AI Act für kleine Unternehmen: Was Du beim KI-Einsatz jetzt wirklich beachten musst

Warum der AI Act auch Dich betrifft

Der AI Act unterscheidet insbesondere zwischen Anbietern und Betreibern von KI-Systemen. Anbieter entwickeln KI-Systeme oder bringen diese unter ihrem eigenen Namen auf den Markt beziehungsweise nehmen sie unter ihrem Namen in Betrieb. Betreiber nutzen KI-Systeme in eigener Verantwortung im beruflichen oder geschäftlichen Zusammenhang. Wenn Du ChatGPT, einen KI-Assistenten oder andere KI-Anwendungen in Deinem Unternehmen einsetzt, bist Du in der Regel Betreiber. Dabei spielt es grundsätzlich keine Rolle, ob Dein Unternehmen drei, zehn oder hundert Beschäftigte hat.

KI ist längst im Unternehmensalltag angekommen

Laut einer Bitkom-Befragung vom September 2026 nutzen bereits 57 Prozent der befragten deutschen Unternehmen künstliche Intelligenz. Ein Jahr zuvor waren es 36 Prozent. 37 Prozent gehen davon aus, als Anwender vom AI Act betroffen zu sein. Weitere 34 Prozent prüfen dies derzeit. Die Untersuchung umfasst 603 Unternehmen mit mindestens 20 Beschäftigten. Kleinere Unternehmen wurden nicht erfasst. Die Zahlen zeigen dennoch, wie schnell KI im Geschäftsalltag an Bedeutung gewinnt. Quelle: Bitkom, 14. September 2026.

Nicht jede KI ist Hochrisiko-KI

Die umfangreichen Anforderungen für Hochrisiko-KI betreffen viele kleine Unternehmen im normalen Marketing- und Büroalltag nicht. Anders kann es aussehen, wenn Du KI beispielsweise für die Bewertung oder Auswahl von Bewerbenden einsetzt. Die entsprechenden Anforderungen für Hochrisiko-KI nach Anhang III gelten grundsätzlich ab dem 2. Dezember 2027. Für bestimmte produktbezogene Hochrisiko-KI-Systeme nach Anhang I gilt der 2. August 2028. Besondere Übergangsregelungen können relevant sein. Für viele kleine Unternehmen stehen zunächst zwei Themen im Vordergrund:

• KI-Kompetenz im Team.
• Transparenz beim Einsatz bestimmter KI-Systeme und KI-generierter Inhalte.

KI-Kompetenz: Was nach dem Digital Omnibus gilt

Seit dem 2. Februar 2025 enthält Artikel 4 des AI Act Anforderungen an die KI-Kompetenz. Mit der Verordnung (EU) 2026/1744 wurden diese Anforderungen angepasst. Die Änderung gilt seit dem 27. Juli 2026.

Was bedeutet das konkret?

Anbieter und Betreiber müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihrer Mitarbeitenden und anderer Personen zu unterstützen, die in ihrem Auftrag KI-Systeme einsetzen. Dabei sollen unter anderem Vorkenntnisse, Erfahrungen, Ausbildung und der konkrete Einsatzzweck berücksichtigt werden. Ein bestimmtes Kompetenzniveau für jede einzelne Person muss das Unternehmen jedoch nicht garantieren. Das bedeutet: Du brauchst nicht automatisch eine teure externe KI-Schulung. Ein bestimmtes Zertifikat ist ebenfalls nicht vorgeschrieben. Du solltest aber nachvollziehbar zeigen können, dass Du Dich mit dem sicheren und verantwortungsvollen Einsatz von KI im Unternehmen beschäftigst.

Was reicht für ein kleines Unternehmen?

