Häufig gestellte Fragen zur KI-Verordnung

Antworten auf die wichtigsten Fragen zum AI Act (VO (EU) 2024/1689) für kleine und mittlere Unternehmen -- mit Artikelreferenzen und praktischen Hinweisen.

1. Was kostet AI Act Compliance für KMU?

   Die Kosten hängen vom gewählten Ansatz ab:

   Vorlagen-Kit (einmalig): Das KI-Compliance-Kit gibt es ab 149 € -- mit allen Vorlagen, Checklisten, Schulungsunterlagen und dem 90-Tage-Umsetzungsplan. Keine laufenden Kosten.

   SaaS-Lösungen: Compliance-Plattformen kosten zwischen 89 und 319 € pro Monat, also 1.068 bis 3.828 € pro Jahr.

   Individuelle Beratung: Spezialisierte Kanzleien und Berater berechnen ab ca. 250 € pro Stunde. Ein vollständiges Compliance-Projekt kann schnell 5.000 bis 20.000 € kosten.

   Für die meisten KMU mit minimalem oder begrenztem Risiko ist ein vorlagenbasierter Ansatz der kosteneffizienteste Weg zur Compliance.

2. Welche AI Act Pflichten gelten wann?

   Die KI-Verordnung wird stufenweise wirksam:

   Seit Februar 2025: Verbotene KI-Praktiken nach Art. 5 (z. B. Social Scoring, manipulative KI, Emotionserkennung am Arbeitsplatz).

   Seit August 2025: Pflichten für Anbieter von General Purpose AI (GPAI) nach Art. 51-56.

   Seit Februar 2025: Anbieter und Betreiber von KI-Systemen müssen für ausreichende KI-Kompetenz ihres Personals sorgen (Art. 4 KI-VO, Kapitel I – anwendbar seit 2. Feb. 2025 gem. Art. 113 Abs. 1). Dies ist eine Bemühenspflicht – kein formales Zertifikat, aber eine dokumentierte Schulung ist dringend empfohlen.

   Ab Dezember 2026: Transparenzpflichten (Art. 50) und Wasserzeichen-Anforderungen.

   Ab August 2027: Regulatorische Sandboxen müssen in jedem Mitgliedstaat eingerichtet sein.

   Ab Dezember 2027: Pflichten für Hochrisiko-KI-Systeme nach Art. 6 i.V.m. Anhang III (Digital Omnibus, am 7. Mai 2026 beschlossen).

   Ab August 2028: Hochrisiko-KI-Systeme nach Anhang I (Produktsicherheit, z. B. Medizinprodukte, Maschinen).

   [Art. 4, 5, 6, 51-56 KI-VO]

3. Betrifft die KI-Verordnung mein Unternehmen, wenn wir nur ChatGPT oder Copilot nutzen?

   Ja, eindeutig. Wer ChatGPT, Microsoft Copilot, Google Gemini oder andere KI-Systeme mit allgemeinem Verwendungszweck (GPAI) im Geschäftsalltag nutzt, ist Betreiber im Sinne der KI-Verordnung (Art. 3 Nr. 4 KI-VO).

   Konkrete Pflichten als GPAI-Betreiber:

   1. KI-Kompetenz (Art. 4 KI-VO) – seit 02.02.2025 Pflicht: Alle Mitarbeitenden, die ChatGPT, Copilot oder ähnliche Tools nutzen, müssen nachweislich geschult sein. Dies gilt auch, wenn das Tool „nur" für E-Mails, Texte oder Recherche genutzt wird.

   2. Inventarisierung: Alle GPAI-Tools müssen im KI-System-Inventar erfasst sein – inkl. Zweck, Abteilung und AVV-Status.

   3. Transparenz (Art. 50 KI-VO) – Pflicht ab 02.08.2026; Watermarking-Compliance der Anbieter bis 02.12.2026 (Digital Omnibus on AI, politische Einigung 07.05.2026, vorbehaltlich finaler Annahme): Kunden müssen informiert werden, wenn sie KI-generierte Inhalte erhalten.

   4. Datenschutz: Keine personenbezogenen Daten in externe GPAI-Tools ohne Rechtsgrundlage (Art. 6 DSGVO) und Auftragsverarbeitungsvertrag (Art. 28 DSGVO).

