In Kürze:
- Ab 2. August gelten neue Transparenzpflichten für Künstliche Intelligenz in der Europäischen Union.
- Viele Unternehmen nutzen KI längst im Arbeitsalltag, doch besonders der Mittelstand steht bei der praktischen Umsetzung vor Herausforderungen.
- Bei Verletzung von Kennzeichnungspflichten auf Grundlage der KI-Verordnung drohen empfindliche Strafen.
- Die DIHK fordert klare Zuständigkeiten, praxisnahe Hilfen und verlässliche Regeln, damit Unternehmen die Vorgaben mit vertretbarem Aufwand erfüllen können.
Anfang August wird es ernst. Ab dem 2. August gelten in der Europäischen Union neue Transparenzpflichten für Künstliche Intelligenz.
Sie sollen sicherstellen, dass Menschen erkennen können, wenn sie mit einer Maschine kommunizieren oder ihnen künstlich erzeugte Inhalte begegnen. Die EU-Kommission begründet dies mit dem Schutz der Bürger und Unternehmen vor Täuschung, Manipulation, Desinformation und Betrug.
Kurz vor Ablauf der Frist stellt sich die Frage: Sind die Unternehmen in der Lage, die neuen Vorgaben rechtzeitig umzusetzen?
Chatbots müssen sich unter bestimmten Voraussetzungen als Maschinen zu erkennen geben. Anbieter generativer KI-Systeme müssen dafür sorgen, dass künstlich erzeugte oder manipulierte Inhalte gekennzeichnet werden können. Unternehmen, die sogenannte Deepfakes erzeugen oder verbreiten, müssen diese grundsätzlich kenntlich machen. Weitere Pflichten betreffen Systeme zur Emotionserkennung und zur biometrischen Kategorisierung.
Damit wird aus der europäischen KI-Verordnung (AI Act) für viele deutsche Unternehmen eine betriebliche Aufgabe. Die Europäische Kommission lässt keinen Zweifel daran, dass sie keinen weiteren Aufschub erwartet. Denn wer die Transparenzpflichten aus Artikel 50 ignoriert, dem drohen empfindliche Strafen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Umsatzes.
Unklare Pflichten, unklare Ansprechpartner
„Am 2. August 2026 beginnt Artikel 50 des ‚AI Acts‘ zu gelten. Die Betreiber müssen die Vorschriften vom ersten Tag an einhalten“, heißt es in einer Antwort der Kommission auf Anfrage von Epoch Times. Der Teil der Verordnung, auf den sich Artikel 50 bezieht, sei bereits am 1. August 2024 in Kraft getreten. Anbieter und Betreiber hätten daher nach zwei Jahren Schonfrist Zeit gehabt, sich auf die neuen Pflichten vorzubereiten.
Aus Sicht der deutschen Wirtschaft ist die Sache weniger einfach. Künstliche Intelligenz ist längst in Büros, Produktionshallen und Personalabteilungen angekommen.
So gaben in der Digitalisierungsumfrage 2025 der Deutschen Industrie- und Handelskammer (DIHK) 38 Prozent der 5.000 aus acht verschiedenen Wirtschaftszweigen befragten Unternehmen an, KI schon einzusetzen, insbesondere um effizienter zu werden und ihren Kunden bessere Produkte und Dienstleistungen anzubieten. Weitere 32 Prozent planen den Einsatz von KI-Anwendungen in den nächsten drei Jahren.
Doch vielerorts ist noch ungeklärt, welche Pflichten sich daraus ergeben und an wen sich Unternehmen mit ihren Fragen wenden können. Die Vertretung der DIHK in Brüssel sprach in einer Stellungnahme aus dem vergangenen Jahr von einem „Dschungel an Digitalregulierungen“. Die Digitalisierungsumfrage ergab auch, dass fast jedes dritte Unternehmen (31 Prozent) rechtliche Unsicherheiten als Herausforderung bei der Digitalisierung sehe.
