KI-Compliance 2026: Der Massnahmenkatalog fuer KMU in Deutschland

Die Uhr tickt: Was KMU jetzt tun müssen

Der EU AI Act ist seit August 2024 in Kraft — und die entscheidenden Fristen laufen ab August 2026. Wer als Unternehmen KI-Tools wie ChatGPT, Copilot oder Gemini einsetzt, ist „Betreiber“ im Sinne der Verordnung. Unabhängig von der Unternehmensgröße. Auch ein 5-Personen-Büro.

Gleichzeitig verschärfen die Datenschutzbehörden 2026 den Druck auf KI-Projekte deutlich. DSGVO und AI Act greifen ineinander — und beide müssen eingehalten werden.

Dieser Beitrag gibt Ihnen einen konkreten Maßnahmenkatalog und eine Checkliste, mit der Sie Ihr Unternehmen compliant aufstellen.

Was bereits gilt — seit Februar 2025

Zwei Pflichten sind bereits in Kraft und müssen sofort umgesetzt werden:

1. KI-Kompetenzpflicht (Art. 4 AI Act)

Seit dem 2. Februar 2025 müssen alle Unternehmen, die KI-Systeme einsetzen, sicherstellen, dass ihre Mitarbeitenden über ausreichende KI-Kompetenz verfügen. Das betrifft jedes Unternehmen, das „nur“ ChatGPT oder ein Übersetzungstool nutzt.

Fünf Kernbereiche sollten geschult werden:

• AI Literacy — Grundverständnis von KI-Technologie
• Recht & Compliance — AI Act, DSGVO, branchenspezifische Regeln
• Ethik — Verantwortungsvoller KI-Einsatz, Bias-Erkennung
• Datenschutz — Umgang mit personenbezogenen Daten in KI-Systemen
• Praktische Anwendung — Sichere Nutzung der zugelassenen Tools

2. Verbotene KI-Praktiken (Art. 5 AI Act)

Ebenfalls seit Februar 2025 verboten:

• Social Scoring (Bewertung sozialen Verhaltens)
• Manipulative KI-Systeme (unterschwellige Beeinflussung)
• Emotionserkennung am Arbeitsplatz
• Biometrische Kategorisierung nach sensiblen Merkmalen
• Erstellung von Gesichtserkennungsdatenbanken durch Scraping

Prüfen Sie jetzt, ob in Ihrem Unternehmen solche Praktiken existieren — auch unbewusst.

Die vier Risikostufen des AI Act

Der AI Act klassifiziert KI-Systeme in vier Kategorien. Je höher das Risiko, desto strenger die Pflichten:

Wichtig für KMU: Die meisten Unternehmen nutzen KI-Tools mit begrenztem oder minimalem Risiko. Aber: Wer KI im Personalwesen (Bewerbermanagement, Einstellungsentscheidungen) oder für Kreditwürdigkeitsprüfungen einsetzt, fällt in die Hochrisiko-Kategorie.

DSGVO + KI: Die doppelte Regulierung

Neben dem AI Act bleibt die DSGVO vollumfänglich anwendbar. Das bedeutet konkret:

Auftragsverarbeitungsvertrag (AVV) ist Pflicht

Bei Nutzung von Cloud-KI-Diensten müssen Sie einen AVV abschließen. Die kostenlose Version von ChatGPT ist für Unternehmen mit personenbezogenen Daten praktisch nicht DSGVO-konform nutzbar. Nutzen Sie firmenlizenzierte Varianten mit EU-Datenspeicherung.

Sensible Daten sind tabu

Gesundheitsdaten, religiöse Überzeugungen, ethnische Herkunft oder politische Meinungen (Art. 9 DSGVO) dürfen grundsätzlich nicht in KI-Tools eingegeben werden.

Datenschutz-Folgenabschätzung (DSFA)

Bei den meisten unternehmerischen KI-Projekten mit personenbezogenen Daten ist eine DSFA Pflicht. Die Datenschutzkonferenz (DSK) hat die Anforderungen verschärft. Zusätzlich verlangt der AI Act ab August 2026 für bestimmte Hochrisiko-KI eine Grundrechte-Folgenabschätzung.

Was ab August 2026 gilt

Am 2. August 2026 wird es ernst. Dann greifen:

• Alle Pflichten für Hochrisiko-KI (Annex III)
• Transparenzpflichten (Art. 50): Nutzer müssen informiert werden, wenn sie mit KI interagieren. KI-generierte Inhalte müssen gekennzeichnet werden.
• Volle Durchsetzung und Sanktionen

Das Bußgeld-System

KMU-Sonderregelung: Kleine und mittlere Unternehmen zahlen jeweils den niedrigeren Betrag (Festbetrag oder Prozentsatz). Große Unternehmen den höheren.

Nationale Umsetzung: Das KI-MIG

Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) wurde im Februar 2026 vom Bundeskabinett beschlossen und befindet sich im Parlamentsverfahren. Es bestimmt die Bundesnetzagentur als zentrale Marktüberwachungsbehörde und richtet einen KI-Service-Desk als Anlaufstelle speziell für KMU ein.

Außerdem vorgesehen: Regulatory Sandboxes — geschützte Testumgebungen, in denen KMU KI-Systeme unter Aufsicht erproben können, mit priorisiertem und kostenfreiem Zugang.

Technische und organisatorische Maßnahmen (TOMs)

Technische Maßnahmen

• Zugangskontrollen: Wer darf welche KI-Tools nutzen?
• Dateneingabe-Beschränkungen: Technische Sperren für sensible Datentypen
• Verschlüsselung: Daten in Transit und at Rest
• Logging und Monitoring aller KI-Interaktionen
• Nur firmenlizenzierte KI-Tools — keine privaten Accounts
• Opt-out aus Modelltraining sicherstellen

Organisatorische Maßnahmen

• KI-Nutzungsrichtlinie erstellen und kommunizieren
• Freigabeprozess für neue KI-Tools etablieren
• Verantwortlichkeiten klar definieren (KI-Beauftragter)
• Regelmäßige Schulungen durchführen und dokumentieren
• Vorfallmanagement für KI-bezogene Sicherheitsvorfälle
• Verzeichnis aller genutzten KI-Systeme führen
• Human-in-the-Loop bei automatisierten Entscheidungen

Ihre Checkliste: KI-Compliance für KMU

Sofort umsetzen (bereits überfällig)

• ☐ KI-Kompetenzschulungen für alle Mitarbeitenden durchführen
• ☐ Prüfen, ob verbotene KI-Praktiken im Unternehmen genutzt werden
• ☐ Überblick aller genutzten KI-Systeme erstellen (Inventar)

Bis August 2026

• ☐ KI-Nutzungsrichtlinie erstellen und kommunizieren
• ☐ Risikoklassifizierung aller genutzten KI-Systeme durchführen
• ☐ DSFA für KI-Systeme mit personenbezogenen Daten erstellen
• ☐ AVV/DPA mit allen KI-Anbietern prüfen und abschließen
• ☐ Transparenzmaßnahmen umsetzen (Chatbot-Kennzeichnung, Content-Labeling)
• ☐ TOMs für KI-Einsatz definieren und implementieren
• ☐ Verzeichnis der Verarbeitungstätigkeiten um KI erweitern
• ☐ Datenschutzerklärung aktualisieren
• ☐ Meldeprozesse für KI-Vorfälle etablieren
• ☐ Verantwortlichkeiten klar zuordnen
• ☐ Nur firmenlizenzierte KI-Tools mit EU-Datenspeicherung nutzen
• ☐ Schatten-KI identifizieren und unterbinden

Laufend

• ☐ Schulungen regelmäßig wiederholen und dokumentieren
• ☐ KI-Inventar aktuell halten
• ☐ Neue KI-Tools nur nach Freigabeprozess einführen
• ☐ Regelmäßige Audits der KI-Nutzung
• ☐ Entwicklungen im KI-MIG-Gesetzgebungsverfahren verfolgen

Fazit: Jetzt handeln, nicht abwarten

Die KI-Kompetenzpflicht gilt bereits seit über einem Jahr. Die nächste große Deadline — August 2026 — ist in weniger als fünf Monaten. Wer jetzt noch keinen Überblick über die im Unternehmen genutzten KI-Systeme hat, keine Schulungen durchführt und keine KI-Richtlinie etabliert hat, riskiert nicht nur Bußgelder, sondern auch Vertrauensverlust bei Kunden und Geschäftspartnern.

Die gute Nachricht: Für KMU gibt es Erleichterungen — reduzierte Gebühren, vereinfachte Dokumentation und den KI-Service-Desk der Bundesnetzagentur als Anlaufstelle. Nutzen Sie diese Angebote.