KI-Verordnung: Die Checkliste für KMU. Diese Pflichten gelten 2026

Aktualisiert am 16. Juli 2026 nach dem Digital-Omnibus-Beschluss. Lesezeit circa 8 Minuten.

Verfasst von Marlin Tanner. Über Prüfbereit

Ihr Unternehmen nutzt ChatGPT, Microsoft Copilot oder ein Tool mit KI-Funktionen? Dann gilt die EU-KI-Verordnung (AI Act) auch für Sie, nicht nur für Google und OpenAI. Zwei zentrale Pflichten sind bereits in Kraft, die Transparenzpflichten folgen am 2. August 2026. Diese Checkliste zeigt Ihnen in 15 Minuten, wo Sie stehen.

Wen betrifft die KI-Verordnung überhaupt?

Der häufigste Irrtum zuerst: Die Verordnung betrifft nicht nur Firmen, die KI entwickeln. Sie unterscheidet zwei Rollen:

Anbieter entwickeln oder vertreiben KI-Systeme. Betreiber setzen KI-Systeme beruflich ein. Und das ist praktisch jedes Unternehmen, in dem Mitarbeitende mit ChatGPT texten, Copilot nutzen oder Software mit eingebauten KI-Funktionen bedienen (CRM-Scoring, Bewerbervorauswahl, Chatbots).

Auch die Unternehmensgrösse schützt nicht: Die Pflichten gelten unabhängig davon, ob Sie 5 oder 500 Mitarbeitende haben. Für KMU gibt es Erleichterungen bei Dokumentationstiefe und Bussgeld-Obergrenzen, aber keine Ausnahme von den Pflichten selbst.

Schweizer Unternehmen: Sobald Ihre KI-Nutzung Personen in der EU betrifft oder Sie Leistungen in die EU erbringen, greift die Verordnung über das Marktortprinzip ebenfalls.

Die Fristen im Überblick (Stand Juli 2026, nach Digital Omnibus)

Die wichtigste Erkenntnis: Zwei Pflichten gelten jetzt schon und werden bei Prüfungen am ehesten abgefragt. Der Aufschub bei Hochrisiko ist Vorbereitungszeit, kein Freifahrtschein.

Die 10-Punkte-Checkliste

1. KI-Inventar erstellen. Listen Sie alle KI-Systeme im Unternehmen auf, auch die versteckten (Copilot in M365, KI-Features im CRM, Übersetzungstools, Recruiting-Software). Ohne Inventar können Sie keine einzige Folgepflicht erfüllen.
2. Rolle klären. Sind Sie für jedes System Betreiber oder (auch) Anbieter? Wer KI-Ausgaben unter eigenem Namen vermarktet oder Systeme wesentlich verändert, rutscht schnell in Anbieterpflichten.
3. Verbotene Praktiken ausschliessen. Emotionserkennung am Arbeitsplatz, Social Scoring, manipulative Systeme: seit Februar 2025 untersagt. Ab 2. Dezember 2026 kommt das Verbot nicht-einvernehmlicher Nacktbilder und von CSAM hinzu. Für die meisten KMU schnell abgehakt, aber dokumentieren Sie die Prüfung.
4. Risikoklasse je System bestimmen. Die kritische Frage: Fällt ein System unter Anhang III (Hochrisiko)? Typische KMU-Fälle: KI in der Bewerberauswahl, Leistungsbewertung von Mitarbeitenden, Bonitätsprüfung, Bildungsbewertung.
5. Schulungspflicht erfüllen (Art. 4). Alle Mitarbeitenden, die mit KI arbeiten, brauchen nachweisbare KI-Kompetenz, rollenbezogen statt per Giesskanne. Gilt seit Februar 2025 und wurde durch den Digital Omnibus nicht verschoben. Mehr dazu im Leitfaden zur Schulungspflicht.
6. Transparenzpflichten umsetzen (bis 2. August 2026). Chatbots müssen sich als KI zu erkennen geben, KI-generierte Inhalte sind in bestimmten Fällen zu kennzeichnen. Für Wasserzeichen bei generativer KI gilt eine Nachfrist bis 2. Dezember 2026.
7. Hochrisiko-Systeme vorbereiten (bis 2. Dezember 2027). Falls Punkt 4 Treffer ergab: menschliche Aufsicht organisieren, Anbieter-Dokumentation einfordern, Nutzung protokollieren, Betriebsanweisungen erstellen. Die verlängerte Frist ist die Chance, das ohne Hektik sauber aufzubauen.
8. Zuständigkeit festlegen. Eine Person im Unternehmen verantwortet das Thema. Ein zertifizierter KI-Beauftragter ist nicht nötig, aber jemand muss es tun.
9. Prozess für neue Tools einrichten. Jedes neue KI-Tool durchläuft künftig Inventar und Risiko-Check, bevor es eingesetzt wird. Sonst veraltet Ihre Compliance in Wochen.
10. Alles dokumentieren. Bei einer Prüfung zählt nur, was Sie nachweisen können: Inventar, Einstufungen mit Begründung, Schulungsnachweise, Richtlinie.

