Was der EU AI Act ist und wen er betrifft
Der EU AI Act (auf Deutsch: KI-Verordnung, offiziell Verordnung (EU) 2024/1689) ist das erste umfassende KI-Gesetz der Welt. Er ist am 1. August 2024 in Kraft getreten und wird seitdem in Stufen wirksam. Die Grundidee: Je höher das Risiko eines KI-Systems, desto strenger die Regeln. Verbotene Praktiken wie manipulative KI stehen ganz oben, Hochrisiko-Systeme wie KI in der Personalauswahl in der Mitte, und für Alltags-KI wie Chatbots oder Bildgeneratoren gelten vor allem Transparenzpflichten.
Wichtig zu verstehen: Der AI Act unterscheidet zwischen Anbietern (die ein KI-System entwickeln oder unter eigenem Namen anbieten) und Betreibern (die ein KI-System beruflich nutzen). Ein Betreiber ist im Grunde genommen jedes Unternehmen, das KI im Geschäftsalltag einsetzt. Wenn du also ChatGPT für Kundentexte nutzt oder einen zugekauften Chatbot auf deiner Webseite laufen lässt, bist du Betreiber und damit im Anwendungsbereich der Verordnung. Eine Ausnahme für kleine Unternehmen gibt es bei den Transparenzpflichten nicht.
Was seit dem 2. August 2026 gilt
Seit dem 2. August 2026 ist der AI Act in weiten Teilen anwendbar. Für kleine Unternehmen sind zwei Bereiche entscheidend:
Seit dem 29. Juli 2026 gibt es dazu auch ein deutsches Gesetz. Das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz, kurz KI-MIG, regelt, wer die europäischen Vorgaben in Deutschland durchsetzt. Zuständig ist die Bundesnetzagentur. Sie ist zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für die KI-Verordnung. Für dich ändert das inhaltlich nichts an den Pflichten, du weißt jetzt aber, wer sie kontrolliert und an wen du dich wenden kannst.
1. Die Kennzeichnungspflicht (Artikel 50)
Die Transparenzpflichten aus Artikel 50 betreffen KI-Systeme, die mit Menschen interagieren oder Inhalte erzeugen. Konkret:
- Chatbots: Nutzer müssen spätestens bei der ersten Interaktion klar erfahren, dass sie mit einer KI kommunizieren. Ausnahme: Es ist für einen durchschnittlich informierten Nutzer ohnehin offensichtlich.
- Deepfakes: KI-erzeugte oder KI-veränderte Bilder, Videos und Tonaufnahmen, die echten Personen, Orten oder Ereignissen täuschend ähnlich sind, müssen als künstlich erzeugt oder manipuliert gekennzeichnet werden.
- KI-Texte zu Themen von öffentlichem Interesse: Wer solche Texte KI-generiert veröffentlicht, muss das offenlegen. Die wichtige Ausnahme: Der Text wurde von einem Menschen redaktionell geprüft, und eine Person oder das Unternehmen trägt die Verantwortung dafür.
- Technische Markierung: Anbieter von generativen KI-Systemen müssen die Ausgaben maschinenlesbar als KI-generiert markieren, etwa über Wasserzeichen oder Metadaten. Das ist Aufgabe des Anbieters, nicht deine als Nutzer.
2. Die KI-Kompetenzpflicht (Artikel 4)
Sie gilt genau genommen schon seit dem 2. Februar 2025: Unternehmen, die KI-Systeme anbieten oder betreiben, müssen dafür sorgen, dass ihre Mitarbeitenden über ein ausreichendes Maß an KI-Kompetenz verfügen. Das heißt im Grunde genommen: Wer im Betrieb mit KI arbeitet, sollte verstehen, was das Werkzeug kann, wo es Fehler macht und welche Regeln gelten. Wie du das sicherstellst, schreibt dir das Gesetz nicht vor. Eine kurze interne Schulung mit Dokumentation reicht in vielen kleinen Betrieben aus.
