EU AI Act ab 2026: Was Unternehmen jetzt beachten müssen

Erinnerst du dich noch an 2018? Plötzlich sprach jeder über die DSGVO, Postfächer quollen über vor „Wir haben unsere Datenschutzerklärung aktualisiert"-Mails, und viele kleine Unternehmen fragten sich: Betrifft mich das überhaupt? (Spoiler: Ja.)

Jetzt passiert das Gleiche noch einmal – diesmal mit künstlicher Intelligenz. Der EU AI Act (offiziell: KI-Verordnung) ist das weltweit erste umfassende KI-Gesetz und wird oft als „die neue DSGVO" bezeichnet. Und genau wie damals gilt: Das Gesetz betrifft nicht nur Tech-Konzerne, sondern auch kleine Unternehmen, Praxen, Handwerker und lokale Dienstleister – nämlich alle, die KI beruflich einsetzen.

Du nutzt ChatGPT für Angebotstexte? Du hast einen Chatbot auf deiner Website? Du erstellst Bilder mit KI für Social Media? Dann lohnt es sich, jetzt fünf Minuten weiterzulesen. Denn der wichtigste Stichtag steht direkt vor der Tür: der 2. August 2026.

Was ist der EU AI Act?

Der EU AI Act ist eine EU-Verordnung – genau wie die DSGVO. Das bedeutet: Sie gilt unmittelbar in allen EU-Ländern, ohne dass Deutschland erst ein eigenes Gesetz beschließen muss. Ziel ist es, KI-Systeme sicher und transparent zu machen, ohne Innovation abzuwürgen.

Der Kerngedanke ist ein Risiko-Ansatz: Je riskanter ein KI-System für Menschen ist, desto strenger die Regeln. Die Verordnung unterscheidet grob vier Stufen:

Verbotene KI: Systeme, die Menschen manipulieren oder bewerten wie in einem Science-Fiction-Film – etwa Social Scoring. Diese sind seit Februar 2025 verboten.

Hochrisiko-KI: Systeme in sensiblen Bereichen wie Bewerberauswahl, Kreditvergabe oder Medizin. Hier gelten strenge Auflagen mit Dokumentations- und Prüfpflichten.

KI mit begrenztem Risiko: Hier landen die meisten Anwendungen aus dem Alltag kleiner Unternehmen – zum Beispiel Chatbots und KI-generierte Inhalte. Die zentrale Pflicht heißt: Transparenz.

Minimales Risiko: Zum Beispiel der Spamfilter im E-Mail-Postfach. Hier passiert nichts Neues.

Für die allermeisten kleinen Unternehmen ist die dritte Stufe die entscheidende. Und genau für sie gelten ab dem 2. August 2026 die Transparenzpflichten aus Artikel 50.

Der Zeitplan: Was gilt wann?

Der EU AI Act tritt nicht auf einen Schlag in Kraft, sondern in Etappen. Und Achtung: Der Zeitplan wurde erst im Juni 2026 durch den sogenannten „Digital Omnibus on AI" noch einmal angepasst. Der aktuelle Stand:

Seit 2. Februar 2025: Verbotene KI-Praktiken sind untersagt. Außerdem gilt die Pflicht zur KI-Kompetenz (Artikel 4) – wer KI beruflich einsetzt, muss dafür sorgen, dass er und seine Mitarbeitenden verstehen, was das Werkzeug kann und wo seine Grenzen liegen.

Seit 2. August 2025: Regeln für Anbieter großer KI-Modelle (wie OpenAI, Google oder Anthropic). Für Anwender erst einmal nicht direkt relevant.

Ab 2. August 2026: Die Transparenzpflichten aus Artikel 50 gelten. Das ist der Stichtag, der kleine Unternehmen wirklich betrifft.

Ab 2. Dezember 2027 bzw. 2. August 2028: Die Pflichten für Hochrisiko-Systeme – ursprünglich früher geplant, durch den Digital Omnibus nach hinten verschoben.

Wichtig: Die Verschiebung betrifft nur die Hochrisiko-Regeln. Die Transparenzpflichten für Chatbots und KI-Inhalte kommen wie geplant im August 2026. Wer darauf gehofft hat, dass sich das Thema von selbst erledigt, wird enttäuscht.

Wen betrifft das konkret?

