EU AI Act für Selbstständige und kleine Unternehmen: was jetzt gilt

Inhalt dieser Seite

Was ist der EU AI Act?

Der EU AI Act ist die Verordnung (EU) 2024/1689, die europaweit einheitliche Regeln für die Entwicklung und Nutzung von KI-Systemen festlegt. Auf Deutsch heißt sie KI-Verordnung. Als EU-Verordnung gilt sie unmittelbar in allen Mitgliedstaaten, ein deutsches Gesetz musste sie nicht erst übernehmen. Sie ist am 01.08.2024 in Kraft getreten und gilt in Stufen.

Die Verordnung folgt einem risikobasierten Ansatz: Je größer das Risiko einer KI-Anwendung für Gesundheit, Sicherheit und Grundrechte, desto strenger die Regeln. Manche Praktiken sind ganz verboten, andere gelten als hochriskant, für bestimmte Systeme gibt es Transparenzpflichten, und für die meisten Anwendungen im Alltag gelten kaum zusätzliche Vorgaben.

Im Juli 2026 wurde die Verordnung durch den sogenannten Digital-Omnibus geändert, die Verordnung (EU) 2026/1744. Sie gilt seit dem 27.07.2026, verschiebt vor allem die Hochrisiko-Pflichten und schwächt die Pflicht zur KI-Kompetenz ab. In Deutschland regelt seit dem 29.07.2026 das KI-Marktüberwachungs- und Innovations­förderungs­gesetz (KI-MIG), wer die Einhaltung kontrolliert.

Bist du Anbieter oder Betreiber?

Du bist Betreiber, wenn du ein KI-System in eigener Verantwortung beruflich verwendest, und Anbieter, wenn du ein KI-System entwickelst oder entwickeln lässt und unter deinem Namen in Verkehr bringst oder in Betrieb nimmst (Art. 3 Nr. 3 und 4). Diese Unterscheidung entscheidet über deine Pflichten.

Situation	Rolle	Pflichten (Auswahl)
Du nutzt eine Text-KI für Angebote und Marketing	Betreiber	KI-Kompetenz, Deepfakes offenlegen
Du bindest einen fertigen Chatbot-Dienst auf deiner Website ein	Betreiber	KI-Kompetenz, Hinweis sicherstellen
Du programmierst einen Chatbot und verkaufst ihn an Kunden	Anbieter	Hinweis auf KI-Interaktion technisch einbauen, Kennzeichnung erzeugter Inhalte
Du nutzt KI privat für die Urlaubsplanung	Keine	Nicht erfasst (Art. 2 Abs. 10)
Du setzt KI zur Auswahl von Bewerbern ein	Betreiber eines Hochrisiko-Systems	Besondere Pflichten nach Art. 26 ab 02.12.2027

Vorsicht bei Agenturen und Entwicklern: Wer ein fremdes Hochrisiko-System unter eigenem Namen anbietet, es wesentlich verändert oder seinen Zweck so ändert, dass es hochriskant wird, gilt selbst als Anbieter (Art. 25). Mehr dazu im Ratgeber Selbstständig als KI-Berater.

Welche KI-Praktiken sind verboten?

Verboten sind seit dem 02.02.2025 KI-Praktiken, die Menschen manipulieren, ausnutzen oder überwachen und damit Grundrechte besonders gefährden (Art. 5). Dazu gehören unter anderem:

• Manipulation: KI, die Menschen mit unterschwelligen oder täuschenden Techniken zu Entscheidungen bringt, die ihnen erheblich schaden.
• Ausnutzen von Schwächen: KI, die gezielt Alter, Behinderung oder eine soziale oder wirtschaftliche Notlage ausnutzt.
• Social Scoring: Bewertung von Menschen nach ihrem Sozialverhalten mit nachteiligen Folgen in anderen Zusammenhängen.
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen: grundsätzlich verboten, mit engen Ausnahmen aus medizinischen oder Sicherheitsgründen.
• Gesichtsdatenbanken: ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder von Überwachungskameras.

