KI-Verordnung (AI Act): Pflichten für Unternehmen im Überblick

Die KI-Verordnung (AI Act) ist die europäische Verordnung über künstliche Intelligenz, die Verordnung (EU) 2024/1689, und sie betrifft auch Unternehmen, die KI nur nutzen, ohne sie selbst zu entwickeln. Für ein mittelständisches Unternehmen, das ChatGPT, einen Chatbot auf der Website oder Software mit KI-Funktionen einsetzt, verlangt die KI-Verordnung heute vor allem drei Dinge: die Mitarbeitenden schulen, die diese Werkzeuge nutzen, verbotene Praktiken unterlassen und die Transparenzpflichten erfüllen. Die strengsten Pflichten, die für Hochrisiko-Systeme, wurden auf den 2. Dezember 2027 und den 2. August 2028 verschoben.

Dieser Artikel zeigt den Zeitplan mit Stand September 2026, erklärt, welche Rolle ein mittelständisches Unternehmen in der Regel hat, und beschreibt, was praktisch zu tun ist. Daten und Artikel geben wir so wieder, wie sie in den amtlichen Texten stehen. Dies ist keine Rechtsberatung, für konkrete Fälle brauchen Sie die Einschätzung einer Fachperson.

Aktualisierung vom 29. Oktober 2026: Nach Erscheinen dieses Artikels hat Italien das Gesetzesvertretende Dekret Nr. 179 vom 7. Oktober 2026 veröffentlicht (auf Italienisch, Amtsblatt Nr. 234 vom 8. Oktober 2026). Es passt das italienische Recht an die KI-Verordnung an, und zwar bei den Befugnissen der nationalen Behörden und beim Einsatz von KI in der Aus- und Weiterbildung. Die EU-Fristen weiter unten bleiben unverändert.

Die KI-Verordnung im Überblick

Die Verordnung ist am 1. August 2024 in Kraft getreten und gilt unmittelbar in allen Mitgliedstaaten, ohne nationales Umsetzungsgesetz. Sie ordnet KI-Anwendungen nach ihrem Risiko ein:

• einige Praktiken sind ganz verboten;
• einige Systeme gelten als Hochrisiko-Systeme und müssen strenge Anforderungen erfüllen;
• für andere Systeme, etwa Chatbots und Inhaltsgeneratoren, gelten Transparenzpflichten;
• für alles Übrige gibt es keine besonderen Pflichten, abgesehen von der KI-Kompetenz der Mitarbeitenden.

Daneben gibt es eigene Regeln für KI-Modelle mit allgemeinem Verwendungszweck, also die großen Modelle, auf denen Werkzeuge wie ChatGPT aufbauen. Diese Regeln betreffen die Entwickler der Modelle, nicht das Unternehmen, das sie nutzt.

Der Zeitplan der KI-Verordnung nach dem Digital Omnibus

Nach dem ursprünglichen Zeitplan sollte fast alles ab dem 2. August 2026 gelten. Am 19. November 2025 hat die Kommission ein Vereinfachungspaket vorgeschlagen, den sogenannten Digital Omnibus on AI. Parlament und Rat haben sich am 7. Mai 2026 politisch geeinigt, und der Text wurde zur Verordnung (EU) 2026/1744 vom 8. Juli 2026, veröffentlicht im Amtsblatt der EU am 24. Juli und in Kraft seit dem 27. Juli 2026. Die Verschiebung ist also kein Vorschlag mehr, sondern geltendes Recht.

Die Hochrisiko-Termine lagen vorher beim 2. August 2026 für Anhang III und beim 2. August 2027 für Anhang I. Die Kommission hat die Verschiebung damit begründet, dass zuerst technische Normen und Hilfsmittel für Unternehmen vorliegen müssen, wie die offizielle Seite zum Rechtsrahmen für KI erläutert.

Eines hat der Omnibus nicht verschoben: KI-Kompetenz und Verbote gelten seit dem 2. Februar 2025, und ab August 2026 können die nationalen Behörden auch hier die Aufsicht ausüben.

KI-Verordnung und Unternehmen: Anbieter oder Betreiber?

Die Pflichten hängen stark von der Rolle ab. Die Verordnung definiert mehrere Rollen, für den Mittelstand zählen vor allem zwei.

Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. OpenAI für ChatGPT, das Softwarehaus, das ein ERP-System mit KI-Funktionen verkauft, aber auch das Unternehmen, das ein individuelles System in Auftrag gibt und unter eigener Marke nutzt.

