Ihre Mitarbeiter nutzen wahrscheinlich schon KI. Die Frage ist nur, ob Ihre Daten dabei sicher sind und ob Sie die Regeln kennen. Angebote, Kundenmails und Vertragsentwürfe wandern schnell in einen öffentlichen Chatbot, weil es eben schneller geht. Das ist verständlich und meistens ein Datenschutzproblem. Mit dem EU AI Act wird daraus zusätzlich ein regulatorisches.

Dazu kommt Verwirrung: Lange hieß es, ab August 2026 gelte der EU AI Act „voll“. Seit dem sogenannten KI-Omnibus stimmt das so nicht mehr. Wir ordnen ein, welche Pflicht für Ihr Unternehmen heute tatsächlich gilt, was sich verschoben hat und wie Sie die KI-Kompetenzpflicht ohne großen Aufwand sauber erfüllen. Ohne Panikmache, ohne Kauderwelsch.

Stand: Oktober 2026. Dieser Artikel gibt einen Überblick und ersetzt keine Rechtsberatung.

Was seit dem KI-Omnibus gilt

Der EU AI Act (die EU-KI-Verordnung) tritt in Stufen in Kraft. Mit dem KI-Omnibus, einem Änderungspaket der EU, das seit dem 27. Juli 2026 gilt, wurden einige dieser Stufen verschoben. Für den Mittelstand zählen vor allem diese Termine:

  • Seit 2. Februar 2025: die KI-Kompetenzpflicht (Artikel 4). Sie wurde nicht verschoben. Wer KI im Unternehmen einsetzt, muss Maßnahmen ergreifen, damit die Mitarbeitenden damit umgehen können.
  • Seit 2. August 2026: die Transparenzpflichten (Artikel 50). Wer zum Beispiel einen KI-Chat auf der Website oder einen KI-Telefonassistenten einsetzt, sollte klar erkennbar machen, dass Kunden mit einer KI sprechen. KI-erzeugte Bilder, Videos oder Stimmen, die echt wirken, müssen als solche gekennzeichnet sein.
  • Ab 2. Dezember 2027: Pflichten für Hochrisiko-KI. Ursprünglich war hier der 2. August 2026 vorgesehen. Betroffen sind KI-Systeme, die über Menschen entscheiden, etwa bei der Auswahl von Bewerbungen oder der Kreditvergabe. Für KI in regulierten Produkten wie Medizingeräten gilt der 2. August 2028.

Heißt für Sie: Für die allermeisten kleinen und mittleren Unternehmen sind heute zwei Dinge relevant, die KI-Kompetenz und die Transparenz. Beides ist überschaubar, wenn man es einmal ordentlich aufsetzt. Einen allgemeinen Überblick über Risikoklassen und Schatten-KI finden Sie in unserem Artikel EU AI Act: Was kleine und mittlere Unternehmen wissen müssen.

Was „KI-Kompetenz“ konkret bedeutet

Der KI-Omnibus hat Artikel 4 entschärft: Ein bestimmtes Kompetenzniveau ist nicht mehr vorgeschrieben. Unternehmen müssen aber weiterhin Maßnahmen ergreifen, damit ihre Mitarbeitenden KI sicher nutzen. KI-Kompetenz heißt dabei nicht, dass alle programmieren können müssen. Gemeint ist ein praxisnahes Verständnis. Ihre Mitarbeitenden sollten zum Beispiel einschätzen können:

  • wie die genutzte KI grundsätzlich funktioniert und wo ihre Grenzen liegen;
  • welche Daten unbedenklich eingegeben werden dürfen und welche keinesfalls;
  • woran man Fehler und „Halluzinationen“ erkennt und Ergebnisse kritisch prüft;
  • welche Leitplanken im Unternehmen für den KI-Einsatz gelten.

Unser Rat: Halten Sie fest, was Sie getan haben. Eine kurze Schulung, eine schriftliche Nutzungsrichtlinie und eine Liste der eingesetzten KI-Tools reichen in vielen Betrieben aus und lassen sich im Zweifel vorzeigen.

Betrifft das wirklich mein Unternehmen?

