Regfortis
EU-KI-Gesetz für KMU: was jetzt gilt, was kommt und wie man es einhält
Wenn Ihr Unternehmen ein KI-Tool nutzt — einen Chatbot, CV-Screening-Software, ein Kreditrisikomodell oder einen automatisierten Content-Generator — haben Sie bereits aktive rechtliche Pflichten nach dem EU-KI-Gesetz. Dieser Leitfaden erklärt, was für KMU gilt, wann und was zu tun ist.
Letzte regulatorische Überprüfung: 14. August 2026 · Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744
Gilt das EU-KI-Gesetz für meinen KMU?
Ja — wenn Ihr Unternehmen in der EU tätig ist, EU-Kunden beliefert oder KI-Systeme nutzt, die Menschen in der EU betreffen, gilt die Verordnung unabhängig von Ihrer Unternehmensgröße. Die Verordnung unterscheidet zwischen zwei Rollen:
Anbieter
Ein Unternehmen, das ein KI-System entwickelt und auf den Markt bringt — z. B. ein KI-Softwareunternehmen. Anbieter tragen die schwersten Pflichten, einschließlich Konformitätsbewertungen und EU-Datenbankregistrierung für Hochrisiko-KI.
Betreiber
Ein Unternehmen, das ein von jemand anderem entwickeltes KI-System in einem professionellen Kontext nutzt. Die meisten KMU sind Betreiber. Auch Betreiber haben echte Pflichten — KI-Kompetenz, Transparenz und (für Hochrisiko-KI ab Dezember 2027) formelle Betreiberpflichten nach Article 26.
Als Betreiber können Sie die Verordnung nicht ignorieren. Article 4 und Article 50 gelten gleichermaßen für Anbieter und Betreiber ab 2. August 2026, und das Verbot schädlicher KI-Praktiken (Article 5) gilt für alle seit dem 2. Februar 2025.
Bereits geltende Pflichten
Drei Pflichtenkategorien sind heute aktiv. Wenn Sie KI-Tools in Ihrem Unternehmen nutzen, müssen Sie diese jetzt angehen.
Article 4 — KI-Kompetenz
In Kraft: 2. August 2026
Verpflichtet Betreiber und Anbieter, verhältnismäßige Maßnahmen zu ergreifen, um sicherzustellen, dass ihre Mitarbeiter und andere Personen, die in ihrem Auftrag mit KI-Systemen umgehen, über "ausreichende KI-Kompetenz" verfügen. Dies schreibt keine spezifische Zertifizierung oder Schulungsform vor — erfordert aber gezieltes Handeln: Erfassung, welche Mitarbeiter mit KI interagieren, angemessene Orientierungshilfen und Aufzeichnungen.
Den vollständigen Leitfaden lesen
Article 50 — Transparenz
In Kraft: 2. August 2026
Verpflichtet Betreiber von KI-Systemen, die mit natürlichen Personen interagieren, diese darüber zu informieren, dass sie es mit einer KI zu tun haben — sofern dies nicht aus dem Kontext offensichtlich ist. Außerdem sind geeignete technische Maßnahmen zur Kennzeichnung von KI-generiertem synthetischen Inhalt (Bilder, Audio, Video, Text) erforderlich, damit dieser als maschinell erzeugt erkennbar ist.
Den vollständigen Leitfaden lesen
Article 5 — Verbotene Praktiken
In Kraft: 2. Februar 2025
Verbietet bestimmte KI-Nutzungen vollständig: unterschwellige Manipulation, Ausnutzung von Schwachstellen geschützter Gruppen, Social Scoring durch Behörden, die meisten Formen der Echtzeit-Biometrieerkennung aus der Ferne im öffentlichen Raum, biometrische Kategorisierung zur Ableitung sensibler Merkmale, Emotionserkennung am Arbeitsplatz und in Schulen sowie KI-gestützte prädiktive Polizeiarbeit auf der Grundlage ausschließlich von Profiling.
Den vollständigen Leitfaden lesen
Prüfen Sie, was für Ihr Unternehmen gilt
Die kostenlose Regfortis-Bewertung deckt Article 4, Article 5, Article 50 und die Annex-III-Hochrisiko-Kategorien ab. Sie dauert etwa 5 Minuten und liefert eine priorisierte Aktionsliste.
Kostenlose KI-Gesetz-Bewertung starten
Was kommt: Annex-III-Hochrisiko-KI-Pflichten (Dezember 2027)
Frist geändert durch Verordnung (EU) 2026/1744. Das ursprüngliche August 2026-Datum für die Kapitel-III-(Annex-III-)Hochrisiko-Pflichten wurde auf den 2. Dezember 2027 verschoben. KMU, die Hochrisiko-KI-Systeme einsetzen, haben nun mehr Zeit zur Vorbereitung — sollten aber jetzt beginnen.
Annex III listet acht Kategorien von KI-Anwendungsfällen auf, die die schwerste Compliance-Last nach sich ziehen: biometrische Identifizierung, kritische Infrastruktur, Bildung, Beschäftigung (einschließlich CV-Screening), wesentliche Dienste wie Kredit und Versicherung, Strafverfolgung, Migration und Rechtspflege.
Wenn Ihr Unternehmen KI in einem dieser Bereiche einsetzt, gelten die vollständigen Kapitel-III-Betreiberpflichten — einschließlich Grundrechtsbewertungen, EU-KI-Datenbankregistrierung und formeller menschlicher Aufsichtsmaßnahmen nach Article 26 — ab 2. Dezember 2027.
Den Annex-III-Hochrisiko-KI-Leitfaden lesen
Den vollständigen EU-KI-Gesetz-Leitfaden für KMU erkunden
Jede der folgenden Seiten behandelt einen Teil der Verordnung ausführlich, mit praktischen Schritten für KMU und direkten Links zum offiziellen Verordnungstext.
EU-KI-Gesetz-Compliance-Checkliste für KMU
Aktionsliste
EU-KI-Gesetz: wichtige Fristen und Termine 2024–2028
Zeitplan
Article 4: KI-Kompetenzanforderungen für Arbeitgeber
Jetzt in Kraft
Article 50: KI-Transparenzanforderungen
Jetzt in Kraft
Article 5: Verbotene KI-Praktiken
Jetzt in Kraft
Annex III: Hochrisiko-KI-Leitfaden für KMU
Dez. 2027
KI-System-Inventar-Leitfaden und Vorlage
Empfohlene Praxis
Offizielle Rechtsquellen
- Verordnung (EU) 2024/1689 — EU-KI-Gesetz (EUR-Lex)
- Regulation (EU) 2026/1744 — Offizielle Quellen
- European Commission — Offizielle Quellen
- Regfortis-Rechtsquellen-Anmerkungen — alle Artikel den Bewertungsfragen zugeordnet
Dieser Leitfaden dient nur zu Informationszwecken. Er stellt keine Rechtsberatung dar und sollte nicht als Compliance-Zertifikat oder regulatorische Stellungnahme behandelt werden. Wenden Sie sich an qualifizierte Rechtsberatung für spezifische Empfehlungen für Ihre Organisation.