Die EU-KI-Verordnung mag wie ein Thema für Modelllabore, Banken, Medizinproduktehersteller und Behörden wirken. Das stimmt teilweise. Die umfangreichsten Pflichten treffen Anbieter von Hochrisiko-KI-Systemen und Modellen mit allgemeinem Verwendungszweck.
KMU benötigen dennoch ein funktionierendes Governance-Modell. Setzt Ihr Unternehmen KI in Personalgewinnung, Kundendienst, Dokumentenverarbeitung, Vertrieb, Support, Marketing, Softwareentwicklung oder interner Entscheidungsunterstützung ein, lautet die Frage nicht: „Sind wir ein reguliertes KI-Unternehmen?“ Sondern: „Welche KI-Systeme verwenden wir, welche Risiken entstehen und wer verantwortet ihre sichere Nutzung?“
Dieser Artikel bietet einen praktischen Governance-Plan für KMU. Er ist keine Rechtsberatung, sondern die betriebliche Grundlage, die stehen sollte, bevor rechtliche Prüfungen teuer werden.
Behandeln Sie die Vorbereitung auf die KI-Verordnung zunächst als betriebliche Bestandsaufnahme. Können Sie KI-Systeme, Anbieter, Nutzer, Datenkategorien, Entscheidungsauswirkungen und Regeln zur menschlichen Aufsicht nicht auflisten, können Sie weder Risiken belastbar einstufen noch verantwortungsvolle Nutzung nachweisen.
Der relevante Zeitplan
Die EU-KI-Verordnung (Verordnung (EU) 2024/1689, vollständiger Text auf EUR-Lex) wird in Phasen umgesetzt; die unten genannten Daten wurden am 2026-07-07 erneut überprüft, basierend auf der KI-Verordnungsseite der Kommission. Die Verordnung trat am 1. August 2024 in Kraft. Verbotene Praktiken und Pflichten zur KI-Bildung begannen am 2. Februar 2025 zu gelten. Governance-Regeln und Pflichten für allgemein verwendbare KI-Modelle wurden am 2. August 2025 anwendbar. Transparenzregeln gelten ab 2. August 2026.
Der Zeitplan für Hochrisiko-Systeme wurde durch das Vereinfachungspaket Digital Omnibus verschoben. Nach der politischen Einigung vom 7. Mai 2026 nennt die Seite der Kommission zur KI-Verordnung den 2. Dezember 2027 für Regeln zu Systemen in bestimmten Hochrisikobereichen wie Biometrie, kritischer Infrastruktur, Bildung, Beschäftigung, Migration, Asyl und Grenzkontrolle. Für Hochrisiko-Systeme, die in regulierte Produkte eingebettet sind, gilt der 2. August 2028. Da diese Termine bereits einmal verschoben wurden, prüfen Sie die Kommissionsseite, bevor Sie eine Compliance-Frist fest im Budget verankern.
Was Nicht-Konformität tatsächlich kostet
Das ist die erste Frage vieler KMU-Verantwortlicher. Die in Artikel 99 vorgesehenen Geldbußen (verifiziert am 2026-07-07):
- Verbotene Praktiken (die Liste in Artikel 5 — soziale Bewertung, manipulative Techniken, die meisten Echtzeit-Fernbiometrieverfahren): bis zu 35 Millionen Euro oder 7 % des weltweiten jährlichen Umsatzes, je nachdem, was höher ist.
- Die meisten anderen Pflichten, einschließlich der Hochrisikopflichten und Transparenzpflichten: bis zu 15 Millionen Euro oder 3 % des Umsatzes.
- Falsche oder irreführende Angaben an Behörden: bis zu 7,5 Millionen Euro oder 1 % des Umsatzes.
Die Verordnung enthält zwei für KMU relevante Erleichterungen: Für KMU und Start-ups gilt jeweils der niedrigere Wert aus Festbetrag und Prozentsatz; zudem müssen nationale Behörden die Verhältnismäßigkeit berücksichtigen. Die praktische Schlussfolgerung bleibt: Behandeln Sie die Liste verbotener Praktiken als absolute Grenze. Die folgende Bestandsaufnahme hilft, unbeabsichtigte Verstöße zu vermeiden.