   [Art. 3 Nr. 4, Art. 4, Art. 50, Art. 51-56 KI-VO]

4. Bin ich Anbieter oder Betreiber von KI?

   Die KI-Verordnung unterscheidet zwei zentrale Rollen:

   Betreiber (Deployer) nach Art. 3 Nr. 4: Natürliche oder juristische Personen, die ein KI-System unter eigener Verantwortung einsetzen. Die meisten KMU sind Betreiber -- sie nutzen KI-Tools wie ChatGPT, Copilot, KI-Buchhaltung oder KI-gestützte HR-Software.

   Anbieter (Provider) nach Art. 3 Nr. 3: Unternehmen, die KI-Systeme entwickeln oder entwickeln lassen und unter eigenem Namen in Verkehr bringen oder in Betrieb nehmen. Wenn Sie ein eigenes KI-Modell trainieren und als Produkt vertreiben, sind Sie Anbieter.

   Praxisregel: Wenn Sie ein fertiges KI-Tool kaufen oder abonnieren und in Ihrem Betrieb einsetzen, sind Sie Betreiber. Wenn Sie ein bestehendes KI-System wesentlich verändern (z. B. Finetuning), können Sie zum Anbieter werden [Art. 25 KI-VO].

   [Art. 3 Nr. 3, Nr. 4, Art. 25 KI-VO]

5. Ersetzt das KI-Compliance-Kit eine Rechtsberatung?

   Das Kit deckt die Betreiber-Pflichten ab, die für die große Mehrheit aller KMU relevant sind — erstellt von einem TÜV-zertifizierten Datenschutzbeauftragten mit Praxiserfahrung in KI-Compliance.

   Einen Fachanwalt brauchen Sie in der Regel nur, wenn Sie selbst Hochrisiko-KI entwickeln oder als Anbieter eine Konformitätsbewertung durchlaufen. Für die typische KMU-Situation (Nutzung von ChatGPT, Copilot, Recruiting-Tools etc.) liefert das Kit alles, was Sie brauchen.

6. Wie aktuell sind die Dokumente im Kit?

   Die Dokumente basieren auf der verabschiedeten KI-Verordnung VO (EU) 2024/1689 inkl. Digital Omnibus (Stand: Mai 2026). Der Digital Omnibus wurde am 7. Mai 2026 beschlossen und verschiebt die Hochrisiko-Frist (Anhang III) auf Dezember 2027. Transparenzpflichten (Art. 50) gelten ab August 2026; Watermarking (Art. 50 Abs. 2) ab Dezember 2026 (Omnibus, vorbehaltlich finaler Annahme).

   Wenn sich durch Durchführungsrechtsakte, Leitlinien der EU-Kommission oder nationale Umsetzungsgesetze relevante Änderungen ergeben, informieren wir Sie per E-Mail.

7. Für welche Unternehmensgrößen ist das Kit geeignet?

   Das Kit ist für Unternehmen mit 1 bis 250 Mitarbeitern konzipiert -- also Kleinstunternehmen, kleine und mittlere Unternehmen (KMU) gemäß EU-Definition.

   Die Vorlagen sind skalierbar: Ein Einzelunternehmer füllt weniger Felder aus als ein Betrieb mit 200 Mitarbeitern, aber die Struktur und Logik funktioniert für alle Größenklassen. Branchenspezifische Beispiele decken Handwerk, Dienstleistung, Handel, IT und Gesundheitswesen ab.

8. Muss ich alle Dokumente im Kit ausfüllen?

   Nein. Welche Dokumente Sie benötigen, hängt von Ihrer Risikoklasse und Ihrer Rolle (Anbieter oder Betreiber) ab.

   Der enthaltene 90-Tage-Umsetzungsplan zeigt Ihnen genau, welche Dokumente für Ihr Unternehmen relevant sind und in welcher Reihenfolge Sie diese bearbeiten sollten. Für Betreiber mit ausschließlich minimalem Risiko reichen in der Regel das KI-Inventar, der Schulungsnachweis und die interne KI-Richtlinie.

9. Kann ich die Vorlagen anpassen?

   Ja. Alle Vorlagen liegen als Word-Dokumente (.docx) und Excel-Dateien (.xlsx) vor und sind vollständig editierbar. Sie können Firmenlogo, Farben und Inhalte an Ihre Bedürfnisse anpassen.

