Die KI-Verordnung betrifft auch kleine Betriebe
Viele Unternehmen nutzen inzwischen KI: ChatGPT für Texte, Copilot in Microsoft 365, KI-Funktionen in der Buchhaltung oder im Bewerbermanagement. Gleichzeitig gilt seit August 2024 die europäische KI-Verordnung (AI Act). Ihre Pflichten treten schrittweise in Kraft.
Die gute Nachricht: Für die meisten kleinen Betriebe, die KI nur nutzen, sind die Pflichten überschaubar. Die schlechte: Eine davon gilt schon jetzt. Dieser Beitrag ist keine Rechtsberatung, er soll Ihnen einen klaren Überblick geben.
Wer ist was?
Die Verordnung unterscheidet vor allem zwischen:
- Anbietern: Wer ein KI-System entwickelt und auf den Markt bringt.
- Betreibern: Wer ein KI-System beruflich nutzt. Das sind die meisten KMU.
Als Betreiber haben Sie deutlich weniger Pflichten als ein Anbieter.
Die Zeitleiste
- August 2024: Die Verordnung tritt in Kraft.
- Februar 2025: Verbotene KI-Praktiken gelten als verboten. Außerdem gilt die Pflicht zur KI-Kompetenz (Artikel 4).
- August 2025: Regeln für Anbieter großer KI-Modelle, etwa die Modelle hinter bekannten Chatbots.
- August 2026: Die meisten übrigen Regeln gelten, etwa die Transparenzpflichten.
- Juli 2026: Mit dem sogenannten KI-Omnibus hat die EU die Fristen für Hochrisiko-Systeme verschoben: 2. Dezember 2027 für eigenständige Hochrisiko-Anwendungen (etwa Bewerberauswahl), 2. August 2028 für KI, die in Produkte eingebaut ist.
Pflicht 1: KI-Kompetenz – gilt schon
Unternehmen, die KI einsetzen, müssen dafür sorgen, dass ihre Mitarbeitenden ausreichend Wissen im Umgang damit haben. Ein bestimmtes Zertifikat ist nicht vorgeschrieben. Sinnvoll und nachweisbar ist zum Beispiel:
- Eine kurze interne Schulung: Was kann KI, wo macht sie Fehler, was darf hinein und was nicht?
- Eine schriftliche KI-Richtlinie mit erlaubten Werkzeugen und klaren Regeln.
- Dokumentation, wer wann geschult wurde.
Pflicht 2: Transparenz
Wenn Kunden mit einem KI-Chatbot sprechen, müssen sie das erkennen können. Mit KI erzeugte oder veränderte Bilder, Videos oder Stimmen, die echt wirken (Deepfakes), müssen gekennzeichnet werden. Für KI-erzeugte Texte, die die Öffentlichkeit über wichtige Themen informieren sollen, gelten ebenfalls Kennzeichnungsregeln.
Pflicht 3: Vorsicht bei Hochrisiko-Bereichen
Bestimmte Einsatzzwecke gelten als hochriskant, etwa KI zur Auswahl von Bewerberinnen und Bewerbern, zur Bewertung von Beschäftigten oder zur Kreditwürdigkeitsprüfung. Wer solche Systeme nutzt, hat zusätzliche Pflichten: menschliche Aufsicht, Protokollierung und Information der Betroffenen. Fragen Sie Ihren Softwareanbieter, ob ein Werkzeug in diese Kategorie fällt.
Und der Datenschutz?
Die KI-Verordnung ersetzt die DSGVO nicht. Für jede KI, die personenbezogene Daten verarbeitet, gelten weiter die bekannten Regeln:
- Keine Kunden-, Patienten- oder Personaldaten in frei verfügbare Chatbots eingeben
- Auf Business-Versionen mit Auftragsverarbeitungsvertrag und ohne Training auf Ihren Daten achten
- Ergebnisse immer prüfen, bevor sie verwendet werden
Eine einfache KI-Richtlinie in fünf Punkten
- Erlaubte Werkzeuge: Welche KI-Dienste sind freigegeben?
- Verbotene Daten: keine personenbezogenen Daten, Geschäftsgeheimnisse oder Passwörter in nicht freigegebene Werkzeuge.
- Prüfpflicht: Jede KI-Antwort wird von einem Menschen geprüft.
- Kennzeichnung: Wann wird KI-Einsatz nach außen offengelegt?
- Ansprechperson: Wer beantwortet Fragen zur KI-Nutzung?
Häufige Fragen
Muss ich ChatGPT jetzt verbieten? Nein. Sie sollten aber regeln, wie es genutzt wird, und Ihr Team schulen.
Drohen Bußgelder? Die Verordnung sieht Bußgelder vor, für KMU mit angepassten Obergrenzen. Wichtiger als die Angst vor Strafen ist ein vernünftiger, dokumentierter Umgang.
Fazit
Für die meisten kleinen Betriebe bedeutet die KI-Verordnung vor allem: Team schulen, eine kurze Richtlinie schreiben und bei sensiblen Einsatzzwecken genau hinsehen. Wenn Sie Copilot oder andere KI-Werkzeuge sicher einführen möchten, lesen Sie auch unseren Beitrag zu Microsoft 365 Copilot oder sprechen Sie mich an.
