Transparenzpflichten für bestimmte KI-Systeme gelten seit dem 2. August 2026. Die Europäische Kommission veröffentlichte kurz vor dem Stichtag detaillierte Leitlinien. Kleine Unternehmen müssen jetzt verstehen, ob Kunden mit KI interagieren, ob öffentliche Inhalte unter eine Kennzeichnungspflicht fallen und welche Anbieter und Systeme hinter diesen Aktivitäten stehen.
Der AI Act gilt in Phasen. Frühere Regeln deckten bereits verbotene Praktiken, KI-Kompetenz, Governance und General-Purpose AI ab. Einige Anforderungen an Hochrisikosysteme haben spätere Termine.
Beginnen Sie mit einem KI-Inventar, damit rechtlich und operativ verantwortliche Personen die tatsächlich vorhandenen Einsätze bewerten können.
Ein Unternehmen kann KI-Risiko, Transparenz, Datenschutz oder Verantwortung erst bewerten, wenn es weiß, welche KI-Systeme genutzt werden. Das klingt einfach. In der Praxis kommt KI über einzelne Abonnements, neue SaaS-Funktionen, Website-Plug-ins, Marketing-Tools, Recruiting-Plattformen, Kundendienstsysteme und interne Experimente ins Unternehmen.
Eine Führungskraft kann glauben, das Unternehmen habe kein formelles KI-Programm, während Mitarbeiter täglich KI nutzen.
Dies ist Teil 4 von Nach dem Chatbot, nach Teil 3 über die Vermeidung von KI-Agenten-Wildwuchs .
Was hat sich im August 2026 geändert?
Der AI Act stellt unterschiedliche Anforderungen abhängig von der Rolle einer Organisation, dem Systemtyp und dem Risiko.
Die Leitlinien der Europäischen Kommission zu Artikel 50 behandeln Transparenzpflichten für Anbieter und Betreiber bestimmter KI-Systeme. Dazu gehören Informationen, wenn Menschen mit bestimmten KI-Systemen interagieren, und Kennzeichnungen bestimmter KI-generierter oder manipulierter Inhalte. Das Gesetz gilt schrittweise. Der Überblick der Kommission zum AI Act erklärt den breiteren Zeitplan und den risikobasierten Rahmen.
Die genaue Pflicht hängt vom Use Case ab. Ein öffentlicher Chatbot, ein internes Schreibwerkzeug, ein Emotionserkennungssystem und ein generatives Bildtool lösen nicht dieselben Anforderungen aus.
Kleine Unternehmen sollten zwei häufige Fehler vermeiden:
- anzunehmen, jede Nutzung generativer KI sei verboten oder hochriskant
- anzunehmen, der Anbieter trage jede Verantwortung, weil er das Modell bereitstellt
Der Anbieter entwickelt oder liefert das KI-System. Der Betreiber nutzt es unter eigener Verantwortung. Ein kleines Unternehmen kann in einem Workflow Betreiber und in einem anderen Anbieter sein. Rolle und Nutzung bleiben deshalb entscheidend.
Die KI in normaler Software finden
Ein KI-Inventar sollte mehr als Konten für ChatGPT, Claude, Gemini und Copilot abdecken.
Suchen Sie nach KI in:
- Kundendienst und Website-Chat
- CRM-Lead-Scoring und Nachrichtenentwürfen
- Recruiting-Screening und Interviewanalyse
- Buchhaltung und Dokumentenextraktion
- Meeting-Transkription und Zusammenfassungen
- Marketinginhalten, Bildern, Video und Personalisierung
- Betrugs-, Identitäts- und Sicherheitstools
- Produktivitätssuiten
- Projektmanagementsoftware
- Website-Optimierung und Analytics
- von Mitarbeitern gebauten Automatisierungen
- Agenten, die Datensätze ändern oder Nachrichten senden können
Fragen Sie jedes Team, welche Funktionen es nutzt, nicht welche KI-Produkte es gekauft hat. Ein bekanntes Softwareprodukt kann nach der ursprünglichen Beschaffungsentscheidung neue KI-Funktionen erhalten haben.
Browserhistorien, Ausgabenbelege, Single-Sign-on-Logs, Anbieterlisten, Automatisierungsplattformen und Teaminterviews können Nutzung sichtbar machen. Das Ziel ist Transparenz, nicht Bestrafung. Mitarbeiter umgehen Kontrollen möglicherweise, wenn der geregelte Weg zu langsam oder unpraktisch ist.
