KI-Verordnung: die Compliance-Checkliste für KMU

Die KI-Verordnung der EU (Verordnung (EU) 2024/1689) gilt für fast jedes Unternehmen, das in der Europäischen Union KI nutzt oder entwickelt, selbst wenn Sie nur einen Chatbot auf Ihrer Marketing-Website betreiben. Dieser Leitfaden ist die Arbeits-Checkliste, die wir Gründern und Produktverantwortlichen in die Hand geben würden, die gerade gemerkt haben, dass die Verordnung für sie gilt, und die ungefähr zwei Wochenenden haben, um sich zu orientieren, bevor sie mit einer Anwaltskanzlei sprechen.

Sie möchten eine erste Antwort für Ihr eigenes System? Der kostenlose Vorab-Check zur KI-Verordnung gibt Ihnen in etwa fünf Minuten eine vorläufige Risikoklasse, ohne Anmeldung.

Er zeigt, was Sie erfassen, was Sie einstufen, was Sie schriftlich festhalten und was Sie bis zu welcher Frist umsetzen müssen. Er ist keine Rechtsberatung. Er ist der praktische erste Durchgang.

Erweitert durch den digitalen Omnibus zur KI: Die Erleichterungen der KI-Verordnung für KMU — vereinfachte Dokumentationsvorlagen, verhältnismäßige Anforderungen an das Qualitätsmanagement, vorrangiger Zugang zu KI-Reallaboren und niedrigere Obergrenzen für Geldbußen — gelten jetzt auch für eine Stufe der kleinen Unternehmen mittlerer Kapitalisierung (englisch „small mid-caps“, SMC). Die Verordnung (EU) 2026/1744 fügt die Begriffsbestimmung als Art. 3 Nr. 14b in die KI-Verordnung ein und verweist auf die Empfehlung (EU) 2025/1099 der Kommission: ein Unternehmen, das kein KMU im Sinne der Empfehlung 2003/361/EG ist, weniger als 750 Personen beschäftigt und einen Jahresumsatz von höchstens 150 Mio. € oder eine Jahresbilanzsumme von höchstens 129 Mio. € hat. In Kraft seit dem 27. Juli 2026.

Schritt 1 — Erfassen Sie jedes KI-System, das Sie nutzen oder entwickeln

Die Verordnung regelt KI-Systeme, die Art. 3 Nr. 1 weit fasst. Für die meisten KMU heißt das: alles, was ein Basismodell nutzt (ChatGPT, Claude, Mistral, Llama), jedes intern trainierte ML-Modell, jedes Produkt eines Lieferanten, das mit „KI“ wirbt, und jedes eingebettete System, das Vorhersagen, Empfehlungen oder Entscheidungen erzeugt.

Halten Sie für jedes System fest:

• Eine kurze Beschreibung in einfacher Sprache, was es tut
• Den geschäftlichen Zweck
• Wer es gebaut hat (Ihr Team, ein namentlich bekannter Lieferant, ein Anbieter eines Basismodells)
• Die Eingabedaten (biometrische Daten, Gesundheits-, Finanz-, Verhaltens- und Standortdaten)
• Die betroffenen Personen (Beschäftigte, Bewerber, Kunden, die Öffentlichkeit)
• Ihre Rolle: Betreiber (Sie nutzen es), Anbieter (Sie entwickeln es und bringen es in der EU in Verkehr) oder beides

Erst erfassen, dann einstufen. Die meisten Teams überspringen die Bestandsaufnahme und landen bei einem 200-seitigen Dokument, das drei Systeme in der Personalabteilung übersieht.

Schritt 2 — Prüfen Sie auf verbotene Praktiken (Artikel 5)

Art. 5 nennt acht Praktiken, die seit dem 2. Februar 2025 rundweg verboten sind. Die Geldbußen reichen bis 35 Mio. € oder 7 % des weltweiten Umsatzes, je nachdem, welcher Betrag höher ist (Art. 99). Die wahrscheinlichsten Fallen für KMU:

• Unterschwellige Beeinflussung oder Ausnutzung schutzbedürftiger Nutzer (Alter, Behinderung, wirtschaftliche Situation)
• Systeme zur sozialen Bewertung, die zu einer ungerechtfertigten Schlechterstellung führen
• Biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen
• Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen

Für ein gewöhnliches B2B-SaaS greift diese Liste meist nicht, aber prüfen Sie jedes System einmal. Ein Fehler an dieser Stelle hat katastrophale Folgen.

Schritt 3 — Stufen Sie jedes System nach Risikostufe ein

Jedes System, das nicht verboten ist, fällt in eine von drei Stufen:

Stufe	Was das bedeutet	Quelle
Hohes Risiko	Fällt unter Anhang III (Personalwesen, Bonitätsbewertung, grundlegende Dienste, biometrische Identifizierung usw.) oder ist Sicherheitsbauteil eines regulierten Produkts (Anhang I).	Art. 6
Begrenztes Risiko	Nur Transparenzpflichten — typischerweise Chatbots und generierte Inhalte.	Art. 50
Minimales Risiko	Keine besonderen Pflichten über die KI-Kompetenz hinaus.	—

Lesen Sie Anhang III sorgfältig. Die Bereiche in Anhang III, die ahnungslose KMU am häufigsten erfassen: Beschäftigung (Sichtung von Lebensläufen, Bewertung von Vorstellungsgesprächen), Kreditwürdigkeit, Bildung (Bewertung von Prüfungen) und Zugang zu grundlegenden Diensten.

