KI-Verordnung Fristen: Was Unternehmen jetzt tun müssen

Die Fristen der KI-Verordnung im Überblick

Die KI-Verordnung (Verordnung (EU) 2024/1689) gilt nicht auf einen Schlag, sondern in Stufen. Im Sommer 2026 hat die EU einen Teil der späteren Termine verschoben: Die Änderungsverordnung (EU) 2026/1744, der sogenannte „Digital Omnibus on AI“, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten.

Die Tabelle zeigt den Stand im Oktober 2026. Alles bis einschließlich 2. August 2026 gilt bereits. Die beiden letzten Zeilen betreffen die verschobenen Hochrisiko-Regeln, die nur relevant sind, wenn Sie KI für einen der im Gesetz aufgezählten sensiblen Zwecke entwickeln oder nutzen.

Was der KI-Omnibus geändert hat und was nicht

Der Omnibus ist eine gezielte Änderung. Er verschafft vor allem dem aufwendigsten Teil der Verordnung mehr Zeit, den Regeln für Hochrisiko-KI. Eigenständige Hochrisiko-Systeme nach Anhang III, etwa KI zur Vorauswahl von Bewerbungen oder zur Bonitätsprüfung, müssen die Anforderungen ab dem 2. Dezember 2027 erfüllen statt ab dem 2. August 2026. Hochrisiko-KI in Produkten, die bereits unter EU-Produktvorschriften fallen (Anhang I), folgt am 2. August 2028 statt am 2. August 2027. Beide Termine stehen als feste Kalenderdaten im geänderten Text.

Nicht verschoben wurden: die Verbote bestimmter KI-Praktiken und die Pflicht zur KI-Kompetenz (seit 2. Februar 2025), die Regeln für GPAI-Modelle (seit 2. August 2025) und die Transparenzpflichten nach Art. 50 (seit 2. August 2026). Einzige Erleichterung dort: Für die Kennzeichnung von Inhalten aus KI-Systemen, die schon vor dem 2. August 2026 auf dem Markt waren, gilt eine Übergangsfrist bis zum 2. Dezember 2026.

Was ein Betrieb, der KI nutzt, jetzt tun sollte

Die meisten kleinen Unternehmen entwickeln keine KI, sie setzen sie ein: als Chatbot auf der Website, als KI-Telefonassistenz, als Schreibhilfe oder als KI-Funktion in CRM, Buchhaltungs- oder Personalsoftware. Für sie bedeutet die KI-Verordnung heute vor allem drei Dinge: Transparenz gegenüber Kunden, KI-Kompetenz im Team und kein unbemerktes Abgleiten in verbotene oder Hochrisiko-Anwendungen.

Für eine Zahnarztpraxis mit Termin-Chatbot, eine Pension mit KI-Telefonannahme oder einen Onlineshop, der Produkttexte mit KI vorformuliert, sind die Schritte 1, 2, 4 und 6 derzeit die ganze Arbeit. Gehen Sie der Reihe nach vor:

• 1. Alle KI-Werkzeuge erfassen: Website-Chatbots, Sprach- und Telefonassistenten, KI-Funktionen in CRM, E-Mail- oder Personalsoftware und Tools, die Mitarbeitende auf eigene Faust nutzen, etwa Text- oder Bildgeneratoren. Notieren Sie, wer was wofür verwendet.
• 2. Jede Stelle markieren, an der KI direkt mit Kunden spricht: Chatfenster, KI-Telefonannahme, automatische Antworten in Messengern. Überall dort gehört ein klarer KI-Hinweis hin.
• 3. Veröffentlichte KI-Bilder, -Audios und -Videos prüfen: Wirken Personen, Orte oder Ereignisse echt, obwohl sie so nicht stattgefunden haben, muss offengelegt werden, dass die Inhalte künstlich erzeugt oder verändert sind.
• 4. Das Team schulen: Wer mit den Werkzeugen arbeitet, sollte wissen, was sie leisten, wo sie Fehler machen und welche Daten tabu sind. Das ist Ihre Pflicht zur KI-Kompetenz.
• 5. Sensible Einsätze kennzeichnen: Hilft ein KI-Werkzeug bei der Entscheidung, wer eingestellt wird, wer Kredit bekommt, wie Lernende bewertet werden oder wer Zugang zu wesentlichen Leistungen erhält, behandeln Sie es als mögliche Hochrisiko-Anwendung und planen Sie für den 2. Dezember 2027.
• 6. Alles festhalten: Eine Seite mit Werkzeugen, Hinweisen und Schulungen reicht für den Anfang und hilft, wenn Kunden, Geschäftspartner oder Behörden nachfragen.

Chatbot und KI-Telefonassistenz: der Hinweis nach Art. 50

Seit dem 2. August 2026 müssen Menschen darüber informiert werden, dass sie mit einem KI-System interagieren. Diese Pflicht hat der Omnibus nicht angetastet.

Formal verteilt Art. 50 die Pflichten auf Anbieter, die ein KI-System entwickeln und in Verkehr bringen, und Betreiber, also die Unternehmen, die es einsetzen. Ihre Kunden sehen aber Ihre Website und hören Ihre Telefonansage, nicht die des Softwareherstellers. Achten Sie deshalb darauf, dass der Hinweis dort erscheint, wo das Gespräch stattfindet, gleich wer das Werkzeug eingerichtet hat.

