EU AI Act für Betreiber im Mittelstand: Was nach dem KI-Omnibus wirklich gilt

Kaum ein KI-Thema sorgt im Mittelstand für so viel Unsicherheit wie die europäische KI-Verordnung, oft EU AI Act genannt. Mal heißt es, jedes Unternehmen mit ChatGPT brauche jetzt Zertifikate. Mal heißt es, alles sei verschoben. Beides stimmt so nicht. Seit dem Sommer 2026 gibt es zudem eine wichtige Änderung, den sogenannten KI-Omnibus, der Fristen verschoben und einzelne Pflichten neu gefasst hat.

Dieser Beitrag ordnet ein, was für Betriebe gilt, die KI nutzen, also für Betreiber im Sinne der Verordnung. Er ersetzt keine Rechtsberatung, hilft Dir aber, die richtigen Fragen zu stellen und die nächsten Schritte pragmatisch anzugehen.

Anbieter oder Betreiber: Wer bist Du?

Die KI-Verordnung, offiziell Verordnung (EU) 2024/1689, unterscheidet vor allem zwei Rollen. Anbieter entwickeln ein KI-System oder bringen es unter eigenem Namen auf den Markt, zum Beispiel Google mit Gemini. Betreiber setzen ein KI-System in eigener Verantwortung beruflich ein. Wenn Dein Team Gemini in Google Workspace nutzt oder Ihr einen KI-Agenten für die Angebotserstellung einsetzt, seid Ihr in der Regel Betreiber.

Die meisten Pflichten der Verordnung treffen die Anbieter. Für Betreiber sind die Pflichten überschaubarer, solange es nicht um Hochrisiko-Anwendungen geht. Vorsicht ist geboten, wenn Du ein KI-System selbst baust und es anderen bereitstellst oder ein bestehendes System wesentlich veränderst. Dann kannst Du selbst in die Anbieterrolle rutschen.

Der Zeitplan nach dem KI-Omnibus

Die Verordnung ist am 1. August 2024 in Kraft getreten und gilt schrittweise. Mit der Verordnung (EU) 2026/1744, dem KI-Omnibus, wurden Teile davon geändert. Der Omnibus ist laut EU-Kommission am 27. Juli 2026 in Kraft getreten. Daraus ergibt sich folgender Stand:

• Seit 2. Februar 2025: Verbote bestimmter KI-Praktiken, etwa Social Scoring oder Emotionserkennung am Arbeitsplatz, und die Pflicht zur Förderung von KI-Kompetenz (Artikel 4).
• Seit 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, also für die großen Modellanbieter.
• Seit 2. August 2026: Aufsicht und Durchsetzung durch die Behörden sowie die Transparenzpflichten aus Artikel 50.
• Ab Dezember 2026: ein neues Verbot, das der Omnibus ergänzt hat. Es betrifft KI-Systeme, die nicht einvernehmliche sexuelle Inhalte oder Darstellungen von Kindesmissbrauch erzeugen.
• Ab 2. Dezember 2027: Regeln für eigenständige Hochrisiko-KI-Systeme nach Anhang III, zum Beispiel im Personalbereich.
• Ab 2. August 2028: Regeln für Hochrisiko-KI in regulierten Produkten nach Anhang I, etwa in Maschinen oder Aufzügen.

Ursprünglich sollten die Hochrisiko-Regeln für Anhang III bereits ab 2. August 2026 gelten. Diese Verschiebung ist der Grund, warum manche Stimmen von „alles verschoben“ sprechen. Die Pflichten zu KI-Kompetenz, Verboten und Transparenz gelten aber schon heute.

KI-Kompetenz: Was Artikel 4 jetzt verlangt

Artikel 4 war die Pflicht, über die im Mittelstand am meisten gesprochen wurde. In der alten Fassung sollten Anbieter und Betreiber sicherstellen, dass ihr Personal über ein „ausreichendes Maß“ an KI-Kompetenz verfügt. Der Omnibus hat das neu gefasst. Laut der konsolidierten Fassung beim AI Act Service Desk ergreifen Anbieter und Betreiber jetzt Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit KI-Systemen arbeiten. Ein bestimmtes Kompetenzniveau einzelner Personen müssen sie ausdrücklich nicht garantieren.

Die Pflicht bleibt also bestehen, ist aber realistischer formuliert. Die Bundesnetzagentur betont dazu: Es gibt keine vorgeschriebenen Standardschulungen und keine Zertifizierungspflicht. Entscheidend sind die eigene Rolle, die eingesetzten Systeme, das Risiko und die Vorkenntnisse im Team. Maßnahmen sollten dokumentiert und regelmäßig aufgefrischt werden.

Für einen Betrieb mit 20 oder 80 Beschäftigten heißt das praktisch:

• Wer KI-Werkzeuge nutzt, bekommt eine kurze Einweisung zu Möglichkeiten, Grenzen und typischen Fehlern, etwa erfundenen Fakten.
• Es gibt klare Regeln, welche Daten in welche Werkzeuge dürfen.
• Wer KI für wichtigere Aufgaben einsetzt, etwa für Kundenantworten oder Auswertungen, bekommt eine vertiefte Schulung.
• Termine, Inhalte und Teilnehmende werden kurz festgehalten.

Wie Du dabei das Team mitnimmst, beschreiben wir im Beitrag KI-Einführung im Team.