In den allermeisten Fällen: ja, und oft schon heute. KI steckt längst im Arbeitsalltag, auch ohne dass man es „KI-Projekt“ nennt:

  • Ihr Team nutzt ChatGPT, Copilot oder Gemini zum Texten und Recherchieren.
  • Ihre Buchhaltungs-, CRM- oder Office-Software hat neue KI-Funktionen bekommen.
  • Sie automatisieren Abläufe mit KI-Komponenten oder setzen einen KI-Chat für Kunden ein.

Für Arztpraxen, Kanzleien und Bildungseinrichtungen wiegt das doppelt schwer: Hier trifft die KI-Kompetenzpflicht auf ohnehin strenge Datenschutz- und Sorgfaltsanforderungen. Wer mit Gesundheits-, Mandanten- oder Schülerdaten arbeitet, sollte besonders genau wissen, was in ein KI-Tool darf und was nicht.

Konform heißt nicht Verzicht, sondern Kontrolle

Der entscheidende Hebel ist, die KI, die ohnehin gebraucht wird, auf eine saubere Basis zu stellen: lokal, nachvollziehbar und in Ihrer Hand. Genau so arbeiten wir. Datenhoheit, wo es zählt, Cloud nur dort, wo sie sicher und sinnvoll ist:

  • Sensible Daten lokal. KI auf eigener Hardware, im Haus oder auf unserer gesicherten Infrastruktur in Deutschland. Ihre Daten verlassen Ihr Netzwerk nicht und trainieren keine fremden Modelle.
  • Klare Spielregeln. Statt heimlicher Schatten-KI gibt es nachvollziehbare Leitlinien, was womit erledigt werden darf. Das ist zugleich die Grundlage für die geforderte KI-Kompetenz.
  • Klein anfangen. Ein Prozess, der sich rechnet, statt ein Großprojekt, das nie fertig wird.

Mehr dazu auf unserer Übersicht KI-Lösungen für den Mittelstand. Wie wir konkret automatisieren, etwa Posteingang, Tagesreports und Dokumentensuche, lokal und DSGVO-konform, lesen Sie unter Prozessautomatisierung & lokale KI.

Häufige Fragen

Ab wann gilt die KI-Kompetenzpflicht?
Seit dem 2. Februar 2025. Der KI-Omnibus hat sie nicht verschoben, sondern nur entschärft: Unternehmen müssen Maßnahmen ergreifen, ein bestimmtes Niveau ist nicht vorgeschrieben.

Gilt der EU AI Act seit August 2026 nicht ohnehin vollständig?
Nein. Seit dem 2. August 2026 gelten vor allem die Transparenzpflichten. Die Pflichten für Hochrisiko-KI wurden durch den KI-Omnibus auf den 2. Dezember 2027 verschoben, für KI in regulierten Produkten auf den 2. August 2028.

Gilt das auch, wenn wir nur ChatGPT nutzen?
Ja. Wer KI beruflich einsetzt, ist „Betreiber“ im Sinne des EU AI Act. Die KI-Kompetenzpflicht gilt also nicht nur für KI-Entwickler.

Müssen wir auf KI verzichten, um konform zu sein?
Nein. Konform heißt, KI kontrolliert zu betreiben: mit klaren Regeln, geschulten Mitarbeitenden und, wo es um sensible Daten geht, lokal und DSGVO-konform. Genau dabei unterstützen wir.

Müssen wir große Schulungsprogramme aufsetzen?
Nein. Für die meisten KMU reichen eine kurze, praxisnahe Schulung, eine Nutzungsrichtlinie und eine Übersicht der eingesetzten Tools. Wichtig ist, dass Sie es dokumentieren.

Fazit

Der KI-Omnibus hat Druck herausgenommen, aber nicht alles verschoben. Die KI-Kompetenzpflicht gilt seit Februar 2025, die Transparenzpflichten seit August 2026. Wer beides jetzt strukturiert angeht, erfüllt nicht nur die Vorschrift, sondern nutzt KI sicherer, besser und mit gutem Gewissen. Und hat Ruhe, wenn Ende 2027 die Regeln für Hochrisiko-KI greifen.

Sie möchten wissen, wo Ihr Unternehmen steht? Ein ehrliches Erstgespräch, kein Verkaufstermin. Wir schauen uns Ihren Alltag an und sagen Ihnen offen, wo KI sich lohnt, wo nicht, und was der EU AI Act für Sie bedeutet. Jetzt Erstgespräch vereinbaren.