Der 2. August 2026 und Ihr 40-Personen-Betrieb: Was der EU AI Act von KMU wirklich verlangt

„Betreiber" oder „Anbieter" — diese eine Frage entscheidet fast alles

Der EU AI Act verteilt Pflichten nicht nach Unternehmensgröße, sondern nach Rolle. Artikel 3 unterscheidet den Anbieter — wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt — vom Betreiber, definiert als natürliche oder juristische Person, „die ein KI-System in eigener Verantwortung verwendet", sofern die Nutzung nicht im Rahmen einer persönlichen und nicht beruflichen Tätigkeit erfolgt. Wer ChatGPT Business abonniert, Microsoft 365 Copilot einschaltet oder einen zugekauften Website-Chatbot betreibt, ist Betreiber. Das ist die Rolle, in der sich die allermeisten KMU wiederfinden.

Diese Unterscheidung ist keine Formalie, sondern der Hebel, der den Aufwand um eine Größenordnung senkt. Die schweren Pflichten der Verordnung — Risikomanagementsystem, Daten-Governance, technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung — richten sich an Anbieter von Hochrisiko-Systemen. Als Betreiber haben Sie einen deutlich kürzeren Katalog abzuarbeiten.

Was seit dem 2. Februar 2025 gilt: KI-Kompetenz nach Artikel 4

Artikel 4 ist die Pflicht, die am häufigsten übersehen wird — vermutlich, weil sie aus einem einzigen Satz besteht. Der Wortlaut: „Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um nach besten Kräften ein ausreichendes Maß an KI-Kompetenz ihres Personals und anderer Personen sicherzustellen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind" — und zwar unter Berücksichtigung ihrer technischen Kenntnisse, ihrer Erfahrung, ihrer Ausbildung und des Einsatzkontexts.

Drei Dinge sind daran für KMU entscheidend. Erstens: Die Pflicht trifft ausdrücklich auch Betreiber, nicht nur Anbieter. Zweitens: Sie gilt seit dem 2. Februar 2025, also nicht erst ab August 2026. Drittens: Artikel 4 kennt keine Schwelle nach Beschäftigtenzahl oder Umsatz — er greift ab der ersten Person, die im Arbeitsalltag ein KI-System bedient.

Die Formulierung „nach besten Kräften" ist dabei der Verhältnismäßigkeitsanker. Von einem Betrieb mit 40 Beschäftigten erwartet niemand ein Schulungscurriculum, sondern eine nachvollziehbare, dem Risiko angemessene Maßnahme. Entscheidend ist die Nachweisbarkeit: Wer im Zweifel nichts vorlegen kann, hat aus Behördensicht nichts getan.

• Eine 60-minütige Einweisung je Team: welche Systeme freigegeben sind und welche nicht.
• Eine einseitige Nutzungsregel: welche Daten nie in ein fremdes System gehören — Personaldaten, Mandantendaten, Quellcode, unveröffentlichte Zahlen.
• Ein kurzer Abschnitt zu Halluzinationen und zur Pflicht, Ergebnisse vor der Verwendung gegenzulesen.
• Eine Teilnehmerliste mit Datum — das ist Ihr Nachweis.
• Eine Wiederholung bei jedem neuen Werkzeug und für neue Beschäftigte im Onboarding.

Der 2. August 2026: Welche Absätze des Artikels 50 Sie treffen

Artikel 50 wird gern als „die Transparenzpflicht" zusammengefasst. Tatsächlich enthält er vier Pflichten mit unterschiedlichen Adressaten — und nur zwei davon richten sich an Betreiber.

Absatz 1 — der Hinweis, dass man es mit einem KI-System zu tun hat — und Absatz 2 — die maschinenlesbare Kennzeichnung synthetischer Inhalte — adressieren Anbieter. Wenn Sie einen Chatbot einkaufen, ist die Gestaltung dieses Hinweises die Aufgabe Ihres Lieferanten. Ihre Aufgabe ist es, das im Vertrag oder in der Produktdokumentation nachzuhalten — und den Hinweis nicht wegzukonfigurieren.

Die Absätze 3 und 4 treffen Sie unmittelbar. Absatz 3: Wer ein System zur Emotionserkennung oder zur biometrischen Kategorisierung betreibt, muss die davon erfassten Personen über den Betrieb des Systems informieren. Absatz 4: Wer mit KI Bild-, Audio- oder Videoinhalte erzeugt oder verändert, die einen Deepfake darstellen, muss offenlegen, dass der Inhalt künstlich erzeugt oder manipuliert wurde. Für KI-erzeugte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, gilt eine entsprechende Offenlegungspflicht — sie entfällt, wenn der Inhalt einer menschlichen Überprüfung unterlag und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.

Absatz 5 verlangt, dass diese Informationen klar und deutlich und spätestens zum Zeitpunkt der ersten Interaktion oder Exposition gegeben werden. Die Kennzeichnungspflicht der Anbieter aus Absatz 2 folgt nach der Digital-Omnibus-Änderung erst am 2. Dezember 2026.

Zwei Verbote, die auch in kleinen Betrieben greifen

Artikel 5 verbietet bestimmte KI-Praktiken vollständig — unabhängig von Risikoklasse, Unternehmensgröße und Rolle. Ein Verbot ist keine Auflage, die man dokumentieren kann; es ist eine harte Grenze, und es ist mit dem höchsten Bußgeldrahmen der Verordnung bewehrt.