Eine interne Einweisung kann ein sinnvoller Anfang sein. Besprecht beispielsweise:

Einweisung dokumentieren

Dokumentiere Datum, Teilnehmende und Inhalte der Einweisung. So entsteht eine nachvollziehbare Grundlage für den verantwortungsvollen KI-Einsatz. Eine solche Einweisung ist ein pragmatischer Baustein. Ob weitere Maßnahmen erforderlich sind, hängt vom konkreten Einsatz und seinen Risiken ab.

• Welche KI-Tools dürfen verwendet werden?
• Für welche Aufgaben sind sie geeignet?
• Welche Informationen dürfen eingegeben werden?
• Welche Fehler können entstehen?
• Wer überprüft KI-generierte Ergebnisse?
• Wer trägt die Verantwortung für veröffentlichte Inhalte?

Was machen andere Unternehmen?

Laut Bitkom schulen inzwischen 70 Prozent der befragten Unternehmen ihre Beschäftigten im Umgang mit KI. 25 Prozent bieten dagegen keine entsprechenden Schulungen an. Für kleine Unternehmen ist entscheidend, dass KI-Kompetenz nicht nur theoretisch vermittelt wird, sondern im Arbeitsalltag ankommt.

Chatbot auf der Website: Wann ein KI-Hinweis erforderlich ist

Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 des AI Act. Für KI-Systeme, die direkt mit Menschen interagieren, sieht Artikel 50 Absatz 1 eine Informationspflicht vor. Diese richtet sich unmittelbar an Anbieter entsprechender KI-Systeme. Anbieter müssen ihre Systeme so gestalten, dass Menschen erkennen können, wenn sie mit künstlicher Intelligenz interagieren. Der Hinweis muss grundsätzlich spätestens zu Beginn der ersten Interaktion erfolgen. Eine Ausnahme besteht, wenn für eine verständige Person offensichtlich ist, dass sie mit einem KI-System kommuniziert. Diese Ausnahme sollte nicht vorschnell angenommen werden.

Was bedeutet das für Deinen Website-Chatbot?

Wenn Du einen KI-Chatbot auf Deiner Website einsetzt, solltest Du zunächst klären, welche Rolle Du nach dem AI Act einnimmst. Die bloße Nutzung eines Chatbot-Dienstes macht Dich nicht automatisch zum Anbieter. Wenn Du ein KI-System jedoch unter Deinem eigenen Namen als Anbieter in Betrieb nimmst, können zusätzliche Verpflichtungen entstehen. Unabhängig davon ist ein transparenter Hinweis für Deine Website sinnvoll.

Diese Anwendungen solltest Du prüfen

Nicht jede automatische Antwort ist KI

Nicht jede automatische Antwort ist automatisch ein KI-System im Sinne der Verordnung. Entscheidend sind die Funktionsweise und der konkrete Einsatz.

KI-Bilder, Videos und Texte: Was gekennzeichnet werden muss

Bei KI-generierten Inhalten unterscheidet der AI Act zwischen verschiedenen Pflichten. Besonders wichtig ist die Unterscheidung zwischen technischen Markierungen durch Anbieter und sichtbaren Hinweisen durch Betreiber.

KI-generierte Bilder und Videos

Nicht jedes KI-generierte Bild muss automatisch sichtbar gekennzeichnet werden. Eine ausdrückliche Offenlegungspflicht besteht insbesondere bei sogenannten Deepfakes. Damit sind KI-generierte oder manipulierte Bild-, Ton- oder Videoinhalte gemeint, die real existierenden oder plausibel existierenden Personen, Gegenständen, Orten oder Ereignissen ähneln und fälschlicherweise authentisch erscheinen können. Ob ein Inhalt darunterfällt, hängt auch vom Zusammenhang und der Erwartung des Publikums ab.

Beispiel aus dem Marketing

Du erstellst mit KI ein fotorealistisches Bild einer angeblich zufriedenen Kundin. Wird dieses Bild so eingesetzt, dass Besucher annehmen könnten, es zeige eine echte Kundin, kann eine Offenlegungspflicht bestehen. Ein offensichtlich illustratives KI-Bild ist dagegen nicht automatisch ein kennzeichnungspflichtiger Deepfake.

