Der Großteil der Pflichten aus der europäischen KI-Verordnung trifft die Anbieter von KI-Systemen, also Microsoft, OpenAI oder den Hersteller Ihrer Buchhaltungssoftware. Wer KI nur einsetzt, gilt als „Betreiber“ und hat einen deutlich kürzeren Katalog. Leer ist er aber nicht, und seit dem 2. August 2026 wird er ernst: Seit Ende Juli ist in Deutschland die Bundesnetzagentur als Aufsicht zuständig.

Ein typischer Betrieb mit 25 Beschäftigten nutzt Copilot oder ChatGPT für Texte, eine Buchhaltungssoftware mit automatischer Belegerkennung, vielleicht einen Chatbot auf der Website – und bekommt demnächst ein Bewerbermanagement mit „KI-gestützter Vorauswahl“ angeboten. Für jeden dieser Fälle gelten andere Regeln.

Was bereits gilt

Verbotene Anwendungen (seit Februar 2025). Einige Einsatzzwecke sind schlicht untersagt. Für den Mittelstand relevant ist vor allem die Emotionserkennung am Arbeitsplatz: Software, die aus Stimme oder Mimik von Beschäftigten auf Stimmung oder Motivation schließt, ist verboten – etwa als Zusatzfunktion mancher Callcenter-Werkzeuge. Ausnahmen gibt es nur aus medizinischen oder Sicherheitsgründen.

KI-Kompetenz (seit Februar 2025). Wer KI im Betrieb einsetzt, muss dafür sorgen, dass die Beschäftigten damit umgehen können. Die EU hat diese Pflicht im Juli 2026 entschärft: Gefordert ist jetzt, Kompetenz zu fördern, nicht ein bestimmtes Niveau zu garantieren. Praktisch genügt eine kurze Einweisung, eine schriftliche Nutzungsregel – was darf in welches Werkzeug, was nicht – und ein Vermerk, wer wann eingewiesen wurde.

Kennzeichnen: seit August 2026

Die Transparenzpflichten gelten seit dem 2. August 2026. Sie betreffen drei Fälle:

  • Chatbots: Wer auf der Website, per Telefon oder im Kundenportal mit einer KI spricht, muss das erfahren – spätestens beim ersten Kontakt.
  • Deepfakes: Realistisch wirkende KI-Bilder, -Videos oder -Tonaufnahmen, die echt erscheinen könnten, sind als künstlich erzeugt zu kennzeichnen. Nach den Leitlinien der EU-Kommission gehören dazu ausdrücklich auch KI-Produktbilder, die ein Produkt anders zeigen, als es ist. Offensichtlich fantastische Darstellungen sind nicht erfasst.
  • KI-Texte zu Themen von öffentlichem Interesse: Wer mit KI erzeugte Texte veröffentlicht, um die Öffentlichkeit über solche Themen zu informieren, muss das offenlegen. Die Pflicht entfällt, wenn ein Mensch den Text inhaltlich prüft und jemand die redaktionelle Verantwortung trägt. Ein flüchtiges Abnicken reicht dafür nach den Leitlinien nicht.

Nicht betroffen sind interne Dokumente, Angebote, E-Mails und gewöhnliche Werbetexte. Eine generelle Kennzeichnungspflicht für „alles, was mit KI entstanden ist“, gibt es nicht.

Vorsicht in der Personalabteilung

Als Hochrisiko gilt KI, die über Menschen im Arbeitsverhältnis mitentscheidet: bei der Auswahl von Bewerbungen, bei Leistungsbewertung, Beförderung oder Kündigung und bei der Verteilung von Aufgaben anhand von Verhalten. Hier treffen auch den Betreiber echte Pflichten – eine fachkundige Person muss die Ergebnisse überwachen, Protokolle sind mindestens sechs Monate aufzubewahren, Beschäftigte und Betriebsrat sind vor dem Einsatz zu informieren.

Die EU hat den Start dieser Regeln im Juli 2026 auf den 2. Dezember 2027 verschoben. Aufgeschoben ist nicht aufgehoben: Wer jetzt HR-Software mit KI-Funktionen einkauft, sollte den Anbieter schriftlich fragen, wie er die Anforderungen bis dahin erfüllt.

Was ein Verstoß kostet

Für die meisten Verstöße sieht die Verordnung Bußgelder bis 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes vor, bei verbotenen Anwendungen deutlich mehr. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Werte. Das ist spürbar, aber kein Grund zur Panik – die Aufsicht beginnt gerade erst.

Der pragmatische Einstieg

Eine einfache Liste ist an einem Vormittag erstellt und beantwortet fast jede Frage, die später kommen kann:

  1. System: Welches Werkzeug, welche Funktion? Auch KI-Funktionen in vorhandener Software zählen.
  2. Zweck: Wofür wird es genutzt, von wem?
  3. Daten: Welche Daten gehen hinein – personenbezogene, vertrauliche?
  4. Einstufung: Verboten, Hochrisiko, Kennzeichnung nötig oder unkritisch?
  5. Verantwortlich: Wer kümmert sich, wer wurde eingewiesen?

Die meisten Einträge landen in der Spalte „unkritisch“. Die wenigen anderen kennen Sie danach – und genau darum geht es.

Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung.