Für wen die Verordnung gilt
Die Verordnung (EU) 2024/1689 unterscheidet vor allem zwischen Anbietern (wer ein KI-System entwickelt und auf den Markt bringt) und Betreibern (wer es beruflich einsetzt, engl. deployer). Die allermeisten Unternehmen im Mittelstand sind Betreiber — und für die ist der Pflichtenkatalog deutlich kürzer.
Wer allerdings ein zugekauftes System wesentlich verändert, unter eigenem Namen anbietet oder für einen anderen Zweck einsetzt als vorgesehen, kann selbst zum Anbieter werden. Das ist die praktisch wichtigste Falle für Unternehmen, die eigene Assistenten bauen. Räumlich gilt die Verordnung auch für Anbieter außerhalb der EU, sobald ihre Systeme in der Union genutzt werden — sie hat also extraterritoriale Wirkung. Mehr zur Einordnung des Regelwerks unter KI-Verordnung.
Selbst-Check: Anbieter oder Betreiber?
Die Rollenfrage entscheidet über nahezu alle weiteren Pflichten. Prüfen Sie sich an diesen vier Fällen — die meisten Mittelständler bleiben im ersten.
- Betreiber, wenn Sie ein fertiges KI-System (etwa ChatGPT, Copilot, ein CRM mit KI-Funktion) im beruflichen Alltag einsetzen. Das trifft auf die große Mehrheit zu.
- Anbieter, wenn Sie ein KI-System selbst entwickeln oder entwickeln lassen und unter eigenem Namen auf den Markt bringen.
- Anbieter durch Umwidmung, wenn Sie ein zugekauftes System wesentlich verändern oder für einen anderen Zweck einsetzen als vom Hersteller vorgesehen.
- Anbieter durch Namensnennung, wenn Sie ein System unter Ihrer eigenen Marke weitergeben, etwa einen selbst gebauten Kundenassistenten.
- Faustregel: Wer nur nutzt, ist Betreiber. Wer baut, umbaut oder umetikettiert, wird Anbieter — mit deutlich mehr Pflichten.
Die Risikoklassen und was Betreiber konkret tun müssen
Die Verordnung staffelt Pflichten nach Risiko. Für den Alltag im Mittelstand liegen fast alle Anwendungen in den beiden unteren Kategorien. Entscheidend ist die letzte Spalte: was der Betreiber selbst schuldet.
| Klasse | Beispiele | Konkrete Pflichten Betreiber |
|---|---|---|
| Verboten | Social Scoring, Emotionserkennung am Arbeitsplatz, biometrische Kategorisierung nach sensiblen Merkmalen | Einsatz vollständig untersagt — gilt auch für Betreiber, seit 02.02.2025 |
| Hoch | Bewerberauswahl, Kreditwürdigkeit, kritische Infrastruktur, Bildungszugang | Menschliche Aufsicht sicherstellen, System bestimmungsgemäß betreiben, Eingabedaten auf Eignung prüfen, Betrieb protokollieren (Logs aufbewahren), betroffene Personen informieren, Anbietervorgaben einhalten |
| Begrenzt (Transparenz) | Chatbots, KI-generierte Texte, Bilder, Audio, Deepfakes | Nutzer erkennbar auf die KI-Interaktion hinweisen, KI-Inhalte kennzeichnen (Art. 50) |
| Minimal | Textassistenz, Übersetzung, Rechtschreibprüfung, Spamfilter | Keine besonderen Pflichten außer KI-Kompetenz nach Art. 4 |
Die Fristen im Überblick
Der EU AI Act hat keinen einzelnen Stichtag, sondern eine gestaffelte Einführung. Das ist der Grund, warum das Thema immer wieder aufflammt — und warum manche Pflichten längst gelten, während andere noch anlaufen.
| Datum | Was gilt | Betrifft |
|---|---|---|
| 01.08.2024 | Verordnung (EU) 2024/1689 tritt in Kraft | — |
| 02.02.2025 | Verbotene KI-Praktiken untersagt; KI-Kompetenzpflicht nach Art. 4 | Alle Unternehmen |
| 02.08.2025 | Pflichten für allgemeine KI-Modelle (GPAI), Governance-Struktur, Sanktionsregime aktiv | GPAI-Anbieter, Behörden |
| 02.08.2026 | Hochrisiko-Pflichten (Anhang III) und Transparenz-/Kennzeichnungspflicht nach Art. 50 | Betreiber und Anbieter von Hochrisiko- und Transparenz-Systemen |
| 02.08.2027 | Hochrisiko-Systeme nach Anhang I (Produktsicherheit) | Hersteller regulierter Produkte |
Was Sie jetzt tun sollten
In dieser Reihenfolge, weil die ersten beiden Punkte bereits gelten und die übrigen darauf aufbauen.