Unsere Empfehlung

Prüfe bei realistischen KI-Bildern, ob Menschen den Inhalt fälschlicherweise für eine authentische Aufnahme halten könnten. Wenn diese Gefahr besteht, solltest Du die gesetzlichen Kennzeichnungspflichten besonders sorgfältig prüfen.

Wie muss ein Deepfake gekennzeichnet werden?

Die Information muss für Menschen verständlich und wahrnehmbar sein. Je nach Medium kann dies beispielsweise durch einen sichtbaren oder hörbaren Hinweis erfolgen. Eine ausschließlich unsichtbare technische Markierung genügt für diese Offenlegungspflicht nicht. Für offensichtlich künstlerische, kreative, satirische oder fiktionale Werke gelten besondere Erleichterungen hinsichtlich der Art der Offenlegung. Die grundsätzliche Pflicht entfällt dadurch nicht automatisch.

Was gilt für KI-generierte Texte?

Bei Texten ist die Kennzeichnungspflicht enger gefasst. Sie betrifft insbesondere KI-generierte oder manipulierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Dazu können beispielsweise politische, gesellschaftliche oder gesundheitliche Themen gehören. Eine wichtige Ausnahme besteht, wenn der Inhalt einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt. Eine bloße Rechtschreibprüfung ist dafür kein verlässlicher Ersatz.

Müssen Blogartikel gekennzeichnet werden?

Nicht grundsätzlich. Wenn Du einen mit KI erstellten Blogartikel fachlich prüfst, redaktionell bearbeitest und die Verantwortung für die Veröffentlichung übernimmst, kann die gesetzliche Ausnahme greifen. Eine pauschale Pflicht, jeden mit ChatGPT unterstützten Blogartikel mit einem KI-Hinweis zu versehen, besteht nicht.

Technische Kennzeichnung

Anbieter generativer KI-Systeme müssen bestimmte KI-generierte Inhalte technisch erkennbar machen. Für Systeme, die bereits vor dem 2. August 2026 auf den Markt gebracht wurden, gilt für diese Verpflichtung eine Übergangsfrist bis zum 2. Dezember 2026. Diese maschinenlesbare Kennzeichnung ist von der sichtbaren Offenlegung bestimmter Deepfakes zu unterscheiden. Eine allgemeine rückwirkende Kennzeichnungspflicht für vor dem 2. August 2026 erstellte Inhalte besteht nach den europäischen Erläuterungen nicht.

Welche Bußgelder drohen?

Verstöße gegen die Transparenzpflichten nach Artikel 50 können grundsätzlich mit erheblichen Geldbußen geahndet werden. Die allgemeinen gesetzlichen Höchstgrenzen betragen bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres. Für kleine und mittlere Unternehmen, einschließlich Start-ups, gilt jedoch eine besondere Regelung. Nach Artikel 99 Absatz 6 ist für KMU bei den jeweiligen Bußgeldhöchstgrenzen der niedrigere Betrag aus dem festen Eurobetrag und der umsatzbezogenen Grenze maßgeblich. Außerdem müssen bei der konkreten Bemessung die Umstände des Einzelfalls und die Verhältnismäßigkeit berücksichtigt werden. Die genannten Millionenbeträge sind deshalb keine typischen Bußgelder für kleine Unternehmen.

Deine 5-Punkte-Checkliste für diese Woche

Viele Unternehmen haben noch keine verbindlichen Regeln für generative KI. Laut Bitkom-Studienbericht 2025 verfügten lediglich 23 Prozent der befragten Unternehmen über feste Regeln für deren Einsatz. Du kannst mit fünf einfachen Maßnahmen eine bessere Grundlage schaffen.