Wo kleine Unternehmen im Alltag betroffen sind
Vorweg die Entwarnung, die am häufigsten untergeht: Es gibt keine pauschale Pflicht, jeden KI-Einsatz offenzulegen. Wenn du einen Text mit KI vorformulierst und ihn danach selbst überarbeitest, musst du das nicht kennzeichnen. Es geht um zwei Fälle: Systeme, die direkt mit Menschen interagieren, also zum Beispiel dein Chatbot, und Inhalte, die realitätsnah wirken und den Eindruck erwecken könnten, sie seien echt. Das hat die EU-Kommission in ihren Leitlinien zu Artikel 50 vom 20. Juli 2026 noch einmal klargestellt.
Die Grenze verläuft dabei nicht bei der Unternehmensgröße, sondern bei der Frage, ob du geschäftlich handelst. Wer regelmäßig über Plattformen wie eBay oder Vinted verkauft und dafür KI-generierte Produktbilder einsetzt, ist mit erfasst. Rein private Nutzung bleibt außen vor.
Die Pflichten klingen abstrakt, betreffen aber ganz normale Situationen im Betriebsalltag:
| Einsatz | Betroffen? | Was zu tun ist |
|---|---|---|
| Chatbot auf der Webseite | Ja | Klaren KI-Hinweis im Chatfenster zeigen, spätestens bei der ersten Nachricht. |
| KI-Texte für Blog oder Newsletter | Meist nein | Keine Kennzeichnung nötig, wenn ein Mensch den Text prüft und die Verantwortung übernimmt. |
| KI-Bilder im Marketing | Kommt darauf an | Reine Illustrationen und Produktgrafiken ohne Bezug zu echten Personen oder Ereignissen sind in der Regel kein Deepfake. Täuschend echte Darstellungen realer Personen oder Szenen musst du kennzeichnen. |
| KI-Telefonassistent | Ja | Anrufer zu Beginn des Gesprächs auf die KI hinweisen. |
| Interne KI-Nutzung (z. B. E-Mail-Entwürfe) | Keine Kennzeichnung | Aber: KI-Kompetenz im Team sicherstellen und sensible Daten schützen. |
Ein häufiger Denkfehler: „Ich habe die KI ja nicht gebaut, also betrifft mich das nicht." Für die Offenlegung im Kundenkontakt bist du als Betreiber selbst verantwortlich, auch wenn der Chatbot oder Generator von einem Dienstleister stammt. Bei der Auswahl deiner Werkzeuge lohnt sich deshalb ein Blick darauf, ob der Anbieter die technische Markierung und einen sauberen KI-Hinweis mitliefert. Wie du digitale Werkzeuge grundsätzlich klug auswählst, liest du im Beitrag zur Digitalisierung im kleinen Unternehmen.
So kennzeichnest du richtig
Für die Kennzeichnung gibt es kein amtliches Formular und keinen vorgeschriebenen Wortlaut. Es gelten zwei einfache Grundsätze: klar und deutlich, und zum Zeitpunkt der ersten Interaktion beziehungsweise direkt am Inhalt. Ein paar praxistaugliche Beispiele:
- Chatbot: „Hallo! Ich bin der digitale Assistent von [Firma] und beantworte deine Fragen automatisiert." Der Hinweis gehört sichtbar ins Chatfenster oder in die Begrüßungsnachricht, nicht in die AGB.
- KI-Bild mit realistischer Szene: ein gut lesbarer Vermerk wie „Mit KI erstellt" direkt am Bild oder in der Bildunterschrift.
- KI-Video oder KI-Stimme: Hinweis am Anfang des Videos oder in der Beschreibung, bei Audio ein kurzer gesprochener oder schriftlicher Vermerk.
- KI-Text ohne redaktionelle Prüfung: Offenlegung beim Beitrag, etwa „Dieser Text wurde automatisiert mit KI erstellt." Besser ist meist der andere Weg: prüfen, überarbeiten, Verantwortung übernehmen, dann entfällt die Pflicht.
Denk auch an den Datenschutz: Wer KI im Kundenkontakt einsetzt, verarbeitet dabei oft personenbezogene Daten. Die Grundlagen dazu findest du im Beitrag DSGVO für kleine Unternehmen. Und wenn du KI-Inhalte fürs Marketing produzierst, hilft dir der Überblick zum Online-Marketing für kleine Unternehmen bei der Einordnung, wo solche Inhalte überhaupt sinnvoll sind.
