Regfortis

EU-KI-Gesetz-Compliance-Checkliste für KMU

Eine praktische, priorisierte Checkliste mit den wichtigsten derzeit geltenden EU-KI-Gesetz-Pflichten für KMU, die KI-Tools einsetzen, mit klaren Fristen und Links zu detaillierten Erläuterungen zu jeder Anforderung.

Letzte regulatorische Überprüfung: 14. August 2026 · Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744

Wie diese Checkliste zu verwenden ist

Diese Checkliste ist nach Frist gegliedert — die dringendsten Pflichten zuerst. Bearbeiten Sie Abschnitt 1 sofort: Dies sind gesetzliche Anforderungen, die bereits in Kraft sind. Abschnitte 2 und 3 behandeln die Vorbereitung auf bevorstehende Pflichten. Die Checkliste setzt voraus, dass Ihr Unternehmen ein Betreiber ist — ein Unternehmen, das von anderen entwickelte KI-Systeme einsetzt. Wenn Ihr Unternehmen KI-Systeme entwickelt oder auf den Markt bringt (ein Anbieter), gelten zusätzliche Pflichten, die hier nicht vollständig abgedeckt werden.

Sofort — jetzt geltende Pflichten

Jetzt handeln

Article 4 — KI-Kompetenz

In Kraft: 2. August 2026

Erfassen Sie jedes KI-System oder KI-Tool, das Ihr Unternehmen derzeit in einem professionellen Kontext nutzt.
Ermitteln Sie, welche Mitarbeiter oder Auftragnehmer mit diesen KI-Systemen interagieren, sie beaufsichtigen oder Entscheidungen auf deren Grundlage treffen.
Beurteilen Sie, ob das vorhandene Wissen jeder Person für die von ihr genutzte KI und deren Risiko angemessen ist — ein Kundenservice-Chatbot-Nutzer benötigt weniger KI-Kompetenzunterstützung als ein HR-Manager, der KI-gestützte Vorauswahl nutzt.
Bieten Sie angemessene Briefings, Leitfäden oder Schulungen an. Das Gesetz schreibt kein bestimmtes Format oder keine Zertifizierung vor — Verhältnismäßigkeit gilt.
Dokumentieren Sie, was Sie getan haben: wer wurde gebrieft, wann und zu welchen KI-Systemen. Führen Sie Aufzeichnungen für den Fall einer aufsichtsbehördlichen Anfrage.
Legen Sie einen Überprüfungstermin fest — mindestens jährlich oder bei Einführung eines neuen KI-Systems.

Article 50 — Transparenz

In Kraft: 2. August 2026

Identifizieren Sie alle KI-Systeme, die Ihr Unternehmen einsetzt und die direkt mit Kunden, Mitarbeitern oder der Öffentlichkeit interagieren — Chatbots, virtuelle Assistenten, automatisierte Antwortsysteme.
Stellen Sie sicher, dass Nutzer vor oder zu Beginn der Interaktion darüber informiert werden, dass sie mit einer KI interagieren, sofern dies nicht aus dem Kontext offensichtlich ist.
Wenn Ihr Unternehmen KI-erstellte Bilder, Audio, Video oder Textinhalte generiert oder verbreitet, stellen Sie sicher, dass geeignete technische Maßnahmen oder Offenlegungskennzeichnungen vorhanden sind, um diese als KI-generiert zu kennzeichnen.
Dokumentieren Sie Ihre Transparenzmaßnahmen und die Grundlage für etwaige "aus dem Kontext offensichtlich"-Ausnahmen, auf die Sie sich stützen.

Article 5 — Verbotene KI-Praktiken

In Kraft: 2. Februar 2025

Bestätigen Sie, dass Ihr Unternehmen keine KI-Systeme nutzt, die Nutzer unterschwellig manipulieren oder Schwachstellen von Personen mit Behinderungen, älteren Personen oder wirtschaftlich gefährdeten Gruppen ausnutzen.
Bestätigen Sie, dass Sie kein Social-Scoring-System betreiben, das Einzelpersonen auf der Grundlage ihres Verhaltens in nicht zusammenhängenden Kontexten bewertet.
Bestätigen Sie, dass Sie keine Echtzeit-Biometrieerkennung aus der Ferne in öffentlich zugänglichen Räumen betreiben (enge Ausnahmen für die Strafverfolgung gelten, treffen aber auf die meisten KMU nicht zu).
Bestätigen Sie, dass Sie keine KI einsetzen, um Emotionen von Mitarbeitern oder Schülern in professionellen oder Bildungskontexten zu erkennen, außer bei sicherheitsrelevanten Anwendungen.

Dezember 2026 — neue Verbote (Verordnung (EU) 2026/1744)

Jetzt vorbereiten

Verordnung (EU) 2026/1744 (die Omnibus-Änderung) hat zwei weitere Praktiken in die Liste der nach Article 5 verbotenen Praktiken aufgenommen. Diese gelten ab 2. Dezember 2026. Konsultieren Sie den offiziellen Text bei EUR-Lex, um den genauen Umfang der einzelnen Verbote für Ihr Unternehmen zu ermitteln.

