EU-KI-Gesetz für KMU: Compliance-Anforderungen im Jahr 2026

Wichtige Erkenntnisse:

• Das EU-KI-Gesetz für KMU ist bereits teilweise in Kraft. Verbote gelten seit Februar 2025, aber die wichtigsten Hochrisiko-Regeln wurden verschoben – nach der Digital Omnibus landen sie nun am 2. Dezember 2027 (Annex III-Systeme) und 2. August 2028 (Annex I eingebettete Systeme), nicht im August 2026.

• Ihre erste Compliance-Entscheidung ist, ob Sie ein Anbieter (Sie bauen oder kennzeichnen die KI) oder ein Nutzer (Sie verwenden KIs anderer professionell) sind. Die Pflichtensätze unterscheiden sich stark.

• Die Digital Omnibus zu KI – vorläufig vereinbart am 7. Mai 2026, formal vom Rat am 29. Juni 2026 angenommen und seit 27. Juli 2026 in Kraft – verschob die wichtigsten Hochrisiko-Fristen um etwa 16 Monate und fügte KMU-Vereinfachungen hinzu. Sie änderte nichts an den Verboten oder den Transparenzpflichten für KI mit allgemeinem Zweck.

• Bußgeldobergrenzen erreichen 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes für die schwersten Verstöße gemäß Artikel 99, mit reduzierten Obergrenzen für KMU. Reduziert bedeutet nicht symbolisch.

• Schließen Sie mit begrenztem Budget zunächst die Dokumentationslücken bei Ihrem einzelnen Hochrisiko-System. Breites Compliance-Theater über alle Tools kostet mehr und schützt weniger.

Die meisten KMU-Inhaber, mit denen ich im September 2026 spreche, fallen in zwei Lager. Das erste geht davon aus, dass das EU-KI-Gesetz verschoben wurde und sie sich nächstes Jahr damit befassen werden. Das zweite gerät in stille Panik, weil ein Berater gerade ein fünfstelliges Retainer-Angebot für einen Chatbot und einen Lebenslauf-Screener gemacht hat. Beide Bilder sind falsch – aber aus dem entgegengesetzten Grund, den Sie erwarten würden. Das KI-Gesetz ist nicht auf Eis gelegt, aber die Zeitachse hat sich tatsächlich verschoben: Die Digital Omnibus, die im Juli 2026 finalisiert wurde, verschob die wichtigsten Hochrisiko-Fristen auf Dezember 2027 und August 2028. Das ist echter Spielraum, kein Mythos – aber Verbote und Transparenzpflichten haben sich nie verschoben, und „wir haben mehr Zeit" ist nicht dasselbe wie „wir können das ignorieren." Dieser Beitrag geht durch, was jetzt gilt, was sich dieses Jahr tatsächlich geändert hat, und wo Sie begrenztes Budget ausgeben, um echte Risiken statt Papierkram um seiner selbst willen zu adressieren.

Das EU-KI-Gesetz in einfacher Sprache für KMU

Die Verordnung (EU) 2024/1689 ist das erste umfassende KI-Gesetz der Welt. Sie reguliert KI-Systeme nach Risikokategorie, nicht nach Unternehmensgröße. Kleine und mittlere Unternehmen haben die gleichen Kernverpflichtungen wie große Konzerne, wenn sie das gleiche Systemkategorie betreiben – Bußgeldobergrenzen und einige verfahrensrechtliche Belastungen sind die einzigen Dinge, die leichter werden.

Anbieter vs. Nutzer: die Unterscheidung, die alles ändert

Ein Anbieter ist jede Organisation, die ein KI-System entwickelt oder entwickeln lässt und es auf dem EU-Markt unter eigenem Namen in den Verkehr bringt. Nutzer sind etwas anderes: Sie verwenden ein KI-System in einem beruflichen Kontext, nicht zur persönlichen, nicht-beruflichen Nutzung.

Die beiden Rollen führen zu sehr unterschiedlichen Pflichten. Anbieter sind verantwortlich für die technische Dokumentation, die Konformitätsbewertung und die CE-Kennzeichnung. Nutzer sind für die operative Seite zuständig – korrekte Verwendung des Systems, Überwachung, Aufbewahrung von Protokollen, Gewährleistung menschlicher Überwachung und Benachrichtigung betroffener Personen, wenn eine spezifische Entscheidung KI-gesteuert ist.

