Die EU-KI-Verordnung kennt keine Größenschwelle. Sie gilt nach Rolle und nach Gebiet, und sobald Menschen in Ihrem Unternehmen KI für die Arbeit nutzen, ist Ihre Organisation ein Betreiber mit eigenen Pflichten. Welche Pflichten das sind, hängt davon ab, worüber die KI entscheidet – nicht davon, wie groß Sie sind.
In keiner geht es um Ihre Größe.
Nutzen Menschen in Ihrer Organisation KI im Rahmen ihrer Arbeit?
Sie sind Betreiber.
Das trifft auf fast jedes Unternehmen zu, und hier liegen die meisten Organisationen falsch. Wenn Sie KI nicht entwickeln, sind Sie zwar kein Anbieter. Außerhalb der Verordnung stehen Sie damit aber nicht.
Bringen Sie ein KI-System in Verkehr oder nehmen Sie eines unter Ihrem eigenen Namen in Betrieb?
Sie sind Anbieter.
Deutlich schwerere Pflichten – und Sie können hier landen, ohne es zu beabsichtigen; siehe unten.
Führen Sie ein Produkt mit eingebauter KI ein, vertreiben oder verkaufen Sie es?
Auch Sie sind betroffen.
Einführer, Händler, Produkthersteller und Bevollmächtigte tragen jeweils eigene Pflichten.
Deshalb erfasst die Verordnung auch Lieferanten, die nie eine EU-Gesellschaft hatten, und deshalb wird Ihr Prüfer danach fragen, wo ein System läuft.
Nichts in der Verordnung funktioniert wie die Beschäftigten- oder Umsatzschwellen in anderen EU-Vorschriften. Kleine und mittlere Unternehmen erhalten leichtere Wege zur Erfüllung – vereinfachte technische Dokumentation, KI-Reallabore, an ihre Größe angepasste Geldbußen –, aber keine Befreiung von der Erfüllung.
Zwei dieser Termine haben sich im Juli 2026 verschoben. Der bereits durchsetzbare nicht.
Jeder Anbieter und jeder Betreiber, auf jeder Risikostufe. Angemessene Maßnahmen, damit die Menschen, die KI nutzen, verstehen, was sie kann und was nicht.
Alle.
Anbieter von Modellen und der Durchsetzungsapparat hinter allem anderen.
Den Menschen sagen, wenn sie es mit KI zu tun haben. Synthetische Inhalte kennzeichnen. Von den nationalen Behörden bereits durchsetzbar, mit Geldbußen bis 15 Mio. € oder 3 % des weltweiten Jahresumsatzes.
Übergangsfrist für generative Systeme, die vor August 2026 bereits in Verkehr gebracht waren.
Menschliche Aufsicht, Überwachung des Betriebs, Unterrichtung der Arbeitnehmer – und Aufbewahrung der automatisch erzeugten Protokolle des Systems für mindestens sechs Monate.
Maschinen, Medizinprodukte, Fahrzeuge und der Rest des Produktsicherheitsrechts.
Die Termine Dezember 2027 und August 2028 wurden durch den Digital Omnibus – die Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026 – verschoben. Die Transparenzpflichten wurden nicht verschoben – eine Unterscheidung, die viele veröffentlichte Leitfäden bis heute falsch darstellen.
Hochrisiko bestimmt sich danach, was ein System über Menschen entscheidet, nicht danach, wie fortgeschritten es ist. Dies sind die Bereiche aus Anhang III, mit denen ein gewöhnliches Unternehmen tatsächlich zu tun hat.
Sichtung von Bewerbungen, Zuweisung von Aufgaben, Überwachung der Leistung, Entscheidungen über Beförderung oder Beendigung des Arbeitsverhältnisses.
Bewertung der Kreditwürdigkeit sowie Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen.
Zulassung, Bewertung von Lernergebnissen, Überwachung während Prüfungen.
Biometrische Fernidentifizierung, biometrische Kategorisierung, Emotionserkennung.
Ein Hersteller, der ein KI-Tool die Vorauswahl von Bewerbern treffen lässt, ist Betreiber eines Hochrisiko-KI-Systems. Nur die wenigsten wissen das.
