Was der EU AI Act für KMU heute verlangt, was der Digital Omnibus seit Juli 2026 geändert hat, wann die Hochrisiko-Pflichten kommen und welche Bußgelder gelten. Praxisleitfaden mit Zeitstrahl, Risikoklassen und 10 vertiefenden Artikeln, auch zu Deepfake, KI-Phishing und CEO Fraud.
Der EU AI Act ist seit 01.08.2024 in Kraft und wird gestaffelt anwendbar. Art. 4 KI-Kompetenz und Art. 5 Verbote gelten seit 02.02.2025, die Bußgeldregeln seit 02.08.2025. Seit 02.08.2026 ist die Verordnung allgemein anwendbar, darunter die Transparenzpflichten nach Art. 50.
Der Digital Omnibus, die Verordnung (EU) 2026/1744, gilt seit 27.07.2026. Sie verschiebt die Hochrisiko-Pflichten nach Anhang III auf 02.12.2027 und nach Anhang I auf 02.08.2028 und fasst Art. 4 neu.
Bußgelder bis 35 Mio Euro oder 7 Prozent des weltweiten Jahresumsatzes bei Art. 5 Verstößen. Bis 15 Mio oder 3 Prozent bei den meisten übrigen Pflichten. Für KMU gilt jeweils der niedrigere der beiden Werte.
Als Nächstes lohnen sich Maßnahmen zur KI-Kompetenz nach Art. 4 samt Dokumentation, ein KI-Inventar, die Prüfung der Risikoklasse und die Umsetzung der Transparenzpflichten nach Art. 50.
Der EU AI Act ist die Verordnung (EU) 2024/1689 über künstliche Intelligenz. Sie ist seit dem 01.08.2024 in Kraft.
Anders als eine Richtlinie wirkt eine EU-Verordnung direkt in jedem Mitgliedstaat. Es braucht kein deutsches Umsetzungsgesetz, das die Pflichten erst auslöst. Sie gelten unmittelbar.
Im Zentrum steht ein risikobasierter Ansatz. Je höher das Risiko eines KI-Systems für Sicherheit, Gesundheit oder Grundrechte, desto strenger die Pflichten.
Wer ein einfaches Empfehlungssystem im Onlineshop einsetzt, hat fast keine Pflichten. Wer KI für Personalauswahl oder Kreditbewertung nutzt, fällt in die Hochrisikoklasse mit umfangreicher Dokumentations-, Prüf- und Monitoring-Pflicht.
Wichtig: Die Verordnung trifft Anbieter (wer ein KI-System baut oder vermarktet) und Betreiber (wer es einsetzt). Beide Rollen haben Pflichten, aber nicht die gleichen.
Ein KMU, das ChatGPT im Büro nutzt, ist Betreiber. OpenAI ist Anbieter. Wenn dasselbe KMU ein eigenes KI-Tool entwickelt und an Kunden verkauft, wird es zum Anbieter mit deutlich erweiterten Pflichten.
Die Regel zur KI-Kompetenz gilt seit 02.02.2025, nicht erst ab August 2026. Seit der Neufassung durch die Verordnung (EU) 2026/1744 verlangt sie Maßnahmen, die die KI-Kompetenz des Personals fördern, und kein garantiertes Kompetenzniveau.
Eine Nachweispflicht steht nicht im Verordnungstext. Dokumentierte Schulungen helfen trotzdem im Schadensfall, weil die zivilrechtliche Sorgfaltspflicht bleibt.
