Häufig gestellte Fragen zur KI-Verordnung

Antworten auf die wichtigsten Fragen zum AI Act (VO (EU) 2024/1689) für kleine und mittlere Unternehmen -- mit Artikelreferenzen und praktischen Hinweisen.

1. Was kostet AI Act Compliance für KMU?

   Die Kosten hängen vom gewählten Ansatz ab:

   Vorlagen-Kit (einmalig): Das KI-Compliance-Kit gibt es ab 149 € -- mit allen Vorlagen, Checklisten, Schulungsunterlagen und dem 90-Tage-Umsetzungsplan. Keine laufenden Kosten.

   SaaS-Lösungen: Compliance-Plattformen kosten zwischen 89 und 319 € pro Monat, also 1.068 bis 3.828 € pro Jahr.

   Individuelle Beratung: Spezialisierte Kanzleien und Berater berechnen ab ca. 250 € pro Stunde. Ein vollständiges Compliance-Projekt kann schnell 5.000 bis 20.000 € kosten.

   Für die meisten KMU mit minimalem oder begrenztem Risiko ist ein vorlagenbasierter Ansatz der kosteneffizienteste Weg zur Compliance.

2. Welche AI Act Pflichten gelten wann?

   Die KI-Verordnung wird stufenweise wirksam:

   Seit Februar 2025: Verbotene KI-Praktiken nach Art. 5 (z. B. Social Scoring, manipulative KI, Emotionserkennung am Arbeitsplatz).

   Seit August 2025: Pflichten für Anbieter von General Purpose AI (GPAI) nach Art. 51-56.

   Seit Februar 2025: Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, die die KI-Kompetenz ihres Personals unterstützen (Art. 4 KI-VO, Kapitel I – anwendbar seit 2. Feb. 2025 gem. Art. 113; neu gefasst durch VO (EU) 2026/1744 mit Wirkung zum 27.07.2026). Dies ist ausdrücklich eine Bemühenspflicht – ein bestimmtes Kompetenzniveau einer Einzelperson muss nicht garantiert werden, aber eine dokumentierte Schulung ist dringend empfohlen.

   Ab August 2026: Transparenzpflichten (Art. 50); Wasserzeichen-Anforderungen der Anbieter ab Dezember 2026.

   Ab August 2027: Regulatorische Sandboxen müssen in jedem Mitgliedstaat eingerichtet sein.

   Ab Dezember 2027: Pflichten für Hochrisiko-KI-Systeme nach Art. 6 i.V.m. Anhang III (Digital-Omnibus-VO (EU) 2026/1744, in Kraft seit 27.07.2026).

   Ab August 2028: Hochrisiko-KI-Systeme nach Anhang I (Produktsicherheit, z. B. Medizinprodukte, Maschinen).

   [Art. 4, 5, 6, 51-56 KI-VO]

3. Betrifft die KI-Verordnung mein Unternehmen, wenn wir nur ChatGPT oder Copilot nutzen?

   Ja, eindeutig. Wer ChatGPT, Microsoft Copilot, Google Gemini oder andere KI-Systeme mit allgemeinem Verwendungszweck (GPAI) im Geschäftsalltag nutzt, ist Betreiber im Sinne der KI-Verordnung (Art. 3 Nr. 4 KI-VO).

   Konkrete Pflichten als GPAI-Betreiber:

   1. KI-Kompetenz (Art. 4 KI-VO) – seit 02.02.2025 Pflicht: Für alle Mitarbeitenden, die ChatGPT, Copilot oder ähnliche Tools nutzen, müssen Sie Kompetenz-Maßnahmen ergreifen und dokumentieren. Dies gilt auch, wenn das Tool „nur" für E-Mails, Texte oder Recherche genutzt wird. Seit dem 27.07.2026 ist ausdrücklich klargestellt, dass Sie kein bestimmtes Kompetenzniveau garantieren müssen (Art. 4 n. F., VO (EU) 2026/1744).

   2. Inventarisierung: Alle GPAI-Tools müssen im KI-System-Inventar erfasst sein – inkl. Zweck, Abteilung und AVV-Status.

   3. Transparenz (Art. 50 KI-VO) – Pflicht ab 02.08.2026; für das Watermarking von Bestandssystemen der Anbieter läuft eine Übergangsfrist bis 02.12.2026 (Art. 111 Abs. 4 i.d.F. der VO (EU) 2026/1744): Kunden müssen informiert werden, wenn sie KI-generierte Inhalte erhalten.