Die kurze Antwort: mehr Unternehmen, als man denkt. Der AI Act unterscheidet zwischen „Anbietern" (die KI-Systeme entwickeln) und „Betreibern" (die KI-Systeme beruflich einsetzen). Als kleines Unternehmen bist du in der Regel Betreiber – und auch für Betreiber gelten Pflichten.

Typische Beispiele aus dem Alltag:

• Du hast einen KI-Chatbot auf deiner Website, der Kundenfragen beantwortet.

• Du erstellst Texte oder Bilder mit KI und veröffentlichst sie – auf der Website, im Blog, in Social Media.

• Du nutzt KI-Tools für E-Mails, Angebote oder Terminvorschläge im Kundenkontakt.

In allen drei Fällen können Transparenzpflichten greifen. Die gute Nachricht: Die Umsetzung ist machbar und deutlich weniger aufwendig als damals die DSGVO. Man muss es nur wissen – und rechtzeitig tun.

Artikel 50: Die Transparenzpflichten im Detail

Artikel 50 ist das Herzstück für kleine Unternehmen. Er regelt im Kern drei Dinge:

1. Chatbots müssen sich zu erkennen geben

Wenn Menschen mit einem KI-System interagieren, müssen sie darüber informiert werden – klar, verständlich und spätestens bei der ersten Interaktion. Ein versteckter Hinweis in den AGB reicht nicht. Der Besucher muss direkt im Chat erkennen können: Hier antwortet eine KI, kein Mensch.

2. KI-generierte Inhalte müssen erkennbar sein

Wer KI-generierte Texte zu Themen von öffentlichem Interesse veröffentlicht, muss offenlegen, dass sie künstlich erzeugt wurden – es sei denn, ein Mensch hat sie redaktionell geprüft und trägt die Verantwortung. Für KI-Bilder und -Videos gilt zusätzlich eine technische Kennzeichnungspflicht auf Anbieterseite.

3. Deepfakes müssen gekennzeichnet werden

Täuschend echte KI-Bilder, -Videos oder -Stimmen von realen Personen müssen als künstlich erzeugt gekennzeichnet sein. Für die meisten kleinen Unternehmen eher ein Randthema – aber gut zu wissen.

Praxisbeispiel Boo-Chat: So haben wir es selbst umgesetzt

Theorie ist schön, Praxis ist besser. Auf booweb.de läuft unser Boo-Chat – ein Chat-Assistent, der teils auf fester Code-Logik basiert und teils KI-gestützte Antworten liefert. Damit ist er ein KI-System mit begrenztem Risiko, und wir sind als Betreiber in der Pflicht. Also haben wir unseren eigenen Chat einer EU-AI-Act-Prüfung unterzogen und Folgendes umgesetzt:

• Aufklärung bei Interaktionsbeginn: Boos erste Nachricht sagt unmissverständlich, dass man mit einer künstlichen Intelligenz chattet, nicht mit einem Menschen – und dass Antworten Fehler enthalten können.

• Dauerhafte Kennzeichnung: Im Chat-Header steht „KI-Chat-Assistent – kein Mensch", ergänzt um ein sichtbares KI-Badge. So bleibt die Information während der gesamten Unterhaltung präsent.

• Markierung KI-generierter Antworten: Jede KI-Antwort trägt den Hinweis „KI-generierte Antwort – kann Fehler enthalten". Regelbasierte Antworten, die von Menschen geschrieben wurden, bleiben unmarkiert – die sind ja keine KI-Inhalte.

• DSGVO-Anschluss: Die Datenschutzerklärung hat einen eigenen Abschnitt zum Boo-Chat bekommen – inklusive Angaben zur KI-Schnittstelle, zum Drittlandtransfer und zur Rechtsgrundlage. Denn AI Act und DSGVO gelten nebeneinander, das eine ersetzt das andere nicht.

Das Spannende daran: Der Aufwand hielt sich in Grenzen. Eine ehrliche Begrüßung, ein Badge, eine Kennzeichnungszeile, ein Datenschutz-Abschnitt – fertig ist ein transparenter KI-Chat, bei dem Besucher jederzeit wissen, woran sie sind. Und genau das schafft am Ende sogar Vertrauen.

Nicht vergessen: KI-Kompetenz gilt schon jetzt

Ein Punkt geht oft unter: Die Pflicht zur KI-Kompetenz aus Artikel 4 gilt bereits seit Februar 2025. Wer KI beruflich einsetzt, muss sicherstellen, dass die eigenen Mitarbeitenden ausreichend verstehen, wie die eingesetzten KI-Tools funktionieren, was sie können und wo sie Fehler machen.

