![Seit dem 2. August 2026 gelten zentrale Pflichten des EU AI At [1]. Wenige Tage zuvor, am 29. Juli, ist mit dem KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG) auch das deutsche Durchführungsgesetz in Kraft getreten [3]. Damit stehen erstmals sowohl der europäische Rahmen als auch die nationale Aufsichtsstruktur. Für Geschäftsführer im Mittelstand bedeutet das: Die KI-Regulierung ist keine Ankündigung mehr, sondern geltendes Recht mit konkreten Pflichten und klaren Fristen. Dieser Artikel gibt einen Überblick, was jetzt gilt, was noch kommt und welche Schritte Sie als Geschäftsführung priorisieren sollten. Er ersetzt keine Rechtsberatung, gibt Ihnen aber eine Orientierung für den Arbeitsalltag.](https://nordagi.de/wp-content/uploads/2026/08/NAGI-Blogpost-LeadIn-Images-8.jpg)
Seit dem 2. August 2026 gelten zentrale Pflichten des EU AI At [1]. Wenige Tage zuvor, am 29. Juli, ist mit dem KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG) auch das deutsche Durchführungsgesetz in Kraft getreten [3]. Damit stehen erstmals sowohl der europäische Rahmen als auch die nationale Aufsichtsstruktur. Für Geschäftsführer im Mittelstand bedeutet das: Die KI-Regulierung ist keine Ankündigung mehr, sondern geltendes Recht mit konkreten Pflichten und klaren Fristen.
Dieser Artikel gibt einen Überblick, was jetzt gilt, was noch kommt und welche Schritte Sie als Geschäftsführung priorisieren sollten. Er ersetzt keine Rechtsberatung, gibt Ihnen aber eine Orientierung für den Arbeitsalltag.
TL;DR:
Seit August 2026 gelten die Transparenzpflichten des EU AI Act, seit Juli 2026 regelt das KI-MIG die deutsche Aufsicht. Für die meisten Mittelständler bedeutet das beispielsweise: KI-Kompetenz dokumentieren, Chatbots und KI-generierte Inhalte kennzeichnen, und eine interne KI-Inventur als Grundlage für alles Weitere aufsetzen. Die Hochrisiko-Pflichten für HR-KI kommen erst im Dezember 2027. Der Artikel ordnet Fristen, Rollen und Handlungsfelder ein.
Was gilt seit wann beim EU AI Act?
Der EU AI Act ist seit August 2024 in Kraft, wird aber schrittweise eingeführt [1]. Durch die im Sommer 2026 verabschiedete Digital-Omnibus-Verordnung haben sich einige Fristen verschoben [2]. Vier Daten sind für den Mittelstand entscheidend.
Seit Februar 2025: KI-Kompetenz (Artikel 4). Jedes Unternehmen, das KI beruflich einsetzt, muss die KI-Kompetenz seiner Mitarbeitenden aktiv fördern [1]. Diese Pflicht gilt bereits seit über 18 Monaten. Der Digital Omnibus hat die Formulierung etwas abgeschwächt: Unternehmen müssen nun Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz zu unterstützen, statt wie zuvor ein bestimmtes Kompetenzniveau zu gewährleisten [2]. Dazu können z.B. interne Schulungen gehören. Es soll ein Verständnis für Risiken und Grenzen von KI-Systemen vermittelt werden [1].
Seit August 2026: Transparenzpflichten (Artikel 50) und nationale Aufsicht. Nutzer müssen darüber informiert werden, dass sie mit einer KI interagieren, etwa bei Chatbots auf der Unternehmenswebsite [1]. KI-generierte oder wesentlich bearbeitete Inhalte, die veröffentlicht werden, sind zu kennzeichnen, sofern keine menschliche redaktionelle Prüfung stattgefunden hat [1]. Die maschinenlesbare Kennzeichnung (Wasserzeichen, Metadaten) betrifft primär die Anbieter der Systeme [1]. Für generative KI-Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, gilt eine Übergangsfrist bis zum 2. Dezember 2026 [2].
