EU-KI-Gesetz-Compliance für KMU: Pflichten, wichtige Fristen und Maßnahmen.

Ja. Unternehmen, die von anderen entwickelte KI-Systeme einsetzen — bekannt als "Betreiber" — haben Pflichten nach dem EU-KI-Gesetz. Dazu gehören Maßnahmen zur Förderung der KI-Kompetenz bei Mitarbeitern (Article 4, in Kraft ab 2. August 2026), die Information der Nutzer über KI-Interaktionen (Article 50, in Kraft ab 2. August 2026) sowie die Vorbereitung auf die Annex-III-Hochrisiko-Betreiberpflichten nach Article 26, die ab 2. Dezember 2027 gelten. Der Umfang der Pflichten hängt davon ab, welche KI-Tools Sie zu welchem Zweck einsetzen.

Hochrisiko-KI-Systeme sind jene, die in Anhang III der Verordnung aufgeführt sind. Dazu gehören KI, die bei Recruiting- und HR-Entscheidungen (z. B. Lebenslauf-Screening), im kritischen Infrastrukturmanagement, bei Bildungs- und Berufsausbildungsbewertungen, beim Zugang zu wesentlichen Dienstleistungen (Kredit, Versicherung), bei der Strafverfolgung und bei der biometrischen Identifizierung eingesetzt wird. Die vollständigen Compliance-Pflichten für Annex-III-Systeme — einschließlich Konformitätsbewertung, EU-Datenbankregistrierung und der Article-26-Betreiberpflichten — gelten ab 2. Dezember 2027. Dieses Datum wurde durch Verordnung (EU) 2026/1744 vom ursprünglichen 2. August 2026 geändert.

Die Verordnung (Regulation (EU) 2024/1689) trat am 1. August 2024 in Kraft. Wichtige Fristen: Article 5-Verbote gelten ab 2. Februar 2025 (und bleiben in Kraft). Pflichten für Anbieter von KI-Allzweckmodellen gelten ab 2. August 2025. Article 4 (KI-Kompetenzmaßnahmen) und Article 50 (Transparenz) gelten ab 2. August 2026. Zwei neue Article-5-Verbote, hinzugefügt durch Verordnung (EU) 2026/1744, gelten ab 2. Dezember 2026. Die vollständigen Annex-III-Hochrisiko-System-Pflichten (Kapitel III) gelten ab 2. Dezember 2027 — geändert durch Verordnung (EU) 2026/1744 vom ursprünglichen August 2026. Annex-I-Hochrisiko-Systeme für regulierte Produkte gelten ab 2. August 2028.

Article 4 (in der Fassung der Verordnung (EU) 2026/1744) verpflichtet Anbieter und Betreiber, Maßnahmen zu ergreifen, um die Entwicklung ausreichender KI-Kompetenz bei ihren Mitarbeitern und anderen Personen, die in ihrem Auftrag mit KI umgehen, zu fördern. Die Pflicht ist verhältnismäßig — das erforderliche Niveau der Kompetenzförderung richtet sich nach der Rolle und dem Risikoniveau der eingesetzten KI-Systeme. Es wird keine spezifische Schulungszertifizierung, Kursdauer oder Mindestqualifikation vorgeschrieben. Dokumentierte Leitfäden, Schulungsnachweise und Mitarbeiterbriefings sind praktische Wege zum Nachweis der Compliance. Diese Pflicht gilt ab 2. August 2026.

Article 5 verbietet bestimmte KI-Nutzungen vollständig. Ursprüngliche Verbote (in Kraft seit 2. Februar 2025) umfassen: KI, die das Verhalten durch unterschwellige oder täuschende Techniken manipuliert; Ausbeutung von Schwachstellen bestimmter Gruppen; Echtzeit-Biometrieerkennung aus der Ferne im öffentlichen Raum (mit engen Ausnahmen für die Strafverfolgung); Social Scoring durch Behörden; Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen (mit begrenzten Ausnahmen); sowie KI, die geschützte Merkmale aus biometrischen Daten ableitet. Verordnung (EU) 2026/1744 fügte zwei neue Verbote ab 2. Dezember 2026 hinzu: Article 5(1)(ba) verbietet KI, die nicht-einvernehmliche intime synthetische Bilder von echten Personen erstellt, und Article 5(1)(bb) verbietet KI, die kindliche Missbrauchsmaterial erstellt. Diese Bewertung prüft bestimmte Article-5-Risiken, stellt aber keine erschöpfende Rechtsfreigabe für alle Verbote dar.

Article 50 verpflichtet Betreiber, Nutzern mitzuteilen, wenn sie mit einem KI-System interagieren (Article 50(1)) — etwa über Chatbots oder virtuelle Assistenten — sofern dies nicht aus dem Kontext offensichtlich ist. KI-generierte oder wesentlich KI-veränderte Bilder, Audio und Video müssen in einem maschinenlesbaren Format als solche gekennzeichnet werden (Article 50(4)). Diese Pflichten gelten ab 2. August 2026. Bereits vor diesem Datum genutzte Systeme sollten umgehend in Compliance gebracht worden sein. Für bestimmte bereits bestehende Systeme synthetischer Inhalte sieht die geänderte Verordnung eine begrenzte Übergangsregelung vor.