Mit dem Digital-Omnibus kommen ab dem 02.12.2026 zwei Verbote hinzu: KI-Systeme, die ohne ausdrückliche Zustimmung realistische intime oder sexuelle Darstellungen bestimmbarer Personen erzeugen, und Systeme zur Erzeugung von Darstellungen sexuellen Kindesmissbrauchs. Für die meisten Gründerinnen und Gründer spielen diese Verbote im Alltag keine Rolle. Wichtig werden sie, wenn du etwa Werbung personalisierst oder Mitarbeitende überwachen willst. Die Kommission hat dazu Leitlinien veröffentlicht.

Was bedeutet KI-Kompetenz nach Art. 4?

KI-Kompetenz nach Art. 4 bedeutet, dass Anbieter und Betreiber Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals und anderer Personen, die in ihrem Auftrag mit KI arbeiten, zu unterstützen. Die Pflicht gilt seit dem 02.02.2025. Der Digital-Omnibus hat sie 2026 abgeschwächt: Ursprünglich sollten Unternehmen „nach besten Kräften“ ein ausreichendes Maß an Kompetenz sicherstellen. Jetzt müssen sie kein bestimmtes Niveau mehr garantieren, aber weiterhin aktiv werden.

Für einen kleinen Betrieb kann das so aussehen:

• Liste der KI-Werkzeuge, die im Betrieb genutzt werden, und wofür
• Kurze interne Regeln: welche Daten tabu sind, wer Ergebnisse prüft, was gekennzeichnet wird
• Einweisung neuer Mitarbeitender und Freelancer in diese Regeln
• Gelegentliche Schulung oder Selbstlernmaterial zu Chancen, Risiken und Grenzen
• Kurze Dokumentation, wer wann eingewiesen wurde

Ein Zertifikat brauchst du dafür nicht, nach den FAQ der Kommission genügt eine interne Dokumentation. Einen eigenen Bußgeldrahmen für Art. 4 enthält die Verordnung nicht. Hinweise gibt auch die Bundesnetzagentur auf ihrer Seite zur KI-Kompetenz.

Welche Transparenzpflichten gelten nach Art. 50?

Nach Art. 50 müssen Menschen seit dem 02.08.2026 erkennen können, wann sie mit einer KI sprechen und wann Inhalte künstlich erzeugt oder verändert wurden. Der Digital-Omnibus hat diese Pflichten nicht verschoben. Nur Anbieter generativer KI-Systeme, die schon vor dem 02.08.2026 auf dem Markt waren, haben für die maschinenlesbare Kennzeichnung bis zum 02.12.2026 Zeit.

Pflicht	Wen sie trifft	Was zu tun ist
Chatbots und andere interaktive KI (Abs. 1)	Anbieter	Hinweis, dass man mit einer KI interagiert, außer es ist offensichtlich
Erzeugte Bilder, Videos, Audio und Texte (Abs. 2)	Anbieter	Maschinenlesbare Kennzeichnung der Ausgaben
Emotionserkennung, biometrische Kategorisierung (Abs. 3)	Betreiber	Betroffene informieren
Deepfakes (Abs. 4)	Betreiber	Offenlegen, dass Bild, Ton oder Video künstlich erzeugt oder verändert ist
KI-Texte zu Themen von öffentlichem Interesse (Abs. 4)	Betreiber	Offenlegen, außer ein Mensch hat geprüft und trägt die redaktionelle Verantwortung

Für die Praxis heißt das: Ein Werbetext, den du mit KI geschrieben und selbst geprüft hast, muss nicht gekennzeichnet werden. Ein täuschend echtes KI-Video mit einer erfundenen Person, die wie eine echte Kundin wirkt, dagegen schon. Wie du richtig kennzeichnest, erklärt der Ratgeber KI-Inhalte kennzeichnen. Zu Chatbots gibt es den Ratgeber Chatbots und KI im Kundenservice.

Was gilt für Hochrisiko-KI und KI-Modelle?

Hochrisiko-KI unterliegt den strengsten Pflichten, die nach dem Digital-Omnibus aber erst ab dem 02.12.2027 für Bereiche nach Anhang III und ab dem 02.08.2028 für Produkte nach Anhang I gelten. Hochriskant ist eine KI wegen ihres Einsatzzwecks, nicht wegen der Technik. Für kleine Betriebe sind vor allem zwei Bereiche aus Anhang III wichtig:

• Beschäftigung: KI, die Bewerbungen sichtet, filtert oder Bewerber bewertet, und KI für Entscheidungen über Beförderung, Kündigung oder Leistungsüberwachung (Anhang III Nr. 4).
• Kredit und Versicherung: KI zur Bewertung der Kreditwürdigkeit natürlicher Personen sowie zur Risikobewertung in der Lebens- und Krankenversicherung (Anhang III Nr. 5).

