KI-Gesetz: Was Unternehmen bis 2026 wissen müssen

Das KI-Gesetz (Verordnung EU 2024/1689, engl. AI Act) ist weltweit die erste umfassende Gesetzgebung zu künstlicher Intelligenz. Sie gilt unmittelbar in allen EU-Mitgliedstaaten und betrifft nicht nur KI-Entwickler, sondern jedes Unternehmen, das Tools wie ChatGPT, Microsoft Copilot oder KI in HR- und Vertriebssystemen bei der Arbeit einsetzt. Seit August 2026 ist der Großteil der Verpflichtungen in Kraft — im Folgenden erklären wir, was das für Ihr Unternehmen bedeutet.

TL;DR — Die wichtigsten Punkte

• Das KI-Gesetz klassifiziert KI-Systeme nach Risiko: verboten, hohes Risiko, Transparenzpflicht und minimales Risiko.
• Seit dem 02.02.2025 gelten Verbote und die Pflicht zur KI-Kompetenz (AI Literacy) der Mitarbeiter — auch für Unternehmen, die KI nur nutzen.
• Ab dem 02.08.2026 gelten die meisten restlichen Verpflichtungen, einschließlich Transparenz (Kennzeichnung von KI-Inhalten, Chatbots).
• Die Bußgelder betragen bis zu 35 Millionen EUR oder 7 % des weltweiten Jahresumsatzes.
• Der erste Schritt für KMU: Inventarisierung der KI-Tools, interne Nutzungsregeln und Schulung der Mitarbeiter.

Was ist das KI-Gesetz?

Das KI-Gesetz ist eine Verordnung der Europäischen Union, die am 1. August 2024 in Kraft getreten ist und schrittweise bis 2027 umgesetzt wird. Da es sich um eine Verordnung und nicht um eine Richtlinie handelt, muss sie nicht in nationales Recht umgesetzt werden — sie gilt unmittelbar. Ihr Ziel ist es sicherzustellen, dass KI-Systeme auf dem EU-Markt sicher und transparent sind und Grundrechte wahren, ohne dabei Innovationen zu hemmen.

Die Verordnung unterscheidet zwischen Anbietern (diejenigen, die ein KI-System entwickeln oder in Verkehr bringen) und Betreibern (engl. deployers — Unternehmen, die ein KI-System für geschäftliche Zwecke nutzen). Die meisten Unternehmen fallen unter die Kategorie der Betreiber, was weniger Verpflichtungen bedeutet als für Entwickler — aber dennoch Handlungsbedarf erfordert.

Die vier Risikostufen

Zeitplan: Was gilt wann?

Die Europäische Kommission hat im Rahmen des sogenannten Digitalen Omnibus eine Verschiebung einiger Fristen für Hochrisiko-Systeme vorgeschlagen. Da das Gesetzgebungsverfahren noch läuft, empfehlen wir, sich nicht auf eine Verschiebung zu verlassen — Verbote, KI-Kompetenz und Transparenzregeln sind bereits aktuell.

Was das KI-Gesetz für Unternehmen bedeutet

Wenn Ihr Unternehmen Microsoft 365 Copilot, ChatGPT oder KI-Funktionen in CRM-, ERP- oder HR-Systemen nutzt, gelten Sie gemäß der Verordnung als Betreiber. Ihre wichtigsten Pflichten sind:

• KI-Kompetenz (Art. 4): Mitarbeiter, die KI nutzen, müssen über angemessene Kenntnisse über die Funktionsweise, Grenzen und Risiken der Tools verfügen.
• Transparenz (Art. 50): Wenn Sie auf Ihrer Website einen Chatbot einsetzen oder KI-generierte Inhalte veröffentlichen, müssen diese entsprechend gekennzeichnet werden.
• Hochrisiko-Anwendungen: Wenn Sie KI bei der Bewerberauswahl oder Mitarbeiterbeurteilung einsetzen, müssen Sie eine menschliche Aufsicht sicherstellen, Protokolle führen und Mitarbeiter informieren.
• Datenschutz: Das KI-Gesetz ersetzt die DSGVO nicht — personenbezogene Daten in KI-Tools müssen weiterhin rechtmäßig verarbeitet werden.