Die dritte Spalte ist die ehrliche. Keine Plattform macht eine Organisation rechtskonform, und wer eine Tabelle mit nur zwei Spalten zeigt, will Ihnen etwas verkaufen.
| Die Pflicht | Was Tandevia protokolliert oder durchsetzt | Was bei Ihnen bleibt |
|---|---|---|
| KI-KompetenzArtikel 4 | Ein Nachweis darüber, wer welches Modell nutzt, wofür und wie oft – damit Schulungen auf die Menschen und Aufgaben zielen können, die sie brauchen. | Zu entscheiden, was Ihre Mitarbeitenden verstehen müssen, und es ihnen tatsächlich beizubringen. |
| Wissen, welche KI Sie habenDie Voraussetzung für alles | Jede Anfrage wird einer Person, einem Team, einer Anwendung oder einem Agenten zugeordnet – über kommerzielle, Open-Weight- und selbstgehostete Modelle hinweg. | Jede Nutzung anhand von Anhang III einzuordnen und Ihre Risikostufe zu bestimmen. |
| Transparenz gegenüber MenschenArtikel 50 | Welche Modelle eine Anwendung erreichen darf – damit ein Assistent mit Kundenkontakt nicht unbemerkt auf ein nicht angegebenes Modell umgestellt wird. | Den Hinweis in die Oberflächen zu schreiben, die Ihre Kunden tatsächlich sehen. Das ist eine Eigenschaft Ihres Frontends, nicht der Schicht darunter. |
| Menschliche AufsichtArtikel 26 Absatz 1 | Freigabepunkte in Workflow Studio – mit der freigebenden Person, dem Zeitpunkt und der Entscheidung, festgehalten zu jedem Durchlauf. | Zu wählen, welche Schritte einen Menschen brauchen, und dieser Person echte Befugnis zu geben, abzulehnen. |
| Protokolle aufbewahrenArtikel 26 Absatz 6 | Ein abfragbarer Nachweis über jede Anfrage, jedes Modell, jede Entscheidung und jeden Kostenposten, mit konfigurierbarer Aufbewahrung – einschließlich dessen, was einem Modell vorenthalten wurde, und als Dokument exportierbar. | Die Aufbewahrung auf mindestens sechs Monate zu setzen und das mit Ihren Datenschutzregeln in Einklang zu bringen. |
| Betrieb überwachenArtikel 26 Absatz 5 | Nutzung, Kosten und Richtlinienentscheidungen je Team und Anwendung, mit Warnungen vor Erreichen einer Obergrenze. | Auf das zu reagieren, was die Überwachung zeigt, und schwerwiegende Vorfälle zu melden. |
| Nutzung gemäß BetriebsanleitungArtikel 26 Absatz 1 | Ein freigegebener Modellkatalog je Team. Nicht freigegebene Modelle sind nicht verfügbar, statt bloß unerwünscht. | Die Betriebsanleitung des Anbieters zu lesen und die Konfiguration daran auszurichten. |
| Steuerung der EingabedatenArtikel 26 Absatz 4 | Prüfung von Inhalten, bevor sie Ihr Netzwerk verlassen, und von Inhalten aus externen Quellen, bevor ein Modell sie liest – durchgesetzt per Richtlinie. | Zu entscheiden, was überhaupt gesendet werden darf und an wen. |
Eines sollten Sie an Ihrem eigenen Tarif prüfen: Artikel 26 Absatz 6 setzt für die Protokolle eines Betreibers von Hochrisiko-KI-Systemen eine Untergrenze von sechs Monaten. Bei Tandevia heißt das: die Aufbewahrungsdauer der Tarife Business oder Enterprise – der Tarif Team bewahrt drei Monate auf und liegt damit unter dieser Grenze.
Drei Wege machen aus einem Betreiber einen Anbieter. Trifft einer davon zu, gehen die Anbieterpflichten aus Artikel 16 auf Sie über, und der ursprüngliche Lieferant ist nicht länger Anbieter dieses Systems.
Der dritte ist der, der gewöhnliche Unternehmen erwischt. Aus einem Modell mit allgemeinem Verwendungszweck eine Automatisierung zu bauen, die Bewerber vorsortiert, ist genau diese Änderung der Zweckbestimmung – und entschieden wird das meist von einem Team, das die Verordnung nie gelesen hat.
Dies ist eine Landkarte, keine Rechtsberatung. Nichts hier macht eine Organisation rechtskonform, und kein Produkt kann das – Einstufung, Schulung, Offenlegung und Verantwortlichkeit bleiben bei Ihnen. Prüfen Sie Ihre eigene Lage mit Ihrem eigenen Rechtsbeistand.
Gibt die Rechtslage mit Stand September 2026 wieder, einschließlich der Verordnung (EU) 2026/1744. Die EU-KI-Verordnung ist weiter in Bewegung; deshalb ist diese Seite datiert.
KI-Nutzung, die Sie nicht sehen, können Sie weder einstufen noch belegen noch dafür schulen – und das gilt, welche Pflichten am Ende auch immer für Sie gelten. Es ist zugleich der Teil, der am längsten dauert; deshalb ist der Aufschub bis Dezember 2027 Zeit zum Handeln und nicht Zeit zum Abwarten.