Betreiber solcher Systeme müssen sie dann nach Gebrauchsanweisung einsetzen, eine menschliche Aufsicht durch kompetente Personen sicherstellen, den Betrieb überwachen, Protokolle aufbewahren und Beschäftigte vor dem Einsatz informieren (Art. 26). Wenn du planst, Bewerbungen mit KI vorzusortieren, solltest du dich jetzt schon darauf einstellen.

Für KI-Modelle mit allgemeinem Verwendungszweck, also die großen Sprachmodelle hinter vielen Werkzeugen, gelten seit dem 02.08.2025 eigene Pflichten. Sie treffen die Anbieter dieser Modelle, etwa zu technischer Dokumentation, Urheberrecht und einer Zusammenfassung der Trainingsdaten. Wenn du ein solches Modell nur nutzt, betrifft dich das nicht direkt.

Welche Bußgelder drohen und wer kontrolliert?

Bei Verstößen drohen Bußgelder bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken und bis 15 Mio. € oder 3 % für andere Pflichten, etwa nach Art. 26 oder Art. 50 (Art. 99). Für kleine und mittlere Unternehmen einschließlich Start-ups gilt jeweils der niedrigere der beiden Beträge (Art. 99 Abs. 6). Bei der Höhe sollen die Behörden die Interessen kleiner Unternehmen berücksichtigen.

In Deutschland ist nach § 2 KI-MIG die Bundesnetzagentur die zuständige Marktüberwachungsbehörde, für beaufsichtigte Finanzunternehmen die BaFin. Die Bundesnetzagentur ist auch Anlaufstelle für Beschwerden und bietet einen KI-Service-Desk mit Informationen für Unternehmen sowie einen KI-Compliance-Kompass zur ersten Einordnung an.

Was solltest du jetzt tun?

Als Selbstständiger oder kleines Unternehmen solltest du deine KI-Nutzung auflisten, deine Rolle klären, einfache Regeln festlegen und Transparenz dort herstellen, wo sie verlangt ist. Das ist in wenigen Stunden erledigt.

1. Bestand aufnehmen. Welche KI-Werkzeuge nutzt du, wofür, mit welchen Daten?
2. Rolle bestimmen. Betreiber oder Anbieter? Gibt es Hochrisiko-Einsätze wie Bewerberauswahl?
3. Verbote ausschließen. Keine manipulativen Techniken, keine Emotionserkennung bei Mitarbeitenden.
4. KI-Kompetenz unterstützen. Regeln aufschreiben, Team einweisen, dokumentieren.
5. Transparenz herstellen. Chatbot-Hinweis, Deepfakes kennzeichnen.
6. Datenschutz mitdenken. Die KI-Verordnung ersetzt die DSGVO nicht. Mehr im Ratgeber KI-Tools und Datenschutz.

Wenn du aus der Arbeitslosigkeit gründest, kannst du diese Punkte im AVGS Gründercoaching angehen. In Modul 9 Digitalisierung und KI richtest du mit deinem Coach KI-Werkzeuge ein und legst Regeln für Datenschutz und sicheren Einsatz fest. Ob ein Gutschein bewilligt wird, entscheidet die Agentur für Arbeit oder das Jobcenter im Einzelfall. Welche Förderung für dich passt, zeigt der Fördercheck. Hast du schon gegründet, hilft dir das KI Coaching, KI im Betrieb geordnet einzuführen.

Du bist unsicher, welche Pflichten für dein Vorhaben gelten? Lass uns im kostenlosen Erstgespräch darüber sprechen. Diese Seite gibt den Stand vom 20.10.2026 wieder und ersetzt keine Rechtsberatung. Für verbindliche Auskünfte wende dich an eine Anwältin oder einen Anwalt oder an die Bundesnetzagentur.

Fragen dazu? Dein CoachChristian BuschCoach für KI, Automatisierung und Prozesse