Gilt der EU AI Act für mein Unternehmen?

Wenn Ihr Unternehmen in der EU ein KI-System entwickelt, anbietet oder nutzt, oder wenn die Ergebnisse seiner KI in der EU verwendet werden, gilt die KI-Verordnung (Verordnung (EU) 2024/1689, „EU AI Act“) mit hoher Wahrscheinlichkeit für Sie, meist in der Rolle als Anbieter oder als Betreiber. Für die meisten kleinen Unternehmen, die KI-Werkzeuge nur nutzen, sind heute zwei Pflichten wichtig: die KI-Kompetenz nach Art. 4 und, seit dem 2. August 2026, die Transparenzpflichten nach Art. 50, soweit sie im Einzelfall greifen. Die Pflichten für Hochrisiko-Systeme kommen später und betreffen nur bestimmte Einsatzzwecke.

Gilt die KI-Verordnung für ein Unternehmen, das KI-Werkzeuge nur nutzt?

Ja, als Betreiber. Betreiber ist, wer ein KI-System in eigener Verantwortung im beruflichen Kontext verwendet (Art. 3 Nr. 4). Ein Chatbot eines Anbieters, ein Schreibassistent, ein Meeting-Transkriptor oder ein KI-Coding-Werkzeug fallen darunter. Sie haben das System nicht gebaut und sind trotzdem im Anwendungsbereich.

Betreiber zu sein heißt nicht, unter allen Pflichten der Verordnung zu stehen. Die meisten Betreiberpflichten hängen an bestimmten Einsatzzwecken. Art. 4 (KI-Kompetenz) ist die Ausnahme: Er erreicht jeden Anbieter und jeden Betreiber, auf jeder Risikostufe.

Gilt sie auch, wenn wir außerhalb der EU sitzen?

Ja, in zwei Fällen. Die Verordnung gilt für Anbieter, die KI-Systeme in der EU in Verkehr bringen, egal wo sie niedergelassen sind (Art. 2 Abs. 1 Buchst. a), und für Anbieter und Betreiber in einem Drittland, wenn die vom KI-System hervorgebrachte Ausgabe in der Union verwendet wird (Art. 2 Abs. 1 Buchst. c). Maßgeblich ist, ob das System in der Union in Verkehr gebracht oder in Betrieb genommen wird oder ob seine Ausgabe dort verwendet wird, nicht, wo Ihre Firma eingetragen ist.

Gegenbeispiele. Ein Unternehmen außerhalb der EU, das KI nur für eigene Kunden vor Ort einsetzt, ohne dass Ausgaben in der EU genutzt werden, wird davon nicht erfasst. Ein Unternehmen außerhalb der EU, das ein KI-Produkt an EU-Kunden verkauft, schon. Liegt Ihr Fall dazwischen, entscheidet der Wortlaut von Art. 2, nicht eine Faustregel.

Sind kleine Unternehmen und Start-ups ausgenommen?

Nein. Die KI-Verordnung kennt keine pauschale Ausnahme für kleine Unternehmen oder Start-ups. Die Pflichten folgen Ihrer Rolle und Ihrem KI-Einsatz, nicht der Mitarbeiterzahl. Die Größe ändert die Obergrenze der Bußgelder: Für KMU, einschließlich Start-ups, gilt jeweils der niedrigere der beiden Beträge, nicht der höhere (Art. 99 Abs. 6). Seit dem Digital-Omnibus gilt die Regel des niedrigeren Betrags auch für kleine Midcaps, bei den Obergrenzen nach Art. 99 Abs. 4 und 5 (Art. 99 Abs. 6a). Die Einzelheiten stehen im Abschnitt zu den Sanktionen in unserem Leitfaden zu den Risikostufen (auf Englisch).

Gegenbeispiel. Eine Agentur mit drei Personen, die auf ihrer Website eine Chatbot-Plattform und für Kundenarbeit einen Bildgenerator nutzt, hat dieselbe Art von Pflichten wie ein größeres Unternehmen in gleicher Lage. Die Pflichten sind wenige: Art. 4, und Art. 50 Abs. 4, wenn ein veröffentlichtes Bild ein Deepfake ist.

Ist rein interne Nutzung erfasst?