Damit treffen zwei Entwicklungen aufeinander. Während sich generative KI mit großer Geschwindigkeit in den Unternehmen verbreitet, versucht Europa, einen Rechtsrahmen zu schaffen, der Innovation ermöglichen und zugleich Risiken begrenzen soll.
Wo die Abgrenzung schwierig wird
Für die Unternehmen beginnt die Schwierigkeit häufig mit einer einfachen Frage: Welche Rolle spielen sie als Unternehmen nach der KI-Verordnung überhaupt? Die Verordnung unterscheidet zwischen Anbietern und Betreibern von KI-Systemen.
Anbieter sind Unternehmen, die ein KI-System entwickeln oder entwickeln lassen und es auf den Markt bringen oder in Betrieb nehmen. Betreiber sind natürliche oder juristische Personen, die ein KI-System in eigener Verantwortung einsetzen. Von den vier Transparenzpflichten des Artikels 50 richten sich zwei an Anbieter und zwei an Betreiber.
Auf dem Papier ist die Unterscheidung klar. In der Praxis kann sie kompliziert werden. Ein mittelständisches Unternehmen, das einen handelsüblichen KI-Assistenten für die interne Kommunikation verwendet, befindet sich in einer anderen rechtlichen Lage als ein Betrieb, der auf Grundlage eines bestehenden KI-Modells einen eigenen Chatbot entwickelt und seinen Kunden zur Verfügung stellt.
Die DIHK nennt in einer Stellungnahme zum geplanten EU-Vereinfachungspaket für den Digitalbereich eine Reihe solcher Grenzfälle. Unklar sei etwa, wann ein Unternehmen durch die Nutzung oder Veränderung eines KI-Systems vom Betreiber zum Anbieter werde.
Als Beispiele nennt der Verband einzelne KI-Funktionen in der Software für Kunden, einfache Chatbots, die externes Wissen einbinden, und die interne Nutzung von KI-Systemen mit sogenannter Retrieval Augmented Generation. Dabei greift ein KI-Modell für seine Antworten auf zusätzliche Wissensquellen wie unternehmensinterne Dokumente oder Datenbanken zurück.
Vor allem kleine und mittlere Betriebe verfügten nicht immer über ausreichende juristische Kompetenzen, um die Anforderungen der KI-Verordnung selbstständig zu beurteilen, warnt die DIHK.
Sie benötigten praxisnahe Leitlinien, digitale Prüfwerkzeuge und klare Risikoeinstufungen. Unternehmen müssten in der Lage sein, sich auch „ohne aufwendige externe Beratung oder hohe Kosten regelkonform zu verhalten“.
70 Prozent der Unternehmen in Deutschland setzen KI ein oder planen den Einsatz in den nächsten drei Jahren. (Symbolbild).
Foto: Fabian Strauch/dpa/dpa-tmn
Regeln stehen, Hilfen kommen später
Die Europäische Kommission und die Bundesregierung versuchen, den Unternehmen die Umsetzung mit verschiedenen Angeboten zu erleichtern.
Am 10. Juni veröffentlichte die Kommission einen freiwilligen Verhaltenskodex für die Kennzeichnung KI-generierter Inhalte. Er beschreibt praktische Schritte zur Einhaltung der Transparenzpflichten und sieht vereinfachte Verfahren für kleine und mittlere Unternehmen sowie für Start-ups vor.
Hinzu kommen Leitlinien zu Artikel 50, deren ersten Entwurf Brüssel im Mai zur Konsultation stellte. Sie sollen unter anderem klären, wer als Anbieter und wer als Betreiber gilt, was rechtlich als Deepfake anzusehen ist und welche gewöhnlichen Bearbeitungen von Bildern, Texten und Videos von den Kennzeichnungspflichten ausgenommen sind.
Das AI-Office der EU-Kommission und der KI-Service-Desk der Bundesnetzagentur sollen Unternehmen zusätzlich bei der Umsetzung helfen.
Außerdem bieten Organisationen wie das Future of Life Institute mit Sitz in den USA „AI Act Compliance Checker“ an.
