Was ist die KI-Verordnung und wie betrifft sie KMU in Deutschland?
Die «KI-Verordnung» ist die Verordnung (EU) 2024/1689, bekannt als EU AI Act. Sie gilt unmittelbar in Deutschland seit dem 1. August 2024 und tritt gestaffelt in Kraft: verbotene Praktiken (Art. 5) und KI-Kompetenz (Art. 4) ab dem 2. Februar 2025, GPAI-Pflichten ab dem 2. August 2025. Am 2. August 2026 erhält die Bundesnetzagentur ihre Durchsetzungsbefugnisse. Der Rahmen für Hochrisiko-Systeme wurde durch den Digital Omnibus verschoben: Anhang III ab dem 2. Dezember 2027, Anhang I ab dem 2. August 2028. Sie betrifft jedes KMU, das KI-Systeme einsetzt, anbietet oder vertreibt, unabhängig von der Branche.
Welche Pflichten hat ein deutsches KMU nach dem EU AI Act?
Ein KMU hat fünf Pflichtenkomplexe je nach Rolle und eingesetzten KI-Systemen. Art. 4: KI-Kompetenz des Personals fördern. Art. 5: keine verbotenen Praktiken einsetzen. Art. 26: bei Hochrisiko-Einsatz Anweisungen befolgen, Protokolle führen, menschliche Aufsicht. Art. 50: Nutzer informieren, KI-Inhalte kennzeichnen. Art. 27: FRIA bei Hochrisiko-Einsatz in sensiblen Sektoren.
Wir nutzen nur ChatGPT, gilt der AI Act trotzdem?
Ja. Der Einsatz von Cloud-KI-Assistenten (ChatGPT, Copilot, Gemini, Claude) löst mindestens zwei Pflichten aus: Bemühens-Pflicht zur Förderung der KI-Kompetenz des Personals (Art. 4) und, bei Chatbot-Einsatz gegenüber Kunden, Aufklärungs- und Kennzeichnungspflicht (Art. 50). Hinzu kommen DSGVO und BDSG: Daten in Public-Cloud-Assistenten können eine Drittlandsübermittlung darstellen und brauchen Rechtsgrundlage sowie AVV.
Welche Bußgelder drohen?
Art. 99 sieht drei Stufen vor: bis 35 Mio. Euro oder 7 % weltweiter Jahresumsatz bei Verstoß gegen Verbote (Art. 5); bis 15 Mio. Euro oder 3 % bei den übrigen Anbieter- und Betreiberpflichten (etwa Art. 16, 26, 50); bis 7,5 Mio. Euro oder 1 % bei falschen Auskünften. Für die KI-Kompetenz nach Art. 4 legt die Verordnung keine spezifische Geldbuße fest, die Sanktionen überlässt sie hier den Mitgliedstaaten. Art. 99.6 verpflichtet zur Gewichtung nach Größe und Umsatz bei KMU und Start-ups. Zuständig in Deutschland: Bundesnetzagentur.
Wann beginnt die aktive Aufsicht in Deutschland?
Verbote und KI-Kompetenz: seit 2. Februar 2025. GPAI: seit 2. August 2025. Durchsetzungsbefugnisse der BNetzA und Transparenzpflichten (Art. 50): 2. August 2026. Der Hochrisiko-Rahmen wurde durch den Digital Omnibus verschoben (formale Annahme ausstehend): Anhang III ab 2. Dezember 2027, Anhang I ab 2. August 2028.
Was bedeutet KI-Kompetenz nach Art. 4 und wie erfüllt man sie?
Art. 4 verpflichtet Anbieter und Betreiber, Maßnahmen zu ergreifen, um die KI-Kompetenz ihres Personals zu fördern. Nach dem Digital Omnibus vom 7. Mai 2026 ist die Vorgabe als
Bemühens-Pflicht formuliert, nicht als Erfolgs-Pflicht; die Pflicht bleibt jedoch bestehen. Erfüllt mit einer dokumentierten Schulung zu Rechtsrahmen, Risiken, DSGVO-Anwendung, Transparenz und Verboten. Freshlab bietet eine schlüsselfertige Schulung für
20 Euro pro Teilnehmer mit Zertifikat und kryptographisch signiertem Dossier. Mehr unter
Art. 4 KI-VO Schulung.
