EU-KI-Verordnung für KMU: Was seit August 2026 wirklich gilt

02.09.2026 · 5 Min. Lesezeit · Stefan Dorfstetter, Aithentica

Seit dem 2. August 2026 ist ein Großteil der EU-KI-Verordnung (AI Act) anwendbar – inklusive Transparenzpflichten und Sanktionen. Viele Geschäftsführer:innen fragen sich jetzt: Betrifft mich das, wenn mein Team ChatGPT, Claude oder Microsoft Copilot nutzt? Die kurze Antwort: Ja, aber weit weniger dramatisch, als manche Beratungsangebote suggerieren. Die meisten kleinen und mittleren Betriebe sind Anwender von KI, keine Anbieter. Ihre Pflichten sind überschaubar und mit ein paar Stunden Arbeit gut zu erfüllen. Dieser Artikel zeigt den verifizierten Stand September 2026 – und was Sie konkret tun sollten.

Anwender oder Anbieter? Die wichtigste Unterscheidung

Die KI-Verordnung verteilt ihre Pflichten nach Rollen. Wer ein KI-System entwickelt und unter eigenem Namen auf den Markt bringt, ist Anbieter – ihn treffen die umfangreichen Dokumentations- und Prüfpflichten. Wer ein fertiges KI-Werkzeug im Betrieb einsetzt, ist Betreiber (im Alltag: Anwender). Für Betreiber sieht die Verordnung deutlich weniger vor.

Ein typischer KMU-Alltag – Texte mit ChatGPT entwerfen, E-Mails mit Copilot zusammenfassen, Bilder für Social Media generieren, ein Chatbot auf der Website – macht Sie zum Betreiber. Vorsicht ist nur geboten, wenn Sie ein KI-System wesentlich verändern, unter eigenem Namen vermarkten oder für einen anderen Zweck einsetzen als vorgesehen: Dann können Sie rechtlich zum Anbieter werden.

Welche Rolle haben Sie?	Typische Beispiele	Welche Pflichten gelten?
Betreiber (Anwender) – der Normalfall im KMU	ChatGPT, Claude oder Copilot im Büro; KI-Bilder im Marketing; Chatbot auf der Website	KI-Kompetenz im Team sicherstellen (Art. 4), Transparenz bei Chatbots und täuschend echten KI-Inhalten (Art. 50), keine verbotenen Praktiken
Betreiber von Hochrisiko-KI	KI zur Bewerber-Vorauswahl, zur Kreditwürdigkeitsprüfung	Zusätzliche Pflichten (u. a. menschliche Aufsicht, Protokollierung) – anwendbar erst ab 2. Dezember 2027
Anbieter	Sie entwickeln ein KI-Produkt oder vermarkten ein KI-System unter eigenem Namen	Umfangreiche Anforderungen an Dokumentation, Risikomanagement und Kennzeichnung – hier lohnt sich rechtliche Begleitung

Der Zeitplan – und wo Sie gerade stehen

Die Verordnung tritt gestaffelt in Kraft. Wichtig zu wissen: Im Juli 2026 hat die EU mit der sogenannten Digital-Omnibus-Novelle die Fristen für Hochrisiko-Systeme nach hinten verschoben – auf Dezember 2027 beziehungsweise August 2028. Die Pflichten, die KMU als Anwender betreffen, gelten dagegen bereits.

Was für KMU-Anwender seit August 2026 konkret gilt

1. Transparenz bei KI-Inhalten und Chatbots (Art. 50)

Seit dem 2. August 2026 gelten die Transparenzpflichten. Für Anwender sind drei Fälle relevant:

Chatbots und Sprachassistenten: Kommuniziert ein KI-System direkt mit Kund:innen, muss erkennbar sein, dass sie mit einer Maschine sprechen. Ein klarer Hinweis zu Beginn der Interaktion genügt.
Täuschend echte Inhalte („Deepfakes"): Realistisch wirkende KI-Bilder, -Videos oder Stimmenimitationen, die Sie öffentlich verbreiten, müssen als künstlich erzeugt offengelegt werden.
KI-Texte zu Themen von öffentlichem Interesse: Eine Kennzeichnung ist laut WKO nur nötig, wenn Texte ohne menschliche Prüfung automatisch veröffentlicht werden. Wer KI-Entwürfe redaktionell prüft und dafür die Verantwortung übernimmt, muss nicht kennzeichnen.

Wichtig zur Entwarnung: Ein normaler Marketingtext, den Sie mit KI entworfen und selbst überarbeitet haben, löst keine Kennzeichnungspflicht aus. Rein betriebsintern genutzte Inhalte sind ebenfalls nicht betroffen. Die maschinenlesbare Markierung synthetischer Inhalte ist primär Aufgabe der Anbieter – seriöse Tools bauen sie bereits ein; für Systeme, die vor dem 2. August 2026 auf dem Markt waren, läuft dafür eine Übergangsfrist bis 2. Dezember 2026.

