KI-VERORDNUNG SEIT DEM 2. AUGUST 2026: WAS JETZT FÜR KLEINE UNTERNEHMEN GILT.

Seit dem 2. August 2026 gilt die EU-KI-Verordnung (Verordnung (EU) 2024/1689) allgemein. Wenige Tage vorher hat die EU mit der Änderungsverordnung (EU) 2026/1744 die Pflichten für Hochrisiko-KI auf Ende 2027 beziehungsweise 2028 verschoben und die Kompetenzpflicht entschärft. Für kleine Unternehmen, die KI nur nutzen, bleiben drei Dinge übrig: Kennzeichnung, Schulung und Dokumentation. Wer selbst KI-Systeme baut oder in sensiblen Bereichen wie Personalauswahl einsetzt, hat bis Dezember 2027 Zeit, sollte diese aber nutzen.

Was sich kurz vor dem Stichtag geändert hat

Die Kommission hatte im November 2025 vorgeschlagen, Teile der Verordnung zu vereinfachen und zu verschieben. Rat und Parlament einigten sich am 7. Mai 2026, das Parlament stimmte am 16. Juni zu, die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli in Kraft, sechs Tage vor dem ursprünglichen Stichtag. Die Kommission fasst den Kern so zusammen: Die Pflichten für Hochrisiko-Systeme nach Anhang III gelten ab dem 2. Dezember 2027, für in Produkte eingebettete Systeme nach Anhang I ab dem 2. August 2028. Nicht verschoben wurden die Transparenzpflichten nach Artikel 50, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck und der Start der nationalen Aufsicht.

Zwei weitere Punkte der Änderung sind für den Mittelstand relevant. Erstens werden Erleichterungen, die bisher nur für KMU galten (vereinfachte Dokumentation, gemilderte Bußgelder, bevorzugter Zugang zu Reallaboren), auf sogenannte Small Mid-Caps ausgedehnt. Zweitens kommen zwei neue Verbote in Artikel 5 hinzu: KI-Systeme, die nicht einvernehmliche sexuelle Inhalte oder Darstellungen von Kindesmissbrauch erzeugen.

Was seit dem 2. August 2026 für jeden Betrieb gilt

Die Transparenzpflichten nach Artikel 50 sind der Teil, der die meisten kleinen Unternehmen direkt trifft. Absatz 1 richtet sich an Anbieter: “Die Anbieter stellen sicher, dass KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, so konzipiert und entwickelt werden, dass die betreffenden natürlichen Personen informiert werden, dass sie mit einem KI-System interagieren”, es sei denn, das ist ohnehin offensichtlich. Absatz 4 richtet sich an Betreiber, also an jedes Unternehmen, das solche Systeme nutzt: “Betreiber eines KI-Systems, das Bild-, Ton- oder Videoinhalte erzeugt oder manipuliert, die ein Deepfake sind, müssen offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden.” Für KI-Texte gilt die Offenlegung, wenn sie veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren.

In der Praxis heißt das: Ein Chatbot auf der Website und ein KI-Telefonassistent müssen sich als KI zu erkennen geben. Ein KI-generiertes Bild einer echten Person in einem Social-Media-Post braucht einen Hinweis. Die Kommission hat am 20. Juli 2026 Leitlinien zu Artikel 50 veröffentlicht, die unter anderem KI-Agenten einschließen: Die sollen nicht nur ihre künstliche Natur offenlegen, sondern auch, in wessen Auftrag sie handeln.

Eine Übergangsfrist gibt es nur für die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2, also das Wasserzeichen in generierten Inhalten: Anbieter, deren Systeme vor dem 2. August 2026 auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit. Das betrifft die Hersteller der Modelle, nicht die Betriebe, die sie nutzen.

Seit August 2026 sind außerdem die Aufsichtsbehörden arbeitsfähig und die Bußgelder durchsetzbar. Artikel 99 nennt bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Millionen Euro oder 3 Prozent für die meisten übrigen Verstöße, bis zu 7,5 Millionen Euro oder 1 Prozent für falsche Auskünfte gegenüber Behörden. Für kleine Unternehmen gilt Absatz 6: “Im Falle von KMU, einschließlich Start-up-Unternehmen, gilt für jede in diesem Artikel genannte Geldbuße der jeweils niedrigere Betrag aus den in den Absätzen 3, 4 und 5 genannten Prozentsätzen oder Summen.”

Die Kompetenzpflicht: entschärft, nicht gestrichen

Artikel 4 gilt seit dem 2. Februar 2025 und wurde durch die Änderungsverordnung neu gefasst. Anbieter und Betreiber “ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen”, die in ihrem Auftrag mit KI-Systemen arbeiten. Neu ist die ausdrückliche Klarstellung, dass daraus keine Pflicht folgt, “für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren”. Zwei neue Absätze verpflichten Kommission und Mitgliedstaaten, die Unternehmen dabei zu unterstützen, unter anderem mit praktischen Beispielen auf einer zentralen Plattform.