• 1. KI-Tools erfassen: Schreibe auf, welche KI-Anwendungen in Deinem Unternehmen genutzt werden. Erfasse auch, wofür sie eingesetzt werden und welche Daten verarbeitet werden. Berücksichtige dabei privat ausgewählte KI-Tools, die Beschäftigte möglicherweise beruflich nutzen.
• 2. Klare KI-Regeln festlegen: Definiere, welche Anwendungen erlaubt sind. Lege fest, welche Daten eingegeben werden dürfen. Personenbezogene oder vertrauliche Kundeninformationen sollten nicht ungeprüft in KI-Dienste eingegeben werden. Prüfe dafür insbesondere Datenschutz, Vertragsbedingungen und technische Schutzmaßnahmen.
• 3. Mitarbeitende einweisen: Besprecht gemeinsam die wichtigsten Chancen und Risiken. Dokumentiere die Einweisung. Wiederhole oder erweitere sie, wenn neue Anwendungen hinzukommen.
• 4. Transparenz prüfen: Kontrolliere Website-Chatbots, KI-Telefonassistenten und andere Systeme mit direkter KI-Interaktion. Kläre, welche gesetzlichen Informationspflichten gelten.
• 5. Freigabeprozesse einführen: KI-generierte Texte, Bilder und Videos sollten vor der Veröffentlichung geprüft werden. Lege fest, wer Inhalte kontrolliert und freigibt. Prüfe außerdem, ob eine Kennzeichnung erforderlich ist.

Kostenlose Unterstützung durch die Bundesnetzagentur

Die Bundesnetzagentur bietet mit ihrem KI-Service Desk Informationen zur europäischen KI-Verordnung. Dazu gehören Orientierungshilfen zur Einordnung von KI-Systemen, Hinweise zur KI-Kompetenz und Informationen zu regulatorischen Anforderungen. Seit dem 29. Juli 2026 übernimmt die Bundesnetzagentur auf Grundlage des deutschen KI-Marktüberwachungs- und Innovationsförderungsgesetzes zentrale Aufgaben bei der Umsetzung der KI-Verordnung. Sie ist unter anderem Anlaufstelle, Beschwerdestelle und Marktüberwachungsbehörde in bestimmten Zuständigkeitsbereichen. Für andere KI-Systeme können weitere zuständige Behörden verantwortlich sein. Weitere Informationen findest Du bei der Bundesnetzagentur.

Automatisierung mit KI: Regeln direkt einbauen

Am einfachsten lassen sich KI-Regeln umsetzen, wenn Du sie direkt bei der Einführung neuer Anwendungen berücksichtigst. Statt später Fehler zu korrigieren, integrierst Du die notwendigen Kontrollen von Anfang an. Drei Bausteine helfen dabei.

Kontrollierte Unternehmensabläufe

So wird KI nicht zum zusätzlichen Risiko, sondern zu einem kontrollierten Bestandteil Deiner Unternehmensabläufe.

• Transparenz: Bei KI-Systemen mit direkter Kundeninteraktion wird frühzeitig geprüft, ob und wie ein Hinweis erforderlich ist.
• Menschliche Freigabe: Vor der Veröffentlichung wichtiger KI-generierter Inhalte steht eine verantwortliche Person.
• Datenschutz: Kundeninformationen werden nur mit dafür geeigneten und freigegebenen Anwendungen verarbeitet.

Dein nächster Schritt

Du möchtest KI in Deinem Unternehmen einsetzen, ohne Datenschutz, Transparenz und klare Verantwortlichkeiten aus den Augen zu verlieren? NOVA ROCKS unterstützt kleine Unternehmen beim Aufbau von Chatbots, Content-Workflows und Automationen. Wir berücksichtigen dabei sinnvolle Freigabeschritte, transparente Kommunikation und klare Regeln für den Umgang mit Daten. Entdecke unsere Leistung Automation & Workflows oder vereinbare ein kostenloses Erstgespräch.

Häufige Fragen