Ein Hinweis vorab: Dieser Beitrag ordnet ein, was seit August 2026 an KI-Pflichten gilt, ersetzt aber keine rechtliche Beratung im Einzelfall.
Zum 2. August 2026 ist eine neue Phase der europäischen KI-Verordnung, dem sogenannten EU AI Act, in Kraft getreten. Wer die Berichterstattung der vergangenen Monate verfolgt hat, könnte erwarten, dass ab diesem Datum strenge Pflichten für sogenannte Hochrisiko-KI-Systeme greifen, also für Anwendungen etwa in der Personalauswahl oder der Kreditvergabe. Genau das ist jedoch nicht eingetreten. Kurz vor dem Stichtag hat die EU mit einer eigenen Änderungsverordnung, bekannt als Digital Omnibus, diese Fristen verschoben. Für die meisten mittelständischen Unternehmen zählt deshalb etwas anderes: eine Transparenzpflicht, die von der Verschiebung unberührt blieb.
Was tatsächlich seit August 2026 bindend ist
Artikel 50 der KI-Verordnung verlangt, dass Menschen erkennen können, wenn sie mit einem KI-System interagieren, spätestens beim ersten Kontakt. Ein Chatbot auf einer Website muss sich also als solcher zu erkennen geben, sofern das nicht ohnehin offensichtlich ist. Ergänzend gilt eine Kennzeichnungspflicht für KI-erzeugte oder merklich veränderte Inhalte, etwa Bilder, Videos oder Texte, die täuschend echt wirken können (sogenannte Deepfakes, englisch für mit KI erzeugte, kaum von echt zu unterscheidende Aufnahmen). Diese Pflicht betrifft nicht jeden Einsatz von KI im Unternehmen, wohl aber jeden Berührungspunkt, an dem ein Mensch von außen mit einem KI-System in Kontakt kommt.
Daneben wird ab diesem Datum auch die Aufsicht über eine andere Pflicht scharf gestellt, die formal schon seit Februar 2025 gilt: die Pflicht zu ausreichender KI-Kompetenz der eigenen Mitarbeitenden. Gemeint ist damit kein aufwendiges Zertifikat, sondern eine nachvollziehbare, auf die jeweilige Rolle zugeschnittene Einweisung: Was kann das eingesetzte Werkzeug, wo sind seine Grenzen, welche Ausgaben müssen vor der Verwendung geprüft werden.
Was verschoben wurde, und warum das für die meisten keine Eile bedeutet
Die eigentlichen Pflichten für Hochrisiko-Systeme, definiert über einen eigenen Anhang der Verordnung, hätten ursprünglich ebenfalls zum 2. August 2026 gegriffen. Der Digital Omnibus hat diesen Zeitpunkt für eigenständige Hochrisiko-Systeme auf den 2. Dezember 2027 verschoben, für Hochrisiko-KI, die in bereits regulierte Produkte eingebettet ist, etwa in Maschinen oder Medizinprodukte, sogar auf den 2. August 2028. Für die allermeisten mittelständischen Unternehmen, die KI zur Texterstellung, für interne Auswertungen oder in der Kundenkommunikation einsetzen, fallen diese Systeme ohnehin nicht unter die Hochrisiko-Kategorie. Wer trotzdem schon heute an Artikel 14 der Verordnung, der menschlichen Aufsicht über KI-Entscheidungen, orientiert, trifft keine Fehlentscheidung: Auch wenn die rechtliche Pflicht für die meisten Betriebe noch nicht greift, bleibt das Prinzip, dass eine KI-Ausgabe vor jeder bindenden Entscheidung von einem Menschen geprüft wird, die sinnvolle Arbeitsweise.
Wo die Datenschutz-Grundverordnung ins Spiel kommt
Unabhängig von der KI-Verordnung gilt weiterhin die Datenschutz-Grundverordnung, sobald ein KI-Werkzeug personenbezogene Daten verarbeitet, etwa Namen, E-Mail-Adressen oder Bewerbungsunterlagen. In diesem Fall braucht es einen Auftragsverarbeitungsvertrag mit dem jeweiligen Anbieter, der regelt, wie diese Daten verarbeitet werden dürfen und dass keine Nutzung zu anbieterseitigen Trainingszwecken ohne gesonderte Vereinbarung stattfindet. Dieser Vertrag gehört, wie jede andere Verarbeitung personenbezogener Daten auch, in das eigene Verzeichnis von Verarbeitungstätigkeiten. Das ist kein neues Erfordernis der KI-Verordnung, sondern seit Jahren geltendes Datenschutzrecht, das mit dem Einzug von KI in immer mehr Arbeitsabläufe nur an Bedeutung gewinnt.
Was ein mittelständisches Unternehmen jetzt konkret tun sollte
Fünf Punkte lassen sich daraus für die Praxis ableiten.
Erstens: Transparenz am Ort der Eingabe. Jeder Chatbot, jedes automatisiert generierte Bild oder Video, das öffentlich sichtbar wird, braucht eine klare, leicht auffindbare Kennzeichnung als KI-Ergebnis.
Zweitens: Dokumentation. Eine einfache, intern gepflegte Übersicht, welches KI-Werkzeug für welchen Zweck eingesetzt wird und ob dabei personenbezogene Daten verarbeitet werden, genügt als Ausgangspunkt und lässt sich bei Bedarf erweitern.
Drittens: Auftragsverarbeitungsverträge. Bevor ein KI-Werkzeug mit personenbezogenen Daten arbeitet, sollte der entsprechende Vertrag mit dem Anbieter stehen, nicht erst danach.
Viertens: Schulung. Eine kurze, rollenbezogene Einweisung reicht oft aus, um sowohl die formale Pflicht zur KI-Kompetenz zu erfüllen als auch echte Fehler im Alltag zu vermeiden.
Fünftens: klare Grenzen für Agenten. Bevor ein KI-System Zugriff auf Postfach, Dateiablage oder andere Systeme erhält, sollte schriftlich festgelegt sein, was es dort tun darf und was nicht. Das ist keine Formalität, sondern der Unterschied zwischen einem Werkzeug, dem man vertraut, und einem, dessen Handeln man nachträglich erklären muss.
Keiner dieser fünf Punkte ersetzt eine juristische Prüfung im Einzelfall. Zusammen ergeben sie aber die Grundausstattung, mit der ein mittelständisches Unternehmen KI heute verantwortbar einsetzen kann, ohne auf jede neue Fristverschiebung in Brüssel zu warten.