Der praktische Test für ein KMU ist kurz. Haben Sie diese KI gebaut oder gebrandmarkt? Sie sind ein Anbieter. Verwenden Sie einfach das Tool eines anderen in Ihrem Geschäft? Nutzer. Kaufen Sie eine CV-Screening-SaaS und nutzen Sie sie wie verkauft, und Sie sind ein Nutzer. Nehmen Sie ein Open-Source-Modell, feinjustieren Sie es mit Ihren Kandidatendaten, geben Sie ihm Ihre Marke und Sie werden zum Anbieter mit dem vollständigen Dokumentationspflichtensatz.

Warum Größe die Bußgeldobergrenze beeinflusst, aber nicht die Regeln

Artikel 99 des EU-KI-Gesetzes wie im Amtsblatt veröffentlicht setzt Bußgeldgrenzen bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes für Verstöße gegen verbotene KI, je nachdem, welcher Betrag höher ist. KMU und Start-ups erhalten stattdessen den niedrigeren der beiden Beträge. Das begrenzt das Risiko aussagekräftig. Es erzeugt keine Ausnahme. Ein zehnköpfiges Personalvermittlungsunternehmen, das einen automatisierten Lebenslauf-Screener betreibt, hat den gleichen Hochrisiko-Pflichtensatz wie eine Fortune-500-Personalplattform, nur mit einer kleineren Bußgeldobergrenze.

Nach Aussagen des Rates der EU und der Pressestelle des Europäischen Parlaments verschob die Digital Omnibus bestimmte Hochrisiko-Implementierungsfristen, rationalisierte einige Dokumentationspflichten für KMU und ließ die Verbote und Transparenzpflichten für KI mit allgemeinem Zweck unverändert. Dieser letzte Punkt ist wichtig. Wenn Sie angenommen haben, die Verschiebung würde alles abdecken, tat sie es nicht.

Risikokategorien: Wo Ihre KI-Tools tatsächlich landen

Vier Risikobänder: verboten, hochrisiko, begrenzt risiko und minimal risiko. Wo ein System landet, bestimmt die Regeln, nicht wer es gemacht hat.

Verbotene Praktiken gelten seit 2. Februar 2025 in der gesamten Union. Dazu gehören Social Scoring durch öffentliche Behörden, Echtzeit-Fernbiometrische Identifizierung im öffentlichen Raum durch die Strafverfolgung (mit engen Ausnahmen), ungezieltes Scraping von Gesichtsbildern für Erkennungsdatenbanken und manipulative KI, die Schwachstellen ausnutzt. Die meisten KMU werden sich jemals nicht mit diesen Kategorien befassen. Jedes Tool mit Verhaltensprofilierung, biometrischem Matching oder Arbeitsplatz-Emotionserkennung sollte trotzdem gegen die Leitlinien des EU-KI-Büros überprüft werden.

Hochrisiko-KI-Systeme sind dort, wo sich die meiste KMU-Compliance-Arbeit letztendlich konzentrieren wird – aber die Uhr für dies hat sich gerade verschoben. Annex III des Gesetzes listet die betroffenen Sektoren auf: Einstellung und Arbeitnehmerverwaltung, Zugang zu wesentlichen privaten und öffentlichen Diensten (einschließlich Kreditbewertung), Bildung, Sicherheitskomponenten regulierter Produkte, Migration und Grenzkontrolle sowie Verwaltung der Justiz. Wenn Sie KI verwenden, um Jobbewerber zu bewerten, zu entscheiden, wer einen Kredit bekommt, oder KI in eine Maschine einbetten, die bereits eine CE-Kennzeichnung hat, fallen Sie mit Sicherheit in den Geltungsbereich – Sie haben jetzt nur bis 2. Dezember 2027 (für eigenständige Annex III-Systeme) oder 2. August 2028 (für KI, die in regulierte Produkte unter Annex I eingebettet ist, wie Maschinen oder Medizinprodukte) Zeit, um bereit zu sein, nicht im August 2026.

Begrenzt-Risiko-Systeme führen nur Transparenzpflichten mit sich. Chatbots müssen offenbaren, dass sie KI sind. Deepfakes und synthetische Medien benötigen eine Kennzeichnung – diese Frist verschob sich auch unter der Omnibus, von August auf 2. Dezember 2026. Emotionserkennung-Systeme am Arbeitsplatz lösen Offenlegungspflichten gegenüber betroffenen Mitarbeitern aus.

Minimal-Risiko-Systeme decken Spam-Filter, KI in Videospielen, Bestandsprognosen und die überwiegende Mehrheit der gewöhnlichen Geschäftssoftware ab. Keine spezifischen KI-Gesetzes-Pflichten gelten außer freiwilligenVerhaltenskodizes.

