Der Handzettel für Dein Unternehmen

In den vergangenen zwei Wochen haben wir viel geordnet. In Teil 1 haben wir Dir gezeigt, dass der 2. August 2026 zwar nicht mehr die große Compliance-Bedrohung ist, als die er lange galt, aber trotzdem ein paar Pflichten scharfstellt, die den Alltag im Mittelstand direkt berühren. In Teil 2 haben wir uns angeschaut, wer in Deutschland künftig darauf aufpasst, dass diese Pflichten eingehalten werden. Antwort: Die Bundesnetzagentur, gemeinsam mit dem neuen Koordinierungszentrum KoKIVO.

Heute schließen wir die Serie mit dem Praxis-Teil. Vier konkrete Häkchen, die in Deinem Unternehmen bis zum 2. August tatsächlich gesetzt sein sollten. Bewusst kein Gesetzeskommentar, sondern ein Handzettel, den Du am Ende dieser Ausgabe kopieren und Deinem Team auf den Tisch legen kannst.

Teil 3 und Finale der Serie: „Der Aufschub, den kaum jemand verstanden hat".

Der Aha-Effekt: Vier Häkchen reichen für den Anfang

Die KI-Verordnung ist über hundert Artikel lang und wirkt aus der Ferne wie ein bürokratisches Ungetüm. Aus der Nähe betrachtet, schrumpft sie zum 2. August auf vier konkrete Punkte zusammen. Nicht mehr, nicht weniger. Wer diese vier Häkchen sauber gesetzt hat, ist für den Stichtag vorbereitet und kann den Rest gelassener angehen. Alles Aufwendige kommt später, mit den zusätzlichen Fristen bis 2027 und 2028.

Vier Häkchen, die bis zum 2. August in Deinem Unternehmen gesetzt sein sollten

Jeder der folgenden Punkte lässt sich in einer bis drei Stunden vorbereiten. Alle vier zusammen reichen für den Stichtag.

Häkchen 1: Deine Chatbots und Sprachassistenten sind als KI erkennbar. Artikel 50 der KI-Verordnung verlangt, dass jede natürliche Person, die mit einem KI-System interagiert, das auch weiß. Wenn auf Eurer Website ein Chatbot antwortet oder ein Voicebot Kundenanrufe entgegennimmt, gehört ein klarer Hinweis dazu, dass gerade eine KI im Spiel ist. Ein einziger Satz reicht, aber er muss vor der ersten Interaktion sichtbar sein. Ausnahme: Wenn es aus dem Kontext ohnehin offensichtlich ist.

Häkchen 2: KI-generierte Inhalte sind gekennzeichnet.  Bilder, Videos, Audio-Aufnahmen und in bestimmten Fällen auch Texte, die von KI erzeugt oder wesentlich verändert wurden, brauchen eine erkennbare Kennzeichnung. Das betrifft Marketing-Bilder aus Midjourney genauso wie automatisch generierte Beiträge zu öffentlichen Themen. Bei Deepfakes ist die Pflicht besonders streng. Rein interne, nicht veröffentlichte Inhalte sind meistens weniger streng zu behandeln als öffentlich sichtbare.

Häkchen 3: Deine Mitarbeitenden verstehen, was KI kann und was nicht.  Diese Pflicht gilt bereits seit dem 2. Februar 2025 und wird trotzdem oft übersehen: Artikel 4 der KI-Verordnung verlangt von jedem Unternehmen, das KI einsetzt, einen ausreichenden Kenntnisstand seiner Mitarbeitenden. Das ist keine akademische Ausbildung, aber sehr wohl eine dokumentierte, betriebsinterne Grundschulung. Zwei Stunden, ein Handout, eine Anwesenheitsliste. Wer das bisher versäumt hat, holt es jetzt nach.

Häkchen 4: Du weißt, wer im Haus zuständig ist.  Falls die Bundesnetzagentur oder eine Datenschutzaufsicht Auskunft möchte, sollte klar sein, wer intern die Antworten liefert. Das muss kein neuer Vollzeit-Job sein, oft reicht eine benannte Ansprechperson aus Compliance, IT oder Datenschutz. Wichtig ist, dass diese Person eine kurze Bestandsliste hat, welche KI-Systeme im Betrieb überhaupt im Einsatz sind. Ohne diese Übersicht wird jedes andere Häkchen viel Arbeit.

In Summe eine gute halbe Woche Arbeit, verteilt auf mehrere Köpfe, und ein Sommer ohne Compliance-Kopfschmerzen.

Was Du bis 2028 nicht mehr anfassen musst

Genauso wichtig wie die vier Häkchen ist die Klarheit darüber, was jetzt eben nicht dringend ist. Die vollen Pflichten für Hochrisiko-KI nach Anhang III der KI-Verordnung sind auf den 2. Dezember 2027 verschoben, für Sicherheitskomponenten in Produkten (Anhang I) sogar auf den 2. August 2028. Wenn Du bisher an einer aufwendigen Risiko-Dokumentation, einem Konformitätsbewertungsverfahren oder einer detaillierten Datensatz-Beschreibung gearbeitet hast, kannst Du das Tempo dort mit ruhigem Gewissen zurücknehmen. Nicht abbrechen, denn diese Frist kommt schneller zurück, als es sich heute anfühlt. Aber die Schweißperlen, die dabei geflossen sind, kannst Du Dir bis auf Weiteres wegwischen.

Warum sich diese drei Wochen am 2. August auszahlen

Wer die Serie mitgelesen hat, gehört ab Sonntag zu einer eher überschaubaren Gruppe im deutschen Unternehmensumfeld: Zu denen, die den 2. August nicht mit einem mulmigen Gefühl, sondern mit einer sauberen Vorbereitung erleben. Das ist weder Verdienst noch Zufall, sondern die Belohnung dafür, ein trockenes Thema drei Wochen lang nicht weggeklickt zu haben. Die eigentliche Nachricht dieser Serie ist deshalb weniger juristisch als praktisch: KI-Compliance ist im Mittelstand keine Frage von Anwaltsteams und sechsstelligen Budgets. Sie ist eine Frage von einer Handvoll klar formulierter Pflichten, die man an einem ruhigen Nachmittag abhaken kann.