Der EU AI Act wird gestaffelt anwendbar. Die Digital-Omnibus-Verordnung (EU) 2026/1744, in Kraft seit 27.07.2026, hat die Hochrisiko-Fristen verschoben.
| Datum | Was greift | Wer ist betroffen |
|---|---|---|
| 01.08.2024 | Verordnung tritt in Kraft | Alle (Vorbereitung) |
| 02.02.2025 | Art. 4 (KI-Kompetenz) und Art. 5 (verbotene Praktiken) sind anwendbar | Jedes Unternehmen mit KI-Einsatz |
| 02.08.2025 | Bußgeldregeln, Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) | Anbieter und Betreiber, GPAI-Anbieter |
| 02.08.2026 | Allgemeine Anwendbarkeit, darunter Transparenzpflichten nach Art. 50 (für generative Systeme, die schon vor dem 02.08.2026 auf dem Markt waren, gilt die Kennzeichnung nach Art. 50 Abs. 2 erst ab 02.12.2026) | Anbieter und Betreiber, vor allem generativer KI |
| 02.08.2027 | Frist für GPAI-Modelle, die vor dem 02.08.2025 in Verkehr gebracht wurden; KI-Reallabore der Mitgliedstaaten | GPAI-Anbieter, Behörden |
| 02.12.2027 | Hochrisiko-KI nach Anhang III (durch den Omnibus verschoben von 2026) | Anbieter und Betreiber von Hochrisiko-KI |
| 02.08.2028 | Hochrisiko-KI nach Anhang I (durch den Omnibus verschoben von 2027) | Hersteller regulierter Produkte mit KI |
Stand 28.09.2026, Rechtsstand nach Verordnung (EU) 2026/1744 (ABl. L vom 24.07.2026).
Der EU AI Act sortiert KI-Systeme in vier Risikoklassen. Die Pflichten richten sich nach der Klasse.
Soziale Bewertung von Personen durch Behörden, Echtzeit-Gesichtserkennung im öffentlichen Raum (mit Ausnahmen), Manipulation, Ausnutzung von Schwächen, Emotionserkennung am Arbeitsplatz und in Schulen.
Folge: Komplett verboten in der EU. Bußgeld bis 35 Mio Euro oder 7 Prozent.
KI für Personalauswahl, Kreditbewertung, Bildungszulassung, Strafverfolgung, kritische Infrastruktur (Annex III). KI in regulierten Produkten wie Medizingeräten, Fahrzeugen, Spielzeug (Annex I).
Folge: Risikomanagement, technische Dokumentation, menschliche Aufsicht, Post-Market Monitoring, CE-Kennzeichnung. Bußgeld bis 15 Mio oder 3 Prozent.
Generative KI wie ChatGPT, Bildgeneratoren, Chatbots, Deepfake-Tools. Inhalte, die mit KI erstellt oder verändert werden.
Folge: Transparenzpflicht. Nutzer müssen erkennen können, dass sie mit einer KI sprechen oder dass Inhalte KI-generiert sind. Maschinenlesbare Kennzeichnung von synthetischen Inhalten.
Spamfilter, KI in Videospielen, einfache Empfehlungssysteme im Shop, automatische Bildkomprimierung. Der große Rest des KI-Marktes.
Folge: Keine spezifischen Pflichten aus dem AI Act. Trotzdem gilt Art. 4: Wer KI einsetzt, ergreift Maßnahmen zur KI-Kompetenz, unabhängig von der Klasse.
Fünf Schritte, in der Reihenfolge, wie sie ein typisches KMU am sinnvollsten abarbeitet. Schritt eins betrifft jedes Unternehmen mit KI-Einsatz. Die Schritte drei bis fünf werden nur relevant, wenn Hochrisiko-KI im Spiel ist.
Schule alle Mitarbeiter, die KI nutzen, passend zu ihrer Aufgabe. Dokumentiere, wer was wann gelernt hat. Im Schadensfall belegt die Dokumentation deine Sorgfalt, auch wenn der Verordnungstext sie nicht verlangt.
Was das kostet, zeigt unser Beitrag zu den Kosten einer KI-Schulung pro Mitarbeiter. Unsere DigiMan-Weiterbildung deckt Art. 4 als Teil des Curriculums ab.
Liste alle KI-Tools, die in deinem Unternehmen eingesetzt werden. ChatGPT, Microsoft Copilot, KI-Funktionen in DATEV, im CRM, im Buchhaltungstool, Bewerber-Screening, Spamfilter. Pro Tool: Anbieter, Zweck, betroffene Daten, Risikoklasse. Das ist die Basis für alle weiteren Schritte.
