Seit dem 2. August 2026 hat die KI-Verordnung in Deutschland eine Adresse: Die Bundesnetzagentur ist die zentrale Marktaufsicht für KI-Systeme. Rechtsgrundlage ist das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), das am 29. Juli 2026 in Kraft getreten ist — nachzulesen beim Bundesministerium für Digitales.
In meinen Gesprächen mit Handwerksbetrieben, Kanzleien und kleinen Dienstleistern höre ich gerade zwei Sätze besonders oft. Der eine: “Die Hochrisiko-Pflichten sind doch verschoben worden, ich habe also Zeit bis 2027.” Der andere: “Wir sind zu klein, da schaut keiner hin.” Beide Sätze stimmen halb. Und genau die Hälfte, die nicht stimmt, ist die teure.
Was seit August wirklich gilt — und was nicht
Es lohnt sich, zwei Dinge sauber zu trennen, die in der Berichterstattung oft in einen Topf wandern.
Scharf gestellt sind die Transparenzpflichten. Artikel 50 der KI-Verordnung gilt seit dem 2. August 2026. Er verlangt im Kern: Menschen müssen erkennen können, dass sie mit einer KI sprechen, und synthetisch erzeugte Inhalte müssen maschinenlesbar gekennzeichnet sein. Das trifft den Chatbot auf der Website genauso wie den Telefonassistenten und KI-generierte Bilder. Gleichzeitig hat die Durchsetzung begonnen — die Bundesnetzagentur führt seitdem Marktüberwachung durch und hat dafür ein eigenes Koordinierungs- und Kompetenzzentrum KoKIVO eingerichtet. Die Aufsicht ist also nicht angekündigt, sie arbeitet bereits.
Verschoben wurden die Hochrisiko-Pflichten. Die EU-Kommission hat am 8. Juli 2026 mit dem sogenannten Digital Omnibus nachgesteuert. Der Grund war handfest: Die harmonisierten Normen, ohne die eine Konformitätsbewertung praktisch nicht durchführbar ist, waren schlicht nicht fertig. Die Kanzlei Gleiss Lutz hat die Änderungen an der KI-Verordnung im Detail aufbereitet.
Für dich heißt das: Der Teil der Verordnung, der die allermeisten kleinen Unternehmen überhaupt betrifft, ist der Teil, der bereits gilt. Der verschobene Teil betrifft die wenigsten von ihnen.
Die Frist, die kaum jemand auf dem Schirm hat
Es gibt einen Stichtag im Dezember, der in der Diskussion um 2027 und 2028 fast untergeht. Für generative KI-Systeme, die bereits vor dem 2. August 2026 im Einsatz waren, gilt eine Schonfrist zur technischen Umsetzung der Markierungs- und Erkennungspflichten — und die endet am 2. Dezember 2026. Wer also seinen Chatbot, seinen Telefonassistenten oder seine Textproduktion schon vor dem Sommer aufgesetzt hat, hat dafür jetzt noch gut zehn Wochen Zeit. Danach greifen die Transparenzpflichten für diese Altsysteme ohne Übergangsregelung. Das ist der eigentliche Entscheidungsmoment dieses Herbstes — nicht 2027.
| Was | Stichtag | Betrifft dich, wenn … |
|---|---|---|
| Transparenzpflichten (Art. 50) | gilt seit 02.08.2026 | du KI-Inhalte veröffentlichst oder einen Bot betreibst |
| Altsysteme nachrüsten | 02.12.2026 | dein KI-System vor August 2026 lief |
| Hochrisiko, eigenständig (Anhang III) | 02.12.2027 | du KI für Personalauswahl, Bonität, Bildung einsetzt |
| Hochrisiko, eingebettet (Anhang I) | 02.08.2028 | KI in einem regulierten Produkt steckt |
Was passiert, wenn die Aufsicht anklopft
Die Bundesnetzagentur schickt keine Prüfkolonne in jeden Handwerksbetrieb. Marktüberwachung läuft in aller Regel anlassbezogen — über Beschwerden von Kunden, Hinweise von Wettbewerbern oder Stichproben. Am Anfang steht dabei typischerweise eine Aufforderung zur Abhilfe, nicht sofort ein Bescheid. Beim Bußgeldrahmen wird es dann allerdings konkret: Artikel 99 sieht für Verstöße gegen die Transparenzpflichten bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes vor, für verbotene Praktiken nach Artikel 5 bis zu 35 Millionen Euro oder 7 Prozent.
Hier steht allerdings eine Regel, die für kleine Unternehmen den Unterschied macht: Bei KMU und Start-ups gilt jeweils der niedrigere der beiden Werte, nicht der höhere. Für einen Betrieb mit zwei Millionen Euro Umsatz sind das laut Artikel 99 im Transparenzfall also bis zu 60.000 Euro — nicht 15 Millionen. Das ist immer noch ernst, aber es ist eine andere Größenordnung als die Schlagzeilen vermuten lassen. Panik ist der falsche Ratgeber, Schulterzucken aber auch.
Was du vorzeigen können musst
Wenn mich ein Kunde fragt, was er im Ernstfall auf den Tisch legen sollte, komme ich immer auf dieselben vier Dinge.
Ein Verzeichnis deiner KI-Systeme. Eine simple Liste reicht: Welches Tool, wofür, seit wann, wer ist verantwortlich. Die meisten Betriebe unterschätzen, wie viele KI-Dienste sich über die Jahre angesammelt haben — vom Chatbot über die Textgenerierung bis zum Terminassistenten.
