Was die KI-Verordnung für den Mittelstand bedeutet

Welche Daten gelten schon?

Die Verordnung ist schrittweise in Kraft getreten. Das ist die Reihenfolge:

Datum	Was in Kraft trat
2. Februar 2025	Verbot unannehmbarer Anwendungen (Artikel 5) und die Pflicht zur KI-Kompetenz (Artikel 4)
2. August 2025	Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck
2. August 2026	Die meisten Regeln, einschließlich der Transparenzpflichten aus Artikel 50
2. Dezember 2027	Die Regeln für Hochrisiko-KI wie Personalauswahl (Anhang III)
2. August 2028	Die Regeln für KI in Produkten wie Maschinen und Medizinprodukten (Anhang I)

Die Pflicht, die am längsten gilt, ist zugleich die wichtigste für ein gewöhnliches Unternehmen: KI-Kompetenz, seit Februar 2025.

In welche Risikoklasse fällt meine Nutzung?

Die Verordnung schaut nicht auf die Technik, sondern darauf, was Sie damit tun. Für den Mittelstand läuft es meistens hierauf hinaus.

Minimales Risiko. Spamfilter, Bestandsvorhersage, Rechnungen automatisch einlesen, eine Zusammenfassung Ihres Postfachs. Hier gelten keine besonderen Pflichten außer der KI-Kompetenz. Der weitaus größte Teil der Nutzung im Mittelstand sitzt hier.

Begrenztes Risiko. Ein Chatbot, der Kunden bedient, oder Texte auf Ihrer Website, die von KI gemacht wurden. Hier gilt eine Informationspflicht: die andere Seite muss wissen, dass sie es mit KI zu tun hat.

Hohes Risiko. Bewerbende beurteilen oder auswählen, Kreditwürdigkeit bestimmen, Prüfungen korrigieren. Hier kommt ein beachtliches Bündel an Pflichten dazu. Nutzen Sie KI, um Lebensläufe zu ordnen, sitzen Sie in dieser Kategorie — auch wenn Sie nur zehn Bewerbungen im Jahr bekommen.

Was bedeutet KI-Kompetenz?

Artikel 4 verlangt, dass Sie Maßnahmen ergreifen, damit alle, die in Ihrem Unternehmen mit KI arbeiten, genug Kenntnis von den Möglichkeiten und den Risiken haben; seit dem 27. Juli 2026 ist das eine Bemühenspflicht. Im Gesetz steht keine Prüfung und keine vorgeschriebene Stundenzahl. Was wohl darin steht: das Vorgehen muss zur Größe Ihres Unternehmens und zu dem passen, was Sie mit KI tun, und Sie müssen zeigen können, dass Sie etwas dafür getan haben.

In der Praxis läuft das auf drei Dinge hinaus:

1. Eine Liste dessen, was Sie nutzen. Welche KI-Hilfsmittel laufen, bei wem, wofür.
2. Erklärung pro Rolle. Jemand in der Verwaltung braucht anderes Wissen als jemand im Vertrieb.
3. Eine Notiz, dass es geschehen ist. Datum, Teilnehmende, Themen. Ein Blatt genügt.

Der dritte Punkt ist der, an dem es meistens schiefgeht. Es wird zwar erklärt, aber nichts aufgeschrieben — und dann haben Sie nichts zu zeigen.

Was muss ich meinen Kunden sagen?

Seit August 2026 gelten die Transparenzpflichten aus Artikel 50. Drei Fälle:

• Spricht eine Kundin mit einem Chatbot oder einem Sprachassistenten, muss klar sein, dass es kein Mensch ist.
• Veröffentlichen Sie Text, Bild oder Ton, der von KI gemacht wurde, gehört ein Hinweis dazu.
• Ein Deepfake muss immer als solcher erkennbar sein.

Achten Sie auf den Unterschied zu dem, was viele denken: eine E-Mail, die Sie mit KI vorbereitet und danach selbst geprüft und versendet haben, ist Ihre E-Mail. Die Pflicht handelt von Veröffentlichung und von automatisiertem Kontakt, nicht von Ihren eigenen Hilfsmitteln.

Was passiert, wenn Sie sich nicht daran halten?

Artikel 99 nennt pro Art des Verstoßes zwei Obergrenzen: einen Betrag und einen Prozentsatz des weltweiten Jahresumsatzes.

Verstoß	Bußgeld bis	Oder bis
Eine verbotene Anwendung (Artikel 5)	35.000.000 €	7 % des weltweiten Jahresumsatzes
Die meisten übrigen Pflichten	15.000.000 €	3 % des weltweiten Jahresumsatzes
Unrichtige oder irreführende Angaben an die Aufsicht	7.500.000 €	1 % des weltweiten Jahresumsatzes

Für große Unternehmen gilt der höhere der beiden. Für den Mittelstand und für Start-ups dreht Artikel 99 Absatz 6 das um: dort gilt der niedrigere der beiden. Für ein Unternehmen mit zehn Millionen Umsatz bedeutet das bei einer verbotenen Anwendung also höchstens siebenhunderttausend, nicht 35 Millionen.

Wichtiger als das Bußgeld ist, was eine Kundin oder eine Prüferin fragt. „Wie stellen Sie das sicher?" ist inzwischen eine normale Frage in einer Ausschreibung.