2. KI-Kompetenz im Team (Art. 4) – gilt schon seit Februar 2025

Wer KI einsetzt, muss dafür sorgen, dass die Mitarbeiter:innen, die damit arbeiten, ausreichend geschult sind – passend zu ihrer Rolle und den eingesetzten Werkzeugen. Die Verordnung schreibt kein bestimmtes Format vor. Laut der österreichischen KI-Servicestelle sind sinnvolle Bausteine: ein Überblick über die im Haus genutzten KI-Systeme, interne Leitlinien, rollengerechte Schulungen und eine kurze Dokumentation der Maßnahmen. Eigene Bußgelder sieht der AI Act für Art. 4 nicht vor – die Pflicht ist aber Teil der unternehmerischen Sorgfalt und wird bei Schäden relevant.

3. Keine verbotenen Praktiken – gilt ebenfalls seit Februar 2025

Verboten sind unter anderem Social Scoring, manipulative Verhaltensbeeinflussung und Emotionserkennung am Arbeitsplatz. Für die allermeisten KMU ist das kein Thema – die typischen Büro- und Marketing-Anwendungen fallen nicht darunter. Prüfen Sie es dennoch einmal bewusst, etwa wenn Ihnen Software zur „Stimmungsanalyse" von Mitarbeiter:innen oder Bewerber:innen angeboten wird.

Sanktionen: real, aber mit Augenmaß

Seit August 2026 sind auch die Sanktionsbestimmungen breit anwendbar. Die Obergrenzen klingen dramatisch – bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes –, betreffen in dieser Höhe aber die schwersten Verstöße, nämlich verbotene Praktiken. Für andere Verstöße gelten niedrigere Obergrenzen, und Strafen müssen verhältnismäßig sein. In Österreich ist die KI-Servicestelle bei der RTR die zentrale Anlauf- und Informationsstelle zum AI Act. Realistisch ist für ein KMU nicht der Bußgeldbescheid am Montagmorgen, sondern die Frage eines Kunden oder Mitbewerbers: „Ist euer Chatbot eigentlich gekennzeichnet?" Darauf sollten Sie eine gute Antwort haben.

Ihre To-do-Liste für den Herbst 2026

KI-Inventur machen: Listen Sie auf, welche KI-Werkzeuge im Betrieb laufen – auch die inoffiziellen. Eine einfache Tabelle genügt: Tool, Zweck, wer nutzt es, welche Daten fließen hinein.
Rolle klären: Prüfen Sie pro Werkzeug: Sind Sie nur Anwender? Verändern Sie ein System wesentlich oder vermarkten es unter eigenem Namen? Nutzen Sie KI für Personalentscheidungen oder Kreditvergabe (Hochrisiko ab Dezember 2027)?
Transparenz umsetzen: Chatbot-Hinweis ergänzen, Prozess für täuschend echte KI-Bilder und -Videos festlegen (kennzeichnen oder nicht veröffentlichen), redaktionelle Prüfung von KI-Texten als festen Schritt verankern.
Team schulen und dokumentieren: Eine kompakte Schulung zu Chancen, Grenzen und Regeln der eingesetzten Tools, kurz dokumentiert. Neue Mitarbeiter:innen beim Onboarding mitnehmen.
KI-Leitlinie beschließen: Ein bis zwei Seiten reichen: erlaubte Tools, Umgang mit Kunden- und Personendaten, Prüf- und Freigabeprozess, Kennzeichnungsregeln.
Jährlich wiederholen: Werkzeuge und Regeln ändern sich. Ein fixer Termin pro Jahr für Inventur und Leitlinien-Check hält den Aufwand klein.

Für Ihren Betrieb heißt das: Wenn Sie KI als Werkzeug nutzen, sind Sie mit vier Dingen auf der sicheren Seite – wissen, welche KI im Haus läuft; das Team nachweislich schulen; Chatbots und täuschend echte KI-Inhalte kennzeichnen; keine verbotenen Praktiken einsetzen. Das ist ein Nachmittag Struktur-Arbeit plus eine Schulung, kein Compliance-Großprojekt.

Quellen

Wenn Sie die KI-Inventur, eine praxistaugliche KI-Leitlinie oder die Schulung Ihres Teams nicht allein stemmen wollen: Aithentica unterstützt Betriebe in Oberösterreich genau dabei – etwa im KI-Workshop für Teams oder in einem kostenlosen Erstgespräch.