Ein minimales KI-Register bauen
Ein kleines Unternehmen braucht zum Einstieg keine Enterprise-Governance-Plattform.
Erstellen Sie für jeden wesentlichen Einsatz einen Datensatz:
- Name des Tools oder Systems
- Anbieter
- Geschäftszweck
- interne verantwortliche Person
- betroffene Personen
- eingegebene oder abgerufene Daten
- beteiligte persönliche oder vertrauliche Daten
- erzeugter Output
- mögliche externe Aktionen des Systems
- menschlicher Prüfpunkt
- kundenbezogener Status
- anwendbare Offenlegung
- Vertrags- und Datenschutzdokumentation
- letztes Prüfdatum
Dieses Register unterstützt mehrere Entscheidungen gleichzeitig. Es hilft bei AI-Act-Bewertung, DSGVO-Prüfung, Sicherheit, Zugriffsmanagement, Beschaffung und Mitarbeiterleitlinien.
Es zeigt außerdem Systeme, die außer Betrieb gehen sollten, weil sie keine verantwortliche Person oder keinen genehmigten Zweck haben.
Mit kundenbezogenen Einsätzen beginnen
Kundenbezogene KI verdient frühe Aufmerksamkeit, weil sie Entscheidungen beeinflussen, im Namen des Unternehmens Aussagen treffen oder eine Transparenzpflicht auslösen kann.
Prüfen Sie:
- Website-Chatbots
- automatisierte Supportantworten
- Vertriebsqualifizierung
- personalisierte Empfehlungen
- generierte Produktbilder
- synthetische Präsentatoren oder Stimmen
- KI-generierte oder manipulierte Texte zu Themen von öffentlichem Interesse, die ohne substanzielle menschliche Prüfung oder redaktionelle Kontrolle veröffentlicht werden
- Agenten, die Kundenkommunikation senden
Identifizieren Sie für jeden Einsatz, was die Person sieht, ob die KI-Rolle klar ist, welche Daten erhoben werden und wie menschlicher Support erreichbar ist.
Die Leitlinien der Kommission sagen , dass Menschen vom Beginn der ersten direkten Interaktion an klar informiert werden sollten, sofern die KI-Interaktion nicht offensichtlich ist. Ein Hinweis in einer langen Datenschutzerklärung erfüllt diesen praktischen Standard nicht.
EU-AI-Act-Checkliste für Offenlegung in kleinen Unternehmen
Eine pauschale Kennzeichnung kann Verwirrung schaffen und den Wert sinnvoller Hinweise reduzieren.
Der AI Act behandelt Rechtschreibkorrekturen, interne Zusammenfassungen und KI-gestützte Entwürfe nicht als dieselbe Aktivität. Bei Texten zu Themen von öffentlichem Interesse können substanzielle menschliche Prüfung oder redaktionelle Kontrolle beeinflussen, ob eine Kennzeichnung nötig ist. Weitere Ausnahmen und kontextabhängige Regeln können gelten.
Das Unternehmen sollte deshalb:
- den Einsatz identifizieren
- die eigene Rolle bestimmen
- die relevanten Risiko- und Transparenzfragen klassifizieren
- die Entscheidung dokumentieren
- bei Bedarf einen klaren Hinweis einsetzen
- den Einsatz bei Änderungen an System oder Zweck erneut prüfen
Bei Grenzfällen oder höherem Risiko kann Rechtsberatung nötig sein. Das operative Team muss weiterhin die Fakten liefern.
Dieser Artikel bietet praktische operative Orientierung, keine Rechtsberatung.
Mitarbeitern einen nutzbaren Weg geben
Eine KI-Richtlinie scheitert, wenn sie nur Verbote auflistet.
Mitarbeiter müssen wissen:
- welche Tools freigegeben sind
- welche Daten verwendet werden dürfen
- welche Daten eine private oder kontrollierte Umgebung brauchen
- wann menschliche Prüfung verpflichtend ist
- welche kundenbezogenen Aktionen eine Freigabe brauchen
- wie KI-Nutzung offengelegt wird
- wie ein neues Tool beantragt wird
- wo Fehler oder Bedenken gemeldet werden
Kurze Beispiele sind nützlicher als abstrakte Regeln. Erklären Sie, ob ein Mitarbeiter einen öffentlichen Bericht zusammenfassen, interne Notizen umformulieren, einen Kundenvertrag hochladen, ein öffentliches Bild generieren oder einen Agenten eine Nachricht an einen Interessenten senden lassen darf.
