Kurzfassung: Ein kleines oder mittleres Unternehmen, das KI nur nutzt, ist nach dem EU AI Act in aller Regel Betreiber. Heute treffen es drei Punkte: Maßnahmen zur KI-Kompetenz, die Verbote aus Artikel 5 und die Transparenzpflichten aus Artikel 50. Die Pflichten für Hochrisiko-Anwendungen, etwa bei der Bewerberauswahl, gelten nach dem KI-Omnibus ab dem 2. Dezember 2027. Eine Befreiung nach Unternehmensgröße enthält die Verordnung nicht, wohl aber niedrigere Bußgeldobergrenzen.

Was der Omnibus geändert hat

Die Verordnung (EU) 2026/1744 stammt vom 8. Juli 2026 und stand am 24. Juli im Amtsblatt. Sie trat am dritten Tag danach in Kraft, also am 27. Juli 2026. Sie ändert die KI-Verordnung (EU) 2024/1689, den EU AI Act. Für nutzende Unternehmen sind vier Punkte wichtig:

  • Artikel 4 hat eine neue Fassung. Unternehmen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz zu unterstützen, und müssen kein bestimmtes Niveau einzelner Personen garantieren.
  • Die Hochrisiko-Termine sind verschoben.
  • Neue Verbote betreffen KI-Systeme, die intime Darstellungen bestimmbarer Personen ohne deren Zustimmung erzeugen, und Darstellungen sexuellen Kindesmissbrauchs.
  • KMU und kleine Midcap-Unternehmen sind in Artikel 3 definiert und bei den Bußgeldern berücksichtigt.

Die Termine am Originaltext

DatumWas giltFundstelle in der KI-Verordnung
2. Februar 2025Kapitel I und II, darunter Artikel 4 und die ursprünglichen VerboteArtikel 113 Absatz 3 Buchstabe a
2. August 2025Governance, KI-Modelle mit allgemeinem Verwendungszweck, SanktionenArtikel 113 Absatz 3 Buchstabe b
2. August 2026allgemeine Geltung, darunter Artikel 50Artikel 113
2. Dezember 2026neue Verbote; Frist für Anbieter älterer Systeme bei der maschinenlesbaren MarkierungArtikel 113 Absatz 3 Buchstabe a, Artikel 111 Absatz 4
2. August 2027mindestens ein KI-Reallabor je Mitgliedstaat einsatzbereitArtikel 57 Absatz 1
2. Dezember 2027Hochrisiko-Regeln für Systeme nach Anhang III, darunter die BetreiberpflichtenArtikel 113 Absatz 3 Buchstabe c Ziffer i
2. August 2028Hochrisiko-Regeln für Systeme nach Anhang IArtikel 113 Absatz 3 Buchstabe c Ziffer ii

Hochrisiko-Systeme, die vor dem jeweiligen Termin in Verkehr gebracht oder in Betrieb genommen wurden, fallen nach Artikel 111 Absatz 2 grundsätzlich nur dann unter die Verordnung, wenn sie danach in ihrer Konzeption erheblich verändert wurden.

Betreiber oder Anbieter

Betreiber ist nach Artikel 3, wer ein KI-System in eigener Verantwortung verwendet, außer bei persönlicher und nicht beruflicher Tätigkeit. Das trifft auf Unternehmen zu, die mit ChatGPT, Microsoft Copilot oder KI-Funktionen in Fachsoftware arbeiten. Anbieter ist, wer ein System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Einführer bringen Systeme mit dem Namen eines Unternehmens aus einem Drittland in Verkehr, Händler stellen Systeme in der Lieferkette bereit.

Aus der Nutzerrolle kann eine Anbieterrolle werden. Artikel 25 Absatz 1 nennt für Hochrisiko-Systeme drei Fälle: Ein Unternehmen versieht ein Hochrisiko-System mit eigenem Namen, es verändert ein solches System wesentlich, oder es ändert die Zweckbestimmung eines bisher nicht hochriskanten Systems so, dass es hochriskant wird. Wer einen allgemeinen KI-Assistenten gezielt zum Sichten von Bewerbungen einrichtet, prüft deshalb die dritte Variante. Anbieter tragen die Pflichten aus Artikel 16.

Was für nutzende Unternehmen gilt

KI-Kompetenz nach Artikel 4. Maßnahmen für das eigene Personal und weitere Personen im Auftrag des Unternehmens. Format, Stundenzahl und Zertifikat legt die Verordnung nicht fest. Einzelheiten stehen im Beitrag zur KI-Schulungspflicht.

Verbote nach Artikel 5. Für Arbeitgeber ist vor allem Absatz 1 Buchstabe f wichtig: KI-Systeme zur Ableitung von Emotionen am Arbeitsplatz sind verboten, außer aus medizinischen Gründen oder Sicherheitsgründen.