Ein schnelles Beispiel: Führen Sie ein Fotostudio und verwenden Sie generatives Ausfüllen in Adobe? Minimal-Risiko. Verwenden Sie einen KI-Lebenslauf-Screener, um Kandidaten für ein Interview zu ordnen? Sie sind ein Nutzer eines Hochrisiko-Systems, und die folgenden Regeln sind Ihre.

Compliance-Verpflichtungen des EU-KI-Gesetzes 2026 für Hochrisiko-Systeme

Für Hochrisiko-KI-Systeme legt das Gesetz einen definierten Pflichtensatz fest, der für die meisten Verpflichtungen am 2. August 2026 in Kraft trat, mit gestaffelten Daten für Systeme, die in regulierte Produkte eingebettet sind. Kapitel III des Amtsblatts ist die maßgebliche Quelle.

Anbieter müssen ein Risikomanagement-System einrichten, das über den gesamten Lebenszyklus läuft – dokumentierte Risikoidentifizierung, Risikominderung und Restrisiko-Analyse, aktualisiert, wann immer sich das System wesentlich ändert. Datenverwaltungsregeln erfordern, dass Trainings-, Validierungs- und Testdatensätze relevant, ausreichend repräsentativ und soweit machbar fehlerfrei sind. Die technische Dokumentation muss umfassend genug sein, damit eine nationale Behörde das System auf Anfrage prüfen kann.

Nutzer erhalten einen engeren, aber echten Pflichtensatz. Sie müssen das System gemäß den Anweisungen des Anbieters verwenden. Sie müssen die menschliche Überwachung einer kompetenten, geschulten und bevollmächtigten Person zuweisen, die eingreifen kann. Automatisch generierte Protokolle müssen dort aufbewahrt werden, wo das System sie erzeugt. In einigen Fällen müssen Sie eine Folgenabschätzung für Grundrechte durchführen, bevor Sie das System einsetzen, besonders im öffentlichen Sektor und bei Kredit- und Versicherungsanwendungsfällen.

Was aussagekräftige menschliche Überwachung tatsächlich bedeutet

Regulatoren suchen nicht nach einer Person, die KI-Ausgaben abnickt. Sie wollen dokumentierte Belege dafür, dass eine benannte Person die Ausgaben des Systems verstehen, diese außer Kraft setzen und entscheiden kann, das System in einem bestimmten Fall nicht zu verwenden. In der Praxis bedeutet das ein schriftliches Überwachungsverfahren, eine Rollenbeschreibung für den Überwachungseigentümer, Schulungsunterlagen und Audit-Logs, die zeigen, wann Außerkraftsetzungen ausgeübt wurden. Ein einziges Google Doc, das aktuell gehalten wird, schlägt einen polierten Ordner, der seit der Inbetriebnahme nicht mehr geöffnet wurde.

CE-Kennzeichnung und EU-Datenbankregistrierung

Anbieter von Hochrisiko-KI-Systemen müssen eine CE-Kennzeichnung anbringen und das System in der von der Kommission verwaltete EU-KI-Datenbank registrieren, bevor sie es auf den Markt bringen. Nutzer öffentlicher Hochrisiko-KI-Systeme müssen ihre Nutzung auch in der Datenbank registrieren, obwohl private Nutzer dies im Allgemeinen nicht tun.

Was die 2026 Digital Omnibus tatsächlich geändert hat

Das Omnibus-Paket durchlief einen längeren Weg als eine einzelne Ankündigung: vorläufige politische Einigung am 7. Mai 2026, Billigung durch das Europäische Parlament am 16. Juni 2026, abschließendes grünes Licht vom Rat am 29. Juni 2026, Veröffentlichung im Amtsblatt am 24. Juli 2026 und Inkrafttreten am 27. Juli 2026. Sie wurde durchgehend als Wettbewerbsmaßnahme, nicht als Rollback dargestellt. Vier Verschiebungen sind für KMU wichtig.

Fristen verschoben sich um mehr als eine „kleine Anpassung" Eigenständige Hochrisiko-Systeme unter Annex III haben nun bis 2. Dezember 2027 Zeit – eine 16-Monate-Verschiebung vom ursprünglichen Datum 2. August 2026. Hochrisiko-KI, die in regulierte Produkte unter Annex I eingebettet ist, erhält bis 2. August 2028. Watermarking- und Synthetic-Content-Offenlegungspflichten verschoben sich von August auf 2. Dezember 2026. GPAI-Transparenzpflichten wurden nicht verzögert und gelten weiterhin ab August 2025 für neue Modelle und August 2027 für bereits bestehende, genau wie im ursprünglichen Text.