   4. Datenschutz: Keine personenbezogenen Daten in externe GPAI-Tools ohne Rechtsgrundlage (Art. 6 DSGVO) und Auftragsverarbeitungsvertrag (Art. 28 DSGVO).

   [Art. 3 Nr. 4, Art. 4, Art. 50, Art. 51-56 KI-VO]

4. Bin ich Anbieter oder Betreiber von KI?

   Die KI-Verordnung unterscheidet zwei zentrale Rollen:

   Betreiber (Deployer) nach Art. 3 Nr. 4: Natürliche oder juristische Personen, die ein KI-System unter eigener Verantwortung einsetzen. Die meisten KMU sind Betreiber -- sie nutzen KI-Tools wie ChatGPT, Copilot, KI-Buchhaltung oder KI-gestützte HR-Software.

   Anbieter (Provider) nach Art. 3 Nr. 3: Unternehmen, die KI-Systeme entwickeln oder entwickeln lassen und unter eigenem Namen in Verkehr bringen oder in Betrieb nehmen. Wenn Sie ein eigenes KI-Modell trainieren und als Produkt vertreiben, sind Sie Anbieter.

   Praxisregel: Wenn Sie ein fertiges KI-Tool kaufen oder abonnieren und in Ihrem Betrieb einsetzen, sind Sie Betreiber. Wenn Sie ein bestehendes KI-System wesentlich verändern (z. B. Finetuning), können Sie zum Anbieter werden [Art. 25 KI-VO].

   [Art. 3 Nr. 3, Nr. 4, Art. 25 KI-VO]

5. Ersetzt das KI-Compliance-Kit eine Rechtsberatung?

   Das Kit deckt die Betreiber-Pflichten ab, die für die große Mehrheit aller KMU relevant sind — erstellt von einem Datenschutzbeauftragten mit Praxiserfahrung in KI-Compliance.

   Einen Fachanwalt brauchen Sie in der Regel nur, wenn Sie selbst Hochrisiko-KI entwickeln oder als Anbieter eine Konformitätsbewertung durchlaufen. Für die typische KMU-Situation (Nutzung von ChatGPT, Copilot, Recruiting-Tools etc.) liefert das Kit alles, was Sie brauchen.

6. Wie aktuell sind die Dokumente im Kit?

   Die Dokumente basieren auf der KI-Verordnung VO (EU) 2024/1689 in der seit 27.07.2026 geltenden Fassung – geändert durch die Digital-Omnibus-Verordnung (EU) 2026/1744 (Amtsblatt 24.07.2026, in Kraft 27.07.2026). Der Omnibus verschiebt die Hochrisiko-Frist (Anhang III) auf Dezember 2027 und fasst Art. 4 (KI-Kompetenz) als Bemühenspflicht neu. Transparenzpflichten (Art. 50) gelten unverändert ab August 2026; nur das die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 gilt ebenfalls ab August 2026 — nur generative Systeme, die vorher in Verkehr gebracht wurden, haben dafür bis Dezember 2026 Zeit (Art. 111 Abs. 4 KI-VO i.d.F. der VO (EU) 2026/1744).

   Wenn sich durch Durchführungsrechtsakte, Leitlinien der EU-Kommission oder nationale Umsetzungsgesetze relevante Änderungen ergeben, informieren wir Sie per E-Mail.

7. Für welche Unternehmensgrößen ist das Kit geeignet?

   Das Kit ist für Unternehmen mit 1 bis 250 Mitarbeitern konzipiert -- also Kleinstunternehmen, kleine und mittlere Unternehmen (KMU) gemäß EU-Definition.

   Die Vorlagen sind skalierbar: Ein Einzelunternehmer füllt weniger Felder aus als ein Betrieb mit 200 Mitarbeitern, aber die Struktur und Logik funktioniert für alle Größenklassen. Branchenspezifische Beispiele decken Handwerk, Dienstleistung, Handel, IT und Gesundheitswesen ab.

8. Muss ich alle Dokumente im Kit ausfüllen?

   Nein. Welche Dokumente Sie benötigen, hängt von Ihrer Risikoklasse und Ihrer Rolle (Anbieter oder Betreiber) ab.

   Der enthaltene 90-Tage-Umsetzungsplan zeigt Ihnen genau, welche Dokumente für Ihr Unternehmen relevant sind und in welcher Reihenfolge Sie diese bearbeiten sollten. Für Betreiber mit ausschließlich minimalem Risiko reichen in der Regel das KI-Inventar, der Schulungsnachweis und die interne KI-Richtlinie.

9. Kann ich die Vorlagen anpassen?

   Ja. Alle Vorlagen liegen als Word-Dokumente (.docx) und Excel-Dateien (.xlsx) vor und sind vollständig editierbar. Sie können Firmenlogo, Farben und Inhalte an Ihre Bedürfnisse anpassen.