Für kleine Teams heißt das nicht, dass jeder ein KI-Studium braucht. Es reicht, wenn alle, die mit KI-Tools arbeiten, die Grundlagen kennen: Wie formuliere ich sinnvolle Eingaben? Warum muss ich Ergebnisse prüfen, bevor sie zum Kunden gehen? Welche Daten gebe ich besser nicht in ein KI-Tool ein? Eine kurze interne Schulung oder ein Leitfaden ist hier schon viel wert.

Welche Strafen drohen?

Wie bei der DSGVO gibt es auch beim AI Act empfindliche Bußgelder. Verstöße gegen die Transparenzpflichten können mit bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Bei verbotenen KI-Praktiken sind es sogar bis zu 35 Millionen Euro oder 7 %.

Natürlich wird kein Friseursalon wegen eines fehlenden Chatbot-Hinweises 15 Millionen Euro zahlen – bei kleinen Unternehmen sollen Bußgelder verhältnismäßig ausfallen. Aber wie bei der DSGVO gilt: Abmahnungen und Ärger lassen sich mit überschaubarem Aufwand vermeiden. Und eine Website, die neue Gesetze sichtbar sauber umsetzt, wirkt schlicht professioneller als eine, die hinterherhinkt.

Checkliste: Das solltest du jetzt tun

• Bestandsaufnahme: Wo setzt du KI ein? Chatbot, Texte, Bilder, Tools im Kundenkontakt?

• Chatbot prüfen: Gibt er sich klar als KI zu erkennen – bei der ersten Nachricht und dauerhaft sichtbar?

• KI-Inhalte kennzeichnen: Veröffentlichst du KI-generierte Texte oder Bilder? Dann prüfe, ob ein Hinweis nötig ist – oder ergänze im Zweifel eine Zeile wie „Mit KI-Unterstützung erstellt, redaktionell geprüft".

• Datenschutzerklärung aktualisieren: Werden im Chat oder in KI-Tools personenbezogene Daten verarbeitet, gehört das in die Datenschutzerklärung.

• Team fit machen: Kurze Schulung oder Leitfaden zur KI-Nutzung – das deckt die KI-Kompetenz-Pflicht ab.

• Kalender-Eintrag: 2. August 2026. Bis dahin sollte alles stehen.

Wie BooWeb unterstützen kann

Wir bei BooWeb bauen Websites für kleine Unternehmen – und wenn ein KI-Chatbot dazugehört, dann von Anfang an so, dass er die Transparenzpflichten erfüllt: klare KI-Kennzeichnung, ehrliche Begrüßung, sauberer Datenschutz-Anschluss. Das Muster, das wir für den Boo-Chat entwickelt haben, setzen wir genauso bei Kunden-Websites ein.

Wichtig ist uns dabei Ehrlichkeit: BooWeb ersetzt keine anwaltliche Rechtsberatung. Die rechtliche Bewertung deines konkreten Einzelfalls gehört in qualifizierte Hände. Aber wir sorgen dafür, dass die technische Umsetzung stimmt – damit deine Website beim Thema KI nicht zur Geisterbahn wird.

Fazit

Der EU AI Act ist das größte Digitalgesetz seit der DSGVO – aber kein Grund zur Panik. Für die meisten kleinen Unternehmen läuft es auf eine einfache Formel hinaus: Sei ehrlich, wenn KI im Spiel ist. Kennzeichne deinen Chatbot, markiere KI-Inhalte, halte deine Datenschutzerklärung aktuell und sorge dafür, dass dein Team weiß, was es tut.

Wer das vor dem 2. August 2026 umsetzt, hat nicht nur ein Gesetz erfüllt, sondern auch ein Vertrauenssignal an seine Kunden gesendet. Transparenz war noch nie ein Nachteil.

Nicht sicher, ob deine Website konform ist? Stell einfach eine unverbindliche Anfrage – wir schauen uns das gemeinsam an: Chatbot, KI-Inhalte, Datenschutz-Anschluss. Verständlich, praxisnah und ohne gruseligen Paragrafen-Stress.

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt und redaktionell geprüft. Er ersetzt keine Rechtsberatung.