EU AI Act: Die 20-Punkte-Checkliste für kleine Betriebe

Andere Anbieter packen so eine Checkliste hinter ein E-Mail-Formular. Wir nicht. Hier ist die komplette Liste, direkt lesbar, mit allem, was der EU AI Act (die EU-KI-Verordnung) von einem normalen Betrieb verlangt. Hak sie der Reihe nach ab, die meisten sind in 20 Minuten durch.

Zwei Pflichten zählen für den Betriebsalltag: Seit dem 2. Februar 2025 musst du Maßnahmen ergreifen, die die KI-Kompetenz der Menschen fördern, die bei euch KI bedienen (Artikel 4). Und ab dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 - rollen- und fallabhängig, nicht als pauschale Kennzeichnungspflicht für alles. Das Hochrisiko-Kapitel wurde auf den 2. Dezember 2027 verschoben (Anhang I: 2. August 2028) und betrifft ohnehin nur wenige, besondere Einsätze.

Schritt 1 - Überblick verschaffen

• Frag einmal im Team herum, welche KI-Tools tatsächlich benutzt werden. Auch die inoffiziellen - das private ChatGPT-Konto zählt genauso.
• Schreib alle Tools in eine Liste: Name, wofür genutzt, wer nutzt es. Eine Tabelle reicht. Typische Kandidaten: ChatGPT, Microsoft Copilot, DeepL, Canva-KI, ein Chatbot auf der Website.
• Markiere, was nach außen sichtbar ist: Chatbot für Kunden, KI-Bilder in der Werbung, KI-Texte im Blog oder Newsletter. Diese Fälle brauchst du für Schritt 4.
• Markiere heikle Einsätze: KI, die über Menschen entscheidet oder sie bewertet, zum Beispiel bei Bewerbungen. Da lohnt der genaue Blick, im Zweifel mit Anwalt.

Schritt 2 - Rolle klären (der Schritt, den fast alle überspringen)

• Pro Tool: Anbieter oder Betreiber? Wer ein fertiges Tool einfach nutzt, ist Betreiber. Wer ein System unter eigenem Namen anbietet, es wesentlich verändert oder in die Hinweise des Anbieters eingreift, kann selbst Anbieter sein.
• Halt die Einordnung mit Begründung fest. Ein Satz pro Tool reicht: "Fertiger Chat-Baukasten, unverändert eingebunden - Betreiber."
• Prüf bei eingebundenen Systemen, was der Anbieter mitliefert: KI-Hinweis im Chat, Wasserzeichen in generierten Bildern, Angaben in den Nutzungsbedingungen.

Schritt 3 - KI-Kompetenz (gilt seit Februar 2025, ab 2. August 2026 beaufsichtigt)

• Sorg dafür, dass alle KI-Nutzer die Grundlagen kennen: Was kann das Tool, was darf man reingeben (keine Kundendaten in fremde Clouds), wo irrt KI. Eine kurze interne Unterweisung reicht in den meisten Betrieben.
• Halt schriftlich fest, wer wann welche Unterweisung bekommen hat. Ohne Datum und Namen ist die beste Schulung im Zweifel schwer zu belegen.
• Benenne eine Person, die den Hut aufhat. Kein Amtsschimmel, einfach jemand, der bei Fragen zuständig ist.
• Setz dir einen Termin zum Nachschauen. Einmal im Jahr ist ein guter Rhythmus - aber zur Klarstellung: Eine gesetzlich vorgeschriebene Jahres-Auffrischung gibt es nicht, genauso wenig wie ein EU-Zertifikat, einen Pflichtkurs oder eine Mindest-Stundenzahl.

Schritt 4 - Transparenzfälle prüfen (ab dem 2. August 2026)

Geh die Fallgruppen durch und hak ab, was bei euch überhaupt vorkommt. Bei vielen Betrieben bleibt hier fast alles leer - das ist ein gutes Ergebnis, kein Fehler.