Welche KI-Praktiken sind für ein KMU verboten (Art. 5)?
Art. 5 verbietet auch KMU: Social Scoring, Emotionserkennung am Arbeitsplatz und in Bildung (außer aus medizinischen oder sicherheitsrelevanten Gründen), biometrische Kategorisierung nach Rasse, Religion, sexueller Orientierung, Systeme, die Schwächen ausnutzen, unterschwellige Techniken, sowie biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum. Ein KMU mit HR-Software, die Emotionen per Video oder Sprache analysiert, verstößt seit Februar 2025 gegen Art. 5.
Welche Pflichten hat ein Betreiber nach Art. 26?
Beim Einsatz eines Hochrisiko-KI-Systems (Personal, Scoring, Versicherung, Bildung, kritische Infrastruktur, Justiz) verlangt Art. 26: Gebrauchsanweisung befolgen, menschliche Aufsicht kompetenten und entscheidungsbefugten Personen übertragen, Eingabedaten kontrollieren, Protokolle mindestens sechs Monate aufbewahren, schwerwiegende Vorfälle melden, natürliche Personen über KI-basierte Entscheidungen informieren. Im Arbeitskontext zusätzlich Information des Betriebsrats vor Inbetriebnahme (§ 87 Abs. 1 Nr. 6 BetrVG).
Wann ist eine FRIA Pflicht?
Art. 27 verpflichtet Betreiber, die öffentliche Stellen, Erbringer öffentlicher Dienstleistungen oder Akteure in sensiblen Sektoren (Banken, Versicherungen) sind, zur FRIA vor Inbetriebnahme eines Hochrisiko-Systems. Die FRIA beschreibt Einsatzprozesse, Nutzungszeitraum, betroffene Personengruppen, Risiken für Grundrechte und Aufsichtsmaßnahmen. Das Ergebnis wird der Marktüberwachung mitgeteilt. Ein KMU als Dienstleister einer Behörde oder Bank kann verpflichtet sein, den Kunden bei dessen FRIA zu unterstützen.
Welche Transparenzpflichten gelten nach Art. 50?
Art. 50 sieht vier Anforderungen ab dem 2. August 2026 vor. Chatbots mit natürlichen Personen: klar erkennbarer KI-Hinweis. KI-generierte Inhalte (Bild, Audio, Video, signifikanter Text): maschinenlesbare Kennzeichnung und ggf. Nutzerhinweis. Deepfakes: ausdrückliche Kennzeichnung. Zulässige Emotionserkennung oder biometrische Kategorisierung: Information der exponierten Personen.
Wie passt lokale KI ohne Cloud-Anbindung zur AI-Act-Compliance?
Lokale KI (LLM on-premise)
entbindet nicht von der Verordnung, vereinfacht aber mehrere Bausteine.
DSGVO: keine zu rechtfertigende Drittlandsübermittlung.
Art. 4: Schulung ist identisch.
Art. 50: gilt für Chatbots in jedem Fall. Vorteile lokaler KI im Hinblick auf den AI Act:
volle Nachvollziehbarkeit der Eingabedaten,
lückenlose Protokolle unter eigener Kontrolle, keine Schatten-KI mit sensiblen Daten,
BDSG-Konformität für besonders schützenswerte Daten. Mehr unter
Lokale KI ohne Cloud-Anbindung.
Was gilt für GPAI-Modelle, die ein KMU einsetzt?
Die GPAI-Pflichten der Art. 53 ff. (technische Dokumentation, Urheberrechts-Compliance, Trainingsdaten-Zusammenfassung) treffen den Modellanbieter, nicht das KMU als Nutzer. Als Betreiber eines GPAI-basierten Tools (ChatGPT, Copilot, Mistral) gilt für Ihr KMU die normale Betreiberpflicht: Art. 4, Art. 50 und DSGVO. Wenn Ihr KMU ein GPAI-Modell in ein selbst vermarktetes Produkt integriert, übernimmt es Anbieterpflichten dafür.