Falls dein Inventar Hochrisiko-Fälle enthält (Personalentscheidungen, Kreditscoring, Medizin), bist du in der schärfsten Klasse. Dann brauchst du ab 02.12.2027 (Annex III) ein vollständiges Compliance-Programm. Beginn jetzt mit Risikomanagement und Dokumentation, das lässt sich nicht in drei Monaten nachholen.
Wenn du Hochrisiko-KI einsetzt oder anbietest, brauchst du einen Monitoring-Prozess. Welche Vorfälle, Fehler oder Drift willst du wie messen, wie oft prüfen, an wen melden? Greift formal erst mit den Hochrisiko-Pflichten (2027/2028), aber frühzeitiger Aufbau spart Stress.
Bei schweren Vorfällen mit Hochrisiko-KI ist eine Meldung an die Marktüberwachungsbehörde Pflicht: 15 Tage Standardfrist, 10 Tage bei Tod, 2 Tage bei weitreichenden Auswirkungen. Bestimme heute schon, wer im Unternehmen meldet, an welche Behörde, mit welchem Template. Im Ernstfall hast du keine Zeit das zu klären.
Praxis-Hinweis: Die Punkte 1 und 2 schaffen die meisten KMU in zwei bis drei Wochen. Punkt 3 dauert länger, ist aber nur relevant, wenn dein Inventar Hochrisiko enthält.
Beginn mit dem Inventar. Nach unserer Erfahrung stellen die meisten Mittelständler dabei fest, dass sie keine Hochrisiko-KI einsetzen. Dann bleiben Art. 4 und die Transparenzpflichten nach Art. 50.
Kleine und mittlere Unternehmen haben im EU AI Act einige Sonderregeln. Bei Bußgeldern gilt für KMU und Start-ups nach Art. 99 Abs. 6 jeweils der niedrigere Wert, also Eurobetrag oder Prozentsatz. Anbieter aus dem Mittelstand dürfen die technische Dokumentation für Hochrisiko-KI in vereinfachter Form vorlegen und erhalten vorrangigen Zugang zu den KI-Reallaboren der Mitgliedstaaten.
Die Verordnung (EU) 2026/1744 hat mehrere dieser Erleichterungen auf kleine Unternehmen mittlerer Kapitalisierung ausgedehnt. Gemeint sind Firmen, die keine KMU mehr sind, aber unter anderem weniger als 750 Beschäftigte haben. Für sie gilt die mildere Bußgeldregel allerdings nur bei den unteren Stufen, nicht bei verbotenen Praktiken nach Art. 5.
Am Grundsatz ändert das wenig. Art. 4 und die Transparenzpflichten nach Art. 50 gelten für jedes Unternehmen, unabhängig von seiner Größe.
Drei Gruppen: aktuelle Regelung 2026, Praxis-Bedrohungen, Schulung und Reaktion. Jeder Artikel ist ein eigenständiger Praxisbeitrag mit konkreten Schritten.
Das Vereinfachungspaket der Kommission und seine Folgen für KMU. Welche Pflichten fallen weg, welche bleiben, welche werden verschoben.
Artikel lesen →Annex III auf 02.12.2027, Annex I auf 02.08.2028. Was die neue Zeitschiene bedeutet, wer mehr Zeit gewinnt, wer nicht profitiert.
Artikel lesen →Was Article 72 verlangt, ab wann er greift, wie ein einfacher Monitoring-Prozess für KMU aussehen kann.
Artikel lesen →Reduzierte Bußgelder, vereinfachte Dokumentation, längere Übergangsfristen. Was das konkret bedeutet, wenn du unter 250 Mitarbeiter hast.
Artikel lesen →Wie KI heute Stimmen aus 30 Sekunden Audio klont. Welche Anzeichen es gibt, welche Code-Worte du im Team vereinbarst, was du sagst, wenn du unsicher bist.
Artikel lesen →KI macht Phishing fehlerfrei und persönlich. Klassische Erkennungsmuster (Tippfehler, schlechtes Deutsch) reichen nicht mehr. Was 2026 funktioniert.