Ja. Die Begriffsbestimmung des Betreibers fragt, ob Sie das System in eigener Verantwortung im beruflichen Kontext verwenden. Sie fragt nicht, ob das Ergebnis bei Kunden ankommt. Ein interner Notiz-Assistent oder ein Schreibwerkzeug der Personalabteilung ist trotzdem ein System, das Sie betreiben.

Gegenbeispiele. Die private Nutzung eines Verbraucher-Werkzeugs durch eine Mitarbeiterin außerhalb der Arbeit ist nicht die Nutzung Ihres Unternehmens. Und Art. 2 enthält eine kurze Liste von Ausnahmen. Sie sind eng und an Bedingungen geknüpft. Lesen Sie den genauen Wortlaut in der Verordnung, bevor Sie sich auf eine stützen.

Anbieter oder Betreiber: Welche Rolle haben wir?

Anbieter sind Sie, wenn Sie ein KI-System entwickeln oder entwickeln lassen und es unter eigenem Namen oder eigener Marke in Verkehr bringen oder in Betrieb nehmen, entgeltlich oder unentgeltlich (Art. 3 Nr. 3). Betreiber sind Sie, wenn Sie ein System in eigener Verantwortung im beruflichen Kontext verwenden (Art. 3 Nr. 4).

Die meisten Unternehmen sind Betreiber fremder Systeme. Beides zugleich ist möglich: Ein SaaS-Unternehmen, das eine KI-Funktion in sein Produkt einbaut, ist Anbieter dieser Funktion und Betreiber der KI-Werkzeuge, die seine Mitarbeitenden nutzen. Die Rolle gilt pro System, nicht pro Unternehmen.

Welche Pflichten gelten heute für uns?

Für einen typischen kleinen Betreiber gilt heute Folgendes, und eines kommt später.

• Art. 5, verbotene Praktiken. Gelten seit dem 2. Februar 2025 für alle Anbieter und Betreiber. Wenige Unternehmen kommen in ihre Nähe, aber lesen Sie die Liste einmal.
• Art. 4, KI-Kompetenz. Gilt seit dem 2. Februar 2025, Wortlaut im Juli 2026 durch den Digital-Omnibus ersetzt. Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen, die KI in ihrem Auftrag betreiben, zu unterstützen. Ein bestimmtes Kompetenzniveau einzelner Personen muss nicht garantiert werden (Art. 4 Abs. 1). Unser Leitfaden zu Art. 4 (auf Englisch) erklärt, was das praktisch heißt.
• Art. 50, Transparenz. Gilt seit dem 2. August 2026 und wurde nicht verschoben. Wenn Sie mit KI Deepfake-Bilder, -Audio oder -Videos erzeugen oder verändern oder KI-geschriebene Texte veröffentlichen, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, legen Sie das offen; Texte unter menschlicher Prüfung und redaktioneller Verantwortung sind ausgenommen (Art. 50 Abs. 4). Wenn Sie Emotionserkennung oder biometrische Kategorisierung einsetzen, informieren Sie die betroffenen Personen (Art. 50 Abs. 3). Die Pflicht, Chatbots so zu gestalten, dass Menschen erkennen, dass sie mit KI sprechen, liegt beim Anbieter (Art. 50 Abs. 1). Wenn Sie einen eigenen Chatbot auf einer Modell-API bauen und unter eigenem Namen anbieten, können Sie dieser Anbieter sein (Art. 3 Nr. 3). Eine Übergangsfrist bis zum 2. Dezember 2026 betrifft nur die maschinenlesbare Kennzeichnung der Ausgaben, und nur für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden (Art. 111 Abs. 4). Der Leitfaden zu Art. 50 enthält die Einzelheiten.
• Hochrisiko-Systeme (Art. 6 mit Anhang III). Durch die Verordnung (EU) 2026/1744 auf den 2. Dezember 2027 verschoben. Sie betreffen bestimmte Einsatzzwecke wie Bewerber-Screening oder Bonitätsbewertung, nicht den KI-Einsatz im Allgemeinen. Alle Termine stehen im Zeitplan (auf Englisch).

Anbieter tragen mehr: Pflichten wie Art. 16 für Hochrisiko-Systeme und die Gestaltungspflicht aus Art. 50 Abs. 1 oben. Betreiber von Hochrisiko-Systemen haben eigene Pflichten in Art. 26, sobald diese gelten.

