Die meisten Beiträge zur KI-Verordnung sind für Konzerne geschrieben. Dieser hier nicht. Er geht davon aus, dass Sie zwischen zehn und zweihundertfünfzig Mitarbeitende haben, KI nutzen statt entwickeln und wenig Zeit haben.
Mit hoher Wahrscheinlichkeit ja — aber vermutlich weniger, als Sie befürchten. Die Verordnung kennt keine Mitarbeiterschwelle; sie unterscheidet nach Rolle und Risiko, nicht nach Größe.
Entscheidend ist Ihre Rolle. Wer KI-Werkzeuge nur einsetzt, ist Betreiber. Für Betreiber ist der Pflichtenkatalog überschaubar. Zum Anbieter mit deutlich mehr Pflichten werden Sie erst, wenn Sie ein System unter eigenem Namen anbieten oder es wesentlich verändern — etwa einen Chatbot mit eigenem Branding auf die Website setzen.
Der Digital Omnibus wurde am 29. Juni 2026 endgültig angenommen und ist im Juli 2026 in Kraft getreten. Er ist geltendes Recht, keine Ankündigung.
| Datum | Was gilt |
|---|---|
| 02.02.2025 | Verbotene Praktiken (Art. 5) · KI-Kompetenzpflicht (Art. 4) |
| 02.08.2025 | Pflichten für Allzweck-KI-Modelle, Governance, nationale Sanktionsregeln |
| 02.08.2026 | Transparenzpflichten (Art. 50) · nationale Marktaufsicht nimmt Arbeit auf |
| 02.12.2026 | Art. 50 Abs. 2 auch für Altsysteme · neue Verbotstatbestände |
| 09.12.2026 | Umsetzungsfrist der neuen EU-Produkthaftungsrichtlinie (Software und KI gelten als Produkte) |
| 02.12.2027 | Hochrisiko-Pflichten für eigenständige Systeme — verschoben |
| 02.08.2028 | Hochrisiko-Pflichten für KI in regulierten Produkten — verschoben |
Die Kurzfassung: Wer Hochrisiko-KI baut, hat Zeit gewonnen. Wer KI nur nutzt, ist längst dran.
Alles Weitere — Konformitätsbewertung, technische Dokumentation, Registrierung — betrifft Anbieter und Hochrisiko-Systeme, also die wenigsten Mittelständler.
Von den acht Bereichen des Anhangs III sind für den Mittelstand praktisch nur zwei relevant:
Wenn Sie so etwas einsetzen: dokumentieren, an die Geschäftsführung eskalieren und anwaltlich prüfen lassen. Die Frist Dezember 2027 verschafft Ihnen Zeit, aber die Einstufung sollte jetzt stehen.
Zuständig sind die nationalen Marktüberwachungsbehörden. In Deutschland ist die Bundesnetzagentur vorgesehen, die seit Juli 2025 einen KI-Service-Desk speziell für kleine und mittlere Unternehmen betreibt — inklusive eines kostenlosen interaktiven Kompasses zur Risikoeinstufung.
Realistisch beginnen Behörden nicht mit Bußgeldern, sondern mit einem Auskunftsersuchen und einer Anordnung zur Abhilfe. Wer dann liefern kann, ist durch.
Der häufigere Auslöser ist ohnehin kein Amt: Es ist der Lieferantenfragebogen eines Geschäftskunden. Dort stehen fünf Fragen, die inzwischen Standard sind — nach dem Verzeichnis der KI-Systeme, der internen Richtlinie, dem Schulungsstand, der verantwortlichen Person und dem Einsatz von Hochrisiko-Systemen.
Für ein Unternehmen mit fünfzig Mitarbeitenden, das KI nur nutzt:
Das ist der realistische Rahmen. Wer Ihnen ein sechsstelliges Beratungsprojekt verkaufen will, redet über eine andere Unternehmensgröße.
Ja. Es gibt keine Mitarbeiterschwelle. Die Verordnung unterscheidet nach Rolle und Risiko, nicht nach Größe. Für reine Anwenderunternehmen ist der Pflichtenkatalog allerdings überschaubar.
Betreiber nutzen ein KI-System im beruflichen Kontext — das trifft auf die meisten Unternehmen zu. Anbieter entwickeln ein System oder bringen es unter eigenem Namen auf den Markt. Wer ein zugekauftes System unter eigener Marke anbietet oder wesentlich verändert, wird rechtlich zum Anbieter.
Teilweise. Der Digital Omnibus hat die Hochrisiko-Pflichten auf Dezember 2027 beziehungsweise August 2028 verschoben. Der 2. August 2026 für die Transparenzpflichten und den Start der Marktaufsicht blieb unverändert.
Gesetzlich vorgeschrieben ist die Rolle nicht — anders als beim Datenschutzbeauftragten gibt es keine Bestellpflicht. Praktisch ist sie Standard geworden, weil die Pflichten das Unternehmen treffen und ohne benannte Person niemand sie erfüllt.
Für einen Betrieb mit rund fünfzig Mitarbeitenden: ein halber bis ein Tag Ersteinrichtung, etwa dreißig Minuten Schulung pro Person und laufend zwei bis sechs Stunden im Monat.
Der kostenlose Quick-Check geht zehn Punkte durch — KI-Inventar, Schulungsstand, Transparenzpflichten, Zuständigkeiten. In zwei Minuten, ohne Anmeldung, mit ehrlichem Ergebnis und konkreten Lücken.
Quick-Check starten — kostenlos