bedeutet nicht „keine Governance erforderlich“.

Was KI-Kompetenz für ein kleines Unternehmen bedeutet

Die Pflichten zur KI-Kompetenz gelten bereits. In der Praxis sollten Mitarbeitende die Fähigkeiten und Grenzen der Systeme verstehen, die sie nutzen. Eine allgemeine jährliche Präsentation reicht nicht für jede Rolle aus. Mitarbeitende im Kundensupport müssen halluzinierte Antworten und Eskalationsbedingungen erkennen. HR-Mitarbeitende müssen Bias verstehen und wissen, wann automatisierte Empfehlungen das menschliche Urteil nicht ersetzen dürfen. Entwickler brauchen Praktiken für sicheren Datenumgang und für die Evaluierung.

Halten Sie Schulungen verhältnismäßig und dokumentieren Sie, was wem für welche Tools vermittelt wurde.

Chatbots: der typische Anwendungsfall im KMU

Ein Chatbot für Kunden ist in der Regel nicht schon deshalb hochriskant, weil er KI nutzt. Er braucht jedoch eine klare Offenlegung, sofern die Interaktion mit KI nicht aus dem Kontext offensichtlich ist. Eine verantwortungsvolle Umsetzung sollte außerdem:

• sich zu Beginn des Gesprächs als automatisiert zu erkennen geben;
• einen verlässlichen Weg zu einem Menschen bieten;
• Antworten, wo sinnvoll, auf freigegebenes Wissen beschränken;
• keine unnötigen personenbezogenen Daten erheben;
• Quellen und Konfidenz für die interne Prüfung protokollieren;
• Aufbewahrungs- und Löschregeln für Gespräche festlegen.

Diese Maßnahmen verbessern das Produkt, auch wenn das Gesetz die genaue Oberfläche nicht vorschreibt.

Eine verhältnismäßige Compliance-Checkliste für KMU

1. Ein KI-Verzeichnis anlegen. Auch in SaaS-Produkte eingebettete KI-Funktionen erfassen.
2. Zweck und betroffene Personen dokumentieren. Das Risiko hängt vom Kontext ab.
3. Die eigene Rolle bestimmen. Die Pflichten von Anbietern, Betreibern, Einführern und Händlern unterscheiden sich.
4. Den Anwendungsfall einstufen. Anwendungen in Beschäftigung, Kreditvergabe, Bildung, Gesundheit und Biometrie besonders prüfen.
5. Die menschliche Aufsicht dokumentieren. Festlegen, wer das System übersteuern, anhalten oder überprüfen kann.
6. Transparente Hinweise ergänzen. KI-Interaktionen und generierte Inhalte klar kenntlich machen.
7. Mitarbeitende schulen. KI-Kompetenz auf die tatsächlichen Verantwortlichkeiten zuschneiden.
8. Anbieter prüfen. Dokumentation, Sicherheitsbedingungen, Datenstandorte und Änderungsmitteilungen anfordern.
9. Vorfälle und Qualität überwachen. Governance endet nicht mit dem Launch.

KI-Verordnung und DSGVO nicht als dasselbe Projekt behandeln

Die beiden Regelwerke überschneiden sich, beantworten aber unterschiedliche Fragen. Die KI-Verordnung konzentriert sich auf Systemrisiken und Marktpflichten. Die DSGVO konzentriert sich auf personenbezogene Daten und die Rechte Einzelner. Ein Chatbot kann nach der KI-Verordnung transparent sein und nach der DSGVO dennoch übermäßig viele personenbezogene Daten erheben. Eine rechtmäßige Grundlage für die Datenverarbeitung macht ein Hochrisiko-KI-System nicht automatisch konform.

Behandeln Sie Datenschutz, Sicherheit und KI-Governance als verbundene Arbeitsbereiche mit klaren Verantwortlichkeiten.

Auf Nachweisbarkeit bauen, nicht nur auf Funktionalität

Verantwortungsvolle KI-Software sollte erklären können, welches Modell und welche Prompt-Version ein Ergebnis erzeugt haben, welche Quelldaten verwendet wurden, wer das Ergebnis geprüft hat und was sich im Lauf der Zeit verändert hat. Logs, Evaluierungsdatensätze, Freigabe-Workflows und Fallback-Pfade sind Produktfunktionen. Sie nach dem Deployment nachzurüsten, ist langsamer und teurer.

FKT Software unterstützt KMU dabei, KI-Workflows mit integrierter Offenlegung, menschlicher Prüfung, Auditierbarkeit und sicherer Datenverarbeitung zu gestalten. Sehen Sie sich unsere Leistungen für KI und Automatisierung, unsere Datenschutzhinweise sowie die offizielle Übersicht der Europäischen Kommission zur KI-Verordnung an.

Weiterlesen: KI-Automatisierung für europäische KMU: Was sollten Sie zuerst automatisieren? und Ein individuelles Softwareprojekt in Europa 2026 planen.