„Das betrifft doch nur die großen KI-Anbieter." Diese Meinung ist weit verbreitet. Sie stimmt nur zur Hälfte.
Der AI Act richtet seine umfangreichsten Anforderungen tatsächlich an Unternehmen, die KI-Systeme entwickeln oder auf den Markt bringen. Aber auch wer solche Systeme nur einsetzt, kann Pflichten haben – als Unternehmen ebenso wie als Verein.
Die gute Nachricht: Wer ChatGPT für einen Textentwurf nutzt oder sich mit Copilot bei einer Recherche helfen lässt, braucht deshalb keine eigene Compliance-Abteilung.
Was steckt dahinter.
Der AI Act ist die erste umfassende KI-Regulierung der EU. Er tritt nicht an einem einzigen Stichtag komplett in Kraft, sondern schrittweise. Verbote bestimmter KI-Praktiken sowie die Pflicht zu ausreichender KI-Kompetenz gelten bereits seit Februar 2025. Am 2. August 2026 kommen die Transparenzpflichten für bestimmte KI-Anwendungen hinzu. Die umfangreichen Anforderungen an Hochrisiko-Systeme – etwa in Teilen der Personalauswahl – folgen nach dem aktuellen EU-Zeitplan erst ab Dezember 2027.
Der AI Act sortiert KI-Systeme dabei nach Risiko: verboten, hochriskant, mit besonderen Transparenzpflichten, oder ohne spezifische Auflagen. Je größer die möglichen Auswirkungen auf Menschen und ihre Rechte, desto strenger die Anforderungen.
Für die meisten kleinen Unternehmen und Vereine heißt das: nicht in Panik geraten, aber jetzt wissen, was man einsetzt.
Die Frage, die wirklich zählt.
Bestimmte Anwendungen sind grundsätzlich verboten, etwa manipulative KI oder Social Scoring – für ein normales KMU praktisch nie relevant. Hochriskant können Systeme sein, die Bewerbungen auswählen oder Beschäftigte bewerten. Besondere Transparenzpflichten gelten für Chatbots und Deepfakes. Und der große Rest – Textentwürfe, Zusammenfassungen, Rechercheunterstützung – bleibt in der Regel ohne zusätzliche Pflichten allein deshalb, weil KI im Spiel ist.
Die entscheidende Frage ist deshalb nicht „Welches KI-Tool benutzen wir?", sondern wofür wir es benutzen. Wer ChatGPT bittet, eine Stellenanzeige freundlicher zu formulieren, betreibt noch keine Hochrisiko-KI. Wer ein System einsetzt, das aus 200 Bewerbungen automatisch die vermeintlich besten zehn auswählt, befindet sich in einem völlig anderen Bereich.
Die drei Pflichten, die für die meisten KMU und Vereine tatsächlich zählen.
Wissen, welche KI überhaupt eingesetzt wird. Der wichtigste Schritt kostet nichts. Eine einfache Liste reicht: welches System, wofür, wer damit arbeitet, ob personenbezogene oder vertrauliche Daten hineinfließen. Gerade ChatGPT, Copilot oder KI-Funktionen in vorhandener Software werden oft von Einzelnen genutzt, ohne dass die Organisation davon weiß (siehe Teil 2, Shadow AI).
KI-Kompetenz im Team sicherstellen. Diese Pflicht gilt schon seit Februar 2025, nicht erst ab August. Wie umfangreich sie ausfällt, hängt vom Einsatz ab: Wer nur Briefentwürfe formuliert, braucht anderes Wissen als jemand, der mit KI Bewerbungen bewertet. Für die meisten kleinen Organisationen reicht eine kurze, dokumentierte Schulung – was das System kann, wo seine Grenzen liegen, welche Daten erlaubt sind, wie Ergebnisse kontrolliert werden.
Transparenz dort, wo sie vorgeschrieben ist – nicht überall. Wer mit einem KI-Chatbot interagiert, soll das erkennen können; ein sichtbarer Hinweis direkt am Chat ist sinnvoller als eine versteckte Zeile im Impressum. Aber nicht jedes KI-generierte Bild oder jeder KI-Text muss sichtbar gekennzeichnet werden. Ein Handwerksbetrieb, der mit einem Bildgenerator eine Flyer-Illustration erstellt, muss das nicht extra ausweisen. Bei Deepfakes und bestimmten öffentlichkeitsrelevanten Inhalten sieht das anders aus.
Der AI Act verbietet KI nicht pauschal. Er verlangt, dass Organisationen wissen, welche KI sie wofür einsetzen – und welche Regeln dafür gelten.
Wo das im Alltag brisant wird.
Ein Sportverein setzt einen KI-Chatbot für Fragen zu Mitgliedschaft und Trainingszeiten ein – hier reicht es zu prüfen, ob für Besucher klar erkennbar ist, dass sie mit KI kommunizieren.
Ein Handwerksbetrieb lässt sich von ChatGPT Kundenbriefe entwerfen und kontrolliert sie selbst – normalerweise keine Hochrisiko-Anwendung, aber Datenschutz und Ergebniskontrolle gehören trotzdem zur KI-Kompetenz.
Ein Unternehmen setzt Software ein, die Bewerbungen automatisch in eine Rangliste bringt – hier lohnt sich ein genauer Blick, denn hier kann tatsächlich eine Hochrisiko-Anwendung vorliegen.
Ein wichtiger Punkt geht dabei oft unter: Der AI Act ist nicht das einzige Recht, das beim KI-Einsatz gilt. Auch eine nach dem AI Act unproblematische Anwendung kann Fragen zu Datenschutz, Urheberrecht oder Geschäftsgeheimnissen aufwerfen. Eine Mitgliederliste mit Namen und Adressen gehört nicht einfach in einen öffentlichen KI-Dienst – unabhängig davon, was der AI Act dazu sagt.
Und die Millionenbußgelder?
Die höchsten Bußgeldrahmen können bei besonders schweren Verstößen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes erreichen. Diese Zahl braucht Kontext: Nicht jeder Verstoß fällt darunter, und der AI Act sieht bei der Bemessung ausdrücklich Verhältnismäßigkeit vor, mit besonderer Rücksicht auf kleinere Unternehmen. Für einen kleinen Verein ist die Schlagzeile „35 Millionen Euro" deshalb wenig hilfreich – die praktische Botschaft dahinter umso mehr.
Die gute Nachricht.
Für die meisten kleinen Unternehmen und Vereine ist der AI Act beherrschbar. Wer KI für Texte, Ideen, Übersetzungen oder interne Unterstützung nutzt, landet dadurch nicht automatisch in einem komplizierten Regulierungssystem. Kritischer wird es dort, wo KI mit Menschen interagiert oder Entscheidungen über sie vorbereitet – etwa im Personalbereich.
Die beste Vorbereitung ist kein Ordner voller Formulare. Es sind drei Fragen: Welche KI nutzen wir? Wofür nutzen wir sie? Welche Regeln gelten genau für diesen Einsatz?
Im letzten Teil dieser Serie geht es um die KI-Usage-Policy: alle Regeln aus dieser Serie auf einer Seite, zum Aushängen und Weitergeben im eigenen Betrieb.
Und wenn Sie unsicher sind, in welche Risikostufe Ihre KI-Tools fallen: Das erste Gespräch ist kostenlos.