Überprüfen Sie die zwei neuen, durch Verordnung (EU) 2026/1744 hinzugefügten Article-5-Verbote anhand Ihrer aktuellen und geplanten KI-Anwendungsfälle.
Falls eine geplante KI-Implementierung unter die neuen Verbote fällt, stellen Sie sie vor dem 2. Dezember 2026 ein oder überarbeiten Sie sie.

Dezember 2027 — Annex-III-Hochrisiko-KI-Pflichten

Wenn Ihr Unternehmen KI-Systeme in den Hochrisiko-Kategorien des Annex III einsetzt (Beschäftigung/HR, Kreditscoring, Versicherung, Bildungsbewertung, kritische Infrastruktur usw.), gelten die vollständigen Kapitel-III-Betreiberpflichten ab 2. Dezember 2027 nach Article 26.

Überprüfen Sie Ihr KI-System-Inventar anhand der Hochrisiko-Kategorien des Annex III.
Holen Sie für jedes Hochrisiko-System die erforderliche technische Dokumentation beim Anbieter ein.
Erstellen Sie für jedes von Ihrem Unternehmen eingesetzte Annex-III-System eine Grundrechtsbewertung.
Implementieren Sie menschliche Aufsichtsmaßnahmen für Annex-III-KI-Entscheidungen gemäß Article 26(2).
Registrieren Sie die entsprechenden Annex-III-KI-Systeme vor dem Stichtag in der EU-KI-Datenbank.

Den vollständigen Annex-III-Leitfaden lesen

Laufend — KI-System-Inventar und Monitoring

∞

Führen Sie ein KI-System-Inventar, das jedes KI-Tool dokumentiert, das Ihr Unternehmen nutzt: Zweck, Anbieter, Risikokategorie und Compliance-Status.
Aktualisieren Sie das Inventar, wenn ein neues KI-Tool eingeführt oder ein vorhandenes wesentlich verändert wird.
Bestimmen Sie eine für die KI-Compliance zuständige Person — auch wenn dies eine Teilzeitaufgabe in einem kleinen Team ist.
Verfolgen Sie EU-KI-Gesetz-Leitlinien des Europäischen KI-Büros, sobald sie veröffentlicht werden.

Häufig gestellte Fragen

Müssen kleine Unternehmen das EU-KI-Gesetz einhalten?

Ja. Das EU-KI-Gesetz gilt für alle Unternehmen, die in der EU tätig sind oder KI für EU-Nutzer einsetzen, unabhängig von der Größe. Es gibt keine KMU- oder Mitarbeiterzahl-Ausnahme. Das Verhältnismäßigkeitsprinzip bedeutet jedoch, dass ein kleines Unternehmen, das ein einfaches KI-Tool nutzt, in der Praxis geringere Pflichten hat als ein größeres Unternehmen, das KI für folgenreiche Entscheidungen wie CV-Screening oder Kreditbeurteilung einsetzt.

Welche EU-KI-Gesetz-Pflichten gelten jetzt, im August 2026?

Zwei Pflichten gelten ab 2. August 2026: Article 4 (KI-Kompetenz), der Unternehmen verpflichtet, verhältnismäßige Maßnahmen zu ergreifen, um sicherzustellen, dass Mitarbeiter, die mit KI umgehen, über ausreichende KI-Kompetenz verfügen; und Article 50 (Transparenz), der die Offenlegung gegenüber Nutzern verlangt, wenn diese mit einem KI-System interagieren. Die nach Article 5 verbotenen Praktiken gelten seit dem 2. Februar 2025.

Ab wann gelten Annex-III-Hochrisiko-KI-Pflichten für Betreiber?

Die vollständigen Kapitel-III-Pflichten — einschließlich Grundrechtsbewertungen, menschlicher Aufsicht, EU-KI-Datenbankregistrierung und der Article-26-Betreiberpflichten — gelten ab 2. Dezember 2027. Dieses Datum wurde durch Verordnung (EU) 2026/1744 vom ursprünglichen 2. August 2026 geändert. Unternehmen mit Hochrisiko-KI-Anwendungsfällen sollten jetzt mit der Vorbereitung beginnen.

Was sind die Strafen bei Nichterfüllung von Article 4 oder Article 50?

Nach Article 99(3) der Verordnung (EU) 2024/1689 können Verstöße gegen Pflichten einschließlich Article 4 und Article 50 Bußgelder von bis zu €15 Millionen oder 3 % des weltweiten Jahresumsatzes nach sich ziehen, je nachdem, welcher Betrag höher ist. Dies sind Höchstgrenzen — Aufsichtsbehörden wenden sie verhältnismäßig an. Frühe und dokumentierte Compliance ist die effektivste Schutzmaßnahme.

Ihr individuelles Compliance-Bild erhalten

Die kostenlose Regfortis-Bewertung prüft alle aktuellen Pflichten anhand Ihrer spezifischen KI-Anwendungsfälle und erstellt eine priorisierte Aktionsliste für Ihr Unternehmen.

Kostenlose Bewertung starten

Zurück zum vollständigen Leitfaden