EU AI Act für Anwenderunternehmen: Welche Pflichten den Mittelstand treffen

Wenn Ihr Unternehmen KI einsetzt, aber keine KI-Systeme entwickelt oder unter eigenem Namen anbietet, sind für Sie aus der KI-Verordnung vor allem drei Pflichten praktisch relevant: Ihre Mitarbeitenden müssen ausreichend KI-kompetent sein, verbotene Anwendungen dürfen Sie nicht einsetzen, und Menschen müssen erkennen können, wenn sie mit einer KI sprechen. Die vielzitierten Hochrisiko-Pflichten treffen die meisten Mittelständler nicht – und wurden für die Fälle, in denen sie greifen, kürzlich verschoben.

Zwei Einschränkungen gleich vorweg, damit diese Aufzählung nicht falsch gelesen wird. Erstens ist sie keine abschließende Liste: Je nach Anwendungsfall können weitere Pflichten aus der KI-Verordnung hinzukommen, etwa wenn Sie ein zugekauftes System wesentlich verändern oder in einem Hochrisiko-Bereich einsetzen. Zweitens gilt neben der KI-Verordnung das übrige Recht unverändert weiter – Datenschutz, Arbeits- und Mitbestimmungsrecht, Urheberrecht, Verbraucherschutz und branchenspezifische Vorgaben. Der KI-Einsatz in der Personalabteilung etwa berührt fast immer Datenschutz und Betriebsrat, unabhängig davon, was die KI-Verordnung dazu sagt.

Die Unterscheidung, um die es hier geht, ist trotzdem der eigentliche Punkt. Ein großer Teil der kursierenden Ratgeber beschreibt die Pflichten von Anbietern von KI-Systemen. Wer ein fertiges Werkzeug einkauft und benutzt, ist in der Sprache der Verordnung ein Betreiber, und für den gilt aus der KI-Verordnung deutlich weniger.

Die drei Pflichten, die Sie jetzt betreffen

1. KI-Kompetenz (Artikel 4) – gilt seit dem 2. Februar 2025

Die älteste und am häufigsten übersehene Pflicht. Artikel 4 der KI-Verordnung verlangt, dass Sie ein ausreichendes Maß an KI-Kompetenz bei allen Personen sicherstellen, die in Ihrem Auftrag KI-Systeme betreiben oder nutzen. Sie gilt seit Februar 2025 und wurde durch keine der späteren Änderungen angetastet.

Was das praktisch bedeutet: Wer in Ihrem Unternehmen ein KI-Werkzeug benutzt, muss verstehen, was es kann, wo es Fehler macht und welche Daten er hineingeben darf. Die Verordnung schreibt kein Zertifikat und keine bestimmte Schulungsform vor – aber sie erwartet, dass Sie das Niveau bewusst herstellen und nicht dem Zufall überlassen. Dokumentieren Sie deshalb, wer wann worin unterwiesen wurde.

2. Verbotene Praktiken (Artikel 5) – gilt seit dem 2. Februar 2025

Bestimmte Anwendungen sind in der EU unabhängig von Ihrer Unternehmensgröße untersagt, unter anderem die Bewertung von Menschen nach sozialem Verhalten, das gezielte Ausnutzen von Schutzbedürftigkeit und die Emotionserkennung am Arbeitsplatz. Für einen typischen Mittelständler ist dieser Punkt in der Regel schnell abgehakt – mit einer Ausnahme, die es zu prüfen lohnt: Software, die Stimmung oder Belastung von Mitarbeitenden auswertet, fällt in einen heiklen Bereich.

3. Transparenz (Artikel 50) – gilt seit dem 2. August 2026

Die neueste Pflicht, seit wenigen Tagen in Kraft. Artikel 50 verlangt, dass Menschen erkennen können, wenn sie es mit einem KI-System zu tun haben. Für Anwenderunternehmen sind vor allem zwei Punkte relevant:

• Direkte Interaktion: Wer einen KI-gestützten Chat oder eine automatische E-Mail-Beantwortung einsetzt, muss das kenntlich machen – es sei denn, es ist ohnehin offensichtlich.
• Deepfakes: Veröffentlichte Bild-, Ton- oder Videoinhalte, die eine Person oder ein Ereignis täuschend echt nachbilden, sind als künstlich erzeugt oder manipuliert offenzulegen.
• KI-generierte Texte, aber nur in einem engen Fall: Die Offenlegungspflicht greift bei Texten, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Und sie entfällt ausdrücklich, wenn die Inhalte einem Verfahren der menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurden und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt.