Der Nachweis der Kennzeichnung. Für jedes System, das nach außen wirkt: Wo genau steht der Hinweis, dass hier KI im Spiel ist? Bei einem KI-Telefonassistenten gehört er in die Begrüßung, bei einem Web-Assistenten sichtbar ins Chatfenster.
Der Beleg für KI-Kompetenz. Das wird gern übersehen: Artikel 4 verpflichtet schon seit Februar 2025 dazu, dass Mitarbeitende ausreichend KI-Kompetenz haben. Eine dokumentierte Schulung plus eine interne Richtlinie genügen für kleine Betriebe in aller Regel.
Eine Zuständigkeit. Eine Person mit Namen, die das Thema verantwortet. Kein Gremium, keine Stabsstelle — eine Person.
Der TÜV hat die Anforderungen ab dem 2. August 2026 für Unternehmen zusammengefasst, falls du tiefer einsteigen willst.
Mein Rat für die nächsten zehn Wochen
Ich würde das nicht zu einem Compliance-Projekt aufblasen. Für einen typischen Betrieb mit einer Handvoll KI-Tools ist das die Arbeit eines Nachmittags.
Setz dich hin und schreib die Liste deiner KI-Systeme auf. Geh dann jedes einzelne durch und beantworte eine Frage: Merkt ein Außenstehender, dass hier KI arbeitet? Wo die Antwort Nein lautet, ergänzt du den Hinweis — in der Bot-Begrüßung, unter dem Bild, im Impressum. Wenn du dabei Prozesse automatisiert hast, prüf auch die Stellen, an denen KI im Hintergrund Kundenkommunikation erzeugt. Die werden am häufigsten vergessen.
Und dann leg die Liste ab, wo du sie wiederfindest. Mehr ist es für die allermeisten kleinen Unternehmen nicht.
Wenn du unsicher bist, ob deine Website die Kennzeichnung sauber umsetzt, schau dir meinen Website-Check an — er prüft unter anderem, wo auf deinen Seiten KI-Hinweise fehlen. Oder schreib mir kurz, dann gehen wir gemeinsam durch, was bei dir konkret ansteht.
Quellen
- KI-Verordnung, Artikel 50 — Transparenzpflichten
- KI-Verordnung, Artikel 99 — Sanktionen und KMU-Regel
- Bundesministerium für Digitales: Gesetz zur Durchführung der KI-Verordnung (KI-MIG)
- Bundesnetzagentur: Marktüberwachung KI
- Bundesnetzagentur: Koordinierungs- und Kompetenzzentrum KoKIVO
- Gleiss Lutz: Vereinfachung der KI-Verordnung durch den Digital Omnibus
- TÜV: EU AI Act ab 2. August 2026 — was Unternehmen tun müssen
Häufige Fragen zur KI-Aufsicht
Ist die Bundesnetzagentur jetzt für alle KI-Systeme zuständig? Nicht für alle. Sie ist die zentrale Marktaufsicht überall dort, wo keine andere Fachbehörde zuständig ist. Für KI in Medizinprodukten oder Fahrzeugen bleiben die jeweiligen Fachaufsichten am Zug. Für den typischen Chatbot oder Telefonassistenten eines KMU ist die Bundesnetzagentur die Adresse.
Mein KI-Chatbot läuft seit 2025. Muss ich jetzt sofort handeln? Du hast Zeit bis zum 2. Dezember 2026. Bis dahin muss die Kennzeichnung stehen. Da die Umstellung meist nur ein paar Zeilen in der Begrüßung betrifft, würde ich das nicht bis November liegen lassen.
Betrifft mich die Verschiebung auf 2027 überhaupt? Nur wenn du Hochrisiko-KI einsetzt — etwa zur Vorauswahl von Bewerbern, zur Bonitätsbewertung oder im Bildungsbereich. Für normale Marketing-, Service- und Verwaltungs-KI ändert die Verschiebung nichts, weil hier ohnehin die Transparenzpflichten greifen, die bereits gelten.
Muss ich jeden KI-generierten Text auf meiner Website kennzeichnen? Nein, es gibt keine pauschale Kennzeichnungspflicht für jeden Marketingtext. Entscheidend ist, ob echte redaktionelle Kontrolle stattgefunden hat und ob der Inhalt täuschen kann. Ich habe das in einem eigenen Artikel zur Kennzeichnungspflicht ausführlich auseinandergenommen.
Wie hoch ist das Bußgeldrisiko für einen kleinen Betrieb wirklich? Bei KMU gilt nach Artikel 99 der niedrigere der beiden Werte, also 3 Prozent des Jahresumsatzes statt pauschal 15 Millionen Euro. Bei einem Jahresumsatz von einer Million Euro liegt die theoretische Obergrenze damit bei 30.000 Euro. In der Praxis stehen am Anfang einer Marktüberwachung außerdem Aufforderung und Abhilfe, nicht sofort das Bußgeld.
Brauche ich dafür einen externen Berater? Für die Bestandsaufnahme und die Kennzeichnung in aller Regel nicht — das schaffst du selbst. Sinnvoll wird externe Hilfe dann, wenn du unsicher bist, ob eines deiner Systeme in die Hochrisiko-Kategorie fällt. Diese Einstufung ist die Stelle, an der ich am häufigsten Fehleinschätzungen sehe.