Was bei Verstössen droht

Verstösse gegen Hochrisiko-Pflichten können bis zu 15 Mio. EUR oder 3 Prozent des weltweiten Jahresumsatzes kosten, verbotene Praktiken bis zu 35 Mio. EUR oder 7 Prozent. Für KMU gelten reduzierte Obergrenzen, existenzbedrohend bleiben die Summen trotzdem. Mindestens so relevant: Grosskunden fragen KI-Compliance zunehmend in Lieferantenaudits ab. Wer keine Nachweise hat, verliert Aufträge, bevor eine Behörde überhaupt hinschaut.

Häufige Fragen

Hat der Digital Omnibus die Pflichten für KMU entschärft? Teilweise. Die Hochrisiko-Pflichten kommen später (2. Dezember 2027 statt 2. August 2026) und es gibt punktuelle Erleichterungen. Die Pflichten, die den Alltag der meisten KMU betreffen, gelten aber unverändert: Schulungspflicht und Verbote seit Februar 2025, Transparenzpflichten ab August 2026.

Wir nutzen nur ChatGPT. Reicht eine kurze Team-Einweisung? Eine Einweisung ist der richtige Anfang, aber sie muss dokumentiert, rollenbezogen und nachweisbar sein. Ein Zoom-Call ohne Protokoll ist im Prüfungsfall wertlos.

Brauchen wir einen Berater? Für den Standardfall (Betreiber ohne Hochrisiko-Systeme) nicht zwingend. Die Pflichten sind mit strukturierter Selbstdokumentation erfüllbar. Anwaltliche Prüfung empfiehlt sich, wenn Sie eigene KI-Produkte anbieten oder Hochrisiko-Systeme betreiben.

Gibt es kostenlose Hilfen? Ja, zum Beispiel den KI-Compliance-Kompass der Bundesnetzagentur für die Ersteinstufung. Er beantwortet die Frage, ob Sie betroffen sind, nimmt Ihnen aber nicht die laufende Arbeit ab: Register pflegen, neue Tools einstufen, Schulungen nachweisen.

Genau dafür bauen wir Prüfbereit: KI-Register, Risiko-Check, Doku-Generator und Schulungsnachweise in einem Werkzeug. Self-serve, in verständlichem Deutsch, zum Bruchteil eines Beratertags. Das Produkt ist aktuell im Aufbau, der Launch ist für Herbst 2026 geplant.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Stand: 16. Juli 2026.
Weiterlesen: Schulungspflicht nach Art. 4 und KI-Register: kostenlose Vorlage
Weiterlesen: Wenn ein Kunde KI-Nachweise verlangt und Gilt der AI Act für Schweizer Firmen?