Kurz gesagt: Seit dem 2. August 2026 wird die KI-Verordnung der EU beaufsichtigt, in Deutschland durch die Bundesnetzagentur. Für einen kleinen Betrieb, der fertige KI-Werkzeuge nutzt, laufen die Pflichten auf drei Dinge hinaus: Die Beschäftigten müssen wissen, was sie da benutzen (KI-Kompetenz, Pflicht seit Februar 2025), Kunden müssen erkennen, wenn sie mit einer KI reden oder KI-erzeugte Bilder sehen (Transparenz, Pflicht seit August 2026), und die wenigen verbotenen Anwendungen bleiben tabu. Ein Zertifikat verlangt niemand. Wer dagegen KI für Personalentscheidungen einsetzt, bekommt ab Dezember 2027 zusätzliche Pflichten.
Wer betroffen ist: Anbieter und Betreiber
Die KI-Verordnung (Verordnung (EU) 2024/1689) unterscheidet zwei Rollen [1]:
- Anbieter entwickeln ein KI-System oder bringen es unter eigenem Namen auf den Markt. Das sind OpenAI, Microsoft, Google, Anthropic und die vielen Software-Firmen, die KI in ihre Produkte einbauen.
- Betreiber nutzen ein KI-System in eigener Verantwortung beruflich. Das ist der Malerbetrieb, der mit ChatGPT Angebote vorschreibt, die Praxis, die Arztbriefe diktiert, der Laden, der Produktfotos mit KI aufhübscht.
Fast jeder kleine Betrieb ist Betreiber, nicht Anbieter. Die meisten Pflichten der Verordnung treffen Anbieter. Die Betreiberpflichten sind überschaubar, aber sie gelten ohne Ausnahme für die Betriebsgröße: Ein Zwei-Personen-Betrieb hat dieselben Grundpflichten wie ein Konzern [1][2].
Die rein private Nutzung ist ausgenommen. Wer ChatGPT abends für die Urlaubsplanung nutzt, fällt nicht unter die Verordnung.
Der Zeitplan, Stand Oktober 2026
Die Verordnung ist seit dem 1. August 2024 in Kraft und gilt gestaffelt [1]. Mit der Digital-Omnibus-Verordnung (Verordnung (EU) 2026/1744 vom 8. Juli 2026, in Kraft seit 27. Juli 2026) hat die EU einige Fristen nach hinten geschoben [3]. Das ergibt für kleine Betriebe diesen Stand:
| Seit wann | Was gilt |
|---|---|
| 2. Februar 2025 | Verbotene KI-Praktiken (Artikel 5) und die Pflicht zur KI-Kompetenz (Artikel 4) |
| 2. August 2026 | Transparenzpflichten (Artikel 50); Beginn der Aufsicht und der Bußgeldvorschriften; in Deutschland Zuständigkeit der Bundesnetzagentur |
| 2. Dezember 2026 | Ende der viermonatigen Übergangsfrist für die maschinenlesbare Kennzeichnung KI-erzeugter Inhalte bei Systemen, die vor dem 2. August 2026 auf den Markt kamen [3] |
| 2. Dezember 2027 | Pflichten für Hochrisiko-Systeme nach Anhang III, darunter KI in Personalauswahl, Bildung und Kreditvergabe (vor der Omnibus-Verordnung: 2. August 2026) [3] |
| 2. August 2028 | Hochrisiko-Systeme in regulierten Produkten nach Anhang I, etwa Medizinprodukte und Maschinen [3] |
Die Omnibus-Verordnung weitet außerdem Erleichterungen, die bisher für kleine und mittlere Unternehmen galten, auf „kleine Midcaps“ mit weniger als 750 Beschäftigten aus, darunter geringere Gebühren, vereinfachte Dokumentation und niedrigere Bußgeldobergrenzen [3].
