EU AI Act für Anwenderunternehmen: Welche Pflichten den Mittelstand treffen

Wenn Ihr Unternehmen KI einsetzt, aber keine KI-Systeme entwickelt oder unter eigenem Namen anbietet, sind für Sie aus der KI-Verordnung vor allem drei Pflichten praktisch relevant: Sie müssen Maßnahmen ergreifen, die die KI-Kompetenz Ihrer Mitarbeitenden fördern, verbotene Anwendungen dürfen Sie nicht einsetzen, und Menschen müssen erkennen können, wenn sie mit einem KI-System interagieren. Die vielzitierten Hochrisiko-Pflichten treffen die meisten Mittelständler nicht – und wurden für die Fälle, in denen sie greifen, kürzlich verschoben.

Zwei Einschränkungen gleich vorweg, damit diese Aufzählung nicht falsch gelesen wird. Erstens ist sie keine abschließende Liste: Je nach Anwendungsfall können weitere Pflichten aus der KI-Verordnung hinzukommen, etwa wenn Sie ein zugekauftes System wesentlich verändern oder in einem Hochrisiko-Bereich einsetzen. Zweitens gilt neben der KI-Verordnung das übrige Recht unverändert weiter – Datenschutz, Arbeits- und Mitbestimmungsrecht, Urheberrecht, Verbraucherschutz und branchenspezifische Vorgaben. Der KI-Einsatz in der Personalabteilung etwa berührt fast immer Datenschutz und Betriebsrat, unabhängig davon, was die KI-Verordnung dazu sagt.

Die Unterscheidung, um die es hier geht, ist trotzdem der eigentliche Punkt. Ein großer Teil der kursierenden Ratgeber beschreibt die Pflichten von Anbietern von KI-Systemen. Wer ein fertiges Werkzeug einkauft und benutzt, ist in der Sprache der Verordnung ein Betreiber, und für den gilt aus der KI-Verordnung deutlich weniger.

Die drei Pflichten, die Sie jetzt betreffen

1. KI-Kompetenz (Artikel 4) – gilt seit Februar 2025, seit dem 27. Juli 2026 in abgeschwächter Form

Die älteste und am häufigsten übersehene Pflicht – und die einzige, deren Inhalt der Digital Omnibus verändert hat. Bis zum 27. Juli 2026 verlangte Artikel 4, ein ausreichendes Maß an KI-Kompetenz sicherzustellen. Seither lautet die Vorschrift, dass Anbieter und Betreiber „Maßnahmen [ergreifen], um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind”. Und ausdrücklich weiter: „Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.”

Der Unterschied ist praktisch relevant, wird aber leicht überzogen. Die Pflicht besteht fort – die Verordnung nennt sie selbst eine Verpflichtung, und sie trifft jedes Unternehmen, das KI einsetzt. Weggefallen ist die Ergebnishaftung: Sie schulden Maßnahmen, nicht ein nachweisbares Kompetenzniveau je Person. Zu berücksichtigen sind dabei ausdrücklich Vorkenntnisse, Erfahrung und der Einsatzkontext.

Was das praktisch bedeutet: Wer in Ihrem Unternehmen ein KI-Werkzeug benutzt, sollte verstehen, was es kann, wo es Fehler macht und welche Daten er hineingeben darf. Die Verordnung schreibt kein Zertifikat und keine bestimmte Schulungsform vor. Eine dokumentierte Unterweisung plus schriftliche Nutzungsregeln bleibt der pragmatische Weg – nach der Änderung weniger als Haftungsschutz, mehr als Nachweis, dass Sie Maßnahmen ergriffen haben.