   Die Struktur und die rechtlichen Referenzen (Artikelverweise, Erwägungsgründe) sollten dabei erhalten bleiben, um die Compliance-Tauglichkeit sicherzustellen.

10. Was passiert nach dem Kauf?

    Nach dem Kauf erhalten Sie sofort einen Download-Link per E-Mail (Auslieferung über Digistore24). Das Kit wird als ZIP-Datei geliefert, die alle Vorlagen, Checklisten und den Leitfaden enthält.

    Sie können die Dateien beliebig oft herunterladen und auf Ihren Geräten speichern.

11. Was ist der Unterschied zwischen AI Act und DSGVO?

    Zwei verschiedene EU-Verordnungen mit unterschiedlichem Fokus:

    DSGVO (Datenschutz-Grundverordnung, VO (EU) 2016/679): Regelt den Schutz personenbezogener Daten -- unabhängig davon, ob KI im Spiel ist.

    AI Act (KI-Verordnung, VO (EU) 2024/1689): Reguliert KI-Systeme als Technologie -- unabhängig davon, ob personenbezogene Daten verarbeitet werden.

    Beide gelten parallel: Wenn ein KI-System personenbezogene Daten verarbeitet (z. B. KI-gestützte Bewerbungsanalyse), müssen sowohl die DSGVO als auch der AI Act eingehalten werden. Die DSGVO-Compliance ersetzt nicht die AI-Act-Compliance und umgekehrt.

    [VO (EU) 2016/679; VO (EU) 2024/1689; ErwGr. 10 KI-VO]

12. Welche Bußgelder drohen bei Verstößen gegen den AI Act?

    Die KI-Verordnung sieht gestaffelte Bußgelder vor [Art. 99 KI-VO]:

    Verbotene Praktiken (Art. 5): Bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes -- je nachdem, welcher Betrag höher ist.

    Andere Verstöße (z. B. gegen Hochrisiko-Anforderungen, Transparenzpflichten, Betreiberpflichten): Bis zu 15 Mio. Euro oder 3 % des Jahresumsatzes.

    Falsche Angaben gegenüber Behörden: Bis zu 7,5 Mio. Euro oder 1 % des Umsatzes.

    Für KMU und Startups gilt nach Art. 99 Abs. 6 KI-VO der jeweils niedrigere der beiden Beträge (Festbetrag ODER Prozentsatz) – nicht etwa eine pauschal reduzierte Obergrenze. Die Sanktionen sind nach Art. 113 KI-VO seit dem 02.08.2025 anwendbar; die tatsächliche Durchsetzung erfolgt durch die nationalen Marktüberwachungsbehörden [Art. 70 KI-VO].

    [Art. 99 Abs. 3-5 KI-VO]

13. Was ist ein Hochrisiko-KI-System?

    Hochrisiko-KI-Systeme sind in Art. 6 i.V.m. Anhang III der KI-Verordnung abschließend definiert. Sie umfassen KI-Systeme in besonders sensiblen Bereichen:

    Typische Hochrisiko-Bereiche:

    • Personalauswahl und HR-Entscheidungen (Anhang III Nr. 4)
    • Kredit-Scoring und Bonitätsbewertung (Anhang III Nr. 5)
    • Medizinische KI-Systeme (als Medizinprodukt, Anhang I Abschnitt A)
    • Biometrische Identifizierung (Anhang III Nr. 1)
    • KI in Bildung und Berufsausbildung (Anhang III Nr. 3)
    • KI in der Strafverfolgung (Anhang III Nr. 6)

    Für diese Systeme gelten strenge Anforderungen: Risikomanagementsystem [Art. 9], Datenqualität [Art. 10], technische Dokumentation [Art. 11], Aufzeichnungspflichten [Art. 12], Transparenz [Art. 13] und menschliche Aufsicht [Art. 14].

    Die Pflichten für Hochrisiko-Systeme (Anhang III) gelten ab Dezember 2027 (Digital-Omnibus-VO (EU) 2026/1744, in Kraft seit 27.07.2026). Hochrisiko-Systeme nach Anhang I (Produktsicherheit) ab August 2028.

    [Art. 6, Anhang I, Anhang III KI-VO]

Stand: Juli 2026. Diese FAQ dienen der Information und ersetzen keine Rechtsberatung. Für verbindliche Auskünfte zu Ihrer konkreten Situation konsultieren Sie einen auf KI-Regulierung spezialisierten Rechtsanwalt.