Transparenz nach Artikel 50. Betreiber legen Deepfakes offen und, ohne menschliche Prüfung, KI-Texte zu Angelegenheiten von öffentlichem Interesse. Die Fälle Chatbot, Firmenblog, Anzeige, Produktfoto und KI-Stimme prüft der Leitfaden zur KI-Kennzeichnungspflicht.

Hochrisiko nach Artikel 26, ab dem 2. Dezember 2027. Anhang III erfasst unter Nummer 4 KI-Systeme für Einstellung und Auswahl, etwa zum Sichten und Filtern von Bewerbungen, sowie für Entscheidungen über Arbeitsverhältnisse und die Bewertung von Leistung und Verhalten. Nummer 5 Buchstabe b erfasst Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen, nicht aber die Aufdeckung von Finanzbetrug. Artikel 6 Absatz 3 nimmt Systeme aus, die kein erhebliches Risiko bergen, etwa bei eng gefassten Verfahrensaufgaben. Profiling natürlicher Personen bleibt immer hochriskant.

Betreiber solcher Systeme verwenden sie nach der Betriebsanleitung, übertragen die Aufsicht an kompetente Personen, bewahren Protokolle mindestens sechs Monate auf, soweit sie diese kontrollieren, und informieren vor dem Einsatz am Arbeitsplatz die Arbeitnehmervertreter und die Beschäftigten. Bei Kreditwürdigkeitsprüfungen kommt nach Artikel 27 eine Grundrechte-Folgenabschätzung hinzu. Die vollständige Liste steht im Beitrag zur KI-Compliance.

Erleichterungen für KMU

KMU sind nach der Empfehlung 2003/361/EG Unternehmen mit weniger als 250 Beschäftigten und höchstens 50 Millionen Euro Jahresumsatz oder höchstens 43 Millionen Euro Bilanzsumme. Kleine Midcap-Unternehmen liegen darüber, haben nach der Empfehlung (EU) 2025/1099 aber weniger als 750 Beschäftigte und höchstens 150 Millionen Euro Umsatz oder höchstens 129 Millionen Euro Bilanzsumme.

  • Bußgelder: Artikel 99 sieht bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken vor, bis zu 15 Millionen Euro oder 3 Prozent unter anderem für Verstöße gegen Artikel 26 und 50 und bis zu 7,5 Millionen Euro oder 1 Prozent für falsche Angaben gegenüber Behörden. Für KMU gilt nach Absatz 6 jeweils der niedrigere Betrag, für kleine Midcap-Unternehmen nach Absatz 6a bei den beiden unteren Stufen.
  • Sanktionen: Die Mitgliedstaaten berücksichtigen nach Artikel 99 Absatz 1 die Interessen von KMU und kleinen Midcap-Unternehmen sowie deren wirtschaftliches Überleben.
  • Unterstützung: Nach Artikel 4 Absatz 2 fördern Kommission und Mitgliedstaaten die Bemühungen besonders von KMU. Artikel 62 sieht vorrangigen Zugang zu KI-Reallaboren und eigene Schulungs- und Beratungskanäle vor.

Das vereinfachte Qualitätsmanagement nach Artikel 63 richtet sich an Anbieter von Hochrisiko-Systemen und entlastet rein nutzende Unternehmen nicht.

Aufsicht in Deutschland

Das KI-MIG vom 22. Juli 2026 ist seit dem 29. Juli 2026 in Kraft. Zuständig ist grundsätzlich die Bundesnetzagentur, für bestimmte Finanzunternehmen die BaFin. Der KI-Compliance-Kompass der Bundesnetzagentur gibt eine erste, unverbindliche Einschätzung. Mehr zur Durchsetzung steht im Beitrag Wer den AI Act in Deutschland durchsetzt.

Artikel 4 steht weder in Artikel 99 Absatz 3 bis 5 noch in § 15 KI-MIG. Die Bundesnetzagentur weist darauf hin, dass ein Mangel an KI-Kompetenz als Verletzung der Sorgfaltspflicht angesehen werden kann, und empfiehlt, die Maßnahmen zu dokumentieren.

Nächste Schritte

  • Alle KI-Werkzeuge mit Zweck, Nutzergruppe und Rolle des Unternehmens auflisten.
  • Anwendungen in Personal und Bonitätsprüfung gesondert markieren.
  • Maßnahmen zur KI-Kompetenz festhalten.
  • Kennzeichnung in der Außenkommunikation prüfen.

Diese Aufgaben lassen sich intern verteilen oder einem externen KI-Beauftragten übertragen. Vorgeschrieben ist ein solcher Beauftragter nach den Hinweisen der Bundesnetzagentur zu Artikel 4 nicht. Für Teams und Geschäftsführung gibt es passende Formate im Seminarkatalog.

Dieser Beitrag beschreibt die Rechtslage allgemein und ersetzt keine Rechtsberatung im Einzelfall.

Quellen