Die KI-Verordnung im Überblick: Wer muss was?

Stand: 27.09.2026. Die KI-Verordnung gilt in der Fassung der Verordnung (EU) 2026/1744 („AI Omnibus", in Kraft seit 27.07.2026); das deutsche Durchführungsgesetz KI-MIG gilt seit 29.07.2026. Prüf das Datum, wenn du diese Lektion später liest.

Lernziele

Nach dieser Lektion kannst du:

die Rollen „Anbieter" und „Betreiber" unterscheiden und dein Unternehmen richtig einordnen,
die vier Risikostufen der KI-Verordnung benennen,
die wichtigsten Stichtage und die für dein Unternehmen relevanten Pflichten nennen,
erklären, wer die Einhaltung in Deutschland überwacht und welche Bußgelder drohen.

Wer ist wer? Die Rollen der KI-Verordnung

Die KI-Verordnung (Verordnung (EU) 2024/1689) verteilt Pflichten nach Rollen:

Anbieter entwickeln KI-Systeme oder lassen sie entwickeln und bringen sie unter eigenem Namen auf den Markt, etwa OpenAI, Microsoft oder Google. Sie tragen die meisten und strengsten Pflichten.
Betreiber (engl. „deployer") verwenden ein KI-System in eigener Verantwortung im beruflichen Kontext (Art. 3 Nr. 4 KI-VO). Das ist die Rolle der allermeisten KMU. Wer ChatGPT für Kundenanschreiben, DeepL für Übersetzungen oder einen Website-Chatbot einsetzt, ist Betreiber.
Daneben gibt es Einführer, Händler und Bevollmächtigte, für typische KMU-Nutzung selten relevant.

Achtung, Rollenwechsel: Wer ein fremdes KI-System wesentlich verändert oder unter eigenem Namen als Produkt vermarktet, kann vom Betreiber zum Anbieter werden (Art. 25 KI-VO), mit deutlich mehr Pflichten. Das ist z. B. relevant, wenn ein Unternehmen einen zugekauften Chatbot stark anpasst und als „eigene KI" verkauft. Die rein private Nutzung von KI fällt übrigens gar nicht unter die Verordnung.

Die vier Risikostufen

Unannehmbares Risiko, also verboten (Art. 5): Praktiken wie Social Scoring oder Emotionserkennung am Arbeitsplatz sind seit dem 2. Februar 2025 verboten. Details in Lektion 3.
Hohes Risiko, also streng reguliert (Art. 6 ff., Anhang III): KI in sensiblen Bereichen wie Personalauswahl, Kreditwürdigkeitsprüfung, Bildung oder kritischer Infrastruktur. Betreiber solcher Systeme haben ein eigenes Pflichtenpaket (Art. 26): menschliche Aufsicht, Überwachung des Betriebs, Aufbewahrung der Protokolle mindestens sechs Monate, vorherige Information von Beschäftigten und Betriebsrat beim Einsatz am Arbeitsplatz.
Begrenztes Risiko → Transparenzpflichten (Art. 50): Chatbots müssen sich als KI zu erkennen geben; KI-generierte realistische Medien („Deepfakes") und bestimmte KI-Texte müssen gekennzeichnet werden. Details in Lektion 5.
Minimales Risiko → keine besonderen Pflichten: Die große Mehrheit der Alltagsanwendungen (Rechtschreibkorrektur, Spamfilter, übliche Büro-KI-Nutzung). Aber: Die Pflicht zur KI-Kompetenz nach Art. 4 gilt für alle KI-Systeme, unabhängig von der Risikostufe.

Die Stichtage: Was gilt wann?

Die Verordnung gilt gestaffelt (Art. 113 KI-VO):

Seit 2. Februar 2025: Verbote (Art. 5) und KI-Kompetenzpflicht (Art. 4)
Seit 2. August 2025: Regeln für Anbieter großer KI-Modelle (GPAI) und der Sanktionsrahmen (Art. 99)
Seit 2. August 2026: allgemeiner Geltungsbeginn, insbesondere die Transparenzpflichten des Art. 50
Hochrisiko-Pflichten: ursprünglich überwiegend ab 2. August 2026/2027. Durch das EU-Änderungspaket „Digital Omnibus" (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) gelten zentrale Hochrisiko-Pflichten erst ab dem 2. Dezember 2027 (eigenständige Systeme, z. B. HR-Tools) bzw. ab dem 2. August 2028 (KI in regulierten Produkten).
Wichtig, ein häufiges Missverständnis: Die Transparenzpflichten des Art. 50 sind nicht verschoben worden — sie gelten seit dem 2. August 2026. Nur die maschinenlesbare Markierung nach Art. 50 Abs. 2 hat für KI-Systeme, die vorher schon im Einsatz waren, eine Schonfrist bis zum 2. Dezember 2026. Unverändert bleiben außerdem Verbote, die Pflicht zur KI-Kompetenz und der Bußgeldrahmen.

Praxisbeispiel: Eine Spedition mit 80 Mitarbeitenden nutzt (a) Copilot für E-Mails (minimales Risiko; es bleibt die Pflicht zur KI-Kompetenz); (b) einen Website-Chatbot (Transparenzpflicht seit August 2026); (c) plant ein KI-Tool zur Bewerbervorauswahl (Hochrisiko, Pflichten nach Art. 26 mit verlängerter Vorbereitungszeit, aber hohem Vorbereitungsaufwand): am besten jetzt schon Prozesse aufsetzen.

Aufsicht und Bußgelder

In Deutschland regelt das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) die Zuständigkeiten; es ist seit dem 29. Juli 2026 in Kraft. Zentrale Aufsichtsbehörde ist die Bundesnetzagentur mit einer unabhängigen KI-Marktüberwachungskammer; Fachbehörden wie die BaFin behalten ihre Sektoren. Für KMU wichtig: Die Bundesnetzagentur betreibt einen KI-Service-Desk als kostenlose Anlaufstelle für Fragen.

Die Bußgelder (Art. 99 KI-VO) sind empfindlich: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Mio. € oder 3 % für Verstöße gegen Betreiber- und Transparenzpflichten. Für KMU gilt eine Erleichterung: Es greift jeweils der niedrigere der beiden Beträge. Trotzdem gilt: Schon ein Bruchteil davon kann ein KMU existenziell treffen, und dokumentierte Compliance (Richtlinie, Schulung, Verzeichnis) wirkt im Ernstfall mildernd.

Merksätze

- Dein Unternehmen ist „Betreiber". Die Pflichten richten sich nach dem Risiko der genutzten KI. - Vier Stufen: verboten, hochriskant, transparenzpflichtig, minimal. Die meisten Büroanwendungen sind minimal riskant. - Es gelten: Verbote (Art. 5) und die Pflicht zur KI-Kompetenz (Art. 4) seit Februar 2025, die Transparenzpflichten (Art. 50) seit 2. August 2026. - Die Bundesnetzagentur überwacht, Bußgelder sind real. Aber für KMU gilt der jeweils niedrigere Bußgeldbetrag, und gute Dokumentation schützt.