Die Richtlinie sollte harmlose Produktivitätsnutzung von Arbeit mit personenbezogenen Daten, vertraulichen Informationen, öffentlichen Aussagen, Beschäftigung, Kredit, Gesundheit, Sicherheit oder bindenden Entscheidungen unterscheiden.
Eine praktische Reaktion in 30 Tagen
Woche 1: entdecken
Befragen Sie jede Funktion, prüfen Sie Software- und Ausgabenunterlagen und erstellen Sie das erste KI-Register.
Woche 2: priorisieren
Priorisieren Sie kundenbezogene Systeme, sensible Daten, automatisierte Entscheidungen, generierte öffentliche Inhalte und Agenten mit externen Aktionen.
Woche 3: kontrollieren
Weisen Sie Verantwortung zu, entfernen Sie verlassene Tools, begrenzen Sie Rechte, erstellen Sie Freigaberegeln und ergänzen Sie notwendige Offenlegungen.
Woche 4: schulen und prüfen
Geben Sie Mitarbeitern konkrete Orientierung. Testen Sie die Kundenerfahrung. Prüfen Sie unklare Fälle mit qualifizierter rechtlicher oder Datenschutzunterstützung.
Wiederholen Sie die Prüfung quartalsweise und immer dann, wenn ein Anbieter eine wesentliche KI-Funktion ergänzt.
Häufig gestellte Fragen
Gilt der EU AI Act für kleine Unternehmen?
Ja, abhängig von Rolle und KI-Nutzung. Der Überblick der Kommission zum AI Act beschreibt Unterstützungsmaßnahmen für kleinere Unternehmen. Die Unternehmensgröße hebt aber nicht automatisch jede Pflicht auf.
Braucht jeder KI-generierte Artikel oder jedes Bild ein Label?
Nein. Es gibt keine pauschale Regel, die jeden KI-gestützten Output gleich behandelt. Die Pflicht hängt von Inhaltstyp, Nutzung, menschlicher Prüfung oder redaktioneller Kontrolle und der Rolle der Organisation ab. Bewerten Sie den konkreten Fall anhand der aktuellen Leitlinien der Kommission .
Ist ein KI-Inventar gesetzlich vorgeschrieben?
Die genaue Dokumentationspflicht hängt von Nutzung und Klassifizierung ab. Ein Inventar ist die praktische Grundlage, um anwendbare Pflichten zu bestimmen und die Entscheidung des Unternehmens nachvollziehbar zu machen.
Wer sollte KI-Governance verantworten?
Eine leitende geschäftlich verantwortliche Person sollte rechenschaftspflichtig sein. Recht, Datenschutz, Sicherheit, HR, Marketing und Technik sollten beitragen, wenn die Nutzung ihren Bereich berührt.
Kann der Softwareanbieter Compliance übernehmen?
Der Anbieter hat eigene Pflichten. Ein Unternehmen, das das System betreibt, muss trotzdem verstehen, wie es das Produkt nutzt, welche Daten beteiligt sind, wer betroffen ist und wo menschliche Aufsicht hingehört.
Governance in den normalen Betrieb integrieren
KI-Governance sollte wie Zugriffsmanagement, Datenschutz oder Finanzkontrolle funktionieren. Sie braucht verantwortliche Personen, Datensätze, Prüftermine und einen Eskalationsweg.
Der AI Act liefert einen klaren Anlass. Der operative Nutzen ist breiter. Ein Unternehmen mit korrektem KI-Inventar kann doppelte Tools reduzieren, sensible Daten kontrollieren, Freigaben klären und nützliche Agenten mit mehr Sicherheit einsetzen.
Der Security Officer von XYZ kann technische Kontrollen für Tools, Zugriffe, Berechtigungen und Vorfälle etablieren. Teams, die zunächst Systeme und operative Use Cases abbilden müssen, können mit einem Company-Wide Agentic Workflow beginnen.