KI-Verordnung für KMU: Die Checkliste seit dem 2. August 2026

Seit dem 2. August 2026 gilt die nächste Stufe der EU-KI-Verordnung, vor allem die Transparenzpflichten des Art. 50. Zusammen mit Art. 4 zur KI-Kompetenz und den verbotenen Praktiken ergibt sich für kleine und mittlere Unternehmen ein konkretes Arbeitspaket. Hier ist die Checkliste.

Schritt 1: Bestandsaufnahme, welche KI ist überhaupt im Einsatz?

[ ] Offizielle Tools erfassen: ChatGPT, Copilot, Gemini, DeepL, Canva-KI, Meeting-Transkription, Chatbots …
[ ] Schatten-KI aufdecken: Kurze, sanktionsfreie Umfrage im Team: Welche Tools werden privat angemeldet genutzt?
[ ] KI-Funktionen in Bestandssoftware prüfen: Office, CRM, Videokonferenz: Vieles hat KI längst eingebaut.

Ergebnis: ein KI-Systemverzeichnis mit Tool, Zweck, Datenkategorien, Risikoeinstufung und verantwortlicher Person. Es ist für normale Betreiber nicht pauschal vorgeschrieben, aber eine sinnvolle Grundlage für Freigaben und Dokumentation.

Schritt 2: Sofort prüfen, verbotene Praktiken (gilt seit Februar 2025)

[ ] Keine Emotionserkennung gegenüber Beschäftigten (z. B. Stimmungsanalyse in Callcenter-Software)?
[ ] Kein Social Scoring, keine manipulativen Systeme?
[ ] Vor dem 2. Dezember 2026: keine KI zur Erzeugung oder Manipulation nicht einvernehmlicher intimer Inhalte oder von Missbrauchsdarstellungen?

Verstöße gegen Art. 5 tragen den höchsten Bußgeldrahmen der Verordnung (bis 35 Mio. € bzw. 7 % des Weltumsatzes; für KMU gilt der jeweils niedrigere Betrag, Art. 99). Im Verdachtsfall: Funktion deaktivieren, dokumentieren, rechtlich prüfen lassen.

Schritt 3: KI-Kompetenz mit angemessenen Maßnahmen fördern (gilt seit Februar 2025)

[ ] Für alle betroffenen Rollen wurden angemessene Maßnahmen festgelegt, etwa Grundschulung, Einweisung oder Leitlinien
[ ] Inhalte: Funktionsweise & Halluzinationen, Rechtsrahmen, Datenschutz, Transparenzpflichten, Verantwortung
[ ] Maßnahmen intern dokumentieren; Zertifikat und Sammelnachweis sind mögliche, aber nicht gesetzlich vorgeschriebene Nachweise
[ ] Prozess für neue Mitarbeitende und neue Tools definiert

Schritt 4: KI-Nutzungsrichtlinie einführen

[ ] Positivliste freigegebener Tools
[ ] Datenregeln (personenbezogene Daten, Geschäftsgeheimnisse)
[ ] Kennzeichnungs- und Freigabeprozesse für KI-Inhalte
[ ] Verantwortliche Person benannt, Richtlinie ans Team kommuniziert

Schritt 5: Transparenzpflichten jetzt umsetzen

[ ] Chatbots & KI-Assistenten: Anbieterumsetzung nach Art. 50 Abs. 1 prüfen; klarer Hinweis bei der ersten Interaktion sicherstellen
[ ] KI-generierte Bilder/Audio/Video: Täuschend echte Inhalte als KI-generiert offenlegen
[ ] KI-Texte zu Themen von öffentlichem Interesse: kennzeichnen oder menschliche Prüfung mit dokumentierter redaktioneller Verantwortung
[ ] Standard-Kennzeichnung festgelegt („Bild KI-generiert") und Freigabeprozess eingerichtet

Schritt 6: Sonderfälle prüfen

[ ] HR-Einsatz (Bewerbervorauswahl, Leistungsbewertung)? → Hochrisiko-Verdacht nach Anhang III, Einzelprüfung und Vorbereitung der Art.-26-Pflichten; Betriebsrat früh einbinden (§ 87 BetrVG)
[ ] Besondere Datenkategorien (Gesundheit, Mandate)? → Verschärfter Maßstab, Tool-Freigaben besonders sorgfältig dokumentieren
[ ] DSGVO-Basics sitzen? Auftragsverarbeitungsverträge, Verzeichnis von Verarbeitungstätigkeiten, ggf. Datenschutz-Folgenabschätzung

Der Zeitfaktor

Realistischer Aufwand für ein typisches KMU ohne Vorarbeiten hängt von Zahl, Zweck und Risiko der eingesetzten Systeme ab. Der kostenlose KI-Pflichten-Check liefert in drei Minuten eine unverbindliche Ersteinschätzung; der AI Act Checker unterstützt anschließend bei Richtlinie, Systemverzeichnis und einer dokumentierten Grundschulung. Einzelfallprüfungen und die tatsächliche Umsetzung im Betrieb bleiben erforderlich.

Dieser Beitrag ist Informationsmaterial und keine Rechtsberatung. Stand: 13. Oktober 2026. Berücksichtigt den in Kraft getretenen Digital Omnibus, das KI-MIG und die finalen Art.-50-Leitlinien.