EU AI Act seit August 2026 – was KMU bei ChatGPT, Copilot & Co. jetzt tun müssen

Kaum ein Betrieb arbeitet heute noch ohne KI: ChatGPT formuliert Angebote, Microsoft Copilot fasst Mails zusammen, ein Chatbot beantwortet Kundenfragen auf der Website. Und mit dem EU AI Act ist das erste große KI-Gesetz der Welt nun im Alltag angekommen: Seit dem 2. August 2026 gilt die Verordnung allgemein. Viele Unternehmerinnen und Unternehmer fragen sich: Muss ich jetzt etwas tun, oder ist das nur etwas für Tech-Konzerne?

Die kurze Antwort: Etwas Handeln ist sinnvoll, aber für die meisten kleinen Unternehmen ist die Pflichtenliste überschaubar. Dieser Beitrag ordnet ein, was seither für den Mittelstand gilt – nüchtern und ohne Panik.

Update (Stand: 11. August 2026): Dieser Beitrag wurde nach dem allgemeinen Anwendungsbeginn des AI Act am 2. August 2026 aktualisiert. Eingearbeitet sind auch die Ende Juli 2026 in Kraft getretenen Änderungen am Zeitplan (das lange als „Digital Omnibus" diskutierte Paket, siehe unten).

Hinweis: Dieser Beitrag ist keine Rechtsberatung. Im Zweifel sollten Sie Ihre konkrete Situation rechtlich prüfen lassen.

Der Fahrplan in Kürze

Der AI Act ist bereits am 1. August 2024 in Kraft getreten und gilt seither schrittweise:

• 2. Februar 2025: Verbotene KI-Praktiken und die KI-Kompetenzpflicht (Artikel 4) gelten seit diesem Datum.
• 2. August 2025: Die Regeln für KI-Basismodelle (GPAI) und der Governance-Rahmen gelten.
• 2. August 2026: Seit diesem Stichtag ist die Verordnung allgemein anwendbar – inklusive der Transparenzpflichten (Artikel 50). Das AI Office der EU-Kommission und die nationalen Behörden setzen den AI Act seither auch durch.
• 2. Dezember 2027 und 2. August 2028: Die Pflichten für Hochrisiko-Systeme folgen später – für sensible Bereiche (etwa Biometrie, Bildung, Beschäftigung) ab dem 2. Dezember 2027, für KI in regulierten Produkten (etwa Aufzüge oder Spielzeug) ab dem 2. August 2028.

Der 2. August 2026 war also der Termin, an dem das Gesetz für normale Anwender spürbar geworden ist.

Erst einmal Entwarnung: Anbieter vs. Anwender

Der entscheidende Punkt, der in der Aufregung oft untergeht: Der AI Act unterscheidet zwischen Anbietern (wer ein KI-System entwickelt und auf den Markt bringt) und Betreibern bzw. Anwendern (wer es einfach nutzt).

Die schweren Pflichten – also ein KI-System gesetzeskonform zu bauen, KI-Ausgaben technisch zu kennzeichnen, umfangreiche Dokumentation zu führen – treffen die Anbieter: OpenAI, Microsoft, Google und Co. Ein typischer Handwerksbetrieb, eine Agentur oder eine Arztpraxis aus Recklinghausen ist dagegen Anwender. Damit ist die Liste der eigenen Pflichten deutlich kürzer. „Wir nutzen nur ChatGPT" heißt also nicht: nichts zu tun – aber eben auch nicht: alles neu.

Was kleine Unternehmen konkret beachten müssen

Für KMU als Anwender bleiben im Wesentlichen drei Themen:

1. KI-Kompetenz im Team (Artikel 4)

Schon seit Februar 2025 gilt: Wer KI im Betrieb einsetzt, muss für eine ausreichende KI-Kompetenz der beteiligten Mitarbeiterinnen und Mitarbeiter sorgen. Das ist keine Zertifizierung und kein teures Programm, sondern die Pflicht, dass Ihr Team weiß, was es tut: Wie funktionieren die Werkzeuge grundsätzlich, wo liegen die Grenzen, welche Daten dürfen hinein – und welche auf keinen Fall?

Konkret heißt das: eine kurze interne KI-Nutzungsrichtlinie und eine Sensibilisierung des Teams. Seit dem 2. August 2026 wachen die Behörden auch über diese Pflicht – wer noch keine Richtlinie hat, sollte das jetzt zügig nachholen.

