EU-KI-Verordnung für KMU erklärt: Gilt sie für Ihr Unternehmen?

Was ist die EU-KI-Verordnung?

Die EU-KI-Verordnung (offiziell: Verordnung (EU) 2024/1689) ist das erste umfassende europäische Gesetz zur Regulierung des Einsatzes künstlicher Intelligenz. Sie ist im August 2024 in Kraft getreten. Die meisten Pflichten gelten ab August 2026.

Das Gesetz verfolgt einen risikobasierten Ansatz: Je größer das Risiko, das ein KI-System für Gesundheit, Sicherheit oder Grundrechte darstellt, desto strenger die Anforderungen. Es gibt vier Risikokategorien: inakzeptables Risiko (verboten), hohes Risiko (strenge Anforderungen), begrenztes Risiko (Transparenzpflichten) und minimales Risiko (keine Pflichten).

Für wen gilt die EU-KI-Verordnung?

Das Gesetz richtet sich an vier Arten von Akteuren:

Anbieter (Provider) — Unternehmen, die KI-Systeme entwickeln und auf den Markt bringen. Denken Sie an ein Softwareunternehmen, das ein KI-Tool verkauft.

Betreiber — Unternehmen, die KI-Systeme anderer in ihren eigenen Geschäftsprozessen einsetzen. Denken Sie an eine Personalabteilung, die ein KI-Tool für das Screening von Lebensläufen nutzt.

Einführer und Händler — Unternehmen, die KI-Systeme aus Drittländern einführen oder in der EU weiterverkaufen.

Hersteller von Produkten mit eingebauter KI — denken Sie an einen Maschinenbauer, der eine KI-gesteuerte Sicherheitsfunktion integriert.

Fällt Ihr Unternehmen in keine dieser Kategorien — Sie nutzen keine KI, entwickeln keine KI und verkaufen keine Produkte mit eingebauter KI —, gelten für Sie keine Pflichten nach der EU-KI-Verordnung.

Gilt die EU-KI-Verordnung für mein KMU?

In den meisten Fällen nicht direkt. Ein Installationsbetrieb, ein Bauunternehmer, ein Transportunternehmen oder ein Produktionsbetrieb, der keine KI-Systeme entwickelt oder verkauft, fällt außerhalb des unmittelbaren Anwendungsbereichs des Gesetzes.

Es gibt jedoch drei Situationen, in denen die EU-KI-Verordnung Sie doch betreffen kann:

Situation 1 — Sie nutzen KI für Entscheidungen über Menschen. Wenn Sie KI für Personalentscheidungen (Einstellung, Beurteilung, Kündigung), die Bonitätsprüfung von Kunden oder Sicherheitsbewertungen am Arbeitsplatz einsetzen, kann dies unter die Hochrisiko-Kategorie fallen. Sie sind dann Betreiber mit Pflichten: Transparenz gegenüber den Betroffenen, menschliche Aufsicht und Protokollierung der KI-Entscheidungen.

Situation 2 — Ihr Kunde verlangt eine Erklärung nach der KI-Verordnung. Wenn Sie Software oder Technologiedienstleistungen an einen großen Kunden liefern, der selbst Betreiber von Hochrisiko-KI ist, kann dieser Kunde im Rahmen seiner Sorgfaltspflicht in der Lieferkette fragen, ob Ihre Produkte oder Dienstleistungen KI enthalten und, falls ja, welcher Risikostufe. Das ist vergleichbar damit, wie die CSRD Nachhaltigkeitsfragen an die Kette weitergibt.

Situation 3 — Sie entwickeln KI-Funktionalität in Ihrem Produkt. Wenn Ihr Unternehmen Software herstellt und ihr KI hinzufügt — auch wenn es sich um eine kleine Funktion handelt —, sind Sie Anbieter im Sinne des Gesetzes. Dann gelten Pflichten zur technischen Dokumentation, eine Konformitätsbewertung für Hochrisiko-Systeme und eine Registrierung in der EU-Datenbank.

Für die überwiegende Mehrheit der niederländischen und europäischen KMU trifft Situation 1, 2 oder 3 nicht zu. Ein Dachdecker, ein Elektriker oder ein Großhändler für Baumaterialien fällt außerhalb des unmittelbaren Anwendungsbereichs.

Was sind Hochrisiko-KI-Anwendungen?

Anhang III der EU-KI-Verordnung führt die Hochrisiko-Anwendungen auf. Für KMU sind die relevantesten Kategorien:

Beschäftigung und Personalmanagement — KI, die Bewerber screent, Leistungen bewertet, Beförderungen empfiehlt oder Vertragsbeendigungen unterstützt. Wenn Sie ein HR-Tool nutzen, das KI für diese Entscheidungen einsetzt, ist Ihr Unternehmen Betreiber von Hochrisiko-KI.

Zugang zu Bildung und Berufsausbildung — KI, die über die Zulassung zu einer Ausbildung entscheidet oder Lernleistungen bewertet.

Sicherheitsbauteile von Produkten — KI in Maschinen, Fahrzeugen oder Medizinprodukten, die bereits unter bestehende Sicherheitsvorschriften fallen.

Kritische Infrastruktur — KI in Energie-, Wasser- oder Verkehrsnetzen.

