Häufig gestellte Fragen zur KI-Verordnung

Antworten auf die wichtigsten Fragen zum AI Act (VO (EU) 2024/1689) für kleine und mittlere Unternehmen -- mit Artikelreferenzen und praktischen Hinweisen.

1. Was kostet AI Act Compliance für KMU?

   Die Kosten hängen vom gewählten Ansatz ab:

   Eigenarbeit mit Vorlagen: Fertige Vorlagen und Checklisten kosten einmalig deutlich weniger als Beratung oder ein Software-Abo. Kostenlose Einstiegshilfen bietet unter anderem der KI-Service-Desk der Bundesnetzagentur.

   SaaS-Lösungen: Compliance-Plattformen kosten zwischen 89 und 319 € pro Monat, also 1.068 bis 3.828 € pro Jahr.

   Individuelle Beratung: Spezialisierte Kanzleien und Berater berechnen ab ca. 250 € pro Stunde. Ein vollständiges Compliance-Projekt kann schnell 5.000 bis 20.000 € kosten.

   Für die meisten KMU mit minimalem oder begrenztem Risiko ist ein vorlagenbasierter Ansatz der kosteneffizienteste Weg zur Compliance.

2. Welche AI Act Pflichten gelten wann?

   Die KI-Verordnung wird stufenweise wirksam:

   Seit Februar 2025: Verbotene KI-Praktiken nach Art. 5 (z. B. Social Scoring, manipulative KI, Emotionserkennung am Arbeitsplatz).

   Seit August 2025: Pflichten für Anbieter von General Purpose AI (GPAI) nach Art. 51-56.

   Seit Februar 2025: Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, die die KI-Kompetenz ihres Personals unterstützen (Art. 4 KI-VO, Kapitel I – anwendbar seit 2. Feb. 2025 gem. Art. 113; neu gefasst durch VO (EU) 2026/1744 mit Wirkung zum 27.07.2026). Dies ist ausdrücklich eine Bemühenspflicht – ein bestimmtes Kompetenzniveau einer Einzelperson muss nicht garantiert werden, aber eine dokumentierte Schulung ist dringend empfohlen.

   Ab August 2026: Transparenzpflichten (Art. 50); Wasserzeichen-Anforderungen der Anbieter ab Dezember 2026.

   Ab August 2027: Regulatorische Sandboxen müssen in jedem Mitgliedstaat eingerichtet sein.

   Ab Dezember 2027: Pflichten für Hochrisiko-KI-Systeme nach Art. 6 i.V.m. Anhang III (Digital-Omnibus-VO (EU) 2026/1744, in Kraft seit 27.07.2026).

   Ab August 2028: Hochrisiko-KI-Systeme nach Anhang I (Produktsicherheit, z. B. Medizinprodukte, Maschinen).

   [Art. 4, 5, 6, 51-56 KI-VO]

3. Betrifft die KI-Verordnung mein Unternehmen, wenn wir nur ChatGPT oder Copilot nutzen?

   Ja, eindeutig. Wer ChatGPT, Microsoft Copilot, Google Gemini oder andere KI-Systeme mit allgemeinem Verwendungszweck (GPAI) im Geschäftsalltag nutzt, ist Betreiber im Sinne der KI-Verordnung (Art. 3 Nr. 4 KI-VO).

   Konkrete Pflichten als GPAI-Betreiber:

   1. KI-Kompetenz (Art. 4 KI-VO) – seit 02.02.2025 Pflicht: Für alle Mitarbeitenden, die ChatGPT, Copilot oder ähnliche Tools nutzen, müssen Sie Kompetenz-Maßnahmen ergreifen und dokumentieren. Dies gilt auch, wenn das Tool „nur" für E-Mails, Texte oder Recherche genutzt wird. Seit dem 27.07.2026 ist ausdrücklich klargestellt, dass Sie kein bestimmtes Kompetenzniveau garantieren müssen (Art. 4 n. F., VO (EU) 2026/1744).

   2. Inventarisierung: Alle GPAI-Tools müssen im KI-System-Inventar erfasst sein – inkl. Zweck, Abteilung und AVV-Status.

   3. Transparenz (Art. 50 KI-VO) – Pflicht seit dem 02.08.2026; für das Watermarking von Bestandssystemen der Anbieter läuft eine Übergangsfrist bis 02.12.2026 (Art. 111 Abs. 4 i.d.F. der VO (EU) 2026/1744): Kunden müssen informiert werden, wenn sie KI-generierte Inhalte erhalten.

   4. Datenschutz: Keine personenbezogenen Daten in externe GPAI-Tools ohne Rechtsgrundlage (Art. 6 DSGVO) und Auftragsverarbeitungsvertrag (Art. 28 DSGVO).

