KI-Verordnung für KMU: Die Checkliste bis zum 2. August 2026

Am 2. August 2026 wird die nächste Stufe der EU-KI-Verordnung wirksam — vor allem die Transparenzpflichten des Art. 50. Zusammen mit den bereits geltenden Pflichten (Schulung, verbotene Praktiken) ergibt sich für kleine und mittlere Unternehmen ein überschaubares, aber konkretes Arbeitspaket. Hier ist die Checkliste.

Schritt 1: Bestandsaufnahme — welche KI ist überhaupt im Einsatz?

[ ] Offizielle Tools erfassen: ChatGPT, Copilot, Gemini, DeepL, Canva-KI, Meeting-Transkription, Chatbots …
[ ] Schatten-KI aufdecken: Kurze, sanktionsfreie Umfrage im Team — welche Tools werden privat angemeldet genutzt?
[ ] KI-Funktionen in Bestandssoftware prüfen: Office, CRM, Videokonferenz — vieles hat KI längst eingebaut.

Ergebnis: ein KI-Systemverzeichnis mit Tool, Zweck, Datenkategorien, Risikoeinstufung und verantwortlicher Person. Das ist die Grundlage für alles Weitere — und Ihr wichtigster Nachweis gegenüber Aufsicht, Kunden und Versicherern.

Schritt 2: Sofort prüfen — verbotene Praktiken (gilt seit Februar 2025)

[ ] Keine Emotionserkennung gegenüber Beschäftigten (z. B. Stimmungsanalyse in Callcenter-Software)?
[ ] Kein Social Scoring, keine manipulativen Systeme?

Verstöße gegen Art. 5 tragen den höchsten Bußgeldrahmen der Verordnung (bis 35 Mio. € bzw. 7 % des Weltumsatzes — für KMU gilt der jeweils niedrigere Betrag, Art. 99). Im Verdachtsfall: Funktion deaktivieren, dokumentieren, rechtlich prüfen lassen.

Schritt 3: Schulungspflicht erfüllen (gilt seit Februar 2025)

[ ] Alle Mitarbeitenden, die mit KI arbeiten, haben eine dokumentierte Grundschulung absolviert
[ ] Inhalte: Funktionsweise & Halluzinationen, Rechtsrahmen, Datenschutz, Transparenzpflichten, Verantwortung
[ ] Pro Person ein Nachweis (Zertifikat), fürs Unternehmen ein Sammelnachweis
[ ] Prozess für neue Mitarbeitende und neue Tools definiert

Schritt 4: KI-Nutzungsrichtlinie einführen

[ ] Positivliste freigegebener Tools
[ ] Datenregeln (personenbezogene Daten, Geschäftsgeheimnisse)
[ ] Kennzeichnungs- und Freigabeprozesse für KI-Inhalte
[ ] Verantwortliche Person benannt, Richtlinie ans Team kommuniziert

Schritt 5: Transparenzpflichten bis 2. August 2026 umsetzen

[ ] Chatbots & KI-Assistenten: Klarer Hinweis bei der ersten Interaktion („Sie chatten mit unserem KI-Assistenten"), Übergabe an Menschen möglich
[ ] KI-generierte Bilder/Audio/Video: Täuschend echte Inhalte als KI-generiert offenlegen
[ ] KI-Texte zu Themen von öffentlichem Interesse: kennzeichnen — oder menschliche Prüfung mit dokumentierter redaktioneller Verantwortung
[ ] Standard-Kennzeichnung festgelegt („Bild KI-generiert") und Freigabeprozess eingerichtet

Schritt 6: Sonderfälle prüfen

[ ] HR-Einsatz (Bewerbervorauswahl, Leistungsbewertung)? → Hochrisiko-Verdacht nach Anhang III, Einzelprüfung und Vorbereitung der Art.-26-Pflichten; Betriebsrat früh einbinden (§ 87 BetrVG)
[ ] Besondere Datenkategorien (Gesundheit, Mandate)? → Verschärfter Maßstab, Tool-Freigaben besonders sorgfältig dokumentieren
[ ] DSGVO-Basics sitzen? Auftragsverarbeitungsverträge, Verzeichnis von Verarbeitungstätigkeiten, ggf. Datenschutz-Folgenabschätzung

Der Zeitfaktor

Realistischer Aufwand für ein typisches KMU ohne Vorarbeiten: Bestandsaufnahme und Richtlinie ein bis zwei Arbeitstage, Schulung ca. 45 Minuten pro Person — wenn Sie strukturiert vorgehen. Mit Werkzeugunterstützung deutlich weniger: Der kostenlose KI-Pflichten-Check sagt Ihnen in drei Minuten, welche der Punkte oben Sie konkret betreffen, und das KI-Compliance-Kit erledigt Richtlinie, Systemverzeichnis und die komplette Mitarbeiterschulung mit Zertifikaten in unter einer Stunde.

Dieser Beitrag ist Informationsmaterial und keine Rechtsberatung. Stand: Juni 2026. Hinweis: Einzelne Stichtage (insb. für Hochrisiko-Pflichten und Kennzeichnungsdetails) können sich durch den „Digital Omnibus" der EU noch verschieben.