EU AI Act für kleine Unternehmen: Was Art. 4 und Art. 50 praktisch bedeuten

Stand: Oktober 2026. Dieser Beitrag ist keine Rechtsberatung.

Der EU AI Act (Verordnung (EU) 2024/1689) wird in Diskussionen meist mit Hochrisiko-Systemen, Konformitätsbewertungen und hohen Bußgeldern verbunden. Für die meisten kleinen Unternehmen, die KI für Texte, Zusammenfassungen, Recherche oder einen Website-Assistenten nutzen, sind zwei Vorschriften praktisch relevant: Art. 4 zur KI-Kompetenz und Art. 50 zur Transparenz. Beide gelten bereits. Dieser Beitrag beschreibt, was sie verlangen und was eine vernünftige, verhältnismäßige Umsetzung sein kann.

Der Zeitplan nach dem Digital Omnibus

Im Sommer 2026 hat die EU mit dem sogenannten Digital Omnibus zur KI (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) einige Fristen verschoben. Andere blieben, wie sie waren. Der aktuelle Überblick:

Seit / ab	Was gilt
2. Februar 2025	Verbotene Praktiken (Art. 5) und KI-Kompetenz (Art. 4)
2. August 2025	Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck
2. August 2026	Transparenzpflichten (Art. 50), nicht verschoben
2. Dezember 2026	Ende der Übergangsfrist für die maschinenlesbare Kennzeichnung (Art. 50 Abs. 2) bei generativen Systemen, die schon vor dem 2. August 2026 auf dem Markt waren; zusätzliches Verbot von Systemen zur Erzeugung nicht einvernehmlicher intimer Bilder und von Missbrauchsdarstellungen
2. Dezember 2027	Hochrisiko-Systeme nach Anhang III (z. B. Personalauswahl, Kreditwürdigkeit) – zuvor 2. August 2026
2. August 2028	Hochrisiko-KI in Produkten nach Anhang I

In Deutschland ist seit Ende Juli 2026 das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) in Kraft. Es bestimmt die Bundesnetzagentur als zentrale Marktüberwachungsbehörde.

Für ein typisches kleines Unternehmen heißt das: Die Verschiebung der Hochrisiko-Regeln ändert an Ihren aktuellen Pflichten wenig. Art. 4 und Art. 50 gelten.

Anbieter oder Betreiber?

Der AI Act unterscheidet vor allem zwischen Anbietern (wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt) und Betreibern (wer ein KI-System in eigener Verantwortung beruflich verwendet).

Wenn Ihre Mitarbeitenden ein fertiges Werkzeug nutzen, sind Sie Betreiber. Lassen Sie sich dagegen einen eigenen Chat-Assistenten für Ihre Website bauen, der auf einer API aufsetzt, und betreiben ihn unter Ihrem Namen, kommen Sie je nach Gestaltung in die Rolle des Anbieters dieses Systems. Die Pflichten aus Art. 50 sind teilweise an Anbieter, teilweise an Betreiber gerichtet. Es lohnt sich deshalb, für jede Anwendung kurz festzuhalten, in welcher Rolle Sie sind.

Art. 4: KI-Kompetenz

Was verlangt wird

Ursprünglich verlangte Art. 4, dass Anbieter und Betreiber "nach besten Kräften" ein ausreichendes Maß an KI-Kompetenz ihres Personals sicherstellen. Mit dem Digital Omnibus wurde die Vorschrift umformuliert: Anbieter und Betreiber müssen Maßnahmen ergreifen, die die Entwicklung von KI-Kompetenz unterstützen, und diese an Kenntnissen, Erfahrung, Ausbildung, Einsatzkontext und betroffenen Personen ausrichten. Ein bestimmtes individuelles Niveau müssen Sie nicht garantieren, und das Gesetz schreibt weder einen Kurs noch ein Zertifikat vor.

Die Pflicht bleibt also bestehen, ist aber ausdrücklich eine Pflicht zum Bemühen. Sie trifft auch Unternehmen, die KI nur als Betreiber einsetzen.