Wer überwacht dies in Estland
Bis Mitte 2026 hatte Estland noch keine endgültig bestimmte, für die KI-Verordnung zuständige Marktüberwachungsbehörde (verifiziert am 2026-07-07). Erwartet wird eine Struktur über die Verbraucherschutz- und technische Regulierungsbehörde (TTJA) unter dem Wirtschafts- und Kommunikationsministerium, die bereits angrenzende Marktüberwachungsregime betreut. Für ein estnisches KMU bedeutet das praktisch: Es gibt noch keine lokale Durchsetzungspraxis als Orientierung. Planen Sie daher anhand des Verordnungstextes statt erwarteter Leitlinien, halten Sie Bestandsaufnahme und Anbieterdokumentation bereit und rechnen Sie damit, dass sich erste Aufsichtsmaßnahmen auf bereits geltende verbotene Praktiken und Transparenzpflichten konzentrieren.
Nutzen Sie diese Termine als Planungsgrundlage, nicht als Ersatz für rechtliche Bestätigung. Für KMU gilt praktisch: Beginnen Sie jetzt, denn Bestandsaufnahme, Verantwortlichkeiten, Dokumentation und menschliche Aufsicht brauchen Zeit.
Anbieter, Betreiber oder Käufer?
Die meisten KMU trainieren keine Spitzenmodelle. Sie nehmen gewöhnlich eine von drei Rollen ein:
| Rolle | Was es bedeutet | KMU-Beispiel | Praktische Pflicht |
|---|---|---|---|
| Käufer | Sie kaufen ein Tool mit KI-Funktionen | CRM-Assistent, Meeting-Zusammenfassung, Codierungsassistent | Anbieterprüfung und interne Nutzungsvorschriften |
| Betreiber | Sie setzen ein KI-System in Ihrem Unternehmen ein | Support-Triage, Lead-Bewertung, HR-Screening-Workflow | Aufsicht, Monitoring, Offenlegung, Dokumentation |
| Anbieter | Sie bringen ein KI-System unter Ihrem Namen auf den Markt | KI-Chatbot-Produkt, Bewertungs-API, Branchentool | Produktkonformität, technische Dokumentation, Risikomanagement |
Sie können mehrere Rollen zugleich innehaben. Ein Unternehmen, das eine Modell-API bezieht, sie in ein branchenspezifisches Produkt integriert und dieses an Kunden verkauft, ist wahrscheinlich mehr als nur Käufer. Ein Unternehmen, das intern einen SaaS-Chatbot nutzt, ist je nach Anwendungsfall gewöhnlich Betreiber oder Nutzer.
Raten Sie nicht in einer Besprechung. Erfassen Sie jedes KI-System in der Bestandsaufnahme und klassifizieren Sie die jeweilige Rolle.
Die KI-Bestandsaufnahme erstellen
Beginnen Sie mit einer Tabellenkalkulation. Jedes KI-System erhält eine Zeile:
| Feld | Warum es wichtig ist |
|---|---|
| Systemname | Menschen benötigen einen gemeinsamen Bezeichner |
| Anbieter oder Eigentümer | Jemand muss Fragen beantworten |
| Geschäftsziel | Das Risiko hängt vom beabsichtigten Einsatz ab |
| Nutzer | Interne Mitarbeiter, Kunden, Bewerber, Öffentlichkeit |
| Datenkategorien | Öffentlich, intern, personenbezogen, vertraulich, eingeschränkt |
| Ausgabeverwendung | Entwurf, Empfehlung, automatisierte Entscheidung, kundennaher Antwort |
| Menschliche Aufsicht | Wer es prüft und wann |
| Offenlegung | Ob Menschen wissen, dass sie mit KI interagieren |
| Protokolle | Welche Beweise nach der Nutzung vorhanden sind |
| Risikobewertung | Niedrig, begrenzt, möglicherweise Hochrisiko, verboten/nicht erlaubt |
Diese Bestandsaufnahme ist wertvoller als ein Richtliniendokument, das niemand liest. Sie zeigt, wo KI im Unternehmen tatsächlich eingesetzt wird.
