EU-KI-Verordnung für KMU: Was seit August 2026 wirklich gilt

Warum dieser Beitrag existiert

Seit Monaten kursieren zwei Erzählungen: "Der AI Act ruiniert den Mittelstand" und "Betrifft mich nicht, ich bin ja kein KI-Anbieter". Beide sind falsch. Dieser Beitrag ordnet ein, was für ein normales Unternehmen mit Website, Newsletter und ein paar KI-Tools tatsächlich relevant ist.

Wichtiger Hinweis: Dieser Artikel ist eine allgemeine Information nach bestem Wissen (Stand: August 2026) und ersetzt keine Rechtsberatung. Für eine verbindliche Bewertung Ihres konkreten Falls wenden Sie sich bitte an eine Rechtsanwältin oder einen Rechtsanwalt mit IT-Schwerpunkt.

Der Zeitplan: Was gilt wann?

Für den Mittelstand sind zwei Zeilen entscheidend: 02.02.2025 (KI-Kompetenz) und 02.08.2026 (Transparenz).

Anbieter oder Betreiber? Diese Unterscheidung entscheidet alles

Die Verordnung unterscheidet mehrere Rollen. Zwei davon sind praxisrelevant:

Ein Steuerberater, der Mandantenschreiben mit ChatGPT vorformuliert, ist Betreiber. Ein Handwerksbetrieb mit einem eingekauften Chatbot-Widget auf der Website ist Betreiber. Anbieter wird man erst dann, wenn man ein KI-System selbst entwickelt oder ein fremdes System unter eigenem Namen weitergibt – oder es so wesentlich verändert, dass man in die Anbieterrolle rutscht.

Praxisfolge: Wer eigene KI-Funktionen auf der Website anbietet (etwa einen selbst gebauten Chatbot oder ein Analyse-Tool), sollte prüfen lassen, ob er dadurch in die Anbieterrolle wechselt. Für reine Nutzung fremder Tools ist das in aller Regel nicht der Fall.

Die vier Risikostufen – und warum Sie fast sicher in der untersten sind

Der AI Act arbeitet mit einem Risikoansatz:

1. 1
   Verbotene Praktiken (Art. 5): unter anderem Social Scoring durch Behörden, manipulative Techniken, die Menschen erheblich schaden, ungezieltes Auslesen von Gesichtsbildern aus dem Internet zum Aufbau von Datenbanken, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit engen Ausnahmen).
2. 2
   Hochrisiko (Art. 6 i. V. m. Anhang III): z. B. KI in der Personalauswahl, bei Kreditwürdigkeitsprüfungen, in kritischer Infrastruktur, im Bildungswesen.
3. 3
   Systeme mit Transparenzpflicht (Art. 50): Chatbots, Deepfakes, synthetische Inhalte.
4. 4
   Minimales Risiko: alles Übrige – hier ist der Normalfall.

Der Fallstrick für KMU liegt bei Punkt 2, und zwar an einer einzigen Stelle: Recruiting. Wer eine Software einsetzt, die Bewerbungen automatisiert vorsortiert oder bewertet, bewegt sich im Bereich der Hochrisiko-Anwendungen nach Anhang III. Das ist die eine Konstellation, die ein normales KMU realistisch treffen kann – und die man jetzt prüfen sollte.

Bußgelder: die Zahlen richtig einordnen

Zwei Relativierungen, die selten mitzitiert werden: Für KMU und Start-ups gilt nach Art. 99 Abs. 6 jeweils der niedrigere der beiden Werte. Und die Behörden sollen bei der Bemessung Größe und Marktposition berücksichtigen. Ein Fünf-Personen-Betrieb, der einen KI-Hinweis vergisst, steht nicht vor einer Millionenstrafe – aber vor einem vermeidbaren Ärgernis.

Wer die Aufsicht in Deutschland führt, war zum Zeitpunkt dieses Beitrags noch nicht abschließend geregelt; die Bundesnetzagentur hat bereits eine zentrale Anlaufstelle für KI-Fragen aufgebaut. Verlassen Sie sich hier nicht auf Blogbeiträge, sondern auf den aktuellen Stand des nationalen Durchführungsgesetzes.

Ihre Fünf-Punkte-Liste für den Mittelstand

1. 1
   Inventar anlegen. Eine simple Tabelle: Welches KI-Tool wird wo, von wem, wofür genutzt? Ohne diese Liste ist jede weitere Bewertung Raten.
2. 2
   Rolle bestimmen. Nutzen Sie fremde Tools (Betreiber) oder bieten Sie eigene KI-Funktionen an (möglicherweise Anbieter)?
3. 3
   Recruiting prüfen. Sortiert Ihre Bewerbersoftware automatisiert vor? Dann genauer hinsehen.
4. 4
   Transparenz herstellen. Chatbots und KI-gestützte Tools auf der Website kennzeichnen, Datenschutzerklärung ergänzen. Details dazu im [Beitrag zu den Transparenzpflichten](/blog/ki-transparenzpflicht-website).
5. 5
   KI-Kompetenz aufbauen. Seit Februar 2025 Pflicht – und mit überschaubarem Aufwand erfüllbar. Mehr dazu im [Beitrag zur KI-Kompetenz](/blog/ki-kompetenz-pflicht-unternehmen).

Was das mit Ihrer Website zu tun hat

Zwei Dinge landen unmittelbar auf der Website: der Transparenzhinweis bei KI-gestützten Funktionen und ein Abschnitt in der Datenschutzerklärung zu den eingesetzten KI-Diensten. Beides ist technisch trivial, wird aber regelmäßig übersehen – gerade bei Websites, die vor 2024 gebaut wurden und seitdem um einen Chatbot ergänzt wurden.

Wenn Sie unsicher sind, ob Ihre Seite an dieser Stelle sauber ist: Wir schauen uns das im Rahmen eines kostenlosen SEO-Checks mit an – und sagen Ihnen ehrlich, wenn nichts zu tun ist.

Quellen

• Verordnung (EU) 2024/1689 (KI-Verordnung), insbesondere Art. 3, 4, 5, 6, 50, 99, 113 – abrufbar über EUR-Lex
• Anhang III der Verordnung (Liste der Hochrisiko-Anwendungsbereiche)
• Informationsangebote der Europäischen Kommission zum AI Act