2. Verbotene Praktiken (Artikel 5) – gilt seit dem 2. Februar 2025

Bestimmte Anwendungen sind in der EU unabhängig von Ihrer Unternehmensgröße untersagt, unter anderem die Bewertung von Menschen nach sozialem Verhalten, das gezielte Ausnutzen von Schutzbedürftigkeit und die Emotionserkennung am Arbeitsplatz. Für einen typischen Mittelständler ist dieser Punkt in der Regel schnell abgehakt – mit einer Ausnahme, die es zu prüfen lohnt: Software, die Stimmung oder Belastung von Mitarbeitenden auswertet, fällt in einen heiklen Bereich.

3. Transparenz (Artikel 50) – gilt seit dem 2. August 2026

Die neueste Pflicht, seit wenigen Tagen in Kraft. Artikel 50 verlangt, dass Menschen erkennen können, wenn sie es mit einem KI-System zu tun haben. Für Anwenderunternehmen sind vor allem zwei Punkte relevant:

• Direkte Interaktion: Nutzer müssen grundsätzlich darüber informiert werden, dass sie mit einem KI-System interagieren – sofern das nicht aus den Umständen ohnehin offensichtlich ist. Adressat der Pflicht ist in erster Linie der Anbieter des Systems: Bei einem zugekauften Standard-Chatbot bringt das Produkt den Hinweis in der Regel bereits mit. Prüfen Sie, ob er in Ihrer Einbindung tatsächlich sichtbar ist, statt ihn ungeprüft vorauszusetzen.
• Deepfakes: Veröffentlichte Bild-, Ton- oder Videoinhalte, die eine Person oder ein Ereignis täuschend echt nachbilden, sind als künstlich erzeugt oder manipuliert offenzulegen.
• KI-generierte Texte, aber nur in einem engen Fall: Die Offenlegungspflicht greift bei Texten, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Und sie entfällt ausdrücklich, wenn die Inhalte einem Verfahren der menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurden und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt.

Der dritte Punkt wird häufig zu weit ausgelegt, deshalb explizit: Ein Unternehmensblog, ein Newsletter oder eine Produktbeschreibung ist nicht allein deshalb kennzeichnungspflichtig, weil KI bei der Erstellung geholfen hat. Werden die Inhalte menschlich geprüft, redaktionell freigegeben und ist eine verantwortliche Person oder Organisation benannt, greift grundsätzlich die Ausnahme. Der Zweck der Veröffentlichung ist die zweite Hürde – die Pflicht zielt auf Information der Öffentlichkeit zu Angelegenheiten von öffentlichem Interesse. Verlassen Sie sich aber nicht allein darauf: Auch ein Unternehmensblog kann im Einzelfall über eine solche Angelegenheit informieren. Die redaktionelle Kontrolle ist das belastbarere Argument.

Der Aufwand für das, was tatsächlich zu tun ist, bleibt gering: ein Hinweis am Anfang der Konversation, eine Kennzeichnung bei Deepfakes. Das Versäumnis dagegen ist vermeidbar und leicht nachweisbar.

Was der Digital Omnibus geändert hat – und was nicht

Die Verordnung (EU) 2026/1744 vom 8. Juli 2026 – die „Digital-Omnibus-Verordnung zur KI” – wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 in Kraft. Sie verschiebt die Pflichten für Hochrisiko-KI-Systeme:

Bereich	Ursprünglich	Jetzt
Eigenständige Hochrisiko-Systeme (Anhang III)	2. August 2026	2. Dezember 2027
In Produkte eingebettete KI (Anhang I)	2. August 2027	2. August 2028

Begründet wurde die Verschiebung damit, dass die technischen Normen für die Konformitätsbewertung nicht fertig sind und zu wenige Stellen benannt wurden, um sie durchzuführen.

Neben den Fristen hat die Verordnung über vierzig Artikel der KI-Verordnung geändert. Für Anwenderunternehmen ist davon vor allem einer relevant: Artikel 4 wurde neu gefasst und von einer Pflicht, ein ausreichendes Kompetenzniveau sicherzustellen, zu einer Pflicht, Maßnahmen zu dessen Förderung zu ergreifen (siehe oben).