   Die Struktur und die rechtlichen Referenzen (Artikelverweise, Erwägungsgründe) sollten dabei erhalten bleiben, um die Compliance-Tauglichkeit sicherzustellen.

10. Was passiert nach dem Kauf?

    Nach dem Kauf erhalten Sie sofort einen Download-Link per E-Mail (Auslieferung über Digistore24). Das Kit wird als ZIP-Datei geliefert, die alle Vorlagen, Checklisten und den Leitfaden enthält.

    Sie können die Dateien beliebig oft herunterladen und auf Ihren Geräten speichern.

11. Was ist der Unterschied zwischen AI Act und DSGVO?

    Zwei verschiedene EU-Verordnungen mit unterschiedlichem Fokus:

    DSGVO (Datenschutz-Grundverordnung, VO (EU) 2016/679): Regelt den Schutz personenbezogener Daten -- unabhängig davon, ob KI im Spiel ist.

    AI Act (KI-Verordnung, VO (EU) 2024/1689): Reguliert KI-Systeme als Technologie -- unabhängig davon, ob personenbezogene Daten verarbeitet werden.

    Beide gelten parallel: Wenn ein KI-System personenbezogene Daten verarbeitet (z. B. KI-gestützte Bewerbungsanalyse), müssen sowohl die DSGVO als auch der AI Act eingehalten werden. Die DSGVO-Compliance ersetzt nicht die AI-Act-Compliance und umgekehrt.

    [VO (EU) 2016/679; VO (EU) 2024/1689; ErwGr. 10 KI-VO]

12. Welche Bußgelder drohen bei Verstößen gegen den AI Act?

    Die KI-Verordnung sieht gestaffelte Bußgelder vor [Art. 99 KI-VO]:

    Verbotene Praktiken (Art. 5): Bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes -- je nachdem, welcher Betrag höher ist.

    Andere Verstöße (z. B. gegen Hochrisiko-Anforderungen, Transparenzpflichten, Betreiberpflichten): Bis zu 15 Mio. Euro oder 3 % des Jahresumsatzes.

    Falsche Angaben gegenüber Behörden: Bis zu 7,5 Mio. Euro oder 1 % des Umsatzes.

    Für KMU und Startups gilt nach Art. 99 Abs. 6 KI-VO der jeweils niedrigere der beiden Beträge (Festbetrag ODER Prozentsatz) – nicht etwa eine pauschal reduzierte Obergrenze. Die Sanktionen sind nach Art. 113 KI-VO seit dem 02.08.2025 anwendbar; die tatsächliche Durchsetzung erfolgt durch die nationalen Marktüberwachungsbehörden [Art. 70 KI-VO].

    [Art. 99 Abs. 3-5 KI-VO]

13. Was ist ein Hochrisiko-KI-System?

    Hochrisiko-KI-Systeme sind in Art. 6 i.V.m. Anhang III der KI-Verordnung abschließend definiert. Sie umfassen KI-Systeme in besonders sensiblen Bereichen:

    Typische Hochrisiko-Bereiche:

    • Personalauswahl und HR-Entscheidungen (Anhang III Nr. 4)
    • Kredit-Scoring und Bonitätsbewertung (Anhang III Nr. 5)
    • Medizinische KI-Systeme (als Medizinprodukt, Anhang I Abschnitt A)
    • Biometrische Identifizierung (Anhang III Nr. 1)
    • KI in Bildung und Berufsausbildung (Anhang III Nr. 3)
    • KI in der Strafverfolgung (Anhang III Nr. 6)

    Für diese Systeme gelten strenge Anforderungen: Risikomanagementsystem [Art. 9], Datenqualität [Art. 10], technische Dokumentation [Art. 11], Aufzeichnungspflichten [Art. 12], Transparenz [Art. 13] und menschliche Aufsicht [Art. 14].

    Die Pflichten für Hochrisiko-Systeme (Anhang III) gelten ab Dezember 2027 (Digital Omnibus, am 7. Mai 2026 beschlossen). Hochrisiko-Systeme nach Anhang I (Produktsicherheit) ab August 2028.

    [Art. 6, Anhang I, Anhang III KI-VO]

Stand: Mai 2026. Diese FAQ dienen der Information und ersetzen keine Rechtsberatung. Für verbindliche Auskünfte zu Ihrer konkreten Situation konsultieren Sie einen auf KI-Regulierung spezialisierten Rechtsanwalt.