Doch der Zeitpunkt dieser Hilfsangebote verweist auf ein grundsätzliches Problem. Die Pflichten stehen fest, während wichtige Hilfsmittel zu ihrer Auslegung teilweise erst kurz vor dem Stichtag bereitgestellt werden.
Die DIHK kritisiert diesen Zustand seit Längerem. Eine erfolgreiche Einhaltung der Vorschriften setze voraus, dass Leitlinien, delegierte Rechtsakte und Verhaltenskodizes rechtzeitig zur Verfügung stünden, schreibt die Kammer zum Vereinfachungspaket.
Tatsächlich seien diese „entweder verspätet oder noch nicht ausreichend ausgearbeitet“. Unternehmen würden dadurch gezwungen, Anforderungen zu erfüllen, „bevor überhaupt die notwendige Klarheit besteht“.
Die deutsche Aufsicht ist noch im Aufbau
Erschwert wird die Lage durch die nationale Umsetzung. Auch in Deutschland sind laut der DIHK die Strukturen für die Anwendung und Überwachung der KI-Verordnung noch nicht vollständig etabliert.
Der Verband hatte im März in seiner Stellungnahme zum deutschen Durchführungsgesetz der KI-Verordnung vor Verzögerungen gewarnt.
Die Frist für die Benennung der Aufsichtsstrukturen sei nicht eingehalten worden. Normen, Leitfäden und Spezifizierungen, die Unternehmen für die Umsetzung benötigten, seien teilweise gar nicht oder verspätet veröffentlicht worden. Die Pflichten für die Unternehmen träten dagegen dennoch in Kraft.
Der Verband fordert deshalb klare Zuständigkeiten und einen zentralen Ansprechpartner. Die Bundesnetzagentur soll eine wichtige Rolle bei der Marktüberwachung, Koordinierung und Innovationsförderung übernehmen. Aus Sicht der DIHK muss verhindert werden, dass sich Zuständigkeiten verschiedener Behörden überschneiden oder Unternehmen mit unterschiedlichen Auslegungen konfrontiert werden.
Der Verband fordert einen „One-Stop-Shop“-Grundsatz: Unternehmen sollten eine klare Anlaufstelle haben, die sich im Zweifel selbst mit anderen Behörden abstimmt. Entscheidend sei nicht allein, Verwaltungsstrukturen aufzubauen. Die zuständigen Stellen müssten auch über die nötige Expertise verfügen, um Unternehmen schnell und verlässlich Auskunft geben zu können.
Der Omnibus soll für Ordnung sorgen
Dass auch die Europäische Union Schwierigkeiten bei der praktischen Umsetzung ihrer Digitalgesetzgebung erkannt hat, zeigt der sogenannte Digital Omnibus. Mit dem Vereinfachungspaket plant Brüssel, Vorschriften besser aufeinander abzustimmen und Unternehmen zu entlasten.
Für die Regeln für Hochrisiko-KI-Systeme wurde ein neuer Zeitplan vereinbart. Vorschriften für bestimmte Hochrisikobereiche wie Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Migration und Grenzkontrollen sollen vom 2. Dezember 2027 an gelten. Für KI-Systeme, die in Produkte wie Aufzüge oder Spielzeug integriert sind, ist der 2. August 2028 vorgesehen.
Diese Staffelung solle gewährleisten, „dass technische Standards und andere Unterstützungsinstrumente vorhanden sind, bevor die Vorschriften angewendet werden“, erklärt die Kommission gegenüber Epoch Times.
Die Transparenzpflichten des Artikels 50 sollen davon im Kern unberührt bleiben und gelten zum Großteil unverändert vom 2. August an. Nur für Bestandssysteme verschiebt sich die Kennzeichnungspflicht, sprich verpflichtende Wasserzeichen, auf den 2. Dezember.