Praktische Risikoeinstufung
Beginnen Sie nicht mit der Frage „Ist dies unter Anhang III Hochrisiko?“. Beginnen Sie mit der operativen Auswirkung:
Niedriges Risiko. E-Mail-Entwurf, Zusammenfassung interner Meetings, Brainstorming, Textbearbeitung. Der Mensch verwendet die Ausgabe als Entwurf. Normale Datenschutzregeln gelten.
Begrenztes Risiko. Chatbots, Sprachagenten, KI-generierte Medien, öffentliche Texte oder Support-Antworten. Offenlegung und Klarheit für Nutzer sind wichtig.
Entscheidungsunterstützung. Lead-Bewertung, Support-Weiterleitung, Rechnungsverarbeitung, Qualitätssicherung, Betrugsflaggen. Menschliche Aufsicht, Monitoring und Berufungsmöglichkeiten sind wichtig.
Mögliche Hochrisikobereiche. Beschäftigung, Bildung, Kredit, wesentliche Dienstleistungen, Gesundheitswesen, Strafverfolgung, Migration, kritische Infrastruktur und biometrische Kategorisierung. Vor der Umsetzung ist eine rechtliche Prüfung erforderlich.
Nicht erlaubt ohne explizite rechtliche/Sicherheitsgenehmigung. Emotionsinferenz in sensiven Kontexten, manipulative Systeme, soziale Bewertung, Überwachungsmuster am Arbeitsplatz oder Systeme, die ohne angemessene Schutzmaßnahmen materiell Rechte beeinträchtigen könnten.
Dies ist keine endgültige rechtliche Einstufung. Es ist die Priorisierung, die Ihnen sagt, wo Expertenprüfung erforderlich ist.
Minimale KMU-Governance-Kontrollen
Für jedes nicht triviale KI-System sind sechs Kontrollen erforderlich:
- Verantwortlicher. Eine benannte Person oder ein Team, das das System verantwortet.
- Nutzungsgrenze. Wofür das System verwendet wird und wofür nicht.
- Datenregel. Welche Daten in das System gelangen dürfen.
- Menschliche Aufsicht. Welche Ausgaben vor der Handlung geprüft werden müssen.
- Monitoring. Wie Fehler, Beschwerden, Drift und Anbieteränderungen bemerkt werden.
- Dokumentation. Welche Beweise gespeichert werden: Anbieterdokumentationen, Prompts, Einstellungen, Genehmigungen, Protokolle, Testergebnisse.
Diese Kontrollen sind unspektakulär. Gerade deshalb funktionieren sie. KI-Vorfälle beginnen meist damit, dass niemand den Workflow verantwortet, niemand die eingegebenen Daten kennt und niemand erklären kann, weshalb eine Ausgabe verwendet wurde.
Anbieterprüfung
Verlangen Sie bei Anbieterwerkzeugen Nachweise statt Versprechen:
- Wird Kundendaten standardmäßig für das Training verwendet?
- Wo werden Daten verarbeitet und gespeichert?
- Welche Speicherkontrollen existieren?
- Gibt es Unternehmenseinstellungen für den Ausschluss vom Training, Protokollierung, SSO und Zugriffskontrolle?
- Liefert der Anbieter Dokumentation zur KI-Verordnung, DSGVO, Sicherheit und Subverarbeitern?
- Kann die KI-Funktion deaktiviert oder eingeschränkt werden?
- Legt der Anbieter den Modellanbieter und wesentliche Architekturänderungen offen?
- Was geschieht, wenn der Anbieter Modell, Prompt oder Retrieval-Verhalten ändert?
Wenn ein Anbieter diese Fragen für ein Tool nicht beantworten kann, das Kundendaten, Mitarbeiterdaten oder vertrauliche Daten verarbeitet, halten Sie den Use Case auf niedrigem Risikoniveau oder wählen Sie ein anderes Tool.