- KI-Kompetenz sicherstellen (Art. 4, gilt seit Februar 2025) — siehe Schulungspflicht.
- Kennzeichnung prüfen (Art. 50) — überall dort, wo Kunden mit KI interagieren oder KI-Inhalte sehen. Details unter Kennzeichnungspflicht.
- Bestandsaufnahme: Welche KI-Systeme setzen wir ein, in welcher Risikoklasse, mit welchen Daten? Ein einfaches Register genügt zum Start.
- Interne Regeln festlegen — siehe KI-Governance.
- Hochrisiko-Anwendungen gesondert bewerten, insbesondere im Personalbereich, und dort die Betreiberpflichten aus der Tabelle oben abarbeiten.
Bußgelder und Haftung
Die Verordnung staffelt die Sanktionen nach Schwere des Verstoßes. Es gilt jeweils der höhere der beiden Beträge; für kleine und mittlere Unternehmen sowie Start-ups gilt der jeweils niedrigere. Für Betreiber ohne Hochrisiko- oder verbotene Anwendungen ist das tatsächliche Risiko in der Praxis gering — die hohen Summen zielen auf Anbieter und schwere Verstöße.
| Verstoß | Bußgeld-Obergrenze | Anteil weltweiter Jahresumsatz |
|---|---|---|
| Verbotene KI-Praktiken (Art. 5) | bis 35 Mio. € | bis 7 % |
| Verstoß gegen sonstige Pflichten (u. a. Hochrisiko, Transparenz, Betreiberpflichten) | bis 15 Mio. € | bis 3 % |
| Falsche, unvollständige oder irreführende Angaben gegenüber Behörden | bis 7,5 Mio. € | bis 1 % |
Transparenz- und Kennzeichnungspflicht nach Artikel 50
Seit dem 02.08.2026 greift Artikel 50 — die für Betreiber praktisch relevanteste Regel neben der KI-Kompetenz. Sie verlangt, dass Menschen erkennen können, wenn sie mit KI interagieren oder KI-erzeugte Inhalte vor sich haben.
Konkret bedeutet das: Ein Chatbot muss sich als solcher zu erkennen geben. KI-generierte oder -bearbeitete Bilder, Videos und Audios — insbesondere Deepfakes — sind zu kennzeichnen. Bei rein unterstützender Textkorrektur greift die Pflicht in der Regel nicht. Wer Kundenkommunikation, Marketing oder Support mit KI betreibt, sollte die eigenen Touchpoints daraufhin durchgehen. Details unter Kennzeichnungspflicht.
Aufwand und Kosten der Umsetzung
Für Betreiber ohne Hochrisiko-Anwendungen ist die Umsetzung überschaubar und lässt sich in Wochen erledigen, nicht in Monaten. Die folgenden Werte dienen der groben Orientierung; der konkrete Aufwand hängt von Unternehmensgröße und Systemlandschaft ab.
| Leistung | Aufwand | Kosten (Orientierung) |
|---|---|---|
| Bestandsaufnahme und Potenzialanalyse | 1–2 Wochen | niedriger vierstelliger Bereich |
| KI-Kompetenz / Grundschulung der Belegschaft | 2–4 Std. je Mitarbeiter | über Qualifizierungschancengesetz bis zu 100 % förderfähig |
| Erster begleiteter Anwendungsfall | 4–12 Wochen | 5.000–20.000 € je nach Systemanbindung |
Häufige Fehleinschätzungen
Drei Missverständnisse kosten in der Praxis am meisten Zeit. Erstens: „Wir nutzen nur ChatGPT, uns betrifft das nicht.“ Falsch — die KI-Kompetenzpflicht gilt auch dann. Zweitens: „Der AI Act gilt erst ab 2026.“ Falsch — Verbote und Art. 4 gelten seit Februar 2025. Drittens: „Als Betreiber müssen wir eine Konformitätsbewertung machen.“ In der Regel falsch — diese aufwendige Pflicht trifft Anbieter von Hochrisiko-Systemen, nicht Betreiber von Standardwerkzeugen.