Artikel lesen →Sprachnachrichten als Angriffspunkt. Wie Stimmenklau über WhatsApp funktioniert, welche praktischen Gegenmaßnahmen es gibt.
Artikel lesen →Klassischer Chef-Betrug auf einer neuen Stufe: Stimme, Videoanruf, E-Mail-Stil aller drei Kanäle zusammen überzeugend gefälscht. Was du im Unternehmen prozessual ändern solltest.
Artikel lesen →Wie eine wirksame Schulung aussieht: Inhalte, Dauer, Wiederholungsrhythmus, Test-Phishing, Dokumentation als Nachweis nach Art. 4.
Artikel lesen →Anzeige, Beweissicherung, Meldung an Behörden, Kommunikation nach innen und außen. Schritt für Schritt für den Ernstfall.
Artikel lesen →Die Bußgelder im EU AI Act sind gestaffelt. Bei jedem Verstoß gilt der höhere Wert: fester Eurobetrag oder Prozent des weltweiten Konzernumsatzes.
| Verstoß | Maximum Eurobetrag | Maximum Prozent |
|---|---|---|
| Verbotene Praktiken (Art. 5) | 35 Mio Euro | 7 % weltweiter Jahresumsatz |
| Verstoß gegen Hochrisiko-Pflichten (Annex I + III) | 15 Mio Euro | 3 % weltweiter Jahresumsatz |
| Falsche oder irreführende Auskünfte gegenüber Behörden | 7,5 Mio Euro | 1 % weltweiter Jahresumsatz |
| Sonstige Verstöße (z.B. Art. 50 Transparenz) | 15 Mio Euro | 3 % |
Für KMU und Start-ups kehrt Art. 99 Abs. 6 die Regel um: Dort gilt jeweils der niedrigere der beiden Werte. Null werden die Strafen für kleine Unternehmen damit nicht.
Wer haftet im Unternehmen: Bei Kapitalgesellschaften haftet primär das Unternehmen, nicht die Geschäftsführung persönlich. Aber: Verletzt ein Geschäftsführer nachweislich seine Sorgfaltspflicht (z.B. Art. 4 nicht umgesetzt), kann das eine Innenhaftung gegenüber den Gesellschaftern auslösen. Wer die KI-Kompetenz im Unternehmen nicht fördert, riskiert im Schadensfall mehr als nur das Bußgeld.
Der EU AI Act ist die KI-Verordnung der Europäischen Union (Verordnung 2024/1689). Sie regelt, wie KI-Systeme in der EU entwickelt, verkauft und eingesetzt werden dürfen.
Im Kern geht es um Sicherheit, Transparenz und Schutz von Grundrechten. Die Verordnung ist seit 01.08.2024 in Kraft und wird gestaffelt anwendbar.
Ja, sobald dein Unternehmen KI-Systeme einsetzt, entwickelt oder verkauft. Das umfasst auch Standardtools wie ChatGPT, Microsoft Copilot oder KI-gestützte CRMs.
Wenn du KI nur als Anwender nutzt, hast du primär Pflichten aus Art. 4 (KI-Kompetenz) und Art. 50 (Transparenz). Hochrisiko-Pflichten greifen erst, wenn du KI in sensiblen Bereichen wie Personalentscheidungen oder Kreditvergabe einsetzt.
Seit 02.02.2025 gelten Art. 4 (KI-Kompetenz) und Art. 5 (verbotene KI-Praktiken). Seit 02.08.2025 gelten die Bußgeldregeln und die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck, seit 02.08.2026 ist die Verordnung allgemein anwendbar, darunter die Transparenzpflichten nach Art. 50. Die Verordnung (EU) 2026/1744 hat die Hochrisiko-Pflichten auf 02.12.2027 (Anhang III) und 02.08.2028 (Anhang I) verschoben.
Verstöße gegen Art. 5 (verbotene Praktiken) können mit bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem welcher Wert höher ist. Verstöße gegen die meisten übrigen Pflichten kosten bis zu 15 Millionen Euro oder 3 Prozent.