Was ändert das für einen Betrieb mit zwanzig Leuten, in dem der Vertrieb ChatGPT nutzt und die Buchhaltung eine KI-Funktion in der Rechnungssoftware? Weniger, als es klingt. Die Pflicht, etwas zu tun, bleibt. Weggefallen ist das Risiko, für den Wissensstand einzelner Mitarbeiter geradezustehen. Der Nachweis bleibt derselbe: wer wann zu welchen Inhalten geschult wurde, mit welchen Werkzeugen welche Daten verarbeitet werden dürfen. Unsere Umsetzung in vier Schritten steht im Artikel zu Artikel 4; sie gilt unverändert.

Was auf Dezember 2027 verschoben wurde und wen es trifft

Hochrisiko nach Anhang III umfasst unter anderem Personalauswahl und Leistungsbewertung von Beschäftigten, Kreditwürdigkeitsprüfung, Bildungszugang und kritische Infrastruktur. Wer ein solches System nutzt, ist Betreiber mit eigenen Pflichten: das System nach Anleitung einsetzen, menschliche Aufsicht sicherstellen, Beschäftigte vorab informieren, Protokolle aufbewahren. Diese Pflichten gelten jetzt ab dem 2. Dezember 2027.

Für die meisten Handwerksbetriebe, Kanzleien, Praxen und Industriebetriebe im Rhein-Neckar-Kreis ist das nicht relevant, solange sie keine KI zur Bewerberauswahl oder Mitarbeiterbewertung einsetzen. Die Projekte, die wir bauen, liegen außerhalb dieser Kategorien: E-Mail-Vorsortierung mit Übergabe ins CRM für einen Mannheimer Industriebetrieb, automatisierte Angebotserstellung und der Abgleich zwischen CRM und Rechnungssoftware für eine Energieberatung aus dem Rhein-Neckar-Kreis. Keines davon fällt unter Anhang III. Wer unsicher ist, nimmt den KI-Compliance-Kompass der Bundesnetzagentur: ein kostenloser Selbsttest, der die Einstufung Schritt für Schritt abfragt.

Wer in Deutschland zuständig ist

Deutschland hat das Durchführungsgesetz rechtzeitig verabschiedet. Der Bundestag hat das Gesetz zur Durchführung der Verordnung über künstliche Intelligenz (KI-MIG) am 11. Juni 2026 beschlossen, verkündet wurde es am 28. Juli 2026 im Bundesgesetzblatt (BGBl. 2026 I Nr. 233), in Kraft seit dem 29. Juli. Zentrale Marktüberwachungsbehörde ist die Bundesnetzagentur, bei der ein Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO) entsteht. Sie betreibt außerdem die Beschwerdestelle für Bürger, mindestens ein KI-Reallabor und den KI-Service-Desk, an den sich Unternehmen kostenlos mit Fragen zur Umsetzung wenden können. BSI und Bundesdatenschutzbeauftragter wirken fachlich mit, einzelne Sektoren bleiben bei ihren bisherigen Aufsichtsbehörden.

Was ein kleines Unternehmen jetzt konkret tun sollte

Drei Punkte reichen für die meisten Betriebe, die KI nutzen und nicht entwickeln. Erstens: alle Stellen finden, an denen eine KI mit Kunden spricht oder Inhalte erzeugt, und dort die Kennzeichnung prüfen. Chatbot, Telefonassistent, generierte Bilder in Social Media. Zweitens: die Schulung nach Artikel 4 durchführen oder auffrischen und dokumentieren, wer wann was gelernt hat. Drittens: prüfen, ob irgendwo ein Werkzeug in der Personalarbeit oder bei Kreditentscheidungen läuft, das unter Anhang III fallen könnte. Wenn ja, ist Dezember 2027 der Termin, und die Vorbereitung dauert länger als ein Quartal.

Die Datenfrage bleibt davon unberührt. Die KI-Verordnung regelt Risiko und Transparenz, die DSGVO regelt weiterhin, welche Daten wohin fließen dürfen. Deshalb bauen wir Automatisierungen auf Wunsch komplett lokal beim Kunden oder in EU-Rechenzentren, mehr dazu im Artikel lokal oder EU-Cloud.

Wie SEGUAI unterstützt

Wir übernehmen die praktische Seite: Schulung und Nachweis nach Artikel 4, transparente Kennzeichnung in Chatbots, die wir bauen, und eine Bestandsaufnahme, welche KI-Werkzeuge im Betrieb laufen. Die rechtliche Bewertung Ihres Einzelfalls bleibt Sache Ihrer Rechtsberatung. Details unter KI-Schulung und KI-Automatisierung.

Quellen

Verordnung (EU) 2024/1689 (KI-Verordnung) im Wortlaut bei EUR-Lex. Verordnung (EU) 2026/1744 vom 8. Juli 2026 zur Änderung der KI-Verordnung, Amtsblatt vom 24. Juli 2026, bei EUR-Lex. Pressemitteilung des Rates zur Einigung vom 7. Mai 2026: consilium.europa.eu. Mitteilung der Kommission zum Inkrafttreten: digital-strategy.ec.europa.eu. Gesetz zur Durchführung der KI-Verordnung (KI-MIG), Verfahrensstand beim Bundesministerium für Digitales und Staatsmodernisierung und Beschluss im Bundestag. KI-Service-Desk und Compliance-Kompass der Bundesnetzagentur. Stand der Angaben: 9. September 2026.

Hinweis: Dieser Artikel ist eine Umsetzungshilfe und keine Rechtsberatung. Er garantiert keine Konformität mit der EU-KI-Verordnung.