Aktualisiert am 3. August 2026. Kurz und ehrlich vorweg: Für kleine Unternehmen ist der EU AI Act kein Grund zur Panik. Er gilt aber auch nicht pauschal als „harmlos“, nur weil ein Betrieb klein ist oder ChatGPT im Büro nutzt. Entscheidend sind immer der konkrete Einsatzzweck, die Rolle des Unternehmens und das Risiko der Anwendung.
Für viele typische Büroaufgaben – etwa Entwürfe, Zusammenfassungen oder Ideen – bleiben die Anforderungen überschaubar. Wer KI dagegen für Bewerberauswahl, sensible Entscheidungen, Emotionserkennung oder andere risikoreiche Zwecke nutzt, muss genauer prüfen. Dieser Beitrag gibt eine praktische Orientierung und ersetzt keine Rechtsberatung.
Für wen der EU AI Act gilt
Der EU AI Act unterscheidet grundsätzlich nicht nach Firmengröße, sondern nach Rolle und Einsatz. Wer ein fremdes KI-System im eigenen Betrieb verwendet, ist in vielen Fällen „Betreiber“. Wer selbst ein KI-System entwickelt oder unter eigenem Namen bereitstellt, kann weitergehende Pflichten als Anbieter haben.
Deshalb ist die richtige erste Frage nicht: „Benutzen wir KI?“, sondern: „Wofür benutzen wir welches System, mit welchen Daten und mit welcher Wirkung auf Menschen?“ Ein Textentwurf für eine interne E-Mail ist etwas anderes als eine automatisierte Entscheidung über Bewerber oder Kunden.
Artikel 4: KI-Kompetenz bleibt Pflicht
Artikel 4 gilt bereits seit dem 2. Februar 2025. Anbieter und Betreiber müssen Maßnahmen ergreifen, die die KI-Kompetenz ihrer Mitarbeitenden und anderer Personen fördern, die in ihrem Auftrag mit KI-Systemen arbeiten.
Nach der Änderung im Juli 2026 bleibt diese Pflicht bestehen. Der Artikel schreibt jedoch kein bestimmtes oder „ausreichendes“ Kompetenzniveau für jede einzelne Person vor. Die Maßnahmen sollen zum Vorwissen, zur Erfahrung, zum eingesetzten System und zum konkreten Risiko passen. Seit Anfang August 2026 gelten auch die Regeln zur Aufsicht und Durchsetzung.
Ein Pflichtzertifikat gibt es nicht. Die EU-Kommission nennt als sinnvolle Grundlage unter anderem: verwendete Systeme kennen, Chancen und Risiken verstehen, die eigene Rolle einordnen und die Maßnahmen an Einsatz und Zielgruppe anpassen. Interne Aufzeichnungen über Einweisungen, Leitlinien oder andere Lernmaßnahmen können die Umsetzung nachvollziehbar machen.
Eine pauschale halbe Stunde und ein Merkblatt sind deshalb kein automatischer Nachweis, dass die Pflicht in jedem Betrieb erfüllt ist. Für einfache, risikoarme Anwendungen kann eine kurze, verständliche Einweisung ein sinnvoller Anfang sein. Bei sensibleren Einsätzen braucht es entsprechend mehr.
Artikel 50: Nicht jeder KI-Inhalt braucht denselben Hinweis
Die Transparenzpflichten aus Artikel 50 gelten seit dem 2. August 2026. Sie unterscheiden aber genau nach Rolle, System und Inhalt.
- Direkte Interaktion: Bei einem KI-System, das mit Menschen spricht oder schreibt, muss grundsätzlich erkennbar sein, dass die Person mit KI interagiert – außer dies ist aus dem Zusammenhang offensichtlich.
- Technische Kennzeichnung: Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen ihre Ausgaben grundsätzlich maschinenlesbar als künstlich erzeugt oder manipuliert kennzeichnen, soweit dies technisch möglich ist.
- Deepfakes und öffentliche Information: Betreiber müssen bestimmte künstlich erzeugte oder manipulierte Bild-, Ton- oder Videoinhalte offenlegen. Für KI-Texte zu Angelegenheiten von öffentlichem Interesse gelten besondere Regeln und Ausnahmen, etwa bei menschlicher Prüfung und klarer redaktioneller Verantwortung.
Die pauschale Aussage „Jedes KI-Bild, jeder KI-Text und jedes KI-Video muss sichtbar gekennzeichnet werden“ ist daher zu weit. Ein intern mit KI vorbereiteter E-Mail-Entwurf ist nicht dasselbe wie ein Deepfake oder ein automatisch veröffentlichter Text zu einer öffentlichen Angelegenheit.
Drei pragmatische Schritte für kleine Betriebe
1. KI-Einsatz erfassen. Notiere Werkzeug, Zweck, Nutzer, Datenarten und mögliche Auswirkungen. So wird sichtbar, wo wirklich geprüft werden muss.
2. Klare Betriebsregeln festlegen. Bestimme, was erlaubt ist, welche Daten nicht eingegeben werden dürfen, welche Ergebnisse ein Mensch kontrolliert und wann ein Vorgang gestoppt oder an eine Fachperson gegeben wird.
3. Kompetenz passend aufbauen und dokumentieren. Erkläre Mitarbeitenden genau die Chancen, Grenzen und Risiken der Systeme, die sie tatsächlich nutzen. Halte Einweisung, interne Leitlinie und Aktualisierungen knapp fest.
Bei Hochrisiko-Anwendungen, personenbezogenen Daten oder unklaren Rollen sollte der Betrieb fachkundigen Rechts- beziehungsweise Datenschutzrat einholen. LIBUCO® unterstützt bei der technischen und organisatorischen Einordnung und bei der praktischen Umsetzung, erteilt aber keine rechtliche Freigabe.
Offizielle Quellen
- EU-Kommission: Fragen und Antworten zu KI-Kompetenz nach Artikel 4
- EU-Kommission: Leitlinien zu den Transparenzpflichten nach Artikel 50
- EUR-Lex: Verordnung (EU) 2024/1689
Wo du anfangen kannst
Wenn du zuerst klären möchtest, wo KI deinem Betrieb praktisch hilft und welche technischen oder organisatorischen Fragen dabei auftauchen, ist das kostenlose Kennenlerngespräch der passende Einstieg: 30 Minuten per Video oder Telefon.
Hinweis: Dieser Beitrag dient der allgemeinen Orientierung und ist keine Rechtsberatung. Rechtslage und behördliche Leitlinien können sich ändern; Stand der Prüfung ist der 3. August 2026.