Der dritte Punkt wird häufig zu weit ausgelegt, deshalb explizit: Ein normaler Unternehmensblog, ein Newsletter oder eine Produktbeschreibung, bei deren Erstellung KI geholfen hat, fällt in aller Regel nicht darunter. Es fehlt schon am Zweck – die Pflicht zielt auf Information der Öffentlichkeit zu Angelegenheiten von öffentlichem Interesse, nicht auf Unternehmenskommunikation. Und selbst dort, wo dieser Zweck vorliegt, greift die Ausnahme, sobald ein Mensch den Text geprüft hat und jemand die redaktionelle Verantwortung trägt. Wer seine Inhalte ohnehin redaktionell freigibt, hat diese Voraussetzung bereits erfüllt.

Der Aufwand für das, was tatsächlich zu tun ist, bleibt gering: ein Hinweis am Anfang der Konversation, eine Kennzeichnung bei Deepfakes. Das Versäumnis dagegen ist vermeidbar und leicht nachweisbar.

Was der Digital Omnibus verschoben hat – und was nicht

Die Verordnung (EU) 2026/1744 vom 8. Juli 2026 – die „Digital-Omnibus-Verordnung zur KI” – wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 in Kraft. Sie verschiebt die Pflichten für Hochrisiko-KI-Systeme:

Bereich	Ursprünglich	Jetzt
Eigenständige Hochrisiko-Systeme (Anhang III)	2. August 2026	2. Dezember 2027
In Produkte eingebettete KI (Anhang I)	2. August 2027	2. August 2028

Begründet wurde die Verschiebung damit, dass die technischen Normen für die Konformitätsbewertung nicht fertig sind und zu wenige Stellen benannt wurden, um sie durchzuführen.

Unverändert geblieben sind: die KI-Kompetenzpflicht aus Artikel 4, die Verbote aus Artikel 5, die Transparenzpflichten aus Artikel 50 zum 2. August 2026, sowie Aufsicht und Bußgeldrahmen.

Das ist die Stelle, an der viele aktuell zirkulierende Ratgeber falsch liegen: Sie nennen den 2. August 2026 pauschal als „den großen Stichtag” für Hochrisiko-Pflichten. Für den Hochrisiko-Teil stimmt das seit Ende Juli nicht mehr – für die Transparenzpflichten dagegen schon.

Sind Sie überhaupt betroffen? Vier Fragen

Arbeiten Sie die folgenden Fragen in dieser Reihenfolge ab.

1. Entwickeln oder vermarkten Sie KI-Systeme unter eigenem Namen? Falls nein, sind Sie Betreiber und nicht Anbieter – die umfangreichen Anbieterpflichten entfallen. Achtung: Wer ein zugekauftes System wesentlich verändert oder unter eigener Marke weitergibt, kann selbst zum Anbieter werden.

2. Setzen Sie KI in einem der Anhang-III-Bereiche ein? Anhang III nennt acht Bereiche, darunter Beschäftigung und Personalmanagement, Zugang zu grundlegenden Diensten wie Krediten, Bildung, Biometrie und kritische Infrastruktur. Für Mittelständler ist praktisch relevant vor allem der erste: KI in der Bewerberauswahl oder in Personalentscheidungen. Falls ja, gelten für Sie Betreiberpflichten – ab dem 2. Dezember 2027.

3. Kommuniziert Ihre KI direkt mit Menschen? Falls ja, greift die Transparenzpflicht bereits heute.

4. Nutzen Mitarbeitende KI-Werkzeuge im Arbeitsalltag? Falls ja – und das ist praktisch überall der Fall –, greift die Kompetenzpflicht bereits seit Februar 2025.

Die Checkliste für Anwenderunternehmen

• Bestandsaufnahme: Welche KI-Werkzeuge werden bei uns tatsächlich genutzt? Auch die, die einzelne Abteilungen ohne IT-Beteiligung eingeführt haben.
• Einordnung je Werkzeug: Sind wir Betreiber oder ausnahmsweise Anbieter? Fällt der Einsatz in einen Anhang-III-Bereich?
• Kompetenz nachweisen: Wer nutzt was, und wer wurde wann unterwiesen? Eine Liste genügt, sie muss aber existieren.
• Nutzungsregeln festhalten: Welche Daten dürfen in welches Werkzeug? Der praktisch wichtigste Punkt, und zugleich der, der Datenschutzprobleme verhindert.
• Transparenzhinweise setzen: überall dort, wo KI direkt mit Kunden oder Bewerbern kommuniziert.
• Personalprozesse gesondert prüfen: Sobald KI Bewerbungen vorsortiert oder bewertet, ist der Fall anders gelagert als jede andere Anwendung im Haus.
• Zuständigkeit benennen: eine Person, die den Überblick behält, wenn neue Werkzeuge dazukommen.