Betreiber (Deployer) ist, wer ein KI-System in eigener Verantwortung im Rahmen einer beruflichen Tätigkeit verwendet. Der Großhändler, der Produktbeschreibungen von einem generativen Modell schreiben lässt, die Werkstatt, die einen Assistenten für Kostenvoranschläge nutzt, die Kanzlei, die Dokumente mit KI zusammenfasst: Sie alle sind Betreiber.

Die meisten mittelständischen Unternehmen sind Betreiber. Es gibt aber Fälle, in denen ein Betreiber zum Anbieter wird, und Artikel 25 nennt sie für Hochrisiko-Systeme: wenn Sie Ihren Namen oder Ihre Marke auf ein bereits vermarktetes Hochrisiko-System setzen, wenn Sie es wesentlich verändern oder wenn Sie die Zweckbestimmung eines Systems, das kein Hochrisiko-System ist, so ändern, dass es zu einem wird. Ein Beispiel, das Sie genau prüfen sollten: Ein allgemeines Modell zu nehmen und damit Lebensläufe automatisch auszusortieren, kann bedeuten, seine Zweckbestimmung in einen Bereich zu verlagern, den Anhang III als hochriskant einstuft.

Wenn Sie Software mit KI-Funktionen individuell entwickeln lassen, wie in den Projekten, die wir betreuen, legen Sie schriftlich mit dem Dienstleister fest, wer welche Rolle hat und wer welche Dokumentation erstellt.

KI-Verordnung: Pflichten für Unternehmen, die KI nutzen

Dieser Teil betrifft die meisten mittelständischen Unternehmen.

KI-Kompetenz (Art. 4)

Seit dem 2. Februar 2025 müssen Anbieter und Betreiber Maßnahmen zur KI-Kompetenz ihres Personals und anderer Personen ergreifen, die die Systeme in ihrem Auftrag nutzen. Der ursprüngliche Text verlangte, „nach besten Kräften“ ein „ausreichendes Maß“ an KI-Kompetenz sicherzustellen. Der Omnibus hat Artikel 4 neu gefasst: Die Pflicht bleibt bestehen, besteht aber darin, Maßnahmen zur Förderung der Kompetenzen zu ergreifen, unter Berücksichtigung von technischem Wissen, Erfahrung und Einsatzkontext, und verlangt nicht, für jede Person ein bestimmtes Niveau zu garantieren. Die Fragen und Antworten der Kommission zur KI-Kompetenz stellen klar, dass die Kontrolle ab dem 2. August 2026 bei den nationalen Marktüberwachungsbehörden liegt.

In der Praxis heißt das: Wer KI-Werkzeuge nutzt, muss wissen, was sie tun, wo sie Fehler machen, welche Daten nicht eingegeben werden dürfen und an wen man sich bei Zweifeln wendet. Halten Sie fest, was Sie unternommen haben (Termine, Inhalte, Teilnehmende).

Verbotene Praktiken (Art. 5)

Sie sind seit dem 2. Februar 2025 verboten. Die meisten betreffen Fälle, die mit dem Alltag eines mittelständischen Unternehmens wenig zu tun haben, etwa biometrische Echtzeit-Identifizierung durch Strafverfolgungsbehörden. Einige können aber durchaus ein Unternehmen betreffen:

• Systeme, die Emotionen von Personen am Arbeitsplatz ableiten, außer aus medizinischen oder Sicherheitsgründen;
• manipulative oder täuschende Techniken, die das Verhalten von Menschen verzerren und erheblichen Schaden verursachen;
• die Ausnutzung von Schwächen aufgrund von Alter, Behinderung oder wirtschaftlicher Lage;
• Social Scoring, das zu ungerechtfertigter Benachteiligung führt;
• biometrische Kategorisierung, um sensible Daten wie politische Meinungen oder sexuelle Orientierung abzuleiten.

Wenn Ihnen ein Anbieter vorschlägt, das „Engagement“ der Mitarbeitenden zu messen, indem Gesichter oder Stimmen in Besprechungen analysiert werden, halten Sie inne und holen Sie vor der Unterschrift rechtlichen Rat ein. Ab dem 2. Dezember 2026 kommen die Verbote aus dem Omnibus für Systeme hinzu, die ohne Einwilligung sexuelle Bilder realer Personen erzeugen.

Hochrisiko-Systeme

Die Pflichten für Systeme nach Anhang III gelten ab dem 2. Dezember 2027. Für ein mittelständisches Unternehmen kommen vor allem zwei Bereiche in Frage: Beschäftigung (Auswahl von Bewerbern, Entscheidungen über Beförderung oder Kündigung, Aufgabenzuweisung auf Grundlage individuellen Verhaltens, Leistungsüberwachung) und die Prüfung der Kreditwürdigkeit natürlicher Personen.