Neue Verbote wurden hinzugefügt, nicht nur Verzögerungen. Die Omnibus führte neue Verbote für KI-generierte nicht-einwilligte intime Bilder und Kindesmissbrauchsmaterial ein – Ergänzungen zu Artikel 5, nicht Abschwächung.

KMU-spezifische Vereinfachungen. Der geänderte Text führte leichtere technische Dokumentationsvorlagen für Mikro- und kleine Unternehmen ein, erlaubte vereinfachte Konformitätsbewertungsrouten, wo ein harmonisierter Standard existiert, und bestätigte Vorrangzugang für KMU zu nationalen Regulierungs-Sandboxen.

Was sich nicht änderte. Verbote blieben ab Februar 2025 in Kraft. GPAI-Modelltransparenzpflichten, einschließlich Zusammenfassungen von Trainingsinhalten, blieben im Plan. Artikel 99 Bußgeldobergrenzen wurden nicht reduziert.

Die Falle für KMU ist, die Omnibus als allgemeine Gnadenfrist zu behandeln. Das ist sie nicht. Wenn Ihr Geschäft ein zum Umfang gehörendes Hochrisiko-System betreibt, sind Ihre Kernverpflichtungen live und Ihre Bußgelder sind echt. Was sich ändert, ist die Menge an Papierkram, der erforderlich ist, um Compliance nachzuweisen, nicht ob Compliance erforderlich ist.

Für Teams, die abwägen, ob sie Compliance intern aufbauen oder externe Hilfe holen, gelten die gleichen Kompromisse, die für breitere KI-Akzeptanz gelten – Kosten, Auswahlkriterien und Compliance-Umfang werden ausführlicher in unserer Anleitung zur Auswahl und Kostenberechnung einer KI-Agentur in Deutschland behandelt.

Eine praktische Prioritätenliste für KMU gleich jetzt

Überspringen Sie die generische Sieben-Schritte-Checkliste. Verwenden Sie stattdessen einen Triage-Ansatz: Identifizieren Sie, was Sie haben, klassifizieren Sie jeden Punkt, und geben Sie Budget dort aus, wo sich das Risiko tatsächlich konzentriert.

Erstellen Sie zuerst ein KI-Inventar. Listen Sie jedes KI-berührende Tool auf, das Ihr Unternehmen verwendet, einschließlich eingebetteter Funktionen in gängiger SaaS. Vermerken Sie den Anbieter, die Geschäftsfunktion und wer in Ihrem Unternehmen es besitzt. Basierend auf unseren eigenen Client-Aufnahmen über mittelständische Firmen 2026 entdecken die meisten KMU zwischen 15 und 40 Tools, wenn sie dies richtig durchführen, von Microsoft 365 Copilot bis zu Nischen-Rekrutierungsplugins, die niemand wirklich zu procure erinnert.

Klassifizieren Sie jedes Tool mit zwei Fragen:

• In welches Risiko-Band fällt es: verboten, hochrisiko, begrenzt oder minimal?

• Sind wir für dieses System ein Anbieter, ein Nutzer oder ein Importeur?

Ein Tool, das Menschen bewertet oder ordnet (Kandidaten, Bewerber, Studenten, Kunden für wesentliche Dienste), ist Hochrisiko. Ein nach vorne gerichteter Chatbot ist begrenzt risiko. Eine Buchhaltungs-KI ist minimal risiko. Feinjustieren oder geben Sie einem Modell ein Branding und Sie werden zum Anbieter, auch wenn Sie als Kunde begonnen haben.

Sobald Sie wissen, was Sie haben und welche Rolle Sie spielen, verschiebt sich die Papierkram-Frage von theoretisch zu konkret. Das ist, wenn Dokumentation ihren Wert verdient.

Bauen Sie das Dokumentations-Fundament auf. Für Hochrisiko-Bereitstellungen benötigen Sie letztendlich ein schriftliches Überwachungsverfahren, ein Vorfalls-Protokoll, eine Datenverwalter-Notiz zur Beschreibung, welche Daten das System verwendet und wie sie überprüft wurden, sowie die Anweisungen des Anbieters zur Verwendung in der Datei. Mit der Zeitachse, die jetzt bis Dezember 2027 verlängert wurde, gibt es keinen Grund, diese in einen polierten Ordner zu beeilen – aber es gibt auch keinen Grund, bis 2027 zu warten, um den gemeinsamen Ordner und die Vorlage zu starten.