Die Verordnung überschneidet sich auch mit anderen Vorschriften. Unternehmen, die unter die NIS2-Richtlinie fallen, müssen KI-Tools in ihre Cybersicherheits-Risikobewertung einbeziehen, da KI neue Angriffsvektoren wie Datenabfluss über Prompts und Prompt-Injection-Angriffe mit sich bringt.

Geldbußen bei Nichteinhaltung

• Bis zu 35 Millionen EUR oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken.
• Bis zu 15 Millionen EUR oder 3 % bei Verstößen gegen andere Pflichten (z. B. Transparenz, Hochrisiko-Systeme).
• Bis zu 7,5 Millionen EUR oder 1 % bei Übermittlung unrichtiger Informationen an Behörden.
• Für KMU und Start-ups gilt jeweils der niedrigere der beiden Beträge.

Vorbereitung — 6 Schritte für KMU

1. KI-Tools inventarisieren: Welche Tools nutzen die Mitarbeiter, auch nicht genehmigte (Shadow AI).
2. Nutzung nach Risiko klassifizieren: Nutzen Sie KI bei der Einstellung, Bewertung oder bei Kundenentscheidungen?
3. Interne Richtlinie verabschieden: Welche Tools sind erlaubt, welche Daten dürfen nicht eingegeben werden, wer genehmigt neue Tools.
4. Mitarbeiter schulen: Kurze Schulungen zur KI-Kompetenz erfüllen Artikel 4 und senken das Risiko von Datenlecks.
5. Technischen Schutz einrichten: Nutzen Sie Business-Versionen der Tools (z. B. Copilot innerhalb von Microsoft 365) mit entsprechenden DLP-Richtlinien und bedingtem Zugriff.
6. KI-Inhalte und Chatbots kennzeichnen auf der Website und in der Kundenkommunikation.

Mehr zur sicheren Einführung von KI im Geschäftsumfeld finden Sie in unserem Artikel Künstliche Intelligenz im Unternehmen: Wie man sie sicher einführt. Der technische Teil — Microsoft 365 Einstellungen, Datenschutz und Zugriffskontrolle — ist Teil unserer Dienstleistungen für Cybersicherheit und Microsoft 365 Cloud.

Häufige Fehler von Unternehmen

• Der Glaube, dass die Verordnung nur für große Tech-Konzerne gilt.
• Nutzung kostenloser KI-Tools für Privatnutzer mit vertraulichen Kundendaten.
• Fehlende Regeln — Mitarbeiter wählen Tools selbst ohne Wissen der IT-Abteilung aus.
• Chatbots auf der Website, die sich als Menschen ausgeben.

Häufig gestellte Fragen (FAQ)

Gilt das KI-Gesetz auch für kleine Unternehmen?

Ja. Es gilt für alle, die in der EU ein KI-System entwickeln oder nutzen, unabhängig von der Größe. KMU haben einige Erleichterungen (geringere Bußgelder, Reallabore), aber die Pflicht zur KI-Kompetenz gilt für alle.

Müssen wir wegen der Nutzung von ChatGPT oder Copilot etwas unternehmen?

Normalerweise handelt es sich um ein minimales Risiko, daher gibt es keine besonderen Pflichten — außer der KI-Kompetenz der Mitarbeiter und der Einhaltung der DSGVO. Wenn Sie KI für Entscheidungen über Personen (z. B. Recruiting) nutzen, sind die Anforderungen strenger.

Ab wann gilt das KI-Gesetz?

Die Verordnung gilt seit dem 01.08.2024, wobei die Verpflichtungen schrittweise in Kraft treten: Verbote und KI-Kompetenz ab 02.02.2025, die meisten restlichen Pflichten ab 02.08.2026 und Regeln für KI in regulierten Produkten ab 02.08.2027.

Was ist der Unterschied zwischen dem KI-Gesetz und der DSGVO?

Die DSGVO regelt die Verarbeitung personenbezogener Daten, während das KI-Gesetz die Sicherheit und Transparenz von KI-Systemen regelt. Oft gelten beide gleichzeitig, weshalb es sinnvoll ist, sie gemeinsam zu behandeln.

Was ist KI-Kompetenz (AI Literacy)?

Nach Artikel 4 müssen Unternehmen sicherstellen, dass Mitarbeiter, die KI einsetzen, über ausreichendes Wissen über deren Funktionsweise, Grenzen und Risiken verfügen. Die Verordnung schreibt keine Form vor — eine dokumentierte, zielgerichtete Schulung reicht aus.