Fachleute empfehlen einen gut sichtbaren Hinweis zu Beginn des Kontakts, nicht versteckt in Datenschutzerklärung oder AGB. Zum Beispiel so:

• Website-Chat: als erste Nachricht „Hallo, ich bin der KI-Assistent der Praxis. Ich helfe Ihnen bei Terminen. Mit ‚Mitarbeiter‘ erreichen Sie einen Menschen.“
• KI-Telefonassistenz: eine Begrüßung wie „Sie sprechen mit dem automatischen KI-Assistenten des Salons“, bevor die erste Frage kommt.
• Messenger: derselbe Satz in der ersten automatischen Antwort.

KI-Kompetenz: Pflicht seit Februar 2025

Nach Art. 4 müssen Anbieter und Betreiber dafür sorgen, dass ihr Personal und andere Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen. Die Pflicht gilt seit dem 2. Februar 2025 und wurde durch den Omnibus nicht geändert.

Nach verbreitetem Verständnis schreibt sie weder einen festen Lehrplan noch ein Zertifikat vor. Für einen kleinen Betrieb genügt meist ein verhältnismäßiger Ansatz aus vier Bausteinen:

• eine kurze Einweisung für alle, die KI-Werkzeuge nutzen: Was kann das Tool, wo irrt es, wann muss ein Mensch das Ergebnis prüfen;
• klare Datenregeln, etwa keine Gesundheitsdaten, Ausweisnummern oder Passwörter in öffentliche KI-Tools;
• eine benannte Person, die die Werkzeugliste pflegt und Fragen beantwortet;
• eine datierte Notiz, wer wann eingewiesen wurde, ergänzt bei jedem neuen Tool.

Wann wird ein KI-Einsatz zum Hochrisiko-Fall?

Ein System ist nicht deshalb Hochrisiko, weil es KI ist. Entscheidend ist der Zweck: Hochrisiko sind Einsätze, die in Anhang III der Verordnung aufgezählt sind, oder KI als Sicherheitsbauteil eines regulierten Produkts nach Anhang I.

Für diese Fälle gelten die Hochrisiko-Pflichten ab dem 2. Dezember 2027. Sie gehen weit über den Transparenzhinweis hinaus und betreffen sowohl den Anbieter als auch das einsetzende Unternehmen. Wer ein Recruiting- oder Scoring-Tool nutzt, sollte den Hersteller jetzt fragen, wie er die Anforderungen erfüllen will und was er dafür vom Kunden erwartet.

Beispiel: Eine Spedition mit 30 Beschäftigten lässt Bewerbungen für Fahrerstellen von einem KI-Modul im Bewerbermanagement sortieren. Das fällt unter Anhang III. Die KI-gestützte Tourenplanung desselben Betriebs nicht.

Für kleine Unternehmen, die KI einsetzen, sind vor allem diese Bereiche aus Anhang III relevant:

• Beschäftigung und Personal: KI, die Lebensläufe und Bewerbungen sichtet, filtert oder einstuft oder zur Steuerung von Beschäftigten dient, etwa zur Aufgabenverteilung oder Leistungsbewertung.
• Kredit: KI, die die Kreditwürdigkeit natürlicher Personen bewertet oder einen Score erstellt.
• Bildung und Weiterbildung: KI, die Prüfungen bewertet, Lernende beurteilt oder über Zulassungen entscheidet.
• Zugang zu wesentlichen privaten und öffentlichen Leistungen: etwa KI in der Risikobewertung bestimmter Versicherungsprodukte.

Meist kein Hochrisiko: Termin-Chatbot und KI-Telefonannahme

Die meisten alltäglichen KI-Anwendungen in kleinen Betrieben stehen nicht in Anhang III. Ein Chatbot, der Öffnungszeiten nennt und Termine bucht, oder eine KI-Telefonannahme, die häufige Fragen beantwortet und Rückrufwünsche aufnimmt, erfüllt keine der dort aufgeführten Funktionen. Dasselbe gilt für das Entwerfen von Texten, Übersetzen oder Zusammenfassen von E-Mails.

Regelfrei sind solche Werkzeuge trotzdem nicht: Es gelten die Transparenzpflicht nach Art. 50, die Pflicht zur KI-Kompetenz und die Verbote bestimmter Praktiken. Für personenbezogene Daten bleibt die DSGVO maßgeblich.

Die Einstufung folgt der Funktion, nicht dem Produktnamen. Übernimmt derselbe Assistent später Aufgaben wie die Vorauswahl von Bewerbungen oder die Prüfung, ob ein Kunde eine Finanzierung bekommt, ist eine neue Bewertung fällig. Grenzfälle gehören zu einer Beratung.

Bußgelder, Aufsicht und Unterstützung für KMU

Die KI-Verordnung wird von nationalen Behörden in den Mitgliedstaaten durchgesetzt. Art. 99 staffelt die Höchstbußgelder: Die höchste Stufe gilt für verbotene KI-Praktiken, niedrigere Stufen für andere Verstöße, etwa nicht erfüllte Pflichten oder falsche Angaben gegenüber Behörden.

Nach mehreren juristischen Kommentaren gilt für KMU und Start-ups jeweils der niedrigere Wert aus Festbetrag und Umsatzanteil, nicht der höhere. Prüfen Sie dazu den Wortlaut von Art. 99, bevor Sie sich darauf verlassen.

Es gibt auch Unterstützung: Nach Art. 58 sind KI-Reallabore, also kontrollierte Testumgebungen unter Beteiligung der Behörden, für KMU und Start-ups kostenlos; nur außergewöhnliche Kosten können anteilig verlangt werden.

Dieser Leitfaden ist eine allgemeine Information mit Stand Oktober 2026 und keine Rechtsberatung; klären Sie Ihren Einzelfall mit einer Rechtsanwältin, einem Rechtsanwalt oder der zuständigen Behörde.