Welche Bußgeldrahmen gibt es?

Art. 99 setzt drei Obergrenzen: eine für verbotene Praktiken (Art. 99 Abs. 3), eine für die meisten Pflichten der Beteiligten, darunter Art. 16, Art. 26 und Art. 50 (Art. 99 Abs. 4), und eine für unrichtige Angaben gegenüber Behörden (Art. 99 Abs. 5). Für KMU gilt die Regel des niedrigeren Betrags in Art. 99 Abs. 6, für kleine Midcaps bei Abs. 4 und 5 nach Art. 99 Abs. 6a. Die Beträge wiederholen wir hier nicht. Sie stehen mit den Artikelnummern im Sanktionsabschnitt des Leitfadens zu den Risikostufen (auf Englisch).

Selbstcheck in fünf Fragen

1. Entwickeln oder verkaufen wir ein Produkt oder eine Dienstleistung mit KI, in der EU oder an EU-Kunden? Wenn ja, sind wir sehr wahrscheinlich Anbieter dieses Systems, oder Einführer bzw. Händler, wenn wir ein fremdes System unter dessen Namen weiterverkaufen.
2. Nutzen unsere Mitarbeitenden KI-Werkzeuge für die Arbeit (Chatbot, Texte, Bilder, Transkription, Code)? Wenn ja, sind wir Betreiber, und Art. 4 gilt.
3. Veröffentlichen wir KI-erzeugte Bilder, Audio, Video oder KI-geschriebene Texte von öffentlichem Interesse? Wenn ja, prüfen Sie Art. 50.
4. Entscheidet eine KI, die wir nutzen oder bauen, über Menschen, etwa bei Einstellung, Kredit oder Zugang zu Leistungen? Wenn ja, prüfen Sie Anhang III vor dem 2. Dezember 2027.
5. Sitzt das Unternehmen außerhalb der EU, und wird unsere KI-Ausgabe in der EU verwendet? Wenn ja, kann die Verordnung uns trotzdem erreichen.

Der kostenlose Klassifizierer von Klariq mit fünf Fragen geht das für Ihren Fall durch und liefert Risikokategorie und Pflichten mit Artikelnummern.

Häufige Fragen

Gilt die KI-Verordnung nur für B2B-Unternehmen oder auch für Verbraucherprodukte?

Für beides. Die Verordnung betrifft das KI-System und die Rollen darum, nicht die Kundenart. Der Anbieter einer Verbraucher-App und der Anbieter eines B2B-Werkzeugs sind beide Anbieter.

Gilt sie auch, wenn wir nur kostenlose KI-Werkzeuge nutzen?

Ja. Der Preis ändert die Rolle nicht. Wenn Ihr Unternehmen das Werkzeug in eigener Verantwortung im beruflichen Kontext verwendet, sind Sie Betreiber.

Unsere Mitarbeitenden nutzen ChatGPT auf eigene Faust. Sind wir Betreiber?

Wahrscheinlich ja, wenn sie es mit Ihrem Wissen oder auf Ihre Anweisung für die Arbeit nutzen: Das ist Verwendung in Ihrer Verantwortung (Art. 3 Nr. 4). Nutzung, von der Sie nichts wissen, ist eine Grauzone, die der Wortlaut nicht klärt. Eine kurze Nutzungsregel und eine Schulungsmaßnahme nach Art. 4 machen daraus Nutzung, die Sie kennen. Unser Leitfaden zur KI-Richtlinie (auf Englisch) zeigt, was so eine Regel enthält.

Quellen

• Verordnung (EU) 2024/1689 (KI-Verordnung), Volltext einschließlich der Artikel 2, 3, 4, 50 und 99: eur-lex.europa.eu
• Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus zur KI), Änderung der Verordnung (EU) 2024/1689, im Amtsblatt veröffentlicht am 24. Juli 2026, in Kraft seit 27. Juli 2026: eur-lex.europa.eu

Weiterlesen

• Was muss ein KI-Chatbot nach Artikel 50 offenlegen?
• Was sich am 2. August 2026 geändert hat
• EU-AI-Act-Risikostufen (EN)
• AI-Act-Zeitplan (EN)