Was das praktisch heißt

Für ein Unternehmen mit zehn oder fünfzig Beschäftigten ist ein schlankes Vorgehen angemessen:

1. Bestandsaufnahme. Welche KI-Werkzeuge werden genutzt, von wem, wofür? Auch die, die einzelne Mitarbeitende auf eigene Faust verwenden.
2. Eine kurze Richtlinie. Welche Werkzeuge sind freigegeben? Welche Daten dürfen nicht hinein (Kundendaten, Personaldaten, Geschäftsgeheimnisse – je nach Vertrag mit dem Anbieter)? Wer ist Ansprechpartner?
3. Schulung nach Rolle. Nicht jeder braucht dasselbe. Wer nur Texte entwerfen lässt, muss wissen, dass Modelle Fakten erfinden können und Ergebnisse geprüft werden müssen. Wer KI-Ergebnisse in Kundenentscheidungen einfließen lässt, braucht mehr: Grenzen des Systems, typische Fehler, Verantwortung.
4. Dokumentation. Wer wurde wann wozu unterwiesen, welche Richtlinie gilt in welcher Fassung. Eine Tabelle genügt.
5. Wiederholung. Werkzeuge und Modelle ändern sich schnell. Ein jährlicher Blick auf Richtlinie und Schulung ist sinnvoll.

Typische Schulungsinhalte, die sich in einer Stunde vermitteln lassen:

• Wie ein Sprachmodell Texte erzeugt und warum es überzeugend falsch liegen kann
• Was mit eingegebenen Daten passiert (Firmenkonto vs. privates Konto)
• Prüfpflicht: Wer ein KI-Ergebnis verwendet, verantwortet es
• Kennzeichnung gegenüber Kunden (siehe unten)
• Wohin man sich wendet, wenn etwas schiefgeht

Art. 50: Transparenzpflichten

Art. 50 enthält vier Gruppen von Pflichten. Für kleine Unternehmen sind vor allem die ersten beiden und die vierte relevant.

Abs. 1: Hinweis bei KI-Interaktion

Anbieter müssen KI-Systeme, die direkt mit Menschen interagieren, so gestalten, dass die Personen informiert werden, dass sie mit einer KI interagieren – es sei denn, das ist aus Sicht einer normal informierten Person offensichtlich.

Praktisch betrifft das jeden Chat-Assistenten auf Ihrer Website, jede automatisch antwortende E-Mail-Funktion und jeden Telefonassistenten. Der Hinweis muss nach Art. 50 Abs. 5 klar und eindeutig sein und spätestens bei der ersten Interaktion erfolgen. Eine Zeile über dem Eingabefeld wie "Sie schreiben mit einem KI-Assistenten. Antworten können Fehler enthalten." erfüllt den Zweck besser als ein Absatz in der Datenschutzerklärung.

Abs. 2: Maschinenlesbare Kennzeichnung

Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen die Ausgaben in maschinenlesbarem Format als künstlich erzeugt kennzeichnen. Das richtet sich in erster Linie an die Hersteller der Modelle und Werkzeuge. Wenn Sie ein fremdes Modell per API nutzen, sollten Sie bei Ihrem Anbieter nachfragen, wie er diese Pflicht umsetzt, und prüfen, ob Ihre eigene Anwendung dadurch Kennzeichnungen entfernt.

Abs. 3: Emotionserkennung und biometrische Kategorisierung

Betreiber solcher Systeme müssen Betroffene informieren. Für die meisten kleinen Unternehmen kein Thema; falls doch, ist ohnehin eine gründliche rechtliche Prüfung angebracht.

Abs. 4: Deepfakes und veröffentlichte Texte

Betreiber, die Deepfakes erzeugen – realistisch wirkende Bilder, Audio oder Videos von echten Personen, Orten oder Ereignissen –, müssen offenlegen, dass sie künstlich erzeugt sind. Für künstlerische oder satirische Werke gelten Erleichterungen.

KI-erzeugte Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, sind ebenfalls zu kennzeichnen. Ausgenommen ist der Fall, dass der Text menschlich überprüft oder redaktionell kontrolliert wurde und jemand die redaktionelle Verantwortung trägt. Ein Blogbeitrag über Ihre Produkte, den ein Mitarbeiter mit KI entworfen und vor der Veröffentlichung geprüft hat, fällt nach verbreiteter Lesart nicht unter die Kennzeichnungspflicht. Ein automatisch erzeugter und ungeprüft veröffentlichter Newsfeed dagegen schon.