Falsche oder irreführende Auskünfte gegenüber Behörden sind mit bis zu 7,5 Millionen Euro oder 1 Prozent bewehrt. Für KMU und Start-ups gilt jeweils der niedrigere der beiden Werte.
Hochrisiko-KI ist KI, die in sensiblen Bereichen eingesetzt wird. Annex III nennt zum Beispiel KI für Personalauswahl, Kreditbewertung, Bildungszulassung, Strafverfolgung oder kritische Infrastruktur.
Annex I betrifft KI in regulierten Produkten wie Medizingeräten oder Fahrzeugen. Wer Hochrisiko-KI baut oder einsetzt, muss Risikomanagement, Datenqualität, technische Dokumentation, menschliche Aufsicht und Post-Market Monitoring sicherstellen.
Art. 4 gilt seit 02.02.2025 für jedes Unternehmen, das KI anbietet oder einsetzt. In der seit 27.07.2026 geltenden Fassung verlangt er Maßnahmen, die die KI-Kompetenz des Personals fördern, aber kein bestimmtes Kompetenzniveau und kein festes Schulungsformat.
Eine Nachweispflicht steht nicht im Verordnungstext. Eine dokumentierte Schulung hilft trotzdem im Schadensfall, weil die zivilrechtliche Sorgfaltspflicht bleibt.
Der Digital Omnibus zur KI ist die Verordnung (EU) 2026/1744 vom 08.07.2026, in Kraft seit 27.07.2026. Parlament und Rat hatten sich am 07.05.2026 politisch geeinigt.
Sie verschiebt die Hochrisiko-Pflichten, fasst Art. 4 neu und erleichtert KMU sowie kleinen Unternehmen mittlerer Kapitalisierung die Dokumentation. Außerdem ergänzt sie Art. 5 um neue Verbote, etwa für KI, die Darstellungen sexuellen Kindesmissbrauchs oder nicht einvernehmliche intime Bilder erzeugt.
Nein. Article 72 (Post-Market Monitoring) greift erst zusammen mit den Hochrisiko-Pflichten. Seit dem Omnibus also frühestens 02.12.2027 für Anhang III und 02.08.2028 für Anhang I. Behauptungen, Article 72 sei seit April 2026 anwendbar, sind falsch.
Wer heute schon Hochrisiko-KI plant, sollte den Monitoring-Prozess trotzdem jetzt aufsetzen, weil Aufbau und Datenstruktur Zeit brauchen.
Als Anbieter (Provider) eines KI-Systems trägst du die Hauptpflichten. Du musst Risikomanagement, Konformitätsbewertung, technische Dokumentation, Logging, menschliche Aufsicht und Post-Market Monitoring sicherstellen.
Bei Hochrisiko-KI brauchst du eine CE-Kennzeichnung und eine EU-Konformitätserklärung. Bei generativer KI gelten Transparenzpflichten nach Art. 50: Nutzer müssen erkennen können, dass sie mit KI interagieren oder dass Inhalte KI-generiert sind.
Als Betreiber (Deployer) hast du weniger Pflichten als ein Anbieter. Für jeden KI-Einsatz gilt Art. 4, also Maßnahmen zur KI-Kompetenz des Personals, und bei Deepfakes die Kennzeichnung nach Art. 50. Setzt du Hochrisiko-KI ein, kommen ab 02.12.2027 (bei Produkten nach Anhang I ab 02.08.2028) die Pflichten aus Art. 26 dazu: Nutzung nach Betriebsanleitung, menschliche Aufsicht, Aufbewahrung der Protokolle, Information betroffener Personen und Meldung schwerer Vorfälle.
Bestimmte Betreiber, etwa öffentliche Stellen, müssen zusätzlich eine Grundrechte-Folgenabschätzung nach Art. 27 durchführen.
Art. 4 gilt seit Februar 2025: Wer KI einsetzt, fördert die KI-Kompetenz seiner Mitarbeiter. Unsere Weiterbildung zum Digitalisierungsmanager deckt KI-Kompetenz, Compliance und Praxisanwendung ab. Vier Monate, online, bei bewilligtem Bildungsgutschein ohne Kosten.