Seit gestern ist es offiziell: Am 2. August 2026 ist die nächste Stufe des EU AI Act in Kraft getreten – der ersten umfassenden KI-Verordnung der Welt. Und anders als viele denken, betrifft sie nicht nur Konzerne mit eigener KI-Abteilung. Sie betrifft auch dich: den Handwerksbetrieb mit Chatbot auf der Website, das Maklerbüro mit KI-generierten Exposé-Texten, das Restaurant mit KI-Bildern in der Werbeanzeige.
Gleichzeitig kursiert gerade viel Halbwissen. Die einen erzählen dir, ab jetzt drohten jedem Unternehmen Millionenstrafen. Die anderen behaupten, das Gesetz sei sowieso komplett verschoben worden. Beides ist falsch. Das liegt nicht an dir. Sondern daran, dass sich die Rechtslage im Sommer 2026 noch einmal deutlich geändert hat – und kaum jemand sauber erklärt, was jetzt wirklich gilt.
In diesem Artikel bekommst du genau das: was seit dem 2. August 2026 für kleine und mittlere Unternehmen verbindlich ist, was auf 2027 und 2028 verschoben wurde – und eine pragmatische Schritt-für-Schritt-Anleitung, mit der du die Pflichten ohne Anwaltskanzlei und ohne Panik abhakst.
Kurze Einordnung, damit du die Schlagzeilen sortieren kannst. Der EU AI Act ist bereits 2024 in Kraft getreten und wird seitdem stufenweise scharf geschaltet. Seit Februar 2025 gelten die Verbote bestimmter KI-Praktiken und die sogenannte KI-Kompetenzpflicht. Der 2. August 2026 war von Anfang an als der große Stichtag geplant – unter anderem für die strengen Auflagen bei Hochrisiko-Systemen.
Dann kam die Wendung: Mit dem sogenannten Digital Omnibus hat die EU im Juli 2026 einen Teil des Zeitplans entschärft. Die aufwendigen Hochrisiko-Pflichten wurden auf Ende 2027 beziehungsweise 2028 verschoben. Was aber wie geplant seit dem 2. August 2026 gilt: die Transparenzpflichten. Und genau die treffen den typischen KMU-Alltag am häufigsten (Quelle: Haufe, 2026).
Konkret heißt das: Chatbots müssen sich als KI zu erkennen geben. KI-generierte Inhalte müssen gekennzeichnet werden. Und deine Mitarbeiter müssen nachweisbar wissen, was sie mit KI-Tools tun. Kein Hexenwerk – aber Pflicht.
Der AI Act sortiert jede KI-Anwendung in eine von vier Klassen. Welche Pflichten für dich gelten, hängt allein davon ab, in welcher Klasse deine Systeme landen.
Verbotene Systeme: Social Scoring, manipulative KI, biometrische Massenüberwachung. Für ein normales KMU praktisch nie relevant.
Hochrisiko-Systeme: KI, die über Menschen entscheidet – etwa Bewerber-Screening, Bonitätsprüfung oder KI in sicherheitskritischen Produkten. Hier greifen später die strengen Dokumentations- und Kontrollpflichten.
Begrenztes Risiko: Das ist deine Klasse. Chatbots, KI-generierte Bilder, Texte und Videos – alles, was mit Kunden kommuniziert oder veröffentlicht wird. Hier gilt seit dem 2. August 2026 die Transparenzpflicht.
Minimales Risiko: Rechtschreibkorrektur, Spam-Filter, interne Recherche mit ChatGPT und Co. Keine besonderen AI-Act-Pflichten – die DSGVO gilt natürlich trotzdem.
Die gute Nachricht: Die allermeisten KI-Anwendungen in kleinen Unternehmen landen in den unteren beiden Klassen. Die Pflichten, die dich betreffen, sind überschaubar. Du musst sie nur kennen und umsetzen.
Wenn auf deiner Website ein KI-Chatbot mit Besuchern schreibt, muss für die Person erkennbar sein, dass sie mit einer Maschine spricht. Ein Chatbot, der sich als „Lisa aus dem Kundenservice" ausgibt und den KI-Einsatz verschleiert, ist seit dem 2. August 2026 ein Rechtsverstoß.
Beispiel: Stell dir ein Maklerbüro vor, das auf seiner Website einen Chatbot für Objektanfragen einsetzt. Interessenten stellen abends Fragen zu einer Wohnung, der Bot antwortet im Namen des Büros. Solange nirgendwo steht, dass hier eine KI antwortet, verstößt das Büro gegen die Transparenzpflicht – auch wenn der Bot fachlich perfekte Antworten gibt.