Benennen Sie einen Verantwortungseigentümer und verzeichnen Sie die Ernennung schriftlich. In einem zehnköpfigen KMU ist dies oft der Betriebsleiter oder der CTO. In einem größeren Unternehmen könnte es der Datenschutzbeauftragte sein, der seinen Umfang erweitert. Die Rolle erfordert keinen Anwalt, aber sie erfordert jemanden, der Leitlinien lesen und handeln kann.

EU-KI-Gesetzes SME-Bußgelder und Strafen: Durchsetzung und Budget-Triage

Artikel 99 setzt drei Bußgeldgrenzen. Für KMU und Start-ups wendet das Gesetz den niedrigeren der beiden Beträge in jeder Zeile an, anstelle des höheren.

Selbst die reduzierte Obergrenze setzt das Risiko eines kleinen Unternehmens bei schweren Verstößen in sechs oder siebenstellige Zahlen. Die Durchsetzung läuft durch nationale zuständige Behörden, die von jedem Mitgliedstaat bestimmt werden. Die EU-KI-Büro-Implementierungsseite veröffentlicht aktualisierte Leitlinien und koordiniert über Mitgliedstaaten.

Wo man begrenztes Budget ausgeben sollte

Haben Sie 10.000 Euro zum Ausgeben für EU-KI-Gesetzes-Compliance über das nächste Quartal? Verteilen Sie es nicht gleichmäßig über jedes Tool. Konzentrieren Sie sich auf eine Sache: Ihr einzelnes Hochrisiko-System. Für die meisten KMU bedeutet das eines davon:

• Ein automatisiertes Einstellungs- oder Lebenslauf-Screening-Tool

• Ein KI-Kredit- oder Erschwinglichkeitsbewertungsinstrument, das bei Kreditvergabe oder Versicherungsmakler verwendet wird

• Eine KI-Sicherheitskomponente in einem physischen Produkt, das Sie herstellen

• Ein KI-Modell mit allgemeinem Zweck, das Sie feinjustieren und für Kunden geben

Schließen Sie Dokumentationslücken dort zuerst. Schreiben Sie das Überwachungsverfahren, erfassen Sie die Protokolle, fordern Sie die technische Datei des Anbieters schriftlich an, und verzeichnen Sie die Risikobewertung. Echter Schutz schlägt einen flachen Compliance-Theater-Pass über 30 Tools, die sowieso minimal-Risiko sind.

Offizielle Hilfe ist verfügbar und kostenlos. Nationale Regulierungs-Sandboxen ermöglichen KMU, Hochrisiko-KI vor Markteintritt unter beaufsichtigten Bedingungen zu testen, und jeder Mitgliedstaat ist verpflichtet, mindestens eine zu betreiben. Das EU-KI-Büro veröffentlicht Dokumentationsvorlagen, die KMU direkt anpassen können. Wenn Sie außerhalb Hilfe einholen, strukturieren Sie das Engagement um spezifische Artefakte (technische Datei, Überwachungsverfahren, FRIA), anstatt offenes Beraten.

Drei Schritte, um diese Woche zu machen

Wenn Sie diesen Artikel schließen und möchten sichtbaren Fortschritt bis Freitag:

1. Führen Sie das KI-Inventar durch. Fragen Sie jeden Abteilungsleiter, jedes Tool aufzulisten, das KI verwendet, einschließlich Funktionen in vertrauter SaaS. Erfassen Sie alles, bevor Sie filtern.

2. Kennzeichnen Sie die Hochrisiko-Kandidaten. Jedes Tool, das Menschen bewertet, benotet oder über sie entscheidet, fällt wahrscheinlich unter Annex III. Stern diese auf Ihrer Liste.

3. Benennen Sie einen Eigentümer und geben Sie ihm eine Stunde pro Woche. Das KI-Gesetzes ist kein Einmal-Projekt. Kontinuierliches Eigentum schlägt eine einmalige Prüfung, die in sechs Monaten veraltet ist.

Möchten Sie einen strukturierten Weg, um dies mit Ihrem Team durchzuarbeiten? Unsere Praxis hilft KMU, praktische KI-Verwaltung aufzubauen, ohne es zu über das Ziel hinausschießen. Buchen Sie ein Erstgespräch, um Ihr Inventar durchzugehen und die Top-Drei-Risiken zu sortieren.