Pflicht 1: KI-Kompetenz im Betrieb (seit Februar 2025)
Artikel 4 verlangt von Anbietern und Betreibern, nach besten Kräften dafür zu sorgen, dass ihr Personal und alle, die in ihrem Auftrag mit KI-Systemen arbeiten, über ein ausreichendes Maß an KI-Kompetenz verfügen; zu berücksichtigen sind dabei Vorwissen, Einsatzzweck und die Personen, bei denen die KI eingesetzt wird [1].
Was das in der Praxis heißt, hat die EU-Kommission in ihren Fragen und Antworten klargestellt [2]:
- Kein Zertifikat. „There is no need for a certificate.“ Es gibt keine vorgeschriebene Schulung und keinen Mindestumfang in Stunden.
- Angemessen zum Einsatz. Wer nur Texte mit ChatGPT entwirft, braucht etwas anderes als wer ein Bildauswertungssystem in der Fertigung betreibt. Die Kommission nennt vier Bausteine: ein allgemeines Verständnis, was KI ist und wie sie Fehler macht; die eigene Rolle als Betreiber; die konkreten Risiken der eingesetzten Systeme; die Anpassung an Vorwissen und Einsatzkontext.
- Nachweis empfohlen. Die Kommission rät, intern festzuhalten, welche Schulungen oder Anleitungen es gab. Das ist im Streitfall der Beleg, dass man sich bemüht hat.
- Durchsetzung seit August 2026. Die nationalen Behörden überwachen Artikel 4 seit dem 2. August 2026 und können Verstöße verhältnismäßig sanktionieren.
Für einen kleinen Betrieb reicht in der Regel ein Nachmittag: eine kurze Schulung oder Anleitung für alle, die KI beruflich nutzen, mit den Punkten „Was die KI kann und wo sie erfindet“, „Welche Daten nie hinein dürfen“, „Wie Ergebnisse geprüft werden“ und „Wofür wir KI bei uns nutzen und wofür nicht“. Dazu eine Teilnahmeliste mit Datum. Wie groß der Nachholbedarf ist, zeigt die Bitkom-Befragung von 604 Unternehmen ab 20 Beschäftigten aus dem Sommer 2025: 43 Prozent boten damals keine KI-Schulungen an [5]. Ein Jahr später gaben in derselben Reihe 70 Prozent an, Weiterbildung anzubieten, aber 66 Prozent bewerteten die KI-Kompetenz ihrer Beschäftigten weiterhin als gering [6].
Pflicht 2: Transparenz gegenüber Kunden (seit August 2026)
Artikel 50 enthält die Pflichten, die kleine Betriebe im Alltag am ehesten berühren [1]:
- Chatbots und Sprachassistenten. Wer mit einer natürlichen Person über ein KI-System interagiert, muss darüber informiert werden, dass es eine KI ist, es sei denn, das ist offensichtlich. Die Gestaltungspflicht trifft den Anbieter des Chatbots; als Betreiber solltest du prüfen, dass der Hinweis auf deiner Website oder am Telefon tatsächlich erscheint.
- Deepfakes. Wer mit KI Bild-, Ton- oder Videoinhalte erzeugt oder verändert, die echten Personen, Orten oder Ereignissen täuschend ähnlich sehen, muss offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden. Ein KI-Bild, das wie ein echtes Foto deiner Werkstatt wirkt, gehört also gekennzeichnet; eine erkennbar grafische Illustration nicht.
- KI-Texte zu Themen von öffentlichem Interesse. Wer KI-erzeugte Texte veröffentlicht, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, muss das offenlegen, außer ein Mensch hat den Text geprüft und trägt die redaktionelle Verantwortung. Für Werbetexte und Beiträge über das eigene Angebot gilt das nicht.
- Maschinenlesbare Kennzeichnung. Die Pflicht, KI-Ausgaben technisch als künstlich zu markieren, liegt bei den Anbietern der Systeme; die Übergangsfrist endet laut IHK-Zusammenfassung am 2. Dezember 2026 [3].