Lösung: Ein klarer Hinweis direkt im Chat-Fenster, etwa „KI-Assistent – ich beantworte deine Fragen automatisiert". Zusätzlich eine Zeile in der Datenschutzerklärung. Das kostet dich zehn Minuten und ist damit erledigt. Die meisten Chatbot-Anbieter haben inzwischen fertige Kennzeichnungs-Optionen in den Einstellungen – du musst sie nur aktivieren.
Die zweite Transparenzpflicht betrifft Inhalte, die KI erzeugt hat und die echt wirken: fotorealistische Bilder, Videos, Stimmen. Sogenannte Deepfakes müssen als künstlich erzeugt gekennzeichnet werden. Auch hier geht es nicht darum, KI-Nutzung zu verbieten – sondern darum, Täuschung zu verhindern.
Beispielsweise könnte ein Restaurant für seine Social-Media-Anzeigen KI-generierte Bilder von Gerichten verwenden, die es so nie fotografiert hat. Wirken die Bilder wie echte Fotos, gehört eine Kennzeichnung dazu – etwa „Bild KI-generiert" in der Anzeige oder Bildunterschrift.
Wichtig für dein Marketing: Ein Blogartikel oder ein Newsletter, den du mit KI-Unterstützung geschrieben und selbst redaktionell geprüft hast, ist davon nicht betroffen. Die Pflicht zielt auf täuschend echte Medieninhalte und auf Texte, die ungeprüft automatisiert veröffentlicht werden – nicht auf KI als Schreibassistent unter menschlicher Kontrolle.
Tipp: Mach es dir einfach und definiere eine Hausregel: Alles, was fotorealistisch aussieht und aus einem KI-Tool kommt, bekommt eine Kennzeichnung. Alles, was ein Mensch geprüft und verantwortet hat, wird ganz normal veröffentlicht. Damit bist du auf der sicheren Seite, ohne jede Grafik einzeln juristisch zu bewerten.
Diese Pflicht wird am häufigsten übersehen – dabei ist sie die älteste: Bereits seit dem 2. Februar 2025 verlangt der AI Act, dass Unternehmen sicherstellen, dass ihre Mitarbeiter über ausreichende KI-Kompetenz verfügen. Das gilt für jedes Unternehmen, das KI einsetzt. Auch für dich mit fünf Mitarbeitern und einem ChatGPT-Account.
Eine schriftliche Richtlinie allein reicht dafür nicht. Es muss nachvollziehbar sein, dass dein Team weiß, welche Tools erlaubt sind, welche Daten dort nicht hineingehören und wie Ergebnisse geprüft werden.
Was du brauchst: Drei Dinge. Erstens eine kurze KI-Richtlinie – maximal zwei Seiten, verständlich geschrieben. Zweitens eine dokumentierte Schulung, das kann eine einstündige Team-Session mit Teilnehmerliste sein. Drittens eine kurze Bestätigung der Mitarbeiter, dass sie die Regeln kennen. Mehr verlangt niemand von einem kleinen Betrieb – aber genau das solltest du vorweisen können.
Angenommen, eine Steuerkanzlei nutzt KI-Tools für Textentwürfe und Recherche. Ohne Richtlinie kopiert irgendwann ein Mitarbeiter echte Mandantendaten in ein öffentliches KI-Tool – und aus einem Produktivitätsgewinn wird ein Datenschutzvorfall. Die Schulungspflicht ist deshalb keine Bürokratie-Schikane, sondern schützt dich vor genau solchen Fehlern.
Der Digital Omnibus hat die Pflichten für Hochrisiko-Systeme auf Dezember 2027 (eigenständige Systeme) beziehungsweise August 2028 (KI in regulierten Produkten) verschoben. Das betrifft zum Beispiel KI-gestütztes Bewerber-Screening, automatisierte Bonitätsprüfungen oder KI in Sicherheitskomponenten.
Heißt das, du kannst dich zurücklehnen, wenn du so ein System nutzt? Besser nicht. Denn erstens kommen die Pflichten sicher – sie wurden verschoben, nicht gestrichen. Zweitens verlangen große Auftraggeber schon heute Compliance-Nachweise von ihren Dienstleistern und Zulieferern, ganz unabhängig von gesetzlichen Fristen.