Fristen und Ausblick
So sieht der Stufenplan des AI Act im Überblick aus:
| Datum | Was gilt |
|---|---|
| 1. August 2024 | AI Act tritt in Kraft. |
| 2. Februar 2025 | Verbote bestimmter KI-Praktiken und KI-Kompetenzpflicht (Artikel 4) gelten. |
| 2. August 2025 | Regeln für KI-Modelle mit allgemeinem Verwendungszweck (z. B. große Sprachmodelle) gelten für deren Anbieter. |
| 2. August 2026 | Der AI Act ist weitgehend anwendbar, inklusive der Kennzeichnungs- und Transparenzpflichten aus Artikel 50. |
| 2. Dezember 2026 | Ende der Nachrüstfrist für die maschinenlesbare Markierung bei generativen KI-Systemen, die vor dem 2. August 2026 auf dem Markt waren. Pflicht der Anbieter. |
| 2. Dezember 2027 | Pflichten für Hochrisiko-KI nach Anhang III, verschoben durch die Digital-Omnibus-Verordnung. |
| 2. August 2028 | Pflichten für Hochrisiko-KI, die in Produkte eingebettet ist. |
Für deinen Betrieb heißt das konkret: Wenn du es noch nicht getan hast, geh jetzt einmal durch, wo überall KI im Einsatz ist, bau die Kennzeichnung an den betroffenen Stellen ein und erledige die KI-Schulung deines Teams nachweisbar. Das ist gut in einem Nachmittag zu schaffen. Sinnvoll ist, daraus wiederkehrende Aufgaben zu machen, denn neue Werkzeuge und neue Mitarbeitende bringen die Fragen immer wieder auf den Tisch.
Zwei Fristen, die du nicht verwechseln solltest
Zwei Dinge sind seit dem 2. August noch nicht vollständig fällig. Erstens: Anbieter von generativen KI-Systemen, die schon vor dem 2. August 2026 auf dem Markt waren, haben für die technische, maschinenlesbare Markierung ihrer Ausgaben Zeit bis zum 2. Dezember 2026. Das ist eine Pflicht der Anbieter, nicht deine. Zweitens: Inhalte, die du vor dem 2. August 2026 erstellt hast, musst du nicht nachträglich kennzeichnen. Was du seitdem veröffentlichst, fällt dagegen unter die Regeln.
Wichtig ist die Abgrenzung: Diese Nachrüstfrist betrifft nur die maschinenlesbare Markierung durch die Anbieter. Deine eigenen Pflichten als Betreiber, also der Hinweis beim Chatbot und die Offenlegung von Deepfakes, gelten seit dem 2. August ohne Schonfrist.
Du hast vielleicht gelesen, dass Teile der KI-Verordnung verschoben wurden. Das stimmt. Die Digital-Omnibus-Verordnung (EU) 2026/1744 ist am 27. Juli 2026 in Kraft getreten und verschiebt den Geltungsbeginn der Pflichten für Hochrisiko-KI: Systeme nach Anhang III auf den 2. Dezember 2027, in Produkte eingebettete Hochrisiko-KI auf den 2. August 2028. An den Transparenzpflichten, um die es hier geht, ändert sie nichts. Wenn du also einen Chatbot betreibst oder KI-Inhalte veröffentlichst, gelten die Regeln für dich seit dem 2. August 2026.
Wer kontrolliert das, und wo bekommst du Hilfe
Mit dem KI-MIG hat Deutschland die Zuständigkeit geklärt: Die Bundesnetzagentur ist Marktüberwachungs- und Beschwerdestelle für die KI-Verordnung. Wer meint, dass jemand gegen die Kennzeichnungspflicht verstößt, kann sich dorthin wenden. Umgekehrt heißt das auch, dass du dort einen Ansprechpartner hast und nicht auf gut Glück raten musst.
Für kleine und mittlere Unternehmen richtet die Bundesnetzagentur einen KI-Service-Desk ein, unter anderem mit einem Werkzeug zur Risiko-Einstufung des eigenen KI-Einsatzes. Dazu kommt ein KI-Reallabor, in dem Anwendungen erprobt werden können. Wenn du unsicher bist, ob dein Einsatz überhaupt unter die Transparenzpflichten fällt, ist diese Einstufung der sinnvolle erste Schritt, bevor du deine Webseite oder deinen Newsletter umbaust.