Offenlegung und menschliche Aufsicht
Für kundennahen KI-Gebrauch sollte die Offenlegung einfach und sichtbar sein. Wenn ein Kunde mit einem KI-Chatbot oder Sprachagenten spricht, sagen Sie das. Wenn KI-generierter Text von einer Person nach Prüfung gesendet wird, entscheidet die interne Richtlinie, ob eine Offenlegung für diesen Kanal erforderlich ist.
Menschliche Aufsicht muss konkret ausgestaltet sein. „Ein Mensch ist eingebunden“ reicht nicht. Definieren Sie:
- Welche Ausgabe der Mensch sieht.
- Welche Quellenbelege er prüfen kann.
- Ob er überschreiben oder ablehnen kann.
- Wie viel Zeit er hat.
- Ob die Genehmigung protokolliert wird.
- Was geschieht, wenn der Mensch dem System widerspricht.
Aufsicht ohne Befugnis ist nur Fassade. Kann die zuständige Person die Aktion nicht stoppen, ist die Aufsicht wirkungslos.
Ein 30-tägiger KMU-Implementierungsplan
Woche 1: Bestandsaufnahme. Listen Sie jedes KI-Werkzeug und jeden Workflow auf. Erfassen Sie auch Werkzeuge, die nicht offiziell genehmigt sind, aber tatsächlich genutzt werden.
Woche 2: Risikopriorisierung. Klassifizieren Sie als niedrig, begrenzt, Entscheidungsunterstützung, möglicherweise Hochrisiko oder nicht erlaubt. Priorisieren Sie mögliche Hochrisikosysteme.
Woche 3: Kontrollen. Fügen Sie für jedes aktive System Eigentümer, Datenregel, Aufsichtsregel, Offenlegungsregel, Protokollierungsregel und Anbieterdokumentation hinzu.
Woche 4: Richtlinie und Schulung. Veröffentlichen Sie eine kurze interne KI-Nutzungsrichtlinie und führen Sie eine 45-minütige Team-Sitzung durch. Konzentrieren Sie sich auf praktische Beispiele, nicht auf rechtliche Theorie.
Das genügt, um von einer Ad-hoc-Nutzung zu einer regelbasierten KI-Nutzung überzugehen.
Machen Sie dies noch nicht
Kaufen Sie keine Compliance-Plattform, bevor eine Bestandsaufnahme vorliegt. Andernfalls automatisieren Sie nur die Verwirrung.
Lassen Sie nicht jede Abteilung eine eigene KI-Richtlinie verfassen. Zentralisieren Sie die Grundlage und ergänzen Sie anschließend abteilungsspezifische Regeln.
Verwechseln Sie Anbieterbedingungen nicht mit Governance. Ein Vertrag sagt Ihrem Vertriebsteam nicht, welche Daten es in ein Modell eingeben darf.
Warten Sie nicht auf vollständige regulatorische Gewissheit. Zeitpläne und Leitlinien können sich ändern; Bestandsaufnahme, Verantwortlichkeiten, Datenregeln, Aufsicht und Protokollierung bleiben dennoch erforderlich.
Fazit
Die Vorbereitung eines KMU auf die KI-Verordnung ist kein Panikprojekt, sondern eine dauerhafte Governance-Praxis.
Beginnen Sie mit der Bestandsaufnahme. Klassifizieren Sie Risiken nach Anwendungsfall. Halten Sie Menschen für wesentliche Entscheidungen verantwortlich. Fordern Sie Anbieterdokumentation an und dokumentieren Sie die Kontrollen. Prüfen Sie Anwendungsfälle in Beschäftigung, Kreditwesen, Gesundheitswesen, Bildung, wesentlichen Dienstleistungen, Biometrie sowie mit Auswirkungen auf Rechte vor der Einführung vorrangig.
Damit sind Sie den meisten Unternehmen voraus. Wichtiger noch: Ihre KI-Systeme werden verständlicher, sicherer im Betrieb und gegenüber Kunden glaubwürdiger.
