KI-Verordnung für deutsche KMU: Pflichten und Fristen

Wenn in Ihrem Unternehmen seit einiger Zeit Copilot, ChatGPT oder eine KI-Funktion genutzt wird, die in einer ohnehin schon vorhandenen Software aufgetaucht ist, und Sie inzwischen mehrfach den Begriff "KI-Verordnung" gelesen haben, ohne genau zu wissen, was das für ein deutsches KMU bedeutet: Dieser Beitrag ordnet die wichtigsten Punkte ein, ohne juristisches Vorwissen vorauszusetzen.

Eine EU-Verordnung, die unmittelbar in Deutschland gilt

Die KI-Verordnung (Regulation (EU) 2024/1689, oft "AI Act" genannt) ist keine EU-Richtlinie, die erst in deutsches Recht umgesetzt werden muss. Als Verordnung gilt sie unmittelbar in Deutschland und in allen anderen EU-Mitgliedstaaten, ohne dass es für die materiellen Pflichten selbst ein eigenes deutsches Umsetzungsgesetz braucht. Die Pflichten aus der Verordnung gelten also schon jetzt für Ihr Unternehmen, unabhängig davon, ob der Bundestag ein zusätzliches Gesetz dazu verabschiedet.

Was Deutschland als Mitgliedstaat trotzdem tun muss: nationale Marktüberwachungsbehörden benennen und die Durchsetzung der Verordnung organisatorisch aufbauen. Das betrifft die Kontrolle und Sanktionierung, nicht die inhaltlichen Pflichten selbst.

Wer überwacht die Einhaltung? Der Stand ist noch im Aufbau

Nach aktuellem Stand befindet sich Deutschland im Rahmen der nationalen Durchführungsgesetzgebung noch in der Phase, die zuständigen Marktüberwachungsbehörden zu benennen und deren Zusammenspiel zu organisieren. In der öffentlichen Diskussion wird unter anderem die Bundesnetzagentur als mögliche zentrale koordinierende Stelle genannt, neben bereits bestehenden Aufsichtsbehörden für einzelne Sektoren, etwa der BaFin für den Finanzbereich. Eine abschließende, verbindliche Zuständigkeitsordnung lässt sich daraus aber noch nicht mit Sicherheit ableiten. Für Ihr Unternehmen ist der praktisch relevante Punkt weniger, welche Behörde am Ende genau zuständig ist, sondern dass die Durchsetzungsstrukturen gerade aufgebaut werden und die Pflichten aus der Verordnung davon unabhängig bereits gelten.

Die vier Risikostufen in Kürze

Die KI-Verordnung unterscheidet vier Risikostufen: verbotene Praktiken (z. B. bestimmte manipulative Systeme oder Social Scoring), Hochrisiko-Systeme (u. a. in den in Anhang III gelisteten Bereichen wie Personalmanagement oder Kreditwürdigkeitsprüfung), Systeme mit begrenztem Risiko, die vor allem Transparenzpflichten auslösen (z. B. Offenlegung bei Chatbots), sowie KI mit minimalem Risiko, für die praktisch keine neuen Pflichten entstehen. Der englischsprachige Grundlagenartikel auf diesem Blog geht auf diese Einteilung ausführlicher ein; hier reicht der Überblick, um die folgenden Abschnitte einordnen zu können.

Bußgelder: der EU-weite Rahmen nach Art. 99

Die Bußgeldhöhen der KI-Verordnung sind EU-weit einheitlich festgelegt und gelten damit unmittelbar auch in Deutschland. Art. 99 der Verordnung sieht dabei drei Stufen vor:

• Bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) bei Verstößen gegen die verbotenen KI-Praktiken.
• Bis zu 15 Mio. € oder 3 % bei Verstößen gegen die meisten übrigen Pflichten, einschließlich der Provider- und Deployer-Pflichten für Hochrisiko-Systeme.
• Bis zu 7,5 Mio. € oder 1 % bei irreführenden oder unvollständigen Angaben gegenüber Behörden.

Was ein typisches deutsches KMU konkret prüfen sollte

Statt die gesamte Verordnung zu lesen, lohnt sich ein strukturierter Blick auf die eigene Situation. Drei Fragen stehen dabei im Mittelpunkt:

• Sind Sie Provider oder Deployer? Die meisten KMU sind Deployer: Sie setzen KI-Tools ein, die andere entwickelt haben, statt selbst Systeme zu bauen. Das führt in der Regel zu geringeren, aber nicht zu keinen Pflichten.
• Berührt eine KI-Nutzung einen Hochrisikobereich nach Anhang III? Typische Beispiele sind der Einsatz von KI bei der Bewerberauswahl oder im sonstigen Personalmanagement sowie bei der Kreditwürdigkeitsprüfung.
• Muss kundenseitige KI offengelegt werden? Das betrifft insbesondere Chatbots im Kundenkontakt sowie KI-generierte Inhalte, die ohne erkennbaren Hinweis veröffentlicht werden.

Wenn eine oder mehrere dieser Fragen mit einem klaren Ja beantwortet werden, bedeutet das nicht automatisch einen Verstoß. Es bedeutet, dass sich ein genauerer Blick auf die konkret anwendbaren Pflichten lohnt, statt die Frage offenzulassen.

Allgemeine Information, keine Rechtsberatung

Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine Rechtsberatung für Ihre konkrete Situation. Wie die KI-Verordnung im Einzelfall anzuwenden ist, hängt von Details ab, die ein Überblicksartikel nicht abbilden kann, und die Zuständigkeiten der deutschen Aufsichtsbehörden befinden sich, wie oben beschrieben, noch im Aufbau. Komplya legt bei eigenen Inhalten offen, welche Ebenen bereits rechtlich geprüft sind und welche noch als Entwurf gelten, damit Sie das entsprechend einordnen können.

Der schnellste Weg von einer allgemeinen Einschätzung zu einer konkreten Antwort für Ihr Unternehmen ist ein strukturierter Blick auf Ihre tatsächlichen KI-Anwendungsfälle. Beantworten Sie dazu einen kurzen Fragebogen zu Ihrer Situation.