Ab Dezember 2027: Hochrisiko-Systeme. Wer KI für Personalentscheidungen einsetzt, ob für Recruiting, Bewerbungsscreenings, Leistungsbewertungen oder automatisierte Schichtplanung, fällt unter die strengen Hochrisiko-Anforderungen [1]. Dasselbe gilt für KI-gestützte Kreditprüfungen. Die Pflichten umfassen unter anderem ein dokumentiertes Risikomanagement, Datenqualitätsprüfungen, menschliche Aufsicht und eine sechsmonatige Aufbewahrung von Protokollen [1].
Ab August 2028: In Produkte eingebettete KI-Systeme (Anhang I). Für KI, die in Medizinprodukte, Maschinen oder sicherheitsrelevante Komponenten integriert ist, gelten die Hochrisiko-Anforderungen ab diesem Zeitpunkt [1].
Für die meisten mittelständischen Unternehmen bleibt es wahrscheinlich bei den Transparenz- und Kompetenzpflichten, die Hochrisiko-Anforderungen greifen nur in klar abgegrenzten Anwendungsbereichen, die unten genauer erläutert werden.
Betreiber oder Anbieter? Eine Weichenstellung, die viele übersehen
Die Pflichten, die sich aus dem EU AI Act ergeben, hängen wesentlich davon ab, welche Rolle Ihr Unternehmen einnimmt [1].
Die meisten mittelständischen Unternehmen sind Betreiber. Das bedeutet, sie nutzen fertige KI-Anwendungen von Drittanbietern, etwa Microsoft Copilot, ChatGPT oder KI-gestützte HR-Software, im beruflichen Alltag.
Sobald man als Betreiber agiert, ist man von bestimmten Pflichten betroffen. Deren Umfang hängt dabei von der Risikoklasse ab: Für jede KI-Nutzung gilt die KI-Kompetenzpflicht, bei Systemen mit begrenztem Risiko zusätzlich die Transparenzpflichten. Die umfangreichen Betreiberpflichten gelten nur für die Hochrisiko-KI-Systeme.
Weniger bekannt, aber folgenreich: Wenn Sie ein bestehendes KI-System so tiefgreifend verändern oder seinen Verwendungszweck so anpassen, dass es in die Hochrisikoklasse fällt, werden Sie rechtlich automatisch zum Anbieter hochgestuft [1]. Die volle Pflichtenlast für Hochrisiko-Systeme, einschließlich Risikomanagement, Konformitätsbewertung und technischer Dokumentation, geht dann auf Sie über. Wer KI-Systeme nicht nur anwendet, sondern substanziell umbaut, sollte sich dieser Schwelle bewusst sein. Werden über Programmierschnittstellen (APIs) eigene KI-Anwendungen entwickelt, gilt man in der Regel nicht mehr als Betreiber, sondern als Anbieter eines eigenständigen Systems.
Was Sie jetzt tun sollten: Drei konkrete Handlungsfelder
KI-Inventur durchführen
Der erste Schritt klingt banal, wird aber in der Praxis regelmäßig übersprungen: Verschaffen Sie sich einen vollständigen Überblick darüber, welche KI-Systeme in Ihrem Unternehmen bereits im Einsatz sind. Das betrifft nicht nur offiziell eingeführte Tools, sondern auch Anwendungen, die Mitarbeitende eigenständig nutzen, die sogenannte Schatten-KI. [Warum Schatten-KI ein unterschätztes Risiko darstellt, analysieren wir in Teil 3 unserer Governance-Serie.] Eine interne Bestandsaufnahme Ihrer KI-Anwendungen ist zwar nicht ausdrücklich vorgeschrieben, in der Praxis aber kaum vermeidbar, denn ohne sie lassen sich weder die Risikoklassen zuordnen noch die Nachweis- und Dokumentationspflichten erfüllen.
Für jedes identifizierte System sollten Sie drei Fragen beantworten: Welchem Zweck dient es? Wer nutzt es? In welche Risikokategorie fällt es?