   [Art. 3 Nr. 4, Art. 4, Art. 50, Art. 51-56 KI-VO]

4. Bin ich Anbieter oder Betreiber von KI?

   Die KI-Verordnung unterscheidet zwei zentrale Rollen:

   Betreiber (Deployer) nach Art. 3 Nr. 4: Natürliche oder juristische Personen, die ein KI-System unter eigener Verantwortung einsetzen. Die meisten KMU sind Betreiber -- sie nutzen KI-Tools wie ChatGPT, Copilot, KI-Buchhaltung oder KI-gestützte HR-Software.

   Anbieter (Provider) nach Art. 3 Nr. 3: Unternehmen, die KI-Systeme entwickeln oder entwickeln lassen und unter eigenem Namen in Verkehr bringen oder in Betrieb nehmen. Wenn Sie ein eigenes KI-Modell trainieren und als Produkt vertreiben, sind Sie Anbieter.

   Praxisregel: Wenn Sie ein fertiges KI-Tool kaufen oder abonnieren und in Ihrem Betrieb einsetzen, sind Sie Betreiber. Wenn Sie ein bestehendes KI-System wesentlich verändern (z. B. Finetuning), können Sie zum Anbieter werden [Art. 25 KI-VO].

   [Art. 3 Nr. 3, Nr. 4, Art. 25 KI-VO]

5. Was ist der Unterschied zwischen AI Act und DSGVO?

   Zwei verschiedene EU-Verordnungen mit unterschiedlichem Fokus:

   DSGVO (Datenschutz-Grundverordnung, VO (EU) 2016/679): Regelt den Schutz personenbezogener Daten -- unabhängig davon, ob KI im Spiel ist.

   AI Act (KI-Verordnung, VO (EU) 2024/1689): Reguliert KI-Systeme als Technologie -- unabhängig davon, ob personenbezogene Daten verarbeitet werden.

   Beide gelten parallel: Wenn ein KI-System personenbezogene Daten verarbeitet (z. B. KI-gestützte Bewerbungsanalyse), müssen sowohl die DSGVO als auch der AI Act eingehalten werden. Die DSGVO-Compliance ersetzt nicht die AI-Act-Compliance und umgekehrt.

   [VO (EU) 2016/679; VO (EU) 2024/1689; ErwGr. 10 KI-VO]

6. Welche Bußgelder drohen bei Verstößen gegen den AI Act?

   Die KI-Verordnung sieht gestaffelte Bußgelder vor [Art. 99 KI-VO]:

   Verbotene Praktiken (Art. 5): Bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes -- je nachdem, welcher Betrag höher ist.

   Andere Verstöße (z. B. gegen Hochrisiko-Anforderungen, Transparenzpflichten, Betreiberpflichten): Bis zu 15 Mio. Euro oder 3 % des Jahresumsatzes.

   Falsche Angaben gegenüber Behörden: Bis zu 7,5 Mio. Euro oder 1 % des Umsatzes.

   Für KMU und Startups gilt nach Art. 99 Abs. 6 KI-VO der jeweils niedrigere der beiden Beträge (Festbetrag ODER Prozentsatz) – nicht etwa eine pauschal reduzierte Obergrenze. Die Sanktionen sind nach Art. 113 KI-VO seit dem 02.08.2025 anwendbar; die tatsächliche Durchsetzung erfolgt durch die nationalen Marktüberwachungsbehörden [Art. 70 KI-VO].

   [Art. 99 Abs. 3-5 KI-VO]

7. Was ist ein Hochrisiko-KI-System?

   Hochrisiko-KI-Systeme sind in Art. 6 i.V.m. Anhang III der KI-Verordnung abschließend definiert. Sie umfassen KI-Systeme in besonders sensiblen Bereichen:

   Typische Hochrisiko-Bereiche:

   • Personalauswahl und HR-Entscheidungen (Anhang III Nr. 4)
   • Kredit-Scoring und Bonitätsbewertung (Anhang III Nr. 5)
   • Medizinische KI-Systeme (als Medizinprodukt, Anhang I Abschnitt A)
   • Biometrische Identifizierung (Anhang III Nr. 1)
   • KI in Bildung und Berufsausbildung (Anhang III Nr. 3)
   • KI in der Strafverfolgung (Anhang III Nr. 6)

   Für diese Systeme gelten strenge Anforderungen: Risikomanagementsystem [Art. 9], Datenqualität [Art. 10], technische Dokumentation [Art. 11], Aufzeichnungspflichten [Art. 12], Transparenz [Art. 13] und menschliche Aufsicht [Art. 14].

   Die Pflichten für Hochrisiko-Systeme (Anhang III) gelten ab Dezember 2027 (Digital-Omnibus-VO (EU) 2026/1744, in Kraft seit 27.07.2026). Hochrisiko-Systeme nach Anhang I (Produktsicherheit) ab August 2028.

   [Art. 6, Anhang I, Anhang III KI-VO]

Stand: Juli 2026. Diese FAQ dienen der Information und ersetzen keine Rechtsberatung. Für verbindliche Auskünfte zu Ihrer konkreten Situation konsultieren Sie einen auf KI-Regulierung spezialisierten Rechtsanwalt.