KI-Verordnung: was Unternehmen jetzt tun müssen

Viele Ratgeber zur KI-Verordnung für Unternehmen stammen aus der Zeit vor dem 27. Juli 2026. An diesem Tag trat der Digital-Omnibus in Kraft, die Verordnung (EU) 2026/1744. Er hat Termine nach hinten geschoben und die Pflicht zur KI-Kompetenz in Art. 4 anders formuliert. Zwei Tage später folgte das deutsche Durchführungsgesetz, das KI-MIG.

Diese Seite gibt den Stand vom 8. November 2026 wieder und richtet sich an Firmen, die KI einkaufen und nutzen. Was die einzelnen Dienste mit Ihren Eingaben machen, steht in unseren Leitfäden zu den einzelnen Werkzeugen. Ich halte das hier für nützlicher als eine Nacherzählung aller 113 Artikel.

Wer muss die KI-Verordnung beachten? Anbieter, Betreiber und die Werbeagentur

Die Verordnung verteilt Pflichten nach Rollen, nicht nach Größe. Anbieter ist nach Art. 3 Nr. 3, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Betreiber ist nach Nr. 4, wer es in eigener Verantwortung verwendet, außer rein privat.

Ihre Beschäftigten sind keine eigenen Betreiber: Die Leitlinie der Kommission zu Art. 50 rechnet ihr Handeln dem Unternehmen zu, ebenso das von Freelancern unter Ihrer Kontrolle. Wer dagegen nur eine Agentur beauftragt und nicht mitbestimmt, ob sie KI einsetzt, ist für diese Kampagne kein Betreiber.

Heikel sind eigene Anwendungen. Wer ein Modell über eine Schnittstelle einbindet und das Ergebnis unter eigenem Namen anbietet, kann selbst Anbieter sein; wie solche Aufrufe gebündelt laufen, erklärt unser Leitfaden zum LLM-Gateway. Diese Rollenfrage gehört für mich pro Werkzeug einmal schriftlich beantwortet.

Fristen der KI-Verordnung nach dem Digital-Omnibus: was 2026 bis 2028 gilt

Der Omnibus wurde am 8. Juli 2026 erlassen, am 24. Juli im Amtsblatt veröffentlicht und gilt seit dem 27. Juli. Er schiebt vor allem die Hochrisiko-Pflichten nach hinten: für Anhang III auf den 2. Dezember 2027, für Anhang I auf den 2. August 2028.

Art. 50 ist nicht verschoben. Aufschub gibt es nur bei der maschinenlesbaren Markierung: Generative Systeme, die vor dem 2. August 2026 auf den Markt kamen, brauchen sie erst ab dem 2. Dezember 2026. Am selben Tag werden zwei neue Verbote wirksam: KI für nicht einvernehmliche intime Bilder bestimmbarer Personen und für Missbrauchsdarstellungen von Kindern.

Wie langsam die Korrektur ankommt, zeigt die Seite des Digitalministeriums zur KI-Regulierung: Sie nennt für Anhang I am 8. November 2026 noch den 2. August 2027. Folien und Schulungsunterlagen aus dem Frühjahr würde ich genau an dieser Stelle gegenlesen.

Wer muss geschult werden? KI-Kompetenz nach Art. 4 in neuer Fassung

Seit dem 27. Juli 2026 müssen Sie nach Art. 4 den Aufbau von KI-Kompetenz mit Maßnahmen fördern. Gemeint sind das eigene Personal und andere Personen, die im Auftrag des Unternehmens mit Betrieb und Nutzung befasst sind. Ein bestimmtes Niveau müssen Sie für niemanden garantieren.

Die Bundesnetzagentur nennt ausdrücklich Auftragnehmer und Dienstleister. Ein Zertifikat ist nicht vorgeschrieben, eine Größenausnahme gibt es nicht. Sie schlägt drei Stufen vor: Grundverständnis, Wissen über die eingesetzten Systeme samt Risiken und Rechtslage, dann Schulung je Rolle. Festhalten sollten Sie Art, Umfang, Inhalt und Teilnehmende.

Wer gelegentlich einen Chat öffnet, braucht weniger als eine Personalabteilung mit Bewerbersoftware. Eine kurze Runde für alle und eine vertiefte für wenige halte ich für klüger als ein Pflichtvideo für jeden. Bausteine dafür stehen in unserer Muster-KI-Richtlinie.