Was Sie konkret tun können

• Liste aller Stellen, an denen Kunden oder Besucher mit einer KI interagieren
• Hinweis an jeder dieser Stellen, sichtbar vor oder bei der ersten Interaktion
• Regel für Bilder und Videos: Werden realistisch wirkende Personen oder Ereignisse erzeugt? Dann Kennzeichnung
• Freigabeprozess für veröffentlichte KI-Texte festlegen und dokumentieren
• Beim KI-Anbieter erfragen, wie er Art. 50 Abs. 2 umsetzt

Die EU-Kommission arbeitet an Leitlinien und einem Verhaltenskodex zur Kennzeichnung KI-erzeugter Inhalte. Prüfen Sie den aktuellen Stand, bevor Sie eine technische Lösung festlegen.

Und die Bußgelder?

Verstöße gegen Art. 50 können nach Art. 99 mit erheblichen Geldbußen geahndet werden; für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Höchstbeträge (fester Betrag oder Prozentsatz des Umsatzes). Realistischer als ein Bußgeld ist für viele Unternehmen allerdings ein anderes Risiko: Ein Chat-Assistent, der sich als Mensch ausgibt oder falsche Auskünfte gibt, beschädigt Vertrauen, und fehlende Kennzeichnung kann auch wettbewerbsrechtlich angreifbar sein.

Was nicht in diesem Beitrag steht

Wenn Sie KI bei der Bewerberauswahl, bei der Leistungsbewertung von Beschäftigten, bei der Kreditprüfung oder in sicherheitsrelevanten Produkten einsetzen, sind Sie im Bereich der Hochrisiko-Regeln. Die Fristen sind verschoben, die Anforderungen nicht weggefallen. Dafür brauchen Sie eine eigene rechtliche Prüfung. Beim Einsatz gegenüber Beschäftigten ist außerdem der Betriebsrat zu beteiligen, siehe KI im Unternehmen und der Betriebsrat.

Häufige Fragen

Gilt der EU AI Act auch, wenn wir nur fertige KI-Werkzeuge nutzen?

Ja. Wer ein KI-System in eigener Verantwortung beruflich verwendet, ist Betreiber, und für Betreiber gilt insbesondere Art. 4: Sie müssen Maßnahmen ergreifen, die die KI-Kompetenz ihres Personals unterstützen. Je nach Anwendung kommen Transparenzpflichten aus Art. 50 hinzu, etwa bei Deepfakes oder veröffentlichten KI-Texten ohne redaktionelle Prüfung.

Muss ein Chat-Assistent auf der Website als KI gekennzeichnet sein?

In aller Regel ja. Nach Art. 50 Abs. 1 müssen KI-Systeme, die direkt mit Menschen interagieren, so gestaltet sein, dass die Personen wissen, dass sie mit einer KI interagieren, es sei denn, das ist offensichtlich. Der Hinweis muss klar und eindeutig sein und spätestens bei der ersten Interaktion erfolgen; eine Zeile über dem Eingabefeld erfüllt den Zweck besser als ein Absatz in der Datenschutzerklärung.

Schreibt Art. 4 eine Schulung oder ein Zertifikat vor?

Nein. Seit dem Digital Omnibus verlangt Art. 4 Maßnahmen, die die Entwicklung von KI-Kompetenz unterstützen, ausgerichtet an Kenntnissen, Einsatzkontext und betroffenen Personen; ein bestimmtes individuelles Niveau müssen Sie nicht garantieren. Für ein kleines Unternehmen ist ein schlankes Vorgehen angemessen: Bestandsaufnahme, kurze Richtlinie, Schulung nach Rolle und eine einfache Dokumentation.

---

Bauen wir für Sie eine KI-Funktion, etwa einen Chat-Assistenten für die Website oder eine automatische Antwort auf Anfragen, steht die Kennzeichnung für Nutzer als Abnahmekriterium auf der Aufgabe, nicht als optionaler Zusatz. Ob Ihre Anwendung einen Hinweis braucht und wo er hingehört, legen wir fest, bevor wir mit der Aufgabe beginnen; zu Lieferungen mit KI gehört außerdem ein KI-Steckbrief für Ihre eigene Dokumentation. Die erste Aufgabe ist kostenlos: Sie beschreiben sie auf Ihrem Board, wir liefern 48 Stunden nach Start, gezählt von Montag 8 Uhr bis Freitag 16 Uhr, und jede Lieferung prüft und gibt ein Senior-Entwickler frei. Weitere Aufgaben arbeiten wir danach im Prozess-Abo in Ihrer Reihenfolge ab; mehr dazu unter KI-Integration. Wer vorher Fragen klären möchte, kann einen kostenlosen Projekt-Check buchen. Die datenschutzrechtliche Seite behandelt der Beitrag KI und DSGVO.