Zugehörige Dienstleistung: KI-Agentur

Häufig gestellte Fragen

Gilt das EU-KI-Gesetz für US-Unternehmen?

Ja, wenn ein US-Unternehmen ein KI-System auf dem EU-Markt in den Verkehr bringt, Dienstleistungen mit KI-Ausgaben für EU-Nutzer anbietet, oder seine KI-Ausgabe wird in der EU genutzt. Das Gesetz folgt der gleichen extraterritorialen Logik wie die DSGVO. Ein US-SaaS-Anbieter, der einen Lebenslauf-Screener an einen deutschen Personalvermittler verkauft, ist ein Anbieter gemäß des Gesetzes und muss typischerweise einen bevollmächtigten EU-Vertreter ernennen.

Wurde das EU-Gesetz über künstliche Intelligenz verabschiedet?

Ja. Es wurde 2024 angenommen und am 12. Juli 2024 als Verordnung (EU) 2024/1689 im Amtsblatt veröffentlicht. Verbote traten am 2. Februar 2025 in Kraft. GPAI-Transparenzregeln traten am 2. August 2025 in Kraft. Hochrisiko-Verpflichtungen, ursprünglich für 2. August 2026 angesetzt, wurden durch der Digital Omnibus (seit 27. Juli 2026 in Kraft) auf 2. Dezember 2027 für eigenständige Annex III-Systeme und 2. August 2028 für Annex I eingebettete Systeme verschoben.

Sind KMU vom EU-KI-Gesetz ausgenommen?

Nein. Das Gesetz gilt nach Systemkategorie, nicht nach Unternehmensgröße. Was KMU erhalten, sind leichtere verfahrensrechtliche Belastungen, reduzierte Bußgeldobergrenzen gemäß Artikel 99, vereinfachte technische Dokumentationsvorlagen und Vorrangzugang zu nationalen Regulierungs-Sandboxen. Wesentliche Verpflichtungen sind unverändert.

Was sind die Schlüsseländerungen in den EU-KI-Vorschriften für 2026?

Digital Omnibus zu KI, seit 27. Juli 2026 in Kraft, verschob die wichtigsten Hochrisiko-Compliance-Fristen um etwa 16 Monate (auf Dezember 2027 und August 2028, abhängig vom Systemtyp), verschob die Watermarking-/Synthetic-Content-Frist auf 2. Dezember 2026, fügte neue Verbote auf KI-generierte intime Bilder und CSAM hinzu, führte formale KMU- und Small Mid-Cap-Definitionen mit Dokumentations- und Sandbox-Vereinfachungen ein, und wässerte die Artikel 4 KI-Literatur-Verpflichtung ab. Sie änderte nicht die bereits gültigen Verbote, die GPAI-Transparenzpflichten oder die Artikel 99 Bußgeldobergrenzen.

Was ist der praktische Unterschied zwischen einem Anbieter und einem Nutzer?

Ein Anbieter baut oder bringt ein KI-System unter seinem Namen auf den Markt und besitzt technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung. Ein Nutzer verwendet professionell das KI-System einer anderen Person und besitzt operative Verpflichtungen: korrekte Nutzung, menschliche Überwachung, Protokollierung und in einigen Fällen eine Folgenabschätzung für Grundrechte. Die meisten KMU sind Nutzer für die Tools, die sie kaufen, und Anbieter für alles, das sie bauen, feinjustieren oder geben.

Wo finde ich die offizielle EU-Anleitung?
Die Seite zum Rechtsrahmen des EU-KI-Büros ist die wichtigste Informationsquelle. Dort werden Anwendungsleitfäden und Dokumentationsvorlagen veröffentlicht, und es findet eine Abstimmung mit den nationalen Behörden statt. Der vollständige Gesetzestext ist im Amtsblatt zu finden.

Dieser Artikel gibt den Stand der regulatorischen Fristen zum September 2026 wieder. Das „Digital Omnibus"-Paket wurde erst wenige Wochen vor der Abfassung dieses Artikels offiziell verabschiedet und veröffentlicht – überprüfen Sie daher stets die aktuellen Fristen auf den offiziellen Seiten des EU-KI-Büros und der Bundesnetzagentur, bevor Sie Entscheidungen zur Einhaltung der Vorschriften treffen, und lassen Sie sich von einem qualifizierten Fachmann speziell zu Ihrem Unternehmen beraten.