Ein häufiges Muster, das ich beobachte: KMU wissen gar nicht, dass sie ein potenzielles Hochrisiko-System einsetzen – weil die KI in einem zugekauften HR-Tool oder einer Branchensoftware steckt und dort einfach mitläuft. Genau deshalb führt an einer sauberen Bestandsaufnahme kein Weg vorbei.
Die ehrliche Antwort in den meisten Betrieben: nein. KI steckt heute nicht nur in ChatGPT, sondern eingebettet in ganz normaler Software – im CRM, das Leads bewertet, im E-Mail-Tool, das Antworten vorschlägt, in der Buchhaltungssoftware, die Belege automatisch kategorisiert.
Ohne Überblick kannst du weder kennzeichnen noch schulen noch klassifizieren. Die KI-Inventur ist deshalb der logische erste Schritt – und sie ist einfacher, als sie klingt.
So gehst du vor: Frag jeden im Team, welche Tools er nutzt und wo dort KI-Funktionen aktiv sind. Sammle alles in einer simplen Tabelle: Tool, Anbieter, Einsatzzweck, welche Daten verarbeitet werden, wer verantwortlich ist. Für einen Betrieb mit zehn Leuten ist das an einem Nachmittag erledigt. Wenn du deine Abläufe ohnehin gerade sortierst, lohnt ein Blick in meinen Artikel über KI in Geschäftsprozessen – die Inventur ist dieselbe Grundlage, auf der auch sinnvolle Automatisierung aufbaut.
Damit du nicht bei der Theorie stehen bleibst, hier die Reihenfolge, die sich in der Praxis bewährt:
1. KI-Inventur machen (eine Woche): Tabelle anlegen, Team befragen, eingebettete KI-Funktionen in bestehender Software mit erfassen. Ergebnis: eine Liste aller KI-Anwendungen im Unternehmen.
2. Kennzeichnung umsetzen (ein Tag): Chatbot-Hinweis aktivieren, Hausregel für KI-Bilder festlegen, Datenschutzerklärung ergänzen. Das ist der Teil, der seit dem 2. August 2026 verpflichtend ist – er gehört ganz nach oben auf die Liste.
3. KI-Richtlinie schreiben und Team schulen (zwei Wochen): Zwei Seiten reichen: erlaubte Tools, verbotene Daten, Prüfpflicht für Ergebnisse, Ansprechpartner. Danach eine dokumentierte Schulung – kurz, verständlich, mit Bestätigung.
4. Verantwortung benennen (ein Gespräch): Eine Person kümmert sich künftig um das Thema – prüft neue Tools, hält die Inventur aktuell, beantwortet Fragen. In kleinen Betrieben ist das eine Zusatzrolle, kein neuer Job.
Wer diese vier Schritte durch hat, ist weiter als der Großteil des Mittelstands – und hat nebenbei eine saubere Grundlage für alles, was mit KI und Automatisierung noch kommt.
Der EU AI Act reiht sich ein in eine Serie von Digital-Pflichten, die KMU gerade abarbeiten müssen – vom Barrierefreiheitsstärkungsgesetz bis zum Widerrufs-Button für Makler. Ich verstehe jeden, der da erst mal stöhnt.
Aber es gibt eine zweite Lesart: Kunden werden in den nächsten Jahren immer genauer hinschauen, wem sie beim Thema KI vertrauen können. Ein Unternehmen, das offen kennzeichnet, sauber schult und weiß, wo seine KI läuft, wirkt professioneller als eines, das so tut, als gäbe es das Thema nicht. Transparenz wird vom Pflichtprogramm zum Vertrauenssignal – gerade für lokale Betriebe, die vom persönlichen Ruf leben.
Und die Fristen laufen weiter: Ende 2027 kommen die Hochrisiko-Pflichten, die Anforderungen an Dokumentation und Governance steigen schrittweise. Wer jetzt mit Inventur, Kennzeichnung und Schulung die Basis legt, muss später nur ergänzen statt bei null anzufangen.
Du willst wissen, wo in deinem Unternehmen KI schon läuft, was davon kennzeichnungspflichtig ist – und wo KI dir sogar Arbeit abnehmen kann, statt nur Pflichten zu erzeugen? Dann lass uns das gemeinsam anschauen – im kostenlosen Strategiegespräch. Ich zeige dir, was bei dir sinnvoll ist. Ehrlich nein ist mir dabei lieber als ein halbes Ja.
