KI-Verordnung
Weniger, als viele befürchten. Mehr, als viele wissen.
Seit 2024 regelt die EU, wie Künstliche Intelligenz eingesetzt werden darf. Für die meisten kleinen und mittleren Betriebe geht es dabei nicht um Hochrisiko-Technik, sondern um ein paar klare Hausaufgaben. Hier erfahren Sie, welche das sind und bis wann.
Die KI-Verordnung kennt keine Ausnahme für kleine Betriebe. Welche Pflichten Sie treffen, hängt davon ab, wofür Sie KI einsetzen, nicht von Ihrer Größe.
Nutzt jemand in Ihrem Betrieb KI-Werkzeuge, etwa ChatGPT, Microsoft Copilot oder ein Übersetzungsprogramm?
Sie müssen Maßnahmen ergreifen, die die KI-Kompetenz Ihrer Mitarbeitenden fördern (Art. 4). Das trifft fast jeden Betrieb.
gilt seit 2. Februar 2025Sprechen Kunden mit einem Chatbot, oder veröffentlichen Sie mit KI erzeugte Bilder, Videos oder Tonaufnahmen?
Sie müssen offenlegen, dass KI im Spiel ist (Art. 50): beim Chatbot vor dem Gespräch, bei täuschend echten Bildern, Videos und Tonaufnahmen am Inhalt selbst.
gilt seit 2. August 2026Entscheidet oder bewertet KI bei Ihnen über Menschen, etwa bei Bewerbungen, Beförderungen oder der Kreditwürdigkeit?
Dann kann es sich um Hochrisiko-KI handeln, mit deutlich strengeren Pflichten. Das sollten Sie im Einzelfall prüfen lassen.
gilt ab 2. Dezember 2027Die KI-Verordnung (Verordnung (EU) 2024/1689) tritt schrittweise in Kraft. Die Termine unten berücksichtigen die Änderungen durch den Digital-Omnibus vom Juli 2026.
Ab hier laufen die Übergangsfristen. Verbindliche Pflichten gibt es noch keine.
Bestimmte Anwendungen sind verboten, etwa das Erkennen von Gefühlen am Arbeitsplatz oder das Bewerten von Menschen nach ihrem Sozialverhalten. Wer KI einsetzt, muss die KI-Kompetenz seiner Mitarbeitenden fördern.
Pflichten für die Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, also den Modellen hinter ChatGPT, Copilot und Co. Für Sie als Nutzer ändert sich dadurch nichts. Ab hier gelten auch die Strafbestimmungen.
Chatbots müssen sich als KI zu erkennen geben, täuschend echte KI-Bilder, -Videos und -Tonaufnahmen (Deepfakes) müssen gekennzeichnet werden. Auch KI-erzeugte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, sind zu kennzeichnen, außer ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung.
Anbieter von KI-Systemen, die schon vor August 2026 auf dem Markt waren, müssen ihre erzeugten Inhalte bis dahin maschinenlesbar markieren. Zugleich treten zwei neue Verbote in Kraft, unter anderem für KI, die ohne Zustimmung intime Darstellungen echter Personen erzeugt.
Strenge Pflichten für KI in sensiblen Bereichen, etwa bei Bewerbungen und Personalentscheidungen, in Bildung und Prüfungen, bei Kreditwürdigkeit oder kritischer Infrastruktur. Ursprünglich war dafür der August 2026 vorgesehen.
KI als Sicherheitsbauteil in Produkten, die ohnehin geprüft werden müssen, etwa Maschinen, Medizinprodukte oder Aufzüge. Das betrifft vor allem Hersteller.
Mit der Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026, hat die EU die KI-Verordnung vereinfacht. Die Pflichten für Hochrisiko-KI wurden um bis zu 16 Monate verschoben. Die KI-Kompetenz bleibt Pflicht, ist aber anders formuliert: Statt ein ausreichendes Niveau sicherzustellen, müssen Betriebe nun Maßnahmen ergreifen, die die KI-Kompetenz fördern. Ein bestimmtes Niveau jeder einzelnen Person müssen Sie nicht garantieren. Unverändert geblieben sind die Verbote und die Transparenzpflichten.
Für die meisten Betriebe sind es vier Aufgaben. Nicht alle davon schreibt die Verordnung wörtlich vor, aber sie sind der einfachste Weg, ihre Pflichten nachweisbar zu erfüllen.