Wenn Sie ein solches System als Betreiber nutzen, verlangt Artikel 26 unter anderem, dass Sie:

• es gemäß der Gebrauchsanweisung des Anbieters verwenden;
• die menschliche Aufsicht Personen mit angemessener Kompetenz, Schulung und Befugnis übertragen;
• automatisch erzeugte Protokolle, soweit sie unter Ihrer Kontrolle stehen, mindestens sechs Monate aufbewahren;
• Arbeitnehmervertreter und betroffene Beschäftigte informieren, bevor Sie es am Arbeitsplatz einsetzen.

Die Verschiebung verschafft Zeit, aber die Verträge werden jetzt unterschrieben. Wenn Sie eine HR-Software mit automatischer Bewerberauswahl prüfen, fragen Sie den Anbieter, wie er die Anforderungen bis Dezember 2027 erfüllen will.

Transparenz (Art. 50)

Ab dem 2. August 2026 gelten die Transparenzpflichten. Anbieter müssen Systeme, die mit Menschen interagieren, so gestalten, dass diese wissen, dass sie mit einer KI sprechen, sofern das nicht offensichtlich ist. Anbieter von Systemen, die synthetische Inhalte erzeugen, müssen diese maschinenlesbar kennzeichnen; für Systeme, die vor dem 2. August 2026 auf dem Markt waren, gilt der 2. Dezember 2026 als Frist.

Für Betreiber gibt es zwei Hauptpflichten. Wer Deepfakes veröffentlicht, also erzeugte oder manipulierte Bilder, Audio- oder Videoinhalte, die echt wirken, muss das offenlegen. Wer KI-generierte Texte veröffentlicht, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, muss das ebenfalls offenlegen, es sei denn, der Text wurde von einem Menschen mit redaktioneller Verantwortung geprüft.

Für ein mittelständisches Unternehmen bedeutet das zum Beispiel, dass der Chatbot für den Kundenservice auf der Website erkennen lassen muss, dass der Kunde mit einem automatischen System spricht, und dass ein Werbevideo mit einer KI-generierten Person als solches gekennzeichnet werden muss.

Die vorgesehenen Sanktionen

Artikel 99 legt die Höchstbeträge fest: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken; bis zu 15 Mio. € oder 3 % bei Verstößen gegen andere Pflichten, einschließlich der Betreiberpflichten (Art. 26) und der Transparenzpflichten (Art. 50); bis zu 7,5 Mio. € oder 1 % bei falschen Angaben gegenüber Behörden. Für KMU gilt jeweils der niedrigere Wert aus Festbetrag und Prozentsatz; der Omnibus hat dieses Kriterium für Verstöße außerhalb der verbotenen Praktiken auf Small Mid-Caps ausgeweitet. Die konkreten Sanktionsregeln legen die Mitgliedstaaten fest.

Das italienische KI-Gesetz

Italien hat das Gesetz Nr. 132 vom 23. September 2025 verabschiedet, veröffentlicht im Amtsblatt Nr. 223 vom 25. September 2025 und in Kraft seit dem 10. Oktober 2025. Es handelt sich um ein italienisches Gesetz, relevant für Unternehmen mit Sitz oder Beschäftigten in Italien. Es ersetzt die KI-Verordnung nicht, sondern ergänzt sie. Für Unternehmen zählen vor allem drei Artikel.

• Artikel 11 betrifft die Arbeit: Der Arbeitgeber muss die Beschäftigten über den Einsatz künstlicher Intelligenz in den Fällen und nach den Vorgaben von Artikel 1-bis des Gesetzesdekrets 152/1997 informieren, also wenn automatisierte Entscheidungs- oder Überwachungssysteme eingesetzt werden, die für Einstellung, Gestaltung des Arbeitsverhältnisses, Aufgabenzuweisung oder Leistungsbewertung relevant sind.
• Artikel 13 betrifft die freien Berufe: KI darf nur für unterstützende Hilfstätigkeiten eingesetzt werden, und die Berufsträger müssen ihre Mandanten in klarer Sprache über die eingesetzten Systeme informieren.
• Artikel 20 benennt die nationalen Behörden: AgID für die Innovationsförderung und die Notifizierung der Konformitätsbewertungsstellen, ACN für die Aufsicht, einschließlich Kontrollen und Sanktionen. Die Zuständigkeiten von Banca d'Italia, CONSOB und IVASS in ihren jeweiligen Bereichen bleiben unberührt.

