Die KI-Verordnung im Herbst 2026: Was der Mittelstand jetzt tun sollte

Die Hochrisiko-Frist ist auf Dezember 2027 verschoben, Deutschland hat seine KI-Aufsicht benannt, und die Transparenzpflichten gelten bereits. Ein Überblick für kleine und mittlere Unternehmen.

In diesem Sommer hat sich der Zeitplan der europäischen KI-Verordnung (AI Act) innerhalb einer Woche zweimal geändert. Die EU hat die strengsten Pflichten verschoben, und Deutschland hat das Gesetz verabschiedet, das regelt, wer die Vorgaben hier durchsetzt. Wenn Sie ein kleines oder mittleres Unternehmen führen und KI einsetzen oder das planen, ist das der aktuelle Stand.

Dieser Artikel ist ein Überblick zur Orientierung und keine Rechtsberatung. Für eine verbindliche Einschätzung Ihrer eigenen Systeme sprechen Sie bitte mit einer Anwältin oder einem Anwalt.

Was sich im Sommer 2026 geändert hat

Die Hochrisiko-Frist wurde verschoben. Der „Digitale Omnibus zu KI“ (Verordnung (EU) 2026/1744) wurde am 24. Juli 2026 veröffentlicht. Er verschiebt die Pflichten für Hochrisiko-KI-Systeme:

Pflicht	Alter Termin	Neuer Termin
Hochrisiko-Systeme nach Anhang III (zum Beispiel Personalauswahl, Kreditwürdigkeit, Bildung)	2. August 2026	2. Dezember 2027
Hochrisiko-KI in regulierten Produkten (Anhang I)	2. August 2027	2. August 2028

Deutschland hat eine KI-Aufsicht. Das deutsche Durchführungsgesetz, das KI-MIG, ist am 29. Juli 2026 in Kraft getreten. Die Bundesnetzagentur ist nun Marktüberwachungsbehörde, zentrale Anlaufstelle und Beschwerdestelle. Sie betreibt einen KI-Service-Desk mit einem Online-Werkzeug, das eine erste Einschätzung der Risikostufe eines KI-Systems liefert, sowie ein Reallabor, in dem Unternehmen, insbesondere KMU, KI-Systeme unter Aufsicht erproben können.

Was bereits gilt

Die Verschiebung betrifft nur Hochrisiko-Systeme. Drei Teile der KI-Verordnung gelten schon:

Verbotene Praktiken (seit 2. Februar 2025). Manche Anwendungen sind grundsätzlich untersagt, etwa Social Scoring oder Emotionserkennung am Arbeitsplatz. Bei Verstößen drohen Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes.
KI-Kompetenz (seit 2. Februar 2025). Wer in Ihrem Unternehmen mit KI arbeitet, sollte verstehen, was sie kann und was nicht. Die Änderungen von 2026 haben die Formulierung dieser Pflicht abgeschwächt, aber nicht gestrichen.
Transparenz (seit 2. August 2026). Wenn ein Chatbot mit Ihren Kunden spricht, müssen diese erfahren, dass sie es mit einer KI zu tun haben, sofern das nicht offensichtlich ist. Realistische KI-generierte Bilder, Audio- oder Videoinhalte müssen als solche gekennzeichnet sein. Für die maschinenlesbare Kennzeichnung generierter Inhalte haben Systeme, die vor dem 2. August 2026 auf dem Markt waren, Zeit bis zum 2. Dezember 2026.

Die Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025. Sie betreffen die Unternehmen, die die großen Modelle entwickeln, nicht die Unternehmen, die sie nutzen.

Betreffen Sie die Hochrisiko-Regeln?

Die meiste KI, die kleine und mittlere Unternehmen einsetzen, ist nicht hochriskant: ein Chatbot, der Produktfragen beantwortet, ein Werkzeug, das Rechnungen ausliest, ein Assistent, der E-Mails entwirft oder Dokumente zusammenfasst.

Hochriskant wird es, wenn das System in sensiblen Bereichen Entscheidungen über Menschen trifft oder vorbereitet. Typische Fälle sind Software, die Bewerbungen sichtet oder sortiert, Beschäftigte bewertet, die Kreditwürdigkeit einstuft oder Prüfungen benotet. Wenn Sie ein solches System einsetzen, haben Sie als „Betreiber“ eigene Pflichten, auch wenn jemand anderes es entwickelt hat: menschliche Aufsicht, Nutzung nach Anleitung, Aufbewahrung von Protokollen und Information der Betroffenen.

Fünf Schritte für dieses Quartal

Erstellen Sie eine Liste. Schreiben Sie jedes KI-Werkzeug auf, das im Einsatz ist, auch die, für die sich Mitarbeitende selbst angemeldet haben. Notieren Sie, was es tut, welche Daten hineinfließen und wer der Anbieter ist.
Stufen Sie jedes ein. Das Online-Werkzeug der Bundesnetzagentur ist eine sinnvolle erste Prüfung. Bei den meisten Einträgen lautet das Ergebnis „minimales“ oder „begrenztes Risiko“.
Stellen Sie Transparenz jetzt her. Prüfen Sie jeden Chatbot, jeden Sprachassistenten und jedes KI-generierte Bild auf Ihrer Website. Diese Pflicht gilt bereits.
Schulen Sie Ihr Team. Eine kurze, dokumentierte Schulung dazu, wie Ihre Werkzeuge funktionieren, wo sie Fehler machen und was nicht eingegeben werden darf, deckt den größten Teil der Kompetenzpflicht ab.
Nutzen Sie die gewonnene Zeit für Hochrisiko-Systeme. Dezember 2027 klingt weit weg. Aufsicht, Protokollierung und Dokumentation einzurichten dauert Monate, und die Normen werden noch geschrieben. Beginnen Sie mit einer Lückenanalyse und nicht erst kurz vor der Frist.

Die KI-Verordnung ersetzt die DSGVO nicht. Verarbeitet ein KI-System personenbezogene Daten, gelten beide.

Unsere Einschätzung

Für die meisten KMU ist die KI-Verordnung gut zu bewältigen. Die Arbeit besteht darin, zu wissen, was man einsetzt, Menschen zu sagen, wenn sie mit einer Maschine zu tun haben, und bei wichtigen Entscheidungen einen Menschen in der Verantwortung zu halten. Systeme, die von Anfang an so gebaut sind, müssen zur nächsten Frist kaum nachgebessert werden.

Quellen

Sie denken über KI für Ihr Unternehmen nach?

Erzählen Sie uns, was Sie vorhaben, und wir sagen Ihnen ehrlich, wie wir es bauen würden.

Gespräch beginnen