Pflicht 3: Was verboten bleibt
Artikel 5 verbietet seit Februar 2025 unter anderem KI zur Emotionserkennung am Arbeitsplatz, manipulative Systeme, die Menschen zu ihrem Schaden lenken, und das wahllose Sammeln von Gesichtsbildern aus dem Internet [1]. Für den normalen Betrieb ist das kaum relevant, aber genau hier stehen die höchsten Bußgelder.
Später: KI in der Personalarbeit
Systeme, die Bewerbungen vorsortieren, Beschäftigte bewerten oder Aufgaben zuteilen, zählen zu den Hochrisiko-Anwendungen nach Anhang III. Deine Pflichten gelten nach der Omnibus-Verordnung ab dem 2. Dezember 2027 [3]. Betreiber müssen dann unter anderem das System nach Anleitung nutzen, menschliche Aufsicht sicherstellen und Beschäftigte vorab informieren [1]. Wer heute ein Bewerbermanagement mit KI-Vorsortierung kauft, sollte den Anbieter fragen, wie er diese Pflichten unterstützt.
Wer aufpasst und was ein Verstoß kostet
Deutschland hat die Aufsicht mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) geregelt, ausgefertigt am 22. Juli 2026, in Kraft seit dem 29. Juli 2026. Nach § 2 ist die Bundesnetzagentur die zuständige Marktüberwachungsbehörde, soweit nichts anderes bestimmt ist; § 6 richtet dort eine zentrale Anlaufstelle ein, § 5 ein Kompetenzzentrum, das Schulungs- und Informationsangebote bereitstellen soll [4].
Die Bußgeldrahmen stehen in Artikel 99 der Verordnung: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Millionen Euro oder 3 Prozent bei Verstößen gegen die meisten übrigen Pflichten, darunter die Betreiberpflichten, und bis zu 7,5 Millionen Euro oder 1 Prozent bei falschen Angaben gegenüber Behörden. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge, und die Behörde muss Art, Schwere, Dauer und das Bemühen des Betriebs berücksichtigen [1]. Für die Praxis heißt das: Wer sich erkennbar um Kompetenz und Transparenz bemüht, hat wenig zu befürchten; wer nichts dokumentiert, steht im Zweifel schlecht da.
Sechs Schritte für die nächsten vier Wochen
- Bestandsliste. Welche KI-Werkzeuge werden im Betrieb genutzt, auch privat eingerichtete? Eine Tabelle mit Werkzeug, Zweck, Nutzer genügt.
- Kurze Regeln. Eine Seite: erlaubte Werkzeuge, verbotene Eingaben (Kundendaten, Gesundheitsdaten, Verträge), Prüfpflicht vor dem Versand, Kennzeichnung von KI-Bildern.
- Eine Schulung. Ein bis zwei Stunden für alle Nutzer, Inhalte wie oben, Teilnahmeliste mit Datum ablegen. Das ist dein Nachweis zu Artikel 4.
- Transparenz prüfen. Chatbot auf der Website? Dann muss der KI-Hinweis sichtbar sein. KI-Bilder in Werbung? Kennzeichnen, wenn sie echt wirken.
- Verträge prüfen. Für Werkzeuge, in die Kundendaten fließen, brauchst du einen Vertrag zur Auftragsverarbeitung nach der DSGVO; das ist unabhängig von der KI-Verordnung, wird aber meist im selben Zug erledigt.
- Termin notieren. Wer KI in der Personalarbeit nutzt oder plant: 2. Dezember 2027.
Häufige Fragen
Gilt die KI-Verordnung auch für einen Betrieb mit zwei Beschäftigten?
Ja. Die Pflichten richten sich nach dem Risiko des Systems, nicht nach der Betriebsgröße. Kleine Unternehmen bekommen Erleichterungen bei Gebühren, Dokumentation und Bußgeldobergrenzen, aber keine Freistellung von Kompetenz- und Transparenzpflichten [1][3].
Brauche ich ein KI-Zertifikat für meine Mitarbeiter?
Nein. Die EU-Kommission sagt ausdrücklich, dass kein Zertifikat nötig ist. Empfohlen ist, intern festzuhalten, wer wann wie geschult oder angeleitet wurde [2].
