KI-Verordnung und KMU: was seit dem 2. August gilt

Veröffentlicht am 15. September 2026

Wer in seinem Unternehmen KI einsetzt, statt sie zu entwickeln, hat keine einzelne Frist im Blick zu behalten. Die Pflichten setzten zu unterschiedlichen Zeitpunkten ein und verlangen Unterschiedliches, und der 2. August 2026 ist nur einer davon, nicht einmal der arbeitsintensivste.

An diesem Tag begann die „allgemeine Anwendbarkeit“ der europäischen KI-Verordnung (Artikel 113 der Verordnung (EU) 2024/1689), und oft wurde das so gelesen, als käme alles auf einmal, obwohl ein Teil schon vorher galt und ein anderer Teil des Neuen nicht mehr dem ursprünglichen Zeitplan folgt.

Stand: 15. September 2026. Diese Notiz stützt sich auf die Verordnung (EU) 2024/1689 (KI-Verordnung) und auf den sogenannten Digital-Omnibus zur KI, der inzwischen geltendes Recht ist: Verordnung (EU) 2026/1744 vom 8. Juli 2026, veröffentlicht im Amtsblatt der Europäischen Union am 24. Juli 2026 und in Kraft seit dem 27. Juli. Das Folgende berücksichtigt seine Änderungen bereits. Am 9. Oktober 2026 nur hinsichtlich des spanischen Organgesetzentwurfs aktualisiert, der verfallen ist.

Seit 2025 verbindlich

Seit dem 2. Februar 2025 gelten die ersten beiden Kapitel der Verordnung (Artikel 113 Buchstabe a). Dort stehen die verbotenen Praktiken des Artikels 5 und, für ein KI nutzendes Unternehmen vor allem, die KI-Kompetenz des Artikels 4, seither verbindlich. Am 27. Juli 2026 hat sich ihre Intensität geändert. Wo der Text von 2024 verlangte, „sicherzustellen“, dass das Personal über „ein ausreichendes Maß an KI-Kompetenz“ verfügt, verlangt die geltende Fassung, „Maßnahmen zur Förderung“ dieser Kompetenz zu ergreifen, und stellt ausdrücklich klar, dass kein bestimmtes Niveau bei einer bestimmten Person garantiert werden muss. Die Pflicht bleibt bestehen und verlangt praktisch dasselbe, nämlich dokumentierte Grundschulung der Personen, die mit diesen Werkzeugen arbeiten.

Der Bußgeldrahmen ist älter als der August

Das Sanktionskapitel gilt seit dem 2. August 2025 (Artikel 113 Buchstabe b). Artikel 99 staffelt die Bußgelder in drei Stufen, von der schwersten bis zur leichtesten: bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes für verbotene Praktiken, bis zu 15 Millionen oder 3 % für den Großteil der Pflichten, darunter die Transparenzpflichten des Artikels 50, und bis zu 7,5 Millionen oder 1 % für unrichtige Auskünfte.

Für KMU gibt es dazu eine selten zitierte Sonderregel (Artikel 99 Absatz 6), nach der von den beiden Bezugsgrößen, Prozentsatz oder Betrag, jeweils die niedrigere gilt und nicht die höhere.

Im August die Transparenz des Artikels 50

Das ist das Kernstück, das am 2. August 2026 für ein Unternehmen anwendbar wurde, das KI lediglich nutzt. Der Rest dessen, was an jenem Tag begann, also Governance, Registrierung und Marktüberwachung, belastet Anbieter und Behörden und nicht das KMU als Anwender. Für Nutzer zeigt sich die Transparenzpflicht in ganz alltäglichen Situationen:

• Der Chatbot. KI-Systeme, die unmittelbar mit Menschen interagieren, müssen so gestaltet sein, dass die Person weiß, dass sie mit einer Maschine spricht (Artikel 50 Absatz 1). Die Gestaltungspflicht trifft den Anbieter. Stammt der Chatbot Ihrer Website von einem Dritten, ist jetzt der Moment, dessen Konformität zu prüfen und im Vertrag festzuhalten.
• Erzeugte Inhalte. Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen die Ergebnisse in maschinenlesbarem Format kennzeichnen, erkennbar als künstlich erzeugt (Artikel 50 Absatz 2).
• Was Sie veröffentlichen. Wer ein System betreibt, das ein Deepfake erzeugt oder manipuliert, muss offenlegen, dass der Inhalt künstlich ist, und wer KI-generierten Text veröffentlicht, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, muss auch das offenlegen (Artikel 50 Absatz 4).