Den vollständigen Weg durch die Einstufung zeigt unser Leitfaden Ist mein KI-System ein Hochrisiko-KI-System?

Schritt 4 — Bei hohem Risiko: Planen Sie die vollständigen Anbieterpflichten

Für Anbieter von Hochrisiko-KI-Systemen (Art. 9 bis 17) gehören zu den Pflichten:

• Ein dokumentiertes Risikomanagementsystem über den gesamten Lebenszyklus
• Daten-Governance (Qualität der Trainings-, Validierungs- und Testdaten)
• Technische Dokumentation nach Anhang IV
• Protokollierung und Aufzeichnung
• Transparenz und Betriebsanleitungen für Betreiber
• In das System eingebaute Maßnahmen der menschlichen Aufsicht
• Genauigkeit, Robustheit und Cybersicherheit (Art. 15)
• Konformitätsbewertung und CE-Kennzeichnung
• Registrierung in der EU-Datenbank (Art. 49)
• Beobachtung nach dem Inverkehrbringen und Meldung schwerwiegender Vorfälle (Art. 72 und 73)

Für Betreiber von Hochrisiko-KI-Systemen (Art. 26) umfasst der leichtere Katalog:

• Das System gemäß der Betriebsanleitung des Anbieters verwenden
• Eine wirksame menschliche Aufsicht über die Ausgaben sicherstellen
• Betroffene Personen darüber informieren, dass KI im Spiel ist
• Die vom Anbieter bereitgestellten Protokolle aufbewahren
• Eine Grundrechte-Folgenabschätzung durchführen, wenn Sie zu den in Art. 27 genannten Gruppen gehören

Schritt 5 — Pflicht in jeder Stufe: KI-Kompetenz (Artikel 4)

Art. 4 — er gilt seit dem 2. Februar 2025 und wurde durch den digitalen Omnibus mit Wirkung vom 27. Juli 2026 neu gefasst — verpflichtet Anbieter und Betreiber, Maßnahmen zu ergreifen, die die KI-Kompetenz ihres Personals im Kontext der Systeme, mit denen es arbeitet, unterstützen. Ein bestimmtes Niveau verlangt er von niemandem mehr, und ein Zertifizierungssystem gibt es nicht. Unser Rat: Dokumentieren Sie Ihr Programm zur KI-Kompetenz, damit Sie zeigen können, was Sie getan haben. Siehe KI-Kompetenz nach Artikel 4.

Schritt 6 — Transparenz bei Systemen mit begrenztem Risiko (Artikel 50)

Wenn Ihr KI-System mit Menschen interagiert (Chatbot), synthetische Medien erzeugt (Deepfakes, mit GPT erzeugte Inhalte) oder Emotionen erkennt, müssen Sie das in klarer Sprache offenlegen. Der Hinweis muss unmissverständlich sein — eine Fußnote in Ihrer Datenschutzerklärung zählt nicht. Er sollte dort sichtbar sein, wo die Interaktion stattfindet.

Schritt 7 — Dokumentieren Sie die Bestätigung durch einen Menschen

Was auch immer Ihr System tut: Der rechtlich maßgebliche Moment im Sinne der Verordnung ist der, in dem eine namentlich benannte Person in Ihrer Organisation eine folgenreiche KI-Ausgabe bestätigt. Bauen Sie das als Anbieter in das Produkt ein und als Betreiber in Ihre Abläufe. Halten Sie fest: wer, wann, auf welcher Grundlage und mit welchen Prüfanmerkungen. Das wird das Rückgrat Ihres Prüfpfads.

Schritt 8 — Behalten Sie die Fristen im Blick

Datum	Was gilt
2. Februar 2025	Verbotene Praktiken (Art. 5) + KI-Kompetenz (Art. 4)
2. August 2025	Pflichten für KI-Modelle mit allgemeinem Verwendungszweck + Governance-Gremien
2. August 2026	Transparenzpflichten nach Art. 50 (Chatbots, Deepfakes, Offenlegung von KI-Interaktion und synthetischen Inhalten). Für die maschinenlesbare Kennzeichnung synthetischer Inhalte, die schon vor dem 2. August 2026 auf dem Markt waren, gilt eine Übergangsfrist bis zum 2. Dezember 2026.
2. Dezember 2027	Die meisten Bestimmungen — einschließlich der Registrierung von Hochrisiko-KI-Systemen, der Beobachtung nach dem Inverkehrbringen und der Geldbußen nach Art. 99 für Verstöße gegen diese Pflichten — verschoben vom 2. August 2026 durch den digitalen Omnibus
2. August 2028	Hochrisiko-KI nach Anhang I (regulierte Produkte) — verschoben vom 2. August 2027 durch den digitalen Omnibus

Der 2. Dezember 2027 ist das Datum, nach dem Sie planen sollten. Planen Sie Ihre Konformitätsbewertung, Ihre technische Dokumentation und Ihre Registrierung in der EU-Datenbank vom 2. Dezember 2027 aus rückwärts (vom 2. August 2026 verschoben durch den digitalen Omnibus zur KI, Verordnung (EU) 2026/1744, seit dem 27. Juli 2026 in Kraft).

Was Software für Sie übernimmt

Sie werden diese Checkliste nicht aus dem Gedächtnis abarbeiten. Sie gehen sie System für System in einem Werkzeug durch, das Ihr KI-Inventar, Ihre Risikoeinstufungen, Ihre Nachweise und Ihre Prüfanmerkungen an einem Ort hält — und das Dossier erstellt, wenn eine Aufsichtsbehörde danach fragt. Dafür ist Maditon da.