In jedem Regelwerk gibt es einen Tag, an dem aus Papier Praxis wird. Bei der europäischen KI-Verordnung war das der 2. August 2026. Seitdem setzen das European AI Office der Kommission und die nationalen Behörden die Vorschriften gemeinsam durch. Vorher ließ sich die Verordnung lesen wie eine Wettervorhersage für das kommende Jahr. Jetzt steht das Wetter vor der Tür.
Für viele mittelständische Unternehmen ist das ein unangenehmer Moment, weil die Frage bisher lautete: Betrifft uns das überhaupt? Wir entwickeln doch keine KI. Die ehrliche Antwort darauf ist unbequemer als erhofft. Die neuen Pflichten hängen nicht daran, ob ein Unternehmen KI baut, sondern daran, ob es KI einsetzt und ob dabei etwas entsteht, das Menschen für menschgemacht halten könnten.
Welche drei Pflichten seit August greifen
Die Kommission nennt in ihrer Mitteilung zum Stichtag drei Anforderungen. Sie klingen zunächst technisch, lassen sich im Alltag aber schnell erklären.
- Wer mit einem Chatbot spricht, muss erfahren, dass am anderen Ende eine Maschine antwortet und kein Mensch.
- Bearbeitete oder erzeugte Bilder, Videos und Tonaufnahmen müssen als solche gekennzeichnet werden.
- Von KI erzeugte oder veränderte Inhalte brauchen zusätzlich eine maschinenlesbare Markierung, damit auch Software erkennen kann, woher ein Inhalt stammt.
Der dritte Punkt wird in Gesprächen am häufigsten überlesen. Ein sichtbarer Hinweis unter einem Bild genügt nicht mehr. Die Markierung muss auch dann noch tragen, wenn kein Mensch hinsieht, sondern ein Programm die Datei liest. Man kann sich das vorstellen wie den Unterschied zwischen einem Preisschild und einem Barcode. Das Schild richtet sich an den Kunden, der Barcode an die Kasse. Gefordert sind ab jetzt beide.
Betrifft das ein Unternehmen, das gar keine KI baut?
Häufiger, als der erste Blick vermuten lässt. In den meisten Betrieben, die wir kennen, ist KI längst im Haus, nur eben nicht als Projekt mit Lenkungskreis, sondern als Werkzeug im Tagesgeschäft. Der Chatbot auf der Website, der Fragen zu Öffnungszeiten beantwortet. Das generierte Produktbild in der Broschüre. Der Text auf der Karriereseite, den jemand in fünf Minuten hat schreiben lassen, weil der Termin drängte.
Diese Werkzeuge sind meist nicht falsch eingesetzt. Sie sind nur nirgends erfasst. Und was nirgends erfasst ist, lässt sich auch nicht kennzeichnen.
Die erste Pflicht der KI-Verordnung ist keine technische. Sie besteht darin, zu wissen, wo im eigenen Haus KI arbeitet.
Der erste praktische Schritt ist eine Inventur
Bevor ein Unternehmen Pflichten erfüllen kann, muss es wissen, welche KI-Werkzeuge im Einsatz sind. Das klingt banal und ist es nicht. In der Praxis entsteht KI-Nutzung selten zentral. Sie wächst aus einzelnen Abteilungen heraus, oft über private Zugänge, häufig ohne Kenntnis der IT. Das Phänomen ist alt und hat nur einen neuen Namen bekommen. Früher hieß es Schatten-IT, heute Schatten-KI.
Eine Inventur beantwortet vier Fragen, und zwar für jedes gefundene Werkzeug einzeln.
- Welches System wird eingesetzt, von wem, und über welchen Zugang?
- Entsteht dabei Inhalt, der nach außen geht, also Text, Bild, Ton oder Video?
- Interagiert das System direkt mit Kunden, Bewerbern oder Lieferanten?
- Welche Daten fließen hinein, und wo werden sie verarbeitet?
Wer diese vier Fragen für zwanzig Werkzeuge beantwortet hat, hat mehr geleistet als die meisten Compliance-Projekte im ersten Quartal. Und er hat nebenbei eine Liste, die auch für die Datenschutzfolgenabschätzung und für ein Informationssicherheits-Managementsystem trägt.
Was das technisch bedeutet
Der sichtbare Teil ist der einfache. Ein Hinweis am Chatbot, eine Bildunterschrift, ein Vermerk im Impressum der Kampagne. Das lässt sich an einem Nachmittag lösen. Der maschinenlesbare Teil braucht mehr Aufmerksamkeit, weil er in die Werkzeugkette eingreift, mit der Inhalte entstehen und veröffentlicht werden.
Wer Inhalte über ein eigenes System ausspielt, also über ein CMS, einen Shop oder ein Portal, muss die Markierung dort verankern, wo die Datei entsteht oder hochgeladen wird. Wer Inhalte über Dienstleister erzeugen lässt, braucht eine vertragliche Zusage, dass die Markierung mitgeliefert und beim Weiterverarbeiten nicht zerstört wird. Der zweite Fall ist der häufigere und der unangenehmere, denn viele Bildbearbeitungsschritte werfen Metadaten stillschweigend weg. Eine Markierung, die beim Zuschneiden verloren geht, ist keine.
- Seit 2. August 2026
- Durchsetzung durch das EU-KI-Büro und nationale Behörden
- Neu ab diesem Stichtag
- Chatbot-Hinweis, Kennzeichnung erzeugter Inhalte, maschinenlesbare Markierung
- Betroffen
- Auch Unternehmen, die KI nur einsetzen und nicht entwickeln
Was die Mitteilung offen lässt
Zur Höhe möglicher Bußgelder, zu abgestuften Übergangsfristen und zu unterschiedlichen Pflichten je nach Unternehmensgröße gibt die Pressemitteilung der Kommission nichts her. Sie verweist für diese Punkte auf den Verordnungstext. Wer belastbare Aussagen für die eigene Risikobewertung braucht, kommt um den Blick in die Verordnung selbst oder um juristischen Rat nicht herum. Wir nennen hier bewusst keine Zahlen, die wir nicht belegen können.
Drei Dinge, die sich in dieser Woche erledigen lassen
- Die Website durchgehen: Gibt es einen Chatbot, und sagt er von sich aus, dass er einer ist? Der Hinweis gehört an den Anfang des Gesprächs, nicht in die Datenschutzerklärung.
- Das Bildmaterial prüfen: Welche Motive sind generiert, und sind sie gekennzeichnet? Diese Seite kennzeichnet ihre KI-Bilder seit dem Start, das war eine Entscheidung aus Anstand und ist inzwischen eine aus Pflicht.
- Die Inventur beginnen: Eine Tabelle, vier Spalten, eine Rundmail an die Abteilungsleitungen. Mehr braucht es für den Anfang nicht.
Regulierung wirkt aus der Ferne immer wie eine Mauer. Aus der Nähe ist sie meist eine Treppe. Man muss nur wissen, wo die erste Stufe liegt.