Welche Pflichten Sie treffen, hängt davon ab, welche KI-Werkzeuge wofür genutzt werden. Oft weiß das in einem Betrieb niemand genau, weil jeder selbst ausprobiert.
Eine einfache Liste: welches Werkzeug, wer nutzt es, wofür, mit welchen Daten. Sie ist die Grundlage für alles Weitere und schnell erstellt.
Wer KI einsetzt, muss Maßnahmen ergreifen, die die KI-Kompetenz seiner Mitarbeitenden fördern, abgestimmt auf ihre Aufgaben und ihr Vorwissen (Art. 4). Eine bestimmte Form schreibt die Verordnung nicht vor.
Eine Schulung an den Werkzeugen, die Ihr Team wirklich nutzt, und ein Nachweis, wer wann zu welchen Inhalten geschult wurde. So können Sie jederzeit zeigen, was Sie getan haben.
Die meisten Probleme mit KI entstehen nicht durch die Verordnung, sondern durch Kundendaten oder Betriebsgeheimnisse, die in fremden Systemen landen. Hier gilt weiterhin die DSGVO.
Eine kurze KI-Nutzungsrichtlinie: welche Werkzeuge erlaubt sind, welche Daten tabu sind, wer Ergebnisse prüft, bevor sie das Haus verlassen.
Wer mit einem KI-System spricht, muss das wissen. Täuschend echte KI-Bilder, -Videos und -Tonaufnahmen müssen als solche erkennbar sein (Art. 50).
Ein Hinweis zu Beginn jedes Chatbot-Gesprächs und eine sichtbare Kennzeichnung bei KI-Bildern in Werbung und sozialen Medien. Mehr braucht es meist nicht.
Viele Pflichten der KI-Verordnung richten sich an Hersteller von KI-Systemen oder an Hochrisiko-Anwendungen. Wer KI nur nutzt, ist rechtlich „Betreiber“ und hat deutlich weniger zu tun.
Ja. Es gibt keine Untergrenze nach Mitarbeiterzahl oder Umsatz. Für kleine und mittlere Unternehmen gibt es aber Erleichterungen, etwa niedrigere Höchstbeträge bei Geldbußen und vorrangigen Zugang zu Reallaboren der Behörden.
Nein. Die KI-Verordnung verbietet keine gängigen KI-Werkzeuge. Sie verlangt, dass Ihr Team damit umgehen kann, und die DSGVO verlangt, dass personenbezogene Daten geschützt bleiben. Eine klare Richtlinie ist meist sinnvoller als ein Verbot, das im Alltag umgangen wird.
Die Verordnung schreibt keine Form vor. Die Maßnahmen sollen aber zu den Aufgaben, dem Vorwissen und den eingesetzten Werkzeugen passen. Ein allgemeiner Kurs kann ein Baustein sein. Eine Schulung an den eigenen Werkzeugen und Beispielen wirkt im Alltag meist besser und lässt sich leichter belegen.
Für Verstöße gegen die Verbote sieht die Verordnung Geldbußen bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor, für die meisten anderen Pflichten bis 15 Millionen Euro oder 3 Prozent. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag. Für die KI-Kompetenz nach Art. 4 gibt es keine eigene Geldbuße. Kommt es aber durch unsachgemäßen KI-Einsatz zu einem Schaden, hilft es, zeigen zu können, was Sie unternommen haben.
Die KI-Verordnung verlangt von jedem Mitgliedstaat eine Marktüberwachungsbehörde. Österreich hatte bis August 2026 noch keine benannt. Erste Anlaufstelle für Fragen ist die KI-Servicestelle bei der Rundfunk und Telekom Regulierungs-GmbH (RTR). Für personenbezogene Daten bleibt die Datenschutzbehörde zuständig.
Ja, als Betreiber. Für Ihr Team gilt die Pflicht zur KI-Kompetenz, und für die Daten, die Copilot sieht, gilt die DSGVO. Hochrisiko-Pflichten entstehen dadurch in der Regel nicht.
Diese Seite gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung im Einzelfall. Stand: Oktober 2026.
Unsere KI-Schulung deckt die Aufgaben 2 und 3 ab: ein halber Tag in Ihrem Betrieb, mit Schulungsnachweis und KI-Nutzungsrichtlinie. Im kostenlosen Erstgespräch klären wir, was davon Sie brauchen.
Erstgespräch vereinbaren