Die meisten KI-Anwendungen im Mittelstand, von Textverarbeitung über Übersetzungstools bis hin zu E-Mail-Klassifizierung, fallen unter „minimales Risiko“ und erfordern lediglich Transparenzhinweise. Sobald KI jedoch in Personalentscheidungen oder Kreditprüfungen einfließt, steigen die Anforderungen erheblich [1]. Eine strukturierte Inventur schafft die Grundlage für alle weiteren Schritte.
KI-Kompetenz im Unternehmen systematisch aufbauen
Die KI-Kompetenzpflicht nach Artikel 4 gilt seit Februar 2025 und ist damit die Anforderung, die am längsten überfällig ist [1]. Laut Bitkom nennen 53 Prozent der deutschen Unternehmen fehlendes Know-how und ebenfalls 53 Prozent die rechtliche Unsicherheit als größte Hemmnisse beim KI-Einsatz [4]. [Zum Zusammenhang zwischen strategischer Führung und KI-Kompetenz vgl. unseren Artikel „KI-Governance beginnt bei der Geschäftsführung“.]
KI-Kompetenz bedeutet nicht, dass jeder Mitarbeitende zum Datenanalysten werden muss. Es geht darum, dass Ihr Team versteht, was KI kann und was nicht, wo Risiken liegen und wie man KI-Ergebnisse kritisch einordnet, um z.B. Halluzinationen zu erkennen. Stellen Sie allgemeine betriebsinterne Regeln zum Umgang mit KI-Tools auf.
Dokumentieren Sie, welche Schulungsmaßnahmen Sie ergriffen haben und für welche Zielgruppen. Formale Zertifikate sind nicht vorgeschrieben, aber nachweisbare Maßnahmen schon [1].
Transparenz sicherstellen: Die Kennzeichnungspflicht in der Praxis
Seit August 2026 greift die Kennzeichnungspflicht. In der Praxis heißt das für die meisten Mittelständler: Wenn Sie einen Chatbot auf Ihrer Website betreiben, muss für den Nutzer erkennbar sein, dass er gerade mit einer KI kommuniziert.
Wenn Sie fotorealistische KI-generierte Bilder oder Videos veröffentlichen, müssen diese entsprechend gekennzeichnet werden, das ist die Deepfake-Offenlegungspflicht (Art. 50, Abs. 4) [1]. Das gilt vor allem für Personen- oder Produktbilder für Marketingzwecke, die täuschend echt wirken.
Keine Kennzeichnungspflicht besteht, wenn der Verbraucher klar erkennt, dass es sich um ein erstelltes Bild handelt (wie ein Comic, Cartoon). Auch wenn man die KI nur als Bearbeitungshilfe nutzt (wie Schärfen oder Entfernen kleiner Bildfehler) bedarf es keiner Angabe. Anders verhält es sich bei künstlerischen oder kreativen Werken, die zwar fiktiv sind, jedoch aussehen wie Fotos, dann muss eine “dezente Kennzeichnung” erfolgen, also ein Hinweis in den Bildnachweisen oder im Abspann etwa.
Bei Texten, die mit KI-Unterstützung geschrieben wurden, ist es wichtig, diese vorab redaktionell zu kontrollieren und zu überarbeiten. Ansonsten müssen diese auch gekennzeichnet werden [1].
Prüfen Sie Ihre an Kunden gerichteten Kanäle: Website, Kundenkommunikation, Marketing. Überall dort, wo KI-Systeme direkt mit Ihren Kunden interagieren oder KI-generierte Inhalte veröffentlicht werden, muss die Transparenz gewährleistet sein. Bei Verstößen gegen die Transparenzpflichten drohen Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes (bei KMU gilt der niedrigere Betrag).
Was für KI im Unternehmen noch nicht gilt, aber vorbereitet werden sollte
Wenn Ihr Unternehmen KI in HR-Prozessen einsetzt, etwa für Bewerbungsvorauswahl, Leistungsbewertung oder automatisierte Personalplanung, sollten Sie die Frist Dezember 2027 ernst nehmen [2]. Die Hochrisiko-Anforderungen verlangen ein dokumentiertes Risikomanagement, regelmäßige Datenqualitätsprüfungen, definierte Prozesse für menschliche Aufsicht und eine sechsmonatige Aufbewahrung der Systemprotokolle [1].