Die deutsche Wirtschaft begrüßt den Versuch der Vereinfachung grundsätzlich. Auch das Ziel der KI-Verordnung, einen einheitlichen Rechtsrahmen für die Entwicklung und Nutzung Künstlicher Intelligenz zu schaffen, unterstützt die DIHK ausdrücklich. Ihre Kritik richtet sich vorwiegend gegen die praktische Umsetzung.
Denn die KI-Verordnung ist nur ein Teil des europäischen Regelwerks. Je nach Geschäftsmodell müssen Unternehmen auch die Datenschutz-Grundverordnung, den Data Act, den Digital Services Act und verschiedene Vorschriften zur Cybersicherheit beachten.
Die DIHK warnt vor Überschneidungen, unterschiedlichen Definitionen und mehrfachen Prüf- und Meldepflichten. Sie fordert, die Vorschriften stärker aufeinander abzustimmen und möglichst in bestehende Compliance-Strukturen zu integrieren.
Foto: monkeybusinessimages/iStock
Der Mittelstand muss seine KI erst einmal finden
Für große Konzerne sind neue regulatorische Anforderungen aufwendig, aber häufig beherrschbar. Sie verfügen über Rechtsabteilungen, Compliance-Spezialisten und eigene Teams für Künstliche Intelligenz. Für einen mittelständischen Maschinenbauer, Händler oder Dienstleister sieht die Lage anders aus.
Dort wurde die Einführung generativer KI meist nicht als regulatorisches Großprojekt begonnen. Mitarbeiter nutzen KI-Assistenten zum Schreiben von Texten, für Übersetzungen, Programmierarbeiten oder für die Analyse von Dokumenten. Marketingabteilungen erzeugen Bilder, Personalabteilungen testen neue Software und Kundenservices führen Chatbots ein.
Aus vielen einzelnen Anwendungen entsteht eine KI-Infrastruktur, für die das Unternehmen Verantwortung trägt. Bevor ein Betrieb die Vorschriften der KI-Verordnung umsetzen kann, muss er deshalb zunächst wissen, welche Systeme seine Mitarbeiter überhaupt verwenden. Er muss klären, wer sie einsetzt, welche Inhalte damit erzeugt werden und ob daraus Kennzeichnungspflichten entstehen. Verantwortlichkeiten müssen festgelegt, Mitarbeiter geschult und bestehende Compliance-Strukturen angepasst werden.
Die Regeln müssen im Alltag bestehen
Darin liegt die besondere Herausforderung für den Mittelstand. Die Kennzeichnung eines KI-generierten Inhalts mag technisch lösbar sein.
Schwieriger ist es, die relevanten Anwendungen im Unternehmen zu erfassen, rechtlich einzuordnen und in die betrieblichen Abläufe einzubinden.
Die DIHK fordert deshalb einen Katalog typischer KI-Anwendungen in kleinen und mittleren Unternehmen mit einer klaren Einordnung der jeweiligen Risiken. Hinzu kommen digitale Selbsttests, mit denen Unternehmen prüfen können, welche Vorschriften für sie gelten, sowie sogenannte Safe-Harbor-Regelungen. Diese sollen Unternehmen Rechtssicherheit geben, wenn sie sich an bestimmte anerkannte Standards halten.
Auch beim Umgang mit Verstößen plädiert die DIHK für einen verhältnismäßigen Ansatz: Die Behörden sollten ihre gesetzlichen Spielräume nutzen und präventionsorientiert handeln.
Ob die KI-Verordnung ihr Ziel erreicht, wird deshalb nicht allein von der Qualität ihrer Vorschriften abhängen. Wichtig ist auch, ob die Unternehmen sie verstehen und mit vertretbarem Aufwand in ihren Alltag übersetzen können.
Ein klarer Rechtsrahmen kann Investitionen erleichtern und Vertrauen in neue Technologien schaffen. Bleiben dagegen Zuständigkeiten und Abgrenzungen unklar, wird Regulierung gerade für kleinere Unternehmen schnell zur Kostenfrage. Ab August beginnt der Praxistest. Dann muss sich zeigen, ob Europas KI-Regeln im Unternehmensalltag funktionieren.