Wer die Rollenfrage sauber klärt und die zwei bereits geltenden Pflichten erfüllt, hat den größten Teil des realen Risikos abgedeckt. Für die Einordnung im eigenen Haus hilft ein strukturiertes Erstgespräch.
Kostenloses Compliance Kit zum Download
Das EU AI Act Compliance Kit 2026 bündelt diesen Fahrplan als 13-seitiges Arbeitsdokument: Management-Summary, KI-Inventar zum Ausfüllen, Risiko-Schnellcheck, 16-Punkte-Audit mit Compliance-Score, Verantwortlichkeitsmatrix und 30-Tage-Roadmap — inklusive Förderweg über das Qualifizierungschancengesetz.
→ EU AI Act Compliance Kit 2026 herunterladen (PDF, kostenlos, ohne Anmeldung)
Häufige Fragen
Ab wann gilt der EU AI Act?
Gestaffelt. In Kraft seit dem 01.08.2024; die Verbote und die Pflicht zur KI-Kompetenz gelten seit dem 02.02.2025, Pflichten für allgemeine KI-Modelle seit dem 02.08.2025, der Großteil der Hochrisiko-Regeln und die Kennzeichnungspflicht seit dem 02.08.2026, die Produktsicherheits-Fälle nach Anhang I ab dem 02.08.2027.
Sind wir Anbieter oder Betreiber?
Wer ein fertiges KI-System nur einsetzt, ist Betreiber — das trifft auf die meisten Unternehmen zu. Zum Anbieter wird man, wenn man ein System selbst entwickelt, es wesentlich verändert, unter eigenem Namen weitergibt oder zweckentfremdet. Die Betreiberpflichten sind deutlich kürzer als die Anbieterpflichten.
Gilt das auch für kleine Unternehmen?
Ja, es gibt keine generelle Ausnahme nach Größe. Der Umfang der Maßnahmen darf aber angemessen sein — für kleine und mittlere Unternehmen gelten teilweise vereinfachte Dokumentationspflichten, und bei Bußgeldern greift der jeweils niedrigere Betrag.
Betrifft uns das, wenn wir nur ChatGPT nutzen?
Ja, aber überschaubar: Sie sind Betreiber eines Systems mit minimalem Risiko. Relevant sind die KI-Kompetenz nach Art. 4 und gegebenenfalls die Kennzeichnung erzeugter Inhalte nach Art. 50. Eine Konformitätsbewertung müssen Sie nicht durchführen.
Was bedeutet die Kennzeichnungspflicht seit August 2026?
Nach Artikel 50 müssen Menschen erkennen können, dass sie mit KI interagieren oder KI-erzeugte Inhalte sehen. Chatbots müssen sich zu erkennen geben, KI-generierte Bilder, Videos und Audios sind zu kennzeichnen. Reine Textkorrektur ist in der Regel ausgenommen.
Müssen wir alle KI-Systeme dokumentieren?
Vorgeschrieben ist ein förmliches Register nur in engem Rahmen. In der Praxis ist eine einfache Bestandsliste aller eingesetzten KI-Systeme mit Zweck, Risikoklasse und verarbeiteten Daten trotzdem sinnvoll — sie ist die Grundlage für jede spätere Bewertung und der beste Nachweis, dass man das Thema strukturiert angeht.
Wie hoch sind die Bußgelder?
Bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. € oder 3 % bei sonstigen Pflichtverstößen, bis zu 7,5 Mio. € oder 1 % bei falschen Angaben. Es gilt der jeweils höhere Betrag, für KMU der niedrigere. Für Betreiber ohne Hochrisiko-Anwendungen ist das Risiko praktisch gering.
Was kostet die Umsetzung?
Für Betreiber ohne Hochrisiko-Anwendungen bewegt sich eine Bestandsaufnahme im niedrigen vierstelligen Bereich. Grundschulungen zur KI-Kompetenz sind über das Qualifizierungschancengesetz bis zu 100 % förderfähig. Ein erster begleiteter Anwendungsfall liegt je nach Systemanbindung bei 5.000–20.000 €.
Wer kontrolliert das in Deutschland?
Die Marktüberwachung wird über ein Zusammenspiel von Bundesnetzagentur und weiteren Behörden organisiert. Die vollständige nationale Ausgestaltung durch ein Durchführungsgesetz war Mitte 2026 noch nicht abgeschlossen; an den Pflichten selbst ändert das nichts.