Seit dem 2. August 2026 gilt der Großteil der EU-KI-Verordnung, des „AI Act“. Die meisten Meldungen dazu drehen sich um Hochrisiko-Systeme und Milliardenkonzerne. Für einen Betrieb mit 15 oder 50 Beschäftigten ist die Frage viel einfacher: Wir nutzen ChatGPT, Copilot, einen Übersetzer und ab und zu einen Bildgenerator — was müssen wir jetzt konkret tun? Die Antwort ist kürzer, als der Verordnungstext vermuten lässt. Wir haben sie für unsere eigene Website durchexerziert.
Erst die Einordnung: Sie sind fast sicher „Betreiber“, nicht „Anbieter“
Die Verordnung unterscheidet zwei Rollen. Der Anbieter entwickelt ein KI-System oder bringt es unter eigenem Namen auf den Markt. Der Betreiber setzt ein fertiges System im eigenen Betrieb ein. Wer ChatGPT, Microsoft Copilot oder DeepL nutzt, ist Betreiber — und für Betreiber sind die Pflichten überschaubar. Anders sieht es aus, wenn Sie ein KI-Produkt selbst entwickeln und verkaufen; dann ist dieser Artikel nicht Ihr Maßstab.
Die drei Pflichten, die kleine Unternehmen wirklich treffen
1. KI-Kompetenz im Team (Artikel 4) — gilt schon seit Februar 2025
Wer KI-Systeme einsetzt, muss dafür sorgen, dass die Beschäftigten, die damit arbeiten, ausreichend KI-kompetent sind — angemessen zu ihrer Aufgabe und dem Einsatzkontext. Ein Zertifikat verlangt die Verordnung nicht, einen eigenen Bußgeldtatbestand gibt es dafür ebenfalls nicht. Die Pflicht besteht trotzdem, und sie ist die günstigste von allen: Für die meisten Betriebe reicht eine dokumentierte Schulung von einer Stunde. Was KI kann und was nicht, welche Daten nie in ein öffentliches Tool gehören, wann ein Ergebnis geprüft werden muss.
2. Transparenz (Artikel 50) — gilt seit August 2026
Zwei Fälle sind für kleine Unternehmen relevant. Erstens: Wenn Kundinnen und Kunden mit einem KI-System sprechen — ein Chatbot auf der Website, ein Sprachassistent am Telefon — müssen sie erfahren, dass es eine Maschine ist, sofern das nicht ohnehin offensichtlich ist. Zweitens: Wer KI-erzeugte Bilder, Videos oder Tonaufnahmen veröffentlicht, die echt wirken und reale Personen, Orte oder Ereignisse zeigen könnten — die Verordnung nennt das „Deepfakes“ —, muss offenlegen, dass der Inhalt künstlich erzeugt ist.
3. Verbotene Praktiken (Artikel 5) — gilt seit Februar 2025
Einige Anwendungen sind schlicht untersagt, unabhängig von Größe und Branche. Für Betriebe am ehesten relevant: KI, die Emotionen von Beschäftigten am Arbeitsplatz auswertet — etwa in Bewerbungsgesprächen oder im Kundenservice zur Stimmungsanalyse der eigenen Mitarbeitenden —, ist verboten, abgesehen von medizinischen und Sicherheitsgründen. Ebenso Systeme, die Menschen manipulieren oder Schwächen gezielt ausnutzen. Wer solche Funktionen in einem Tool entdeckt, schaltet sie ab.
Was Sie nicht betrifft — und wovor Sie sich nicht fürchten müssen
Die umfangreichen Pflichten für Hochrisiko-Systeme — Risikomanagement, Konformitätsbewertung, Registrierung — greifen bei Anwendungen wie KI-gestützter Personalauswahl, Kreditvergabe oder kritischer Infrastruktur. Ein Textassistent, ein Übersetzer oder ein Bildgenerator im Marketing fällt nicht darunter. Und die Bußgeldrahmen, die in den Schlagzeilen stehen — bis zu 35 Millionen Euro oder 7 Prozent des Jahresumsatzes —, gelten für die verbotenen Praktiken; für kleine und mittlere Unternehmen ist ausdrücklich der jeweils niedrigere Betrag maßgeblich.
Die Stunde, die es braucht: Checkliste für Betreiber
- KI-Inventar anlegen: Welche Tools nutzt wer wofür? Auch die inoffiziellen — der Übersetzer im Browser zählt.
- Rolle festhalten: Betreiber. Falls Sie ein KI-System selbst anbieten, ist das ein eigenes Projekt.
- Schulung durchführen und datieren: eine Stunde, Teilnehmerliste, drei Kernregeln. Das ist Ihr Nachweis nach Artikel 4.
- Chatbots und Sprachassistenten prüfen: Gibt sich das System als KI zu erkennen? Wenn nicht, den Hinweis ergänzen.
- KI-Bilder, -Videos, -Audio kennzeichnen: sichtbarer Hinweis auf der Seite plus Metadaten in der Datei.
- Datenschutz mitdenken: Keine personenbezogenen Daten in Consumer-Tools ohne Auftragsverarbeitungsvertrag. Die DSGVO gilt neben dem AI Act weiter.
- Eine Seite KI-Richtlinie schreiben: erlaubte Tools, verbotene Eingaben, Prüfpflicht vor Veröffentlichung. Mehr braucht es nicht.
So haben wir es bei uns gelöst
Wir nutzen KI-generierte Symbolbilder auf mehreren Seiten dieser Website. Jedes davon ist im Impressum unter „Bildnachweis und KI-Hinweis“ ausgewiesen. Zusätzlich trägt jede dieser Bilddateien den IPTC-Standardvermerk für KI-erzeugte Medien — ein maschinenlesbares Feld, das Suchmaschinen und Plattformen auslesen können. Damit die Kennzeichnung nicht bei der nächsten Bildänderung verloren geht, prüft ein Skript vor jeder Veröffentlichung automatisch, ob alle KI-Bilder gekennzeichnet sind. Fehlt eine, bricht die Veröffentlichung ab. Der ganze Aufwand: ein Nachmittag.
Wann Sie doch genauer hinschauen sollten
Drei Situationen, in denen es sich lohnt, das Thema mit jemandem durchzugehen: Sie setzen KI in Bewerbungsverfahren oder zur Leistungsbewertung von Beschäftigten ein. Sie bauen einen eigenen Chatbot oder Sprachassistenten für Kunden auf. Oder Sie sind Zulieferer eines Unternehmens, das unter NIS2 fällt — dann kommen die Anforderungen ohnehin über die Lieferkette zu Ihnen. Alles andere ist mit der Checkliste oben erledigt.