Welche Kennzeichnungspflicht gilt ab 2026? Art. 50 an sieben Beispielen

Seit dem 2. August 2026 gilt Art. 50, und oft heißt es, jeder KI-Text müsse gekennzeichnet werden. Das stimmt nicht. Die maschinenlesbare Markierung ist Sache des Anbieters. Betreiber trifft eine Hinweispflicht nur bei Deepfakes, Emotionserkennung, biometrischer Kategorisierung und bestimmten veröffentlichten Texten.

Für Texte verlangt Art. 50 Abs. 4 drei Dinge zugleich: veröffentlicht, zur Information der Öffentlichkeit, über eine Angelegenheit von öffentlichem Interesse. Die Leitlinie der Kommission nimmt interne Mitteilungen und Korrespondenz mit Einzelnen aus, ebenso Werbetexte ohne Aussagen zu Gesundheit, Verbrauchersicherheit oder Nachhaltigkeit.

Bei Bildern und Videos zählt, ob sie täuschen. Am ehesten übersehen wird meiner Einschätzung nach der Avatar-Film der Geschäftsführung für die Belegschaft: intern und trotzdem ein Deepfake. Für Kanzleien sind die Kanäle in unserem Leitfaden zur Mandanteneinwilligung sortiert.

KI-Texte ohne Hinweis veröffentlichen: was als redaktionelle Kontrolle zählt

Ein Ratgeber über Gesundheit oder ein Nachhaltigkeitsbericht auf der Website fällt unter Art. 50 Abs. 4. Den Hinweis sparen Sie nur, wenn zwei Dinge zusammenkommen: Ein Mensch hat den Text inhaltlich geprüft oder redaktionell kontrolliert, und eine natürliche oder juristische Person trägt die redaktionelle Verantwortung.

Die Leitlinie legt die Latte hoch. Rechtschreibkorrektur, eine bloße Redaktionsrichtlinie oder flüchtiges Abnicken reichen nicht; Faktenprüfung ist das Mindeste. Lässt jemand nach der Freigabe noch einmal die KI umformulieren, fällt die Ausnahme weg.

Wer verantwortet, soll mit Name oder Funktion und Kontakt leicht auffindbar sein. Auf einer deutschen Website liegt dafür das Impressum nahe. Ich würde dort eine Funktion nennen, etwa die Leitung Kommunikation, statt einer Person, die in zwei Jahren nicht mehr im Haus ist.

Wer ist in Deutschland zuständig? KI-MIG, Bundesnetzagentur und Beschwerdestelle

Das Kabinett beschloss das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz am 11. Februar 2026; ausgefertigt wurde es am 22. Juli, in Kraft ist es seit dem 29. Juli 2026. Nach § 2 Abs. 1 ist die Bundesnetzagentur Marktüberwachungsbehörde, soweit das Gesetz nichts anderes bestimmt.

Für Unternehmen neu ist § 8: Die Bundesnetzagentur ist zentrale Beschwerdestelle. Beschweren können sich Betroffene, aber auch Anbieter, Betreiber oder Händler, kostenlos über ein Onlineformular. Die Behörde prüft die Zuständigkeit und leitet bei Bedarf weiter, etwa an die BaFin oder eine Landesbehörde.

Für Fragen hat die Bundesnetzagentur einen KI-Service Desk; Informationen und Anleitungen soll sie nach § 12 KI-MIG ausdrücklich auch für kleine und mittlere Unternehmen bereitstellen. Ich rechne eher mit einem verärgerten Kunden als Auslöser einer Prüfung als mit einer Kontrolle aus heiterem Himmel. Für Gemeinden gelten eigene Behörden.

Bußgelder nach der KI-Verordnung: was ein Mittelständler riskiert

Art. 99 staffelt die Obergrenzen: bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis 15 Millionen oder 3 Prozent unter anderem bei Betreiber- und Transparenzpflichten. Bei großen Unternehmen zählt der höhere Betrag, bei KMU nach Abs. 6 der niedrigere.

Der Omnibus hat diese Erleichterung mit Abs. 6a auf kleine Midcap-Unternehmen im Sinne der Empfehlung (EU) 2025/1099 ausgedehnt, allerdings nur für die beiden unteren Stufen, nicht für verbotene Praktiken. Daneben sieht § 15 KI-MIG bis zu 50.000 € für einzelne Verfahrenspflichten vor. Diesen kleinen Katalog finde ich für einen Mittelständler greifbarer als die Millionenbeträge.