2. Transparenz und Kennzeichnung (Artikel 50)

Seit dem 2. August 2026 gelten die Transparenzpflichten: Menschen müssen erkennen können, wenn sie es mit KI zu tun haben:

• Chatbots: KI-Systeme, die mit Menschen interagieren, müssen die Nutzer darüber informieren, dass sie mit einer KI sprechen – nicht mit einem Menschen. Diese Pflicht trifft rechtlich in erster Linie den Anbieter des Systems; bei gängigen Chatbot-Lösungen ist der Hinweis daher meist schon eingebaut. Wer einen Chatbot auf der eigenen Website einsetzt, sollte trotzdem prüfen, dass der Hinweis sichtbar ist.
• KI-generierte Inhalte: Sogenannte Deepfakes (künstlich erzeugte oder manipulierte Bilder, Audios, Videos) müssen von Anwendern klar als solche offengelegt werden – spätestens beim ersten Kontakt.
• Veröffentlichte KI-Texte: KI-generierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Themen von öffentlichem Interesse zu informieren, müssen entsprechend ausgewiesen werden. Ausnahme: Der Text hat eine menschliche Überprüfung oder redaktionelle Kontrolle durchlaufen und eine natürliche oder juristische Person trägt die redaktionelle Verantwortung für die Veröffentlichung.

Zwei Punkte zur Beruhigung: Inhalte, die vor dem 2. August 2026 erzeugt wurden, müssen nicht nachträglich gekennzeichnet werden (die Kommission empfiehlt es lediglich, wo machbar). Und für die meisten Betriebe genügt in der Praxis weiterhin ein klarer Hinweis wie „Sie chatten mit einem KI-Assistenten" am Chatbot.

Ernst nehmen sollte man die Pflichten trotzdem: Verstöße gegen Artikel 50 können mit Geldbußen von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden – bei KMU gilt dabei der niedrigere der beiden Werte.

3. Datenschutz bleibt Pflicht (DSGVO)

Der AI Act ersetzt nicht die DSGVO – er kommt obendrauf. Wer personenbezogene Daten in KI-Tools eingibt (Kundennamen, Gesundheitsdaten, Bewerberunterlagen), braucht weiterhin eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag mit dem Anbieter und sollte sensible Daten im Zweifel gar nicht erst eingeben. Das ist oft der größere Hebel als der AI Act selbst.

Was Sie jetzt sinnvoll tun können

1. Bestandsaufnahme: Welche KI-Tools nutzt Ihr Betrieb tatsächlich – auch inoffiziell auf privaten Accounts?
2. KI-Nutzungsrichtlinie aufsetzen: Eine Seite genügt: erlaubte Tools, Tabu-Daten, Verantwortliche, kurze Schulung. Damit erfüllen Sie Artikel 4.
3. Chatbot und KI-Inhalte kennzeichnen: Wo KI sichtbar nach außen wirkt, einen klaren Hinweis ergänzen.
4. DSGVO prüfen: Verträge und Datenflüsse Ihrer KI-Tools einmal sauber durchgehen.

Ein Wort zu den Fristen

Der lange als „Digital Omnibus" diskutierte Umbau des Zeitplans ist inzwischen beschlossen: Das Omnibus-Änderungspaket zum AI Act ist am 27. Juli 2026 in Kraft getreten. Verschoben wurden vor allem die Fristen für Hochrisiko-Anwendungen – auf den 2. Dezember 2027 für sensible Bereiche (etwa Biometrie, Bildung, Beschäftigung) und auf den 2. August 2028 für KI in regulierten Produkten. Die Transparenzpflichten aus Artikel 50 waren davon nicht betroffen und gelten seit dem 2. August 2026. Für kleinere Unternehmen wurden die Erleichterungen des AI Act zudem auf sogenannte Small Mid-Caps ausgeweitet. An der Grundausrichtung für KMU ändert sich dadurch wenig.

Fazit

Der EU AI Act ist kein Grund, KI im Betrieb abzuschaffen – im Gegenteil. Für kleine Unternehmen läuft alles auf drei vernünftige Schritte hinaus: das Team schulen, KI transparent kennzeichnen und beim Datenschutz sauber bleiben. Das ist weniger eine Compliance-Last als gute Praxis, die Vertrauen schafft.

Sie sind unsicher, welche KI-Pflichten konkret für Ihren Betrieb gelten? In einem kostenlosen Erstgespräch sortieren wir Ihre Tools, Ihre Richtlinie und Ihren Datenschutz – pragmatisch und auf Augenhöhe.