Für den Mittelstand ist Artikel 5 Absatz 1 Buchstabe f der praktisch relevanteste Punkt. Verboten ist der Einsatz von KI-Systemen „zur Ableitung von Emotionen einer natürlichen Person am Arbeitsplatz und in Bildungseinrichtungen", außer wenn das System aus medizinischen Gründen oder aus Sicherheitsgründen eingesetzt werden soll. Damit fallen Werkzeuge, die die Stimmung von Beschäftigten aus Stimme, Gesicht oder Text ableiten, unter das Verbot — auch dann, wenn sie als Produktivitäts- oder Wohlbefindens-Funktion verkauft werden.

Der zweite relevante Punkt sind die Buchstaben a und b: KI-Systeme, die unterschwellige oder gezielt manipulative beziehungsweise täuschende Techniken einsetzen oder Schwächen aufgrund von Alter, Behinderung oder besonderer sozialer oder wirtschaftlicher Situation ausnutzen, um das Verhalten wesentlich zu verändern und dadurch erheblichen Schaden zu verursachen. Das ist die Grenze, an der aggressive Personalisierung im Marketing zu prüfen ist.

Was für Sie nicht gilt — und was das erspart

Ebenso wichtig wie die Pflichtenliste ist die Liste dessen, was Sie nicht trifft. Die Artikel 9 bis 15 — Risikomanagementsystem, Daten-Governance, technische Dokumentation, Protokollierung, Genauigkeits- und Robustheitsanforderungen — sowie Konformitätsbewertung, CE-Kennzeichnung und Registrierung in der EU-Datenbank richten sich an Anbieter von Hochrisiko-Systemen. Diese Pflichten wurden durch die Digital-Omnibus-Änderung zudem auf den 2. Dezember 2027 verschoben, für eingebettete Anhang-I-Systeme auf den 2. August 2028.

Auch der viel zitierte Erleichterungsartikel ist enger, als sein Ruf vermuten lässt: Artikel 63 erlaubt Kleinstunternehmen ohne Partner- oder verbundene Unternehmen, bestimmte Elemente des Qualitätsmanagementsystems nach Artikel 17 vereinfacht zu erfüllen. Absatz 2 stellt ausdrücklich klar, dass davon keine anderen Anforderungen der Verordnung berührt werden — die Artikel 9 bis 15 sowie 72 und 73 bleiben vollständig anwendbar. Die Erleichterung hilft also nur, wenn Sie ohnehin Anbieter eines Hochrisiko-Systems sind.

Umgekehrt gibt es Unterstützung, auf die Sie einen Anspruch haben. Artikel 62 verpflichtet die Mitgliedstaaten, KMU und Start-ups mit Sitz oder Zweigniederlassung in der Union vorrangigen Zugang zu KI-Reallaboren zu gewähren, gezielte Sensibilisierungs- und Schulungsangebote zur Anwendung der Verordnung bereitzustellen und eigene Kommunikationskanäle für Beratung und Rückfragen zu nutzen. Absatz 2 verlangt, die Gebühren für Konformitätsbewertungen bei KMU-Anbietern proportional zu ihrer Größe zu senken.

Die KMU-Sonderregel beim Bußgeld: Artikel 99 Absatz 6

Die drei Bußgeldstufen des Artikels 99 werden fast immer mit den großen Zahlen zitiert: bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken nach Artikel 5, bis zu 15 Mio. EUR oder 3 % für die meisten anderen Verstöße und bis zu 7,5 Mio. EUR oder 1 % für falsche, unvollständige oder irreführende Angaben gegenüber Behörden und benannten Stellen. Für Unternehmen gilt dabei grundsätzlich der jeweils höhere Betrag.

Für KMU dreht Absatz 6 diese Regel um: „Im Falle von KMU, einschließlich Start-up-Unternehmen, gilt für jede Geldbuße nach diesem Artikel" der jeweils niedrigere der genannten Prozentsätze oder Beträge. Das ist keine Kleinigkeit, sondern der Unterschied zwischen einer Obergrenze im sechsstelligen Bereich und einem Festbetrag in zweistelliger Millionenhöhe.

Maßgeblich ist der EU-weite KMU-Begriff der Empfehlung 2003/361/EG: weniger als 250 Beschäftigte und höchstens 50 Mio. EUR Jahresumsatz oder höchstens 43 Mio. EUR Bilanzsumme; darunter „klein" mit weniger als 50 Beschäftigten und höchstens 10 Mio. EUR sowie „Kleinstunternehmen" mit weniger als 10 Beschäftigten und höchstens 2 Mio. EUR. Wer zu einer Gruppe gehört, muss die Werte der Partner- und verbundenen Unternehmen einrechnen — der Konzerntochter hilft die Sonderregel nicht.

Der erste Schritt ist eine Tabelle mit vier Spalten

Der Einstieg in die AI-Act-Konformität ist für einen Betrieb dieser Größe kein Governance-Rahmenwerk, sondern eine Liste. Ohne zu wissen, welche KI-Systeme im Haus tatsächlich laufen, lässt sich keine der oben genannten Pflichten beurteilen — und in der Praxis ist die Liste fast immer länger als erwartet, weil einzelne Abteilungen Werkzeuge eigenständig abonniert haben.

Vier Spalten genügen für den Anfang: das System, wofür es genutzt wird, wer es nutzt und welche Rolle Sie dabei einnehmen. Erst wenn die ersten Zeilen stehen, lohnt sich die fünfte Spalte für die Risikoeinstufung.