Muss ich jeden mit ChatGPT geschriebenen Text kennzeichnen?
Nein. Die Kennzeichnungspflicht für Texte betrifft Veröffentlichungen zu Angelegenheiten von öffentlichem Interesse ohne menschliche redaktionelle Verantwortung. Angebote, E-Mails und Werbetexte, die du selbst prüfst, fallen nicht darunter. KI-Bilder und -Videos, die echt wirken, musst du dagegen kennzeichnen [1].
Was ist mit Microsoft Copilot in Word oder der KI in meinem Buchhaltungsprogramm?
Das sind KI-Systeme, du bist Betreiber. Die Grundpflichten (Kompetenz, Transparenz, keine verbotenen Praktiken) gelten. Weitergehende Pflichten entstehen erst, wenn das System in einen Hochrisiko-Bereich fällt, etwa Personalentscheidungen.
Wer kontrolliert das in Deutschland?
Die Bundesnetzagentur als zentrale Marktüberwachungsbehörde nach dem KI-MIG, mit einer Anlaufstelle für Unternehmen. Für einzelne Bereiche können Fachbehörden zuständig sein [4].
Ich habe bisher nichts gemacht. Ist das schlimm?
Die Kompetenzpflicht gilt seit Februar 2025, die Aufsicht erst seit August 2026. Wer jetzt Bestandsliste, Regeln und eine dokumentierte Schulung nachholt, ist in der Spur. Bußgelder müssen verhältnismäßig sein und das Bemühen des Betriebs berücksichtigen [1].
Quellen
Alle Quellen wurden am 6. Oktober 2026 abgerufen.
- Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 (KI-Verordnung), insbesondere Artikel 3, 4, 5, 26, 50, 99 und 113. https://eur-lex.europa.eu/eli/reg/2024/1689/oj. Artikeltexte in deutscher Fassung auch unter https://artificialintelligenceact.eu/de/article/4/, https://artificialintelligenceact.eu/de/article/50/ und https://artificialintelligenceact.eu/de/article/99/
- Europäische Kommission: „AI literacy – Questions & Answers“, Fragen und Antworten zu Artikel 4. https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
- Verordnung (EU) 2026/1744 des Europäischen Parlaments und des Rates vom 8. Juli 2026 zur Änderung der Verordnung (EU) 2024/1689 (Digital-Omnibus zur KI), in Kraft seit 27. Juli 2026. https://eur-lex.europa.eu/eli/reg/2026/1744/oj. Zusammenfassung der Fristen und Erleichterungen: IHK Lippe zu Detmold, „KI-Verordnung: Fristen verschoben, Erleichterungen für kleine Midcaps“. https://www.ihk.de/lippe-detmold/hauptnavigation/beraten-und-informieren/innovation-und-digitalisierung/aktuelles2/erleichterungen-bei-ki-verordnung-7130746
- Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG) vom 22. Juli 2026, in Kraft seit 29. Juli 2026, §§ 2, 5, 6. https://www.gesetze-im-internet.de/ki-mig/BJNR0DF0B0026.html
- Bitkom e. V.: Studienbericht „Künstliche Intelligenz in Deutschland“, Februar 2026; repräsentative telefonische Befragung von 604 Unternehmen ab 20 Beschäftigten (KW 27 bis 32/2025). https://www.bitkom.org/sites/main/files/2026-02/bitkom-studienbericht-ki.pdf
- Bitkom e. V.: Presseinformation „Erstmals nutzt die Mehrheit der Unternehmen KI“, 14. September 2026 (603 Unternehmen ab 20 Beschäftigten, KW 28 bis 33/2026). https://www.bitkom.org/Presse/Presseinformation/Erstmals-nutzt-Mehrheit-Unternehmen-KI
Bewusst nicht aufgenommen: Bußgeldbeispiele aus Beratungs-Blogs ohne Aktenzeichen sowie Aussagen zu Meldepflichten für KMU, die sich im Gesetzestext nicht finden.