Unverändert geblieben sind: die Verbote aus Artikel 5, die Transparenzpflichten aus Artikel 50 zum 2. August 2026 sowie Aufsicht und Bußgeldrahmen.

Das ist die Stelle, an der viele aktuell zirkulierende Ratgeber falsch liegen: Sie nennen den 2. August 2026 pauschal als „den großen Stichtag” für Hochrisiko-Pflichten. Für den Hochrisiko-Teil stimmt das seit Ende Juli nicht mehr – für die Transparenzpflichten dagegen schon.

Sind Sie überhaupt betroffen? Vier Fragen

Arbeiten Sie die folgenden Fragen in dieser Reihenfolge ab.

1. Entwickeln oder vermarkten Sie KI-Systeme unter eigenem Namen? Falls nein, sind Sie Betreiber und nicht Anbieter – die umfangreichen Anbieterpflichten entfallen. Achtung: Wer ein zugekauftes System wesentlich verändert oder unter eigener Marke weitergibt, kann selbst zum Anbieter werden.

2. Setzen Sie KI in einem der Anhang-III-Bereiche ein? Anhang III nennt acht Bereiche, darunter Beschäftigung und Personalmanagement, Zugang zu grundlegenden Diensten wie Krediten, Bildung, Biometrie und kritische Infrastruktur. Für Mittelständler ist praktisch relevant vor allem der erste: KI in der Bewerberauswahl oder in Personalentscheidungen. Falls ja, gelten für Sie Betreiberpflichten – ab dem 2. Dezember 2027.

3. Kommuniziert Ihre KI direkt mit Menschen? Falls ja, greift die Transparenzpflicht bereits heute.

4. Nutzen Mitarbeitende KI-Werkzeuge im Arbeitsalltag? Falls ja – und das ist praktisch überall der Fall –, greift die Kompetenzpflicht aus Artikel 4, seit Februar 2025 und seit dem 27. Juli 2026 in der abgeschwächten Fassung.

Die Checkliste für Anwenderunternehmen

• Bestandsaufnahme: Welche KI-Werkzeuge werden bei uns tatsächlich genutzt? Auch die, die einzelne Abteilungen ohne IT-Beteiligung eingeführt haben.
• Einordnung je Werkzeug: Sind wir Betreiber oder ausnahmsweise Anbieter? Fällt der Einsatz in einen Anhang-III-Bereich?
• Kompetenz nachweisen: Wer nutzt was, und wer wurde wann unterwiesen? Eine Liste genügt, sie muss aber existieren.
• Nutzungsregeln festhalten: Welche Daten dürfen in welches Werkzeug? Der praktisch wichtigste Punkt, und zugleich der, der Datenschutzprobleme verhindert.
• Transparenzhinweise setzen: überall dort, wo KI direkt mit Kunden oder Bewerbern kommuniziert.
• Personalprozesse gesondert prüfen: Sobald KI Bewerbungen vorsortiert oder bewertet, ist der Fall anders gelagert als jede andere Anwendung im Haus.
• Zuständigkeit benennen: eine Person, die den Überblick behält, wenn neue Werkzeuge dazukommen.

Für den Mittelstand heißt das

Die Regulierung ist für reine Anwender deutlich weniger dramatisch, als der öffentliche Ton nahelegt – aber sie ist auch nicht null, und die zwei Pflichten, die heute schon gelten, sind ausgerechnet die, die am wenigsten diskutiert werden. Kompetenz und Transparenz kosten wenig Aufwand und sind ohne Beratung erledigbar.

Der Punkt, an dem es tatsächlich ernst wird, ist eng umgrenzt: KI in Personalentscheidungen. Wer dort automatisiert, sollte die Einordnung sauber dokumentieren, auch wenn die Pflichten erst Ende 2027 greifen – die Zeit dazwischen ist Vorbereitungszeit, keine Pause.