Art. 4 steht in keiner dieser Listen. Die Bundesnetzagentur weist aber darauf hin, dass fehlende KI-Kompetenz als Verletzung der Sorgfaltspflicht gelten kann, vor allem nach einem Schaden. Ob dann Ihre Cyberversicherung einspringt, ist eine eigene Frage.

Hochrisiko-KI im Personalwesen: was vor Dezember 2027 in den Vertrag gehört

Für die meisten Betriebe beginnt Hochrisiko nicht in der Fabrik, sondern in der Personalabteilung. Anhang III Nr. 4 erfasst Systeme, die Stellenanzeigen gezielt schalten, Bewerbungen sichten oder filtern, Bewerber bewerten oder bei Beförderung, Kündigung und Aufgabenverteilung mitentscheiden.

Ab dem 2. Dezember 2027 müssen Arbeitgeber als Betreiber nach Art. 26 Abs. 7 die Arbeitnehmervertretung und die Betroffenen vorab informieren. Der Betriebsrat redet ohnehin mit: Nach § 95 Abs. 2a BetrVG gelten die Regeln zu Auswahlrichtlinien auch, wenn dabei KI zum Einsatz kommt.

Bewerbersoftware, die Sie jetzt einführen, ist 2028 vermutlich noch im Einsatz. Art. 111 Abs. 2 nimmt Bestandssysteme nur aus, solange ihre Konzeption nicht erheblich verändert wird. Ich würde mir vom Anbieter schriftlich geben lassen, welche Updates er für erheblich hält. Was dabei an Daten abfließen kann, beschreibt Datenabfluss durch KI.

Was Unternehmen bei der Nutzung von KI jetzt beachten müssen

Für einen Betrieb ohne eigene Entwicklung bleibt die Liste kurz: Werkzeuge erfassen und Rollen klären, Schulung organisieren und belegen, die eigenen Kanäle gegen Art. 50 prüfen. Welche Daten ein Büroassistent dabei zu sehen bekommt, steht etwa in unserem Leitfaden zu Microsoft Copilot.

Eine Lücke lässt die KI-Verordnung offen: was im Prompt landet. Die Kundenmail mit Steuer-ID, der Vertrag mit Namen, die Bewerbungsmappe. Das regelt die DSGVO. Ein KI-Hinweis nützt da nichts; mir wäre am liebsten, solche Angaben kämen gar nicht erst im Chat an.

Für diesen Schritt gibt es Nonimo: Die App tauscht Namen, Nummern und Anschriften vor dem Absenden gegen Platzhalter, und in der Antwort stehen wieder die echten Angaben. Welcher Platzhalter wofür steht, verlässt den Rechner nicht.

Wer eigene Anwendungen an die OpenAI-API anbindet, kann denselben Austausch mit Nonimo Gateway auf dem eigenen Server laufen lassen. Diese Seite beschreibt die Rechtslage zum 8. November 2026; ob Ihr konkretes System hochriskant ist, gehört auf den Tisch einer Anwältin für IT-Recht.

Quellen

• Verordnung (EU) 2024/1689, KI-Verordnung, konsolidierte Fassung vom 27. Juli 2026: Rollen nach Art. 3, Betreiberpflichten nach Art. 26, Art. 50, Bußgeldrahmen nach Art. 99, Anhang III.
• Verordnung (EU) 2026/1744, Digital-Omnibus zur KI: Wortlaut von Art. 4, Termine in Art. 111 Abs. 4 und Art. 113, Art. 99 Abs. 6a; im Amtsblatt erschienen am 24. Juli 2026.
• KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG): Zuständigkeiten nach § 2, Beschwerdestelle nach § 8, Service für KMU nach § 12, Bußgelder nach § 15.
• § 95 Betriebsverfassungsgesetz: Auswahlrichtlinien auch beim Einsatz von KI (Abs. 2a).
• Bundesnetzagentur, KI-Kompetenz: Zielgruppe einschließlich Dienstleister, drei Stufen, Dokumentation, Sorgfaltspflicht.
• Bundesnetzagentur, Zentrale Beschwerdestelle: wer sich beschweren kann, Onlineformular, Weiterleitung.
• Europäische Kommission, Leitlinien zu den Transparenzpflichten nach Art. 50: Dokument C(2026) 7702 vom 5. November 2026; Beispiele zu Texten, Deepfakes, Chatbots und redaktioneller Kontrolle.
• Bundesministerium für Digitales und Staatsmodernisierung, KI-Regulierung: Kabinettsbeschluss zum KI-MIG am 11. Februar 2026.

Abgerufen am 8. November 2026.