Für den Mittelstand heißt das

Die Regulierung ist für reine Anwender deutlich weniger dramatisch, als der öffentliche Ton nahelegt – aber sie ist auch nicht null, und die zwei Pflichten, die heute schon gelten, sind ausgerechnet die, die am wenigsten diskutiert werden. Kompetenz und Transparenz kosten wenig Aufwand und sind ohne Beratung erledigbar.

Der Punkt, an dem es tatsächlich ernst wird, ist eng umgrenzt: KI in Personalentscheidungen. Wer dort automatisiert, sollte die Einordnung sauber dokumentieren, auch wenn die Pflichten erst Ende 2027 greifen – die Zeit dazwischen ist Vorbereitungszeit, keine Pause.

Und ein praktischer Rat zur Bestandsaufnahme: Die Werkzeuge, die Sie kennen, sind selten das Problem. Fragen Sie in den Abteilungen nach, welche KI-Dienste dort im Alltag genutzt werden. Diese Liste ist fast immer länger als erwartet, und sie ist die Grundlage für alles Weitere. Wenn Sie dabei ohnehin über den KI-Einsatz im Haus sprechen, lohnt der Blick auf den Reifegrad-Check und auf die typischen Fehler bei der KI-Einführung.

Dieser Beitrag gibt einen Überblick nach bestem Wissen zum Stand 4. August 2026 und ersetzt keine Rechtsberatung.

FAQ

Gilt der EU AI Act auch für kleine Unternehmen?

Ja, die Verordnung kennt keine generelle Ausnahme nach Unternehmensgröße. Der Umfang der Pflichten hängt aber an Ihrer Rolle und am Anwendungsfall: Wer KI nur einsetzt und nicht in einem Hochrisiko-Bereich anwendet, hat im Wesentlichen die Kompetenz-, Verbots- und Transparenzpflichten zu beachten.

Was gilt seit dem 2. August 2026?

Die Transparenzpflichten aus Artikel 50: Menschen müssen erkennen können, wenn sie direkt mit einem KI-System interagieren, und künstlich erzeugte Inhalte müssen in bestimmten Fällen offengelegt werden. Ebenfalls seit diesem Datum kann die EU-Kommission ihre Aufsichtsbefugnisse gegenüber Anbietern von KI-Modellen mit allgemeinem Verwendungszweck vollständig ausüben.

Wurden die Hochrisiko-Pflichten wirklich verschoben?

Ja. Die Verordnung (EU) 2026/1744 („Digital Omnibus”) wurde am 24. Juli 2026 veröffentlicht und ist seit dem 27. Juli 2026 in Kraft. Sie verschiebt die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 und für in Produkte eingebettete KI nach Anhang I auf den 2. August 2028.

Müssen wir KI-generierte Blogbeiträge oder Newsletter kennzeichnen?

In aller Regel nicht. Die Offenlegungspflicht für KI-generierte Texte greift nur bei Veröffentlichungen, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen – Unternehmenskommunikation fällt normalerweise nicht darunter. Und selbst dann entfällt sie, wenn der Text menschlich geprüft wurde und eine Person die redaktionelle Verantwortung trägt. Wer seine Inhalte redaktionell freigibt, erfüllt diese Voraussetzung bereits. Bei Deepfakes gilt die Kennzeichnungspflicht dagegen unabhängig davon.

Ist ein KI-Chatbot auf unserer Website ein Hochrisiko-System?

In aller Regel nicht. Ein Chatbot für Auskünfte fällt normalerweise nicht unter Anhang III. Er unterliegt aber der Transparenzpflicht: Der Nutzer muss erkennen können, dass er mit einer KI schreibt.

Was müssen wir für die KI-Kompetenzpflicht konkret tun?

Sicherstellen, dass Mitarbeitende, die KI-Werkzeuge nutzen, deren Möglichkeiten und Grenzen kennen und wissen, welche Daten sie eingeben dürfen. Die Verordnung schreibt kein bestimmtes Format vor. Eine dokumentierte Unterweisung plus schriftliche Nutzungsregeln sind für die meisten Mittelständler der pragmatische Weg.

Drohen Bußgelder?

Der Bußgeldrahmen der Verordnung wurde von der Verschiebung nicht angetastet. Für Anwenderunternehmen ohne Hochrisiko-Einsatz ist das reale Risiko allerdings überschaubar, solange Kompetenz-, Verbots- und Transparenzpflichten eingehalten werden.