Und ein praktischer Rat zur Bestandsaufnahme: Die Werkzeuge, die Sie kennen, sind selten das Problem. Fragen Sie in den Abteilungen nach, welche KI-Dienste dort im Alltag genutzt werden. Diese Liste ist fast immer länger als erwartet, und sie ist die Grundlage für alles Weitere. Wenn Sie dabei ohnehin über den KI-Einsatz im Haus sprechen, lohnt der Blick auf den Readiness-Check und auf die typischen Fehler bei der KI-Einführung.

Dieser Beitrag gibt einen Überblick nach bestem Wissen zum Stand 4. August 2026 und ersetzt keine Rechtsberatung.

FAQ

Gilt der EU AI Act auch für kleine Unternehmen?

Ja, die Verordnung kennt keine generelle Ausnahme nach Unternehmensgröße. Der Umfang der Pflichten hängt aber an Ihrer Rolle und am Anwendungsfall: Wer KI nur einsetzt und nicht in einem Hochrisiko-Bereich anwendet, hat im Wesentlichen die Kompetenz-, Verbots- und Transparenzpflichten zu beachten.

Was gilt seit dem 2. August 2026?

Die Transparenzpflichten aus Artikel 50: Menschen müssen erkennen können, wenn sie direkt mit einem KI-System interagieren, und künstlich erzeugte Inhalte müssen in bestimmten Fällen offengelegt werden. Ebenfalls seit diesem Datum kann die EU-Kommission ihre Aufsichtsbefugnisse gegenüber Anbietern von KI-Modellen mit allgemeinem Verwendungszweck vollständig ausüben.

Wurden die Hochrisiko-Pflichten wirklich verschoben?

Ja. Die Verordnung (EU) 2026/1744 („Digital Omnibus”) vom 8. Juli 2026 wurde am 24. Juli 2026 veröffentlicht und ist seit dem 27. Juli 2026 in Kraft. Sie verschiebt die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 und für in Produkte eingebettete KI nach Anhang I auf den 2. August 2028.

Müssen wir KI-generierte Blogbeiträge oder Newsletter kennzeichnen?

In aller Regel nicht. Die Offenlegungspflicht für KI-generierte Texte greift nur bei Veröffentlichungen, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen – Unternehmenskommunikation fällt normalerweise nicht darunter. Und selbst dann entfällt sie, wenn der Text menschlich geprüft wurde und eine Person die redaktionelle Verantwortung trägt. Wer seine Inhalte redaktionell freigibt, erfüllt diese Voraussetzung bereits. Bei Deepfakes gilt die Kennzeichnungspflicht dagegen unabhängig davon.

Ist ein KI-Chatbot auf unserer Website ein Hochrisiko-System?

In aller Regel nicht. Ein Chatbot für Auskünfte fällt normalerweise nicht unter Anhang III. Er unterliegt aber der Transparenzpflicht: Der Nutzer muss erkennen können, dass er mit einer KI schreibt.

Was müssen wir für die KI-Kompetenzpflicht konkret tun?

Maßnahmen ergreifen, die die KI-Kompetenz der Mitarbeitenden fördern, die KI-Werkzeuge nutzen: Sie sollen deren Möglichkeiten und Grenzen kennen und wissen, welche Daten sie eingeben dürfen. Seit der Neufassung durch den Digital Omnibus am 27. Juli 2026 schulden Sie ausdrücklich kein garantiertes Kompetenzniveau je Person mehr, sondern die Maßnahmen. Die Verordnung schreibt kein bestimmtes Format vor; eine dokumentierte Unterweisung plus schriftliche Nutzungsregeln bleiben für die meisten Mittelständler der pragmatische Weg.

Drohen Bußgelder?

Der Bußgeldrahmen der Verordnung wurde von der Verschiebung nicht angetastet. Für Anwenderunternehmen ohne Hochrisiko-Einsatz ist das reale Risiko allerdings überschaubar, solange Kompetenz-, Verbots- und Transparenzpflichten eingehalten werden.