Der Kalender des Digital-Omnibus

Der Digital-Omnibus ändert den Zeitplan und einige Pflichten:

• Hochrisiko, verschoben. Die Pflichten für Hochrisiko-Systeme des Anhangs III, etwa bei Personalauswahl, Kreditzugang oder Bildung, rücken auf den 2. Dezember 2027 und die für Systeme in regulierten Produkten des Anhangs I auf den 2. August 2028 (Buchstabe c des Artikels 113 in seiner neuen Fassung). Stand in Ihrem internen Fahrplan „August 2026“, ändern Sie das Datum, aber streichen Sie den Eintrag nicht.
• Kennzeichnung, mit Übergang. Systeme zur Erzeugung synthetischer Inhalte, die vor dem 2. August 2026 in den Verkehr gebracht wurden, haben bis zum 2. Dezember 2026 Zeit, die Kennzeichnungspflicht des Artikels 50 Absatz 2 zu erfüllen (neuer Artikel 111 Absatz 4).
• Neue Verbote. In Artikel 5 werden zwei Buchstaben eingefügt, ba) und bb): nicht einvernehmliche intime Deepfakes sowie das Material oder die Darbietungen im Sinne des Artikels 2 Buchstaben c und e der Richtlinie 2011/93/EU. Sie gelten ab dem 2. Dezember 2026.
• Die KI-Kompetenz wird abgemildert, und das gilt bereits. Artikel 4 wurde am 27. Juli 2026 ersetzt: Aus „ein ausreichendes Maß sicherstellen“ wird „Maßnahmen zur Förderung“ der KI-Kompetenz ergreifen, ohne dass ein bestimmtes Niveau garantiert werden muss. Anders als die vorstehenden Verschiebungen wartet diese Änderung auf kein künftiges Datum und ist die heute maßgebliche Fassung.

Und wer überwacht das in Spanien?

Die staatliche Agentur existiert und arbeitet (die AESIA, die spanische Aufsichtsagentur für künstliche Intelligenz, errichtet durch das Real Decreto 729/2023 vom 22. August), doch das spanische Begleitgesetz fehlt noch. Der Entwurf eines Organgesetzes über den guten Einsatz und die Governance der künstlichen Intelligenz ist mit der Auflösung der Cortes verfallen (Real Decreto 806/2026 vom 5. Oktober), und die neue Legislaturperiode müsste ihn erneut aufgreifen. Stand heute ist kein solches Gesetz im BOE (dem spanischen Staatsanzeiger) veröffentlicht. Dieses Gesetz wird, falls es wieder aufgenommen wird, die von Artikel 70 der Verordnung verlangte Benennung der nationalen Behörden und das innerstaatliche Sanktionsregime vervollständigen.

Für Unternehmen, die aus dem Ausland in Spanien tätig sind, lautet die vorsichtige Lesart schlicht, dass das Fehlen des spanischen Gesetzes die europäischen Pflichten nicht aussetzt, da die Verordnung unmittelbar gilt.

Was schon erledigt sein sollte

• Ein Inventar der genutzten KI-Systeme, und sei es ein Blatt: welches Werkzeug, wofür, wer bedient es, welche Daten berührt es.
• Dokumentierte Grundschulung des Personals, das damit arbeitet (Artikel 4).
• Transparenz auf Stand, wenn Sie einen Chatbot einsetzen oder erzeugte Inhalte veröffentlichen: Hinweise und Kennzeichnungen des Artikels 50, Vertrag mit dem Anbieter geprüft.
• Den Kalender notiert: 2. Dezember 2026 (Kennzeichnung und neue Verbote), 2. Dezember 2027 und 2. August 2028 (Hochrisiko).

Wie ich vorgehe

In einer Materie, die sich jede Woche bewegt, wende ich meine übliche Methode mit umso mehr Grund an, und zwar so, dass ich den tatsächlichen Stand der Norm zum maßgeblichen Datum prüfe, jedes Zitat mit dem Amtsblatt und dem BOE abgleiche, bevor ich mich darauf stütze, und keines aus dem Gedächtnis übernