KI-Verordnung: Die Checkliste für KMU — diese Pflichten gelten 2026

Ihr Unternehmen nutzt ChatGPT, Microsoft Copilot oder ein Tool mit KI-Funktionen? Dann gilt die EU-KI-Verordnung (AI Act) auch für Sie — nicht nur für Google und OpenAI. Viele Pflichten sind bereits in Kraft, die nächste große Stufe folgt am 2. August 2026. Diese Checkliste zeigt Ihnen in 15 Minuten, wo Sie stehen.

Wen betrifft die KI-Verordnung überhaupt?

Der häufigste Irrtum zuerst: Die Verordnung betrifft nicht nur Firmen, die KI entwickeln. Sie unterscheidet zwei Rollen:

Anbieter entwickeln oder vertreiben KI-Systeme. Betreiber setzen KI-Systeme beruflich ein — und das ist praktisch jedes Unternehmen, in dem Mitarbeitende mit ChatGPT texten, Copilot nutzen oder Software mit eingebauten KI-Funktionen bedienen (CRM-Scoring, Bewerbervorauswahl, Chatbots).

Auch die Unternehmensgröße schützt nicht: Die Pflichten gelten unabhängig davon, ob Sie 5 oder 500 Mitarbeitende haben. Für KMU gibt es Erleichterungen bei Dokumentationstiefe und Bußgeld-Obergrenzen — aber keine Ausnahme von den Pflichten selbst.

Schweizer Unternehmen: Sobald Ihre KI-Nutzung Personen in der EU betrifft oder Sie Leistungen in die EU erbringen, greift die Verordnung über das Marktortprinzip ebenfalls.

Die Fristen im Überblick

Seit / Ab	Was gilt
2. Februar 2025	Verbotene KI-Praktiken untersagt + Schulungspflicht (Art. 4) für alle, die KI einsetzen
2. August 2025	Pflichten für Anbieter von Allzweck-KI (GPAI)
2. August 2026	Hochrisiko-Pflichten & die meisten übrigen Bestimmungen
2027	Übergangsfristen für bestimmte Produkt-KI (z. B. in regulierten Geräten)

Die wichtigste Erkenntnis: Zwei Pflichten gelten jetzt schon — und werden bei Prüfungen am ehesten abgefragt.

Die 10-Punkte-Checkliste

KI-Inventar erstellen. Listen Sie alle KI-Systeme im Unternehmen auf — auch die versteckten (Copilot in M365, KI-Features im CRM, Übersetzungstools, Recruiting-Software). Ohne Inventar können Sie keine einzige Folgepflicht erfüllen.
Rolle klären. Sind Sie für jedes System Betreiber oder (auch) Anbieter? Wer KI-Ausgaben unter eigenem Namen vermarktet oder Systeme wesentlich verändert, rutscht schnell in Anbieterpflichten.
Verbotene Praktiken ausschließen. Emotionserkennung am Arbeitsplatz, Social Scoring, manipulative Systeme — seit Februar 2025 untersagt. Für die meisten KMU schnell abgehakt, aber dokumentieren Sie die Prüfung.
Risikoklasse je System bestimmen. Die kritische Frage: Fällt ein System unter Anhang III (Hochrisiko)? Typische KMU-Fälle: KI in der Bewerberauswahl, Leistungsbewertung von Mitarbeitenden, Bonitätsprüfung, Bildungsbewertung.
Schulungspflicht erfüllen (Art. 4). Alle Mitarbeitenden, die mit KI arbeiten, brauchen nachweisbare KI-Kompetenz — rollenbezogen, nicht per Gießkanne. Gilt seit Februar 2025. → Ausführlicher Leitfaden zur Schulungspflicht
Transparenzpflichten umsetzen. Chatbots müssen sich als KI zu erkennen geben; KI-generierte Inhalte sind in bestimmten Fällen zu kennzeichnen.
Hochrisiko-Systeme vorbereiten. Falls Punkt 4 Treffer ergab: menschliche Aufsicht organisieren, Anbieter-Dokumentation einfordern, Nutzung protokollieren, Betriebsanweisungen erstellen — bis 2. August 2026.
Zuständigkeit festlegen. Eine Person im Unternehmen verantwortet das Thema (kein zertifizierter “KI-Beauftragter” nötig — aber jemand muss es tun).
Prozess für neue Tools einrichten. Jedes neue KI-Tool durchläuft künftig Inventar + Risiko-Check, bevor es eingesetzt wird. Sonst veraltet Ihre Compliance in Wochen.
Alles dokumentieren. Bei einer Prüfung zählt nur, was Sie nachweisen können: Inventar, Einstufungen mit Begründung, Schulungsnachweise, Richtlinie.

Was bei Verstößen droht

Verstöße gegen Hochrisiko-Pflichten können bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes kosten, verbotene Praktiken bis zu 35 Mio. € oder 7 %. Für KMU gelten reduzierte Obergrenzen — existenzbedrohend bleiben die Summen trotzdem. Mindestens so relevant: Großkunden fragen KI-Compliance zunehmend in Lieferantenaudits ab. Wer keine Nachweise hat, verliert Aufträge, bevor eine Behörde überhaupt hinschaut.

Häufige Fragen

Wir nutzen nur ChatGPT — reicht eine kurze Team-Einweisung? Eine Einweisung ist der richtige Anfang, aber sie muss dokumentiert, rollenbezogen und nachweisbar sein. Ein Zoom-Call ohne Protokoll ist im Prüfungsfall wertlos.

Brauchen wir einen Berater? Für den Standardfall (Betreiber ohne Hochrisiko-Systeme) nicht zwingend — die Pflichten sind mit strukturierter Selbstdokumentation erfüllbar. Anwaltliche Prüfung empfiehlt sich, wenn Sie eigene KI-Produkte anbieten oder Hochrisiko-Systeme betreiben.

Gibt es kostenlose Hilfen? Ja — z. B. den KI-Compliance-Kompass der Bundesnetzagentur für die Ersteinstufung. Er beantwortet die Frage “bin ich betroffen?”, nimmt Ihnen aber nicht die laufende Arbeit ab: Register pflegen, neue Tools einstufen, Schulungen nachweisen.