• Chatbot auf der Website? Die Hinweispflicht trifft zuerst den Anbieter des Systems. Deine Aufgabe: prüfen, ob der Hinweis von Beginn an da und sichtbar ist - und ihn nicht überdecken.
• Deepfakes? Offenlegen musst du KI-Inhalte, die existierenden oder plausibel existierenden Personen, Orten oder Ereignissen ähneln und fälschlich echt wirken. Stilisierte Illustrationen, abstrakte Grafiken und normale Bildkorrektur fallen nicht darunter.
• KI-Texte zu Angelegenheiten von öffentlichem Interesse? Nur dann greift die Textregel - und auch dann entfällt sie, wenn eine sachkundige Person substanziell prüft und die redaktionelle Verantwortung übernimmt. Produkttexte und Werbung sind in aller Regel gar nicht erfasst.
• Emotionserkennung oder biometrische Kategorisierung? Dann musst du die Betroffenen informieren. Achtung: Am Arbeitsplatz und in der Bildung ist Emotionserkennung bis auf enge Ausnahmen ganz verboten.
• Prüf die Platzierung deiner Hinweise: Sie müssen dort ankommen, wo Menschen mit der KI oder dem Inhalt in Kontakt kommen. Ein Sammel-Hinweis im Impressum reicht nicht.

Schritt 5 - Aufschreiben (der Teil, der im Ernstfall zählt)

• Führ die Liste aus Schritt 1 als festes KI-Verzeichnis. Neue Tools kommen rein, ausrangierte fliegen raus. Pflicht ist so ein Verzeichnis für einen normalen Betrieb nicht - hilfreich ist es trotzdem, auch für Datenschutz, IT-Sicherheit und Kundenfragebögen.
• Gib deinem Team eine kurze "So nutzen wir KI"-Regel. Eine Seite reicht: erlaubte Tools, No-Gos, Ansprechperson.
• Halt deine Transparenz-Entscheidungen schriftlich fest - besonders die Fälle, in denen ihr euch bewusst gegen eine Offenlegung entschieden habt, mit Begründung.
• Pack alles datiert in ein Dokument, das du bei Nachfragen von Kunden, Versicherung oder Behörde einfach auf den Tisch legen kannst.

Wovor du keine Angst haben musst

Niemand steht am 3. August mit dem Bußgeldbescheid vor der Tür. Es gibt für einen normalen Betrieb keine Pflicht, ein KI-Register anzulegen, Tools bei einer Behörde anzumelden, ein Zertifikat zu erwerben oder jeden KI-Inhalt zu labeln. Der Bußgeldrahmen von bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes ist eine Obergrenze; Art, Schwere und Umstände zählen, und bei KMU ist die Verhältnismäßigkeit ausdrücklich zu berücksichtigen. Und Hochrisiko betrifft dich fast sicher nicht.

Mehr Details zu Artikel 50 stehen im Ratgeber, den Überblick über alle Fristen gibt es hier im Blog.

Selbst nachlesen

• Die EU-KI-Verordnung 2024/1689 im Wortlaut (EUR-Lex)
• Verordnung (EU) 2026/1744 - der Digital Omnibus (EUR-Lex)
• Fragen und Antworten der Kommission zu Artikel 50
• KI-Kompetenz: aktuelle Einordnung der Kommission
• KI-Service-Desk der Bundesnetzagentur

---

Diese Checkliste ist eine verständliche Einordnung, keine Rechtsberatung. Rechtsstand: 31. Juli 2026. Am 31. Juli überarbeitet: Der neue Schritt 2 (Rolle klären) ist dazugekommen, die Transparenzfälle sind nach der tatsächlichen Rechtslage sortiert, und die Formulierungen zur Schulungspflicht sind an den abgeschwächten Artikel 4 angepasst. Bei Sonderfällen gehört ein Anwalt dazu, und wir sagen dir ehrlich, wann.