Das Gesetz enthält auch Ermächtigungen an die Regierung, das nationale Recht an die KI-Verordnung anzupassen. Ein erstes Durchführungsdekret, das Gesetzesdekret Nr. 160 vom 9. September 2026, regelt den Einsatz von KI bei der Polizei sowie die zivil- und strafrechtliche Haftung; es wurde im Amtsblatt vom 15. September 2026 veröffentlicht. Weitere Dekrete werden erwartet, und es lohnt sich, die Neuerungen auf Normattiva, dem italienischen Rechtsportal, zu verfolgen.

Was ein mittelständisches Unternehmen konkret tun sollte

Für ein Unternehmen mit 20 oder 50 Mitarbeitenden ist der Aufwand überschaubar, wenn man geordnet vorgeht. Diesen Weg empfehlen wir Kunden, die uns danach fragen.

1. Erstellen Sie eine Bestandsaufnahme der KI-Werkzeuge. Fragen Sie jede Abteilung, was sie tatsächlich nutzt, einschließlich privater ChatGPT-Konten und ähnlicher Dienste sowie KI-Funktionen in bereits vorhandener Software (CRM, ERP-System, Recruiting-Plattformen). Notieren Sie für jedes Werkzeug, wer es nutzt, wofür, mit welchen Daten und wer der Anbieter ist.
2. Ordnen Sie jede Nutzung ein. Das meiste wird in die Kategorie ohne besondere Pflichten oder in die Transparenzkategorie fallen. Markieren Sie gesondert alles, was Beschäftigte und Bewerber, die Kreditwürdigkeit oder die Produktsicherheit betrifft: Das sind die Fälle, die Sie mit einem Berater vertiefen sollten.
3. Schreiben Sie eine Nutzungsrichtlinie von ein bis zwei Seiten: zugelassene Werkzeuge, Daten, die nie eingegeben werden (personenbezogene Daten von Kunden und Beschäftigten, vertrauliche Preise, vertrauliche Dokumente), die Pflicht, Ergebnisse vor der Verwendung zu prüfen, Ansprechpartner.
4. Organisieren Sie Schulungen und dokumentieren Sie sie. Eine Sitzung für diejenigen, die die Werkzeuge täglich nutzen, eine kürzere für alle anderen, dazu Material zum Nachlesen. Das ist der direkteste Weg, Artikel 4 zu erfüllen.
5. Prüfen Sie die Verträge mit den Anbietern: Verwendung der eingegebenen Daten, Speicherort, Rolle jeder Partei nach der KI-Verordnung, Zusagen zur Anpassung bei etwaigen Hochrisiko-Systemen.
6. Informieren Sie die Beschäftigten, wenn es nötig ist, nach Artikel 11 des italienischen Gesetzes 132/2025 und, bei Hochrisiko-Systemen, nach Artikel 26 der KI-Verordnung.
7. Überprüfen Sie die Bestandsaufnahme alle sechs Monate. Die Werkzeuge ändern sich schnell, und es kommen laufend neue Leitlinien der Kommission und der nationalen Behörden.

Ein guter Teil dieser Arbeit überschneidet sich mit dem, was Sie bereits für die DSGVO und die IT-Sicherheit getan haben. Wenn Sie ein Verzeichnis der Verarbeitungstätigkeiten und eine IT-Sicherheitsrichtlinie für Ihr Unternehmen haben, beginnen Sie dort. Einen breiteren Blick darauf, wie Sie KI im Unternehmen einführen, bietet der Leitfaden zu künstlicher Intelligenz für KMU, und das Thema der Information der Beschäftigten knüpft an den Artikel Ersetzt KI meine Mitarbeitenden? an.

Für die amtlichen Texte und häufige Fragen hat die Kommission den AI Act Service Desk eingerichtet, der Artikel, Anhänge und Prüfwerkzeuge bündelt.

Wenn Sie Werkzeuge prüfen, die selbstständig in Ihren Systemen handeln: Was KI-Agenten sind und was sie tatsächlich leisten, erklären wir separat.

Sprechen wir darüber

Wenn wir KI-Automatisierungen für Unternehmen konzipieren, nehmen wir die Risikoeinstufung und die Rollen nach der KI-Verordnung in die Erstanalyse auf, zusammen mit den Datenberechtigungen und der menschlichen Aufsicht. Wenn Sie wissen möchten, wie Sie ein KI-Projekt aufsetzen, das auch regulatorisch trägt, oder Unterstützung bei der Bestandsaufnahme Ihrer Werkzeuge brauchen, vereinbaren Sie ein Gespräch mit uns. Bei rein rechtlichen Fragen sagen wir Ihnen klar, wann Sie einen Anwalt brauchen.

Dieser Artikel dient der Information und stellt keine Rechtsberatung dar. Daten und Inhalte wurden anhand der im September 2026 verfügbaren amtlichen Texte geprüft.