Transparenz: Wann Du KI kennzeichnen musst

Artikel 50 regelt, wann Menschen erfahren müssen, dass KI im Spiel ist. Für Betreiber sind vor allem zwei Punkte relevant:

• Deepfakes: Wer mit KI Bild-, Ton- oder Videoinhalte erzeugt oder verändert, die als Deepfake gelten, muss offenlegen, dass sie künstlich erzeugt oder verändert sind. Bei offensichtlich künstlerischen oder satirischen Werken reicht ein angemessener Hinweis.
• Texte zu Themen von öffentlichem Interesse: Werden KI-Texte veröffentlicht, um die Öffentlichkeit über solche Themen zu informieren, ist das offenzulegen. Das gilt nicht, wenn ein Mensch die Texte redaktionell prüft und jemand die redaktionelle Verantwortung trägt.

Dass ein Chatbot sich als KI zu erkennen gibt, muss vor allem der Anbieter im System vorsehen. Wenn Du einen Chatbot auf Deiner Website oder im Kundenservice einsetzt, solltest Du trotzdem prüfen, ob dieser Hinweis klar erscheint. Die Kennzeichnung von KI-Inhalten in maschinenlesbarer Form ist Aufgabe der Anbieter. Für Systeme, die vor dem 2. August 2026 auf den Markt kamen, hat der Omnibus diese Pflicht auf den 2. Dezember 2026 verschoben.

Hochrisiko: Wo Du genauer hinschauen solltest

Die meisten KI-Anwendungen im Mittelstand sind kein Hochrisiko. Texte entwerfen, E-Mails zusammenfassen, Belege auslesen oder Wissen aus internen Dokumenten finden gehört in der Regel nicht dazu. Anhang III nennt dagegen Bereiche wie Beschäftigung und Personalmanagement, Bildung, Zugang zu wesentlichen Leistungen wie Kreditwürdigkeit oder kritische Infrastrukturen.

Wenn Du KI zum Beispiel einsetzt, um Bewerbungen vorzusortieren oder Leistung von Beschäftigten zu bewerten, solltest Du genauer prüfen. Für solche Systeme gelten ab dem 2. Dezember 2027 zusätzliche Betreiberpflichten, unter anderem Nutzung nach Gebrauchsanweisung, menschliche Aufsicht durch geschulte Personen und Aufbewahrung von Protokollen. Die Verschiebung gibt Dir Zeit, solche Anwendungen sauber aufzusetzen, statt sie später umbauen zu müssen.

So gehst Du pragmatisch vor

1. Bestandsaufnahme: Liste alle KI-Werkzeuge auf, die im Betrieb genutzt werden, auch die, die Mitarbeitende privat mitbringen. Notiere Zweck, Daten und Verantwortliche.
2. Einordnen: Prüfe pro Anwendung, ob Ihr Betreiber oder Anbieter seid und ob ein Hochrisiko-Bereich berührt ist. Der KI-Service Desk der Bundesnetzagentur bietet dafür einen Compliance-Kompass.
3. KI-Regeln festlegen: Eine kurze interne Richtlinie, welche Werkzeuge erlaubt sind, welche Daten hineindürfen und wann ein Mensch prüft.
4. Kompetenz aufbauen: Einweisung für alle, Vertiefung für Schlüsselrollen, alles kurz dokumentiert.
5. Transparenz prüfen: Chatbots, generierte Bilder und Videos und veröffentlichte Texte auf Hinweise prüfen.
6. Datenschutz mitdenken: Die KI-Verordnung ersetzt nicht die DSGVO. Auftragsverarbeitung, Speicherorte und Rechte bleiben genauso wichtig.

Technisch hilft es, wenn KI-Werkzeuge in einer verwalteten Umgebung laufen statt in privaten Konten. In Google Workspace mit Gemini steuerst Du zentral, wer welche Funktionen nutzt und auf welche Daten Gemini zugreifen kann. Mehr dazu im Beitrag KI im Mittelstand richtig starten.

Häufige Missverständnisse

• „Wir brauchen ein KI-Zertifikat.“ Für die KI-Kompetenz nach Artikel 4 gibt es keine Zertifizierungspflicht.
• „Durch den Omnibus ist alles verschoben.“ Verschoben wurden vor allem die Hochrisiko-Regeln. Verbote, KI-Kompetenz und Transparenz gelten.
• „Das betrifft nur große Konzerne.“ Die Verordnung gilt unabhängig von der Unternehmensgröße. Für KMU und künftig auch kleine Mid-Caps gibt es aber Erleichterungen und Unterstützungsangebote.

Fazit

Für die meisten Betriebe im Mittelstand ist der EU AI Act kein Grund zur Panik, aber ein guter Anlass für Ordnung: wissen, welche KI im Einsatz ist, klare Regeln haben, das Team befähigen und bei sensiblen Anwendungen genauer hinschauen. Wer das jetzt sauber aufsetzt, nutzt KI mit mehr Sicherheit und weniger Schatten-IT.

Du willst wissen, wie gut Dein Betrieb für KI aufgestellt ist? Starte mit unserem AI-Readiness-Check oder lies das Whitepaper. Für eine Bestandsaufnahme Deiner KI-Werkzeuge und eine saubere Einführung in Google Workspace sprich uns an: Kostenloses Erstgespräch vereinbaren. Hinweis: Dieser Beitrag gibt den Stand vom Oktober 2026 wieder und ist keine Rechtsberatung.