KI-Verordnung für KMU: Der Compliance-Leitfaden 2026

KI-Verordnung-Compliance für KMU bedeutet, die Transparenz-, Dokumentations- und Risikomanagement-Pflichten der Verordnung (EU) 2024/1689 zu erfüllen, skaliert auf ein 5-bis-50-Personen-Team statt auf einen globalen Konzern. Für die meisten KMU heißt das: fünf schlanke Dokumente produzieren und aktuell halten, nicht eine GRC-Plattform aufbauen.

Hier ist die unbequeme Nachricht. Die meisten KMU denken, die KI-Verordnung sei ein Problem für Meta, OpenAI und Microsoft. Ist sie nicht. Die Verordnung gilt für Anbieter (die KI-Systeme bauen) und für Betreiber (die sie beruflich nutzen). Nutzt deine 10-Personen-Recruiting-Agentur einen KI-CV-Screener, deine 25-Personen-Klinik eine KI-Triage oder dein Marketing-Shop KI fürs A/B-Testing an Kundenentscheidungen, bist du Betreiber. Betreiberpflichten sind leichter als Anbieterpflichten, aber nicht null.

Die gute Nachricht. Die Verordnung verlangt keine Enterprise-Grade-Governance von KMU. Die EU-Kommissions-Leitlinien bekennen sich ausdrücklich zur Verhältnismäßigkeit: Deine Dokumentation darf kürzer sein, deine Risikobewertung einfacher, dein Audit-Trail kleiner. Dieser Leitfaden zeigt, wie Verhältnismäßigkeit für ein kleines Team wirklich aussieht.

Wenn du die Enterprise-Version suchst, siehe unsere DSGVO- und KI-VO-Checkliste. Dieser Artikel ist speziell für KMU, die dasselbe Compliance-Ergebnis mit einem Bruchteil des Aufwands brauchen.

KI-VO-Compliance für einen KMU-Betreiber gliedert sich in drei Pflichten: wissen, welche KI-Systeme du nutzt; transparent darüber gegenüber betroffenen Personen sein; und grundlegende Aufzeichnungen führen, damit du beides auf Nachfrage belegen kannst. Das sind 80 % der Pflicht, und eine Person schafft das in einer Woche.

Die restlichen 20 % hängen davon ab, ob einer deiner KI-Einsätze als Hochrisiko gilt. Anhang III der KI-VO listet die Kategorien: beschäftigungsbezogene KI (Recruiting, Bewertung, Beförderungsentscheidungen), Kreditwürdigkeitsprüfung, Zugang zu essenziellen Diensten, Strafverfolgung, Migration, Justizverwaltung, demokratische Prozesse und bestimmte biometrische und bildungsbezogene Einsätze. Die meisten KMU nutzen entweder gar keine Hochrisiko-KI oder in einem Bereich (Recruiting ist der häufigste Fall).

Nutzt du Hochrisiko-KI, steigen deine Pflichten: eine Datenschutz-Folgenabschätzung, Verfahren zur menschlichen Aufsicht, ein Log-Protokoll des Systems und eine Offenlegung gegenüber der bewerteten Person. Immer noch leichter als Anbieterpflichten, immer noch verhältnismäßig, aber konkret.

Die KI-Governance-Bewertung sagt dir in unter 10 Minuten, ob deine aktuelle KI-Nutzung nach der Verordnung als Hochrisiko gilt, was deine Betreiberpflichten sind und wo die Lücken gerade sind.

Die KI-VO ist am 1. August 2024 in Kraft getreten, aber ihre Pflichten greifen gestaffelt. Das ist wichtig für die KMU-Planung: Du brauchst nicht alle Dokumente am ersten Tag, aber du musst wissen, welche Fristen für welche deiner KI-Einsätze gelten. Die Stufe, die KMU zuerst trifft, ist die Hochrisiko-Kategorie ab August 2026. Den vollständigen Rechtstext findest du in der konsolidierten Fassung der Verordnung (EU) 2024/1689 auf EUR-Lex, und der Europäische Datenschutzausschuss (EDPB) veröffentlicht laufend Stellungnahmen zur Wechselwirkung von DSGVO und KI-Verordnung für KMU-Betreiber.

Eine AUP ist das Tor zwischen deinem Team und der offenen Welt der KI-Tools, in einem Dokument. Für ein KMU ist das Ziel kein 40-seitiges Rechtsdokument. Es ist ein klares, 2-bis-4-seitiges Dokument, das alle in 5 Minuten lesen und umsetzen können. Dauert es länger, liest es niemand, und genau so beginnt Schatten-KI.