Fällt Ihr KI-Einsatz nicht in diese Kategorien — etwa ein Chatbot auf Ihrer Website, eine Rechtschreibprüfung oder ein Produktempfehlungssystem —, haben Sie es mit minimalem oder begrenztem Risiko zu tun. Für minimales Risiko gelten keine Pflichten. Für begrenztes Risiko gilt lediglich eine Transparenzpflicht: Nutzer müssen wissen, dass sie mit einer KI interagieren.

Verbotene KI-Anwendungen — was Sie niemals tun dürfen

Unabhängig von der Unternehmensgröße sind bestimmte KI-Anwendungen seit dem 2. Februar 2025 verboten:

Social Scoring — KI-Systeme, die Menschen anhand ihres Verhaltens eine allgemeine Bewertung zuweisen und diese Bewertung nutzen, um sie in sachfremden Zusammenhängen zu benachteiligen.

Biometrische Echtzeit-Identifizierung in öffentlichen Räumen — Gesichtserkennung auf der Straße oder in Geschäften zu Identifizierungszwecken (mit engen Ausnahmen zu Strafverfolgungszwecken).

Manipulative KI — Systeme, die Nutzer unbewusst in einer für ihre Interessen schädlichen Weise beeinflussen.

Ausnutzung schutzbedürftiger Gruppen — KI, die gezielt die Schutzbedürftigkeit von Kindern, älteren Menschen oder Menschen mit Behinderung ausnutzt.

Für die meisten KMU sind diese Verbote für den Geschäftsalltag nicht relevant.

Was sollten Sie jetzt konkret tun?

Für die meisten KMU ist die Antwort einfach: Erfassen Sie, welche KI-Tools Sie nutzen und wofür.

Schritt 1 — Erstellen Sie eine Liste der genutzten KI-Tools. Denken Sie an: ChatGPT oder vergleichbare Tools für Textarbeit, KI-Funktionen in Ihrer Buchhaltungssoftware, Tools zum Screening von Lebensläufen, Chatbots auf Ihrer Website, Empfehlungssysteme in Ihrem Webshop.

Schritt 2 — Bewerten Sie die Nutzung. Nutzen Sie diese Tools für Entscheidungen über Menschen (Personal, Kunden)? Dann ist eine vertiefte Prüfung nötig. Nutzen Sie sie nur zur Produktivitätsunterstützung (Texte schreiben, übersetzen, zusammenfassen)? Dann fallen Sie in die Kategorie minimales Risiko und es gelten keine Pflichten.

Schritt 3 — Dokumentieren Sie Ihre Schlussfolgerung. Selbst wenn Sie zu dem Schluss kommen, dass die EU-KI-Verordnung nicht anwendbar ist, ist es ratsam, diese Schlussfolgerung kurz zu dokumentieren. Fragt Ihr Kunde irgendwann danach, können Sie eine klare Antwort geben.

Schritt 4 — Verfolgen Sie die Entwicklungen. Die EU-KI-Verordnung ist neu, und ihre praktische Anwendung wird in den kommenden Jahren durch delegierte Rechtsakte und Leitlinien des Europäischen KI-Büros (European AI Office) weiter ausgestaltet. Verfolgen Sie diese, wenn Sie KI strukturell einsetzen.

verified.supply hilft Ihnen, Ihr Compliance-Profil in Ordnung zu halten — für Nachhaltigkeit (VS-Standard), Menschenrechte (CSDDD) und Cybersicherheit (NIS2, in Deutschland umgesetzt durch das NIS2-Umsetzungsgesetz, NIS2UmsuCG). Die EU-KI-Verordnung liegt außerhalb unserer Plattform, da sie keine Berichtspflicht für die Lieferkette darstellt, aber wir informieren Sie über die relevante Regulierung.

Was, wenn mein Kunde eine Erklärung nach der KI-Verordnung verlangt?

Wenn ein großer Kunde von Ihnen verlangt nachzuweisen, dass Ihre Produkte oder Dienstleistungen der EU-KI-Verordnung entsprechen, gibt es zwei Szenarien:

Szenario A — Sie liefern keine KI-Systeme. Eine kurze schriftliche Erklärung genügt: „Unsere Produkte und Dienstleistungen enthalten keine KI-Systeme im Sinne der Verordnung (EU) 2024/1689. Wir sind weder Anbieter noch Betreiber von KI-Systemen, die in den Anwendungsbereich der EU-KI-Verordnung fallen.“

Szenario B — Sie liefern doch KI-Funktionalität. Dann haben Sie als Anbieter Pflichten: technische Dokumentation, Konformitätsbewertung (bei Hochrisiko) und Registrierung in der EU-Datenbank für Hochrisiko-Systeme. Ziehen Sie für dieses Szenario einen auf EU-Recht spezialisierten Rechtsberater hinzu.

Die EU-KI-Verordnung folgt einer ähnlichen Logik wie die CSDDD: Große Unternehmen müssen ihre Kette abbilden und können daher Fragen an ihre Lieferanten stellen. Anders als bei CSRD und CSDDD ist jedoch kein standardisiertes Berichtsformat für Lieferanten festgelegt. Das macht eine einfache schriftliche Erklärung vorerst zur praktischsten Lösung.