Das klingt nach viel, lässt sich aber bei frühzeitigem Start in überschaubaren Schritten umsetzen.
Erleichterungen für den Mittelstand: Was der Digital Omnibus gebracht hat
Der europäische Gesetzgeber hat bei der Ausgestaltung des EU AI Act die wirtschaftliche Realität kleinerer und mittlerer Unternehmen berücksichtigt. Der Digital Omnibus hat die Erleichterungen sogar ausgeweitet [2].
Die KMU-Privilegien gelten jetzt auch für sogenannte „Small Mid-Caps“, also Unternehmen mit bis zu 749 Beschäftigten und einem Jahresumsatz von maximal 150 Millionen Euro [2]. Damit fallen deutlich mehr mittelständische Unternehmen unter die vereinfachten Regelungen.
Konkret bedeutet das: vereinfachte Vorlagen für Dokumentation und Qualitätsmanagement, priorisierter und kostenloser Zugang zu KI-Reallaboren, also behördlichen Testumgebungen, in denen Sie innovative Systeme unter realen Bedingungen erproben können, sowie eine mildere Bußgeldberechnung, bei der für KMU zwingend der jeweils niedrigere Wert aus Festbetrag oder Umsatzprozentsatz gilt [1].
Wo Sie konkret Unterstützung finden
Der KI-Service Desk der Bundesnetzagentur ist die zentrale, niederschwellige Anlaufstelle für Unternehmen. Sie erhalten dort praktische Orientierung bei der Umsetzung der Anforderungen.
Mit dem KI-Compliance Kompass, einem interaktiven Online-Tool der BNetzA, können Sie in wenigen Schritten selbst prüfen, in welche Risikoklasse Ihre KI-Systeme fallen und ob Transparenzpflichten für Sie greifen.
Darüber hinaus bieten die regionalen Industrie- und Handelskammern regelmäßig Webinare und Praxisleitfäden an, die den Weg vom Gesetzestext in den operativen Alltag verkürzen. Informieren Sie sich bei Ihrer regionalen IHK.
Was bedeutet das KI-MIG für Sie?
KI-MIG steht für KI-Marktüberwachungs- und Innovationsförderungs-Gesetz. Es handelt sich dabei um das deutsche Durchführungsgesetz zur europäischen KI-Verordnung (EU AI Act), welches am 29. Juli 2026 offiziell in Kraft getreten ist [3]. Mit dem KI-MIG hat Deutschland die nationale Aufsichtsstruktur geschaffen.
Die Bundesnetzagentur (BNetzA) fungiert als zentrale Marktüberwachungsbehörde, betreibt den KI-Service Desk zur Beratung und richtet das Koordinierungs- und Kompetenzzentrum KoKIVO ein [3]. Wenn Sie Fragen zur Umsetzung haben oder eine Einschätzung Ihrer KI-Systeme benötigen, ist die Bundesnetzagentur Ihre erste Anlaufstelle.
Strukturiert anfangen statt unter Zeitdruck nachholen
Der EU AI Act verlangt vom Mittelstand keine Compliance-Großprojekte, wohl aber ein klares Verständnis dafür, wo die eigenen KI-Anwendungen einzuordnen sind, und eine dokumentierte Grundstruktur im jeweiligen Unternehmen.
Hinweis: Eine vertiefte Einordnung der relevanten Governance-Frameworks, einschließlich NIST und ISO 42001, bietet unsere dreiteilige Governance-Serie.
Quellen:
[1] EU AI Act, Verordnung (EU) 2024/1689.
[2] Digital-Omnibus-Verordnung (KI-Omnibus)
[3] KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG), in Kraft seit 29. Juli 2026
[4] Bitkom, Künstliche Intelligenz 2025, veröffentlicht Februar 2026. Befragung von 604 Unternehmen ab 20 Beschäftigten
Sie möchten KI in Ihrem Unternehmen einsetzen und haben Fragen zur KI-Implementierung?
Gerne analysieren wir mit Ihnen in einem ersten unverbindlichen Strategiegespräch, wie der Einsatz von KI in Ihrem Unternehmen aussehen könnte und was dabei zu beachten ist.