Das Dokument leistet zwei Dinge: Es sagt deinem Team, was erlaubt ist (damit klare Freigaben für Standardfälle existieren) und was nicht (damit Schatten-KI ein klares Nein bekommt). Beides ist gleich wichtig. Eine Policy, die nur Nein sagt, treibt Nutzung in den Untergrund. Eine Policy, die Ja ohne Bedingungen sagt, macht dich haftbar für alles, was danach passiert.

Das KI-Register ist das hebelkräftigste Compliance-Dokument. Es ist auch das, das den meisten KMU fehlt. Der Zweck ist einfach: Eine Aufsichtsperson soll aus einem Dokument sehen können, welche KI-Systeme dein Unternehmen einsetzt, auf welchen Daten, mit welchem Risiko und unter welchem internen Owner. Ein Spreadsheet reicht. Eine Notion- oder Airtable-Tabelle reicht. Eine Word-Tabelle reicht. Du brauchst kein GRC-Tool, um anzufangen.

Die minimalen Spalten:

Das Register aufzufüllen dauert in einem 20-Personen-Unternehmen meist 2 bis 4 Stunden. Eine kurze Team-Umfrage (die KI-Nutzungsumfrage ist genau dafür gemacht), Abgleich mit den Finanzunterlagen (jedes bezahlte KI-Tool hinterlässt eine Rechnung), und du schreibst das Register. Schwierig ist nicht der Aufbau, sondern die Pflege, wenn jemand ein neues Tool hinzufügt. Leg die Überprüfung in einen wiederkehrenden Kalendertermin, quartalsweise.

Art. 50 KI-VO verlangt Offenlegung in vier Situationen: wenn jemand mit einem KI-System interagiert (außer aus dem Kontext offensichtlich), wenn Inhalte KI-generiert sind und mit menschlichen verwechselt werden könnten, wenn Emotionserkennung oder biometrische Kategorisierung eingesetzt wird, und wenn synthetische Medien erstellt werden. Für KMU sind die praktischen Pflichten enger, als sie aussehen.

Fünf Fallen, die KMU härter treffen als Großunternehmen:

1. Compliance als einmaliges Projekt behandeln. Ein Register, das du im März geschrieben und nie aktualisiert hast, ist schlimmer als kein Register, weil es falsche Sicherheit vortäuscht. Leg die Überprüfung quartalsweise in den Kalender und halte sie so kurz, dass Aktualisierung 30 Minuten dauert, nicht 3 Tage.

2. Annehmen, Free-Tier-KI sei außerhalb des Geltungsbereichs. Der KI-VO ist dein Vendor-Preisplan egal. Wenn Gemini eine Kandidat:innen-Absage schreibt, fällt Gemini in den Geltungsbereich. Consumer-Accounts sind für Compliance meist schlechter, nicht besser, wegen Training-Defaults und fehlender AVVs. Schatten-KI in KMU ist fast immer eine Consumer-Account-Geschichte.

3. Eine Policy schreiben, die niemand liest. Eine 40-seitige AUP ist schlimmer als eine 2-seitige, weil Compliance-durch-Vermeidung keine Compliance ist. Sprich umgangssprachlich. Ein Beispiel pro Regel. Links auf Vertiefung für Interessierte.

4. Die Mitarbeitenden-Seite vergessen. Dein Team ist betroffen unter DSGVO. Es hat Anspruch darauf zu wissen, welche KI die Arbeit berührt und besonders, welche KI die Person bewertet. Mitarbeitendenvertrauen in KI ist nicht nur nice-to-have; es wird DSGVO- und KI-VO-Pflicht, sobald du KI in Performance-Reviews, Dienstplanung oder im disziplinarischen Kontext nutzt.

5. Die Frist 2027 als Puffer sehen. August 2026 trifft Recruiter:innen, HR-Tech-Nutzer:innen und Kredit-nahe Unternehmen. Berührt deine KI Einstellungsentscheidungen, ist das deine Frist, nicht 2027. Der komplette KI-Adoption-Change-Management-Plan zeigt, wie du Governance-Arbeit so sequenzierst, dass du nicht in der Woche davor Dokumente in Panik baust.

KI-VO-Compliance für ein KMU ist gelebte Praxis, kein einmaliges Projekt. Die fünf Dokumente sind der Boden. Die Kultur, sie aktuell zu halten, macht daraus ein Fundament. Für einen tieferen Blick auf das eingebettete Workflow-Muster, das diese Dokumente stützen, siehe unseren Schwester-Leitfaden zu KI im Mittelstand.