Die erste Frage
Sind Sie Anbieter oder Betreiber?
An dieser Einordnung hängt fast alles. Für Betreiber ist die Liste der Pflichten deutlich kürzer.
Wer ein KI-System einkauft und im eigenen Haus einsetzt, ist Betreiber. Das trifft auf die allermeisten mittelständischen Betriebe zu, auch auf die, die einen Assistenten für die Angebotserstellung bauen lassen. Anbieter ist, wer ein System entwickelt und unter eigenem Namen auf den Markt bringt.
Eine Falle steckt trotzdem darin: Wer ein zugekauftes System unter eigenem Namen weitergibt, es wesentlich verändert oder seinen Zweck so ändert, dass es hochriskant wird, rutscht in die Anbieterrolle. Praktisch wird das, sobald Sie einen Assistenten nicht nur intern nutzen, sondern Ihren Kunden anbieten. Diese Grenze klären wir vor dem Projekt, nicht danach.
Einordnung
Vier Klassen, und die meisten Betriebe landen in der untersten
Verboten. Social Scoring, Emotionserkennung am Arbeitsplatz und in Schulen, das ungezielte Abgreifen von Gesichtsbildern aus dem Netz. Gilt seit dem 2. Februar 2025 ohne Übergangsfrist.
Hochriskant. Anhang III nennt unter anderem Vorauswahl von Bewerbern, Bewertung von Beschäftigten, Kreditwürdigkeitsprüfung und kritische Infrastruktur. Hier hängt die Hauptlast der Pflichten.
Transparenzpflichtig. Systeme, die unmittelbar mit Menschen sprechen, und Inhalte, die künstlich erzeugt oder verändert wurden. Geregelt in Artikel 50.
Alles Übrige. Der größte Teil dessen, was im Mittelstand sinnvoll ist: Texte vorbereiten, Belege zuordnen, Dokumente durchsuchen. Keine besonderen Pflichten, abgesehen von der KI-Kompetenz.
Die Einordnung hängt am Zweck, nicht am Werkzeug. Dasselbe Sprachmodell ist in der Angebotserstellung unkritisch und in der Bewerbervorauswahl hochriskant. Deshalb wird je System eingeordnet und nicht je Anbieter.
Was heute schon gilt
Drei Pflichten, die keinen Aufschub haben
KI-Kompetenz, Artikel 4
Seit dem 2. Februar 2025 müssen Anbieter und Betreiber dafür sorgen, dass die Menschen, die in ihrem Auftrag mit KI arbeiten, über ausreichende KI-Kompetenz verfügen. Die Pflicht hängt nicht an der Unternehmensgröße und trifft auch Betriebe, die nur ein zugekauftes Werkzeug benutzen. Ein bestimmtes Zertifikat schreibt die Verordnung nicht vor, nachweisen können muss man es trotzdem. Wie wir das machen, steht unter Coaching.
Die Verbote, Artikel 5
Sie gelten seit demselben Tag. Für einen normalen Betrieb ist vor allem die Emotionserkennung am Arbeitsplatz relevant, die manche Werkzeuge zur Gesprächsauswertung im Vertrieb mitbringen, ohne dass es im Datenblatt steht.
Transparenz, Artikel 50
Seit dem 2. August 2026. Ein Chatbot auf Ihrer Website muss erkennen lassen, dass dort eine Maschine antwortet, sofern das nicht ohnehin offensichtlich ist. Künstlich erzeugte Bilder, Videos und Tonaufnahmen werden maschinenlesbar markiert, worum sich in aller Regel der Anbieter des Systems kümmert; wer einen Deepfake veröffentlicht, muss ihn zusätzlich sichtbar als solchen kennzeichnen.
Was Artikel 50 nicht verlangt: dass Sie jeden Text kennzeichnen, bei dem KI geholfen hat. Eine Offenlegungspflicht gibt es für veröffentlichte Texte zu Angelegenheiten von öffentlichem Interesse, und sie entfällt, wenn ein Mensch die redaktionelle Verantwortung trägt.
Die Verschiebung
Was der Digital Omnibus geändert hat
Mit der Änderungsverordnung (EU) 2026/1744 vom 8. Juli 2026, veröffentlicht im Amtsblatt am 24. Juli 2026, sind die Pflichten für Hochrisiko-Systeme nach hinten gerückt. Für eigenständige Systeme nach Artikel 6 Absatz 2 und Anhang III gelten sie ab dem 2. Dezember 2027, für Systeme in Produkten nach Artikel 6 Absatz 1 und Anhang I ab dem 2. August 2028. Dazu kommen Erleichterungen für kleine und mittlere Unternehmen.
Derselbe Rechtsakt geht an einer Stelle auch in die andere Richtung: Zum 2. Dezember 2026 kommen zwei Verbote hinzu, die auf KI-Systeme zielen, welche intime Darstellungen einer bestimmbaren Person ohne deren Zustimmung erzeugen oder Missbrauchsdarstellungen von Kindern. Für den gewerblichen Alltag ändert das nichts, es zeigt aber, dass der Omnibus kein allgemeiner Rückzug ist.
Wer daraus liest, der AI Act sei verschoben, verwechselt die Klassen. Verbote, KI-Kompetenz und Transparenzpflichten gelten unverändert weiter. Verschoben wurde der Teil, der die wenigsten Mittelständler betrifft, und auch dort hilft die zusätzliche Zeit nur dem, der sie nutzt: Eine Einordnung des eigenen Bestands dauert Tage, die Nachweise für ein Hochrisiko-System Monate.
Vier Ergebnisse
Was am Ende in Ihrem Ordner liegt
Dieselben vier Dinge, egal ob der Anlass ein Audit, eine Kundenanfrage oder der eigene Ordnungssinn ist.
-
KI-Inventar
eine Liste, die gepflegt wirdWelche KI-Systeme sind im Haus im Einsatz, wer hat sie beschafft, wer benutzt sie wofür. Die Liste ist fast immer länger als gedacht, weil Funktionen in Werkzeugen stecken, die man nicht als KI gekauft hat.
-
Einordnung je System
ein Absatz pro EintragRolle (Anbieter oder Betreiber), Risikoklasse, Begründung in zwei Sätzen. Dazu der Vermerk, was daraus an Pflichten folgt und was nicht.
-
Nutzungsregel für den Betrieb
zwei Seiten, lesbarWelche Werkzeuge erlaubt sind, welche Daten hinein dürfen, was im Haus bleibt und wer entscheidet, wenn etwas Neues dazukommt.
-
Schulungsnachweis
Teilnehmer, Inhalte, DatumDie Unterlage, mit der Sie Artikel 4 belegen. Entsteht ohnehin bei jeder Schulung, wird nur meistens nicht aufgehoben.
Bußgelder
Was Verstöße kosten können
Für verbotene Praktiken sieht die Verordnung bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor, für die übrigen Verstöße bis zu 15 Millionen Euro oder 3 Prozent, jeweils der höhere Betrag. Durchgesetzt wird über die nationalen Behörden.
Für einen Betrieb mit 40 Mitarbeitenden ist das Bußgeld trotzdem nicht das eigentliche Risiko. Realistischer ist die Kundenanfrage, die wissen will, wie Sie KI einsetzen, oder der Auftraggeber, der eine Auskunft zur Lieferkette verlangt. Wer dann eine Liste und eine Einordnung vorlegen kann, ist fertig, bevor das Gespräch anfängt.
Unser Angebot dazu
Ersteinschätzung, Regel, Schulung
Wir nehmen den Bestand auf, ordnen jedes System ein und schreiben die Nutzungsregel mit Ihnen. Das ist eine abgegrenzte Beratungsleistung und hängt an keinem Umsetzungsprojekt; Umfang und Preis stimmen wir vorher ab. Was dazugehört, steht unter Beratung, die Schulung samt Nachweis unter Coaching.
Wenn daraus ein Projekt wird, ist die Einordnung schon da und muss nicht nachträglich erfunden werden. Das ist der eigentliche Grund, warum wir damit anfangen.
Stand dieser Seite: 23. Oktober 2026. Eine Orientierung nach bestem Wissen, keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes. Maßgeblich sind die Verordnung (EU) 2024/1689 und die Änderungsverordnung (EU) 2026/1744 in ihrer geltenden Fassung. Wo es um Haftung oder Verträge geht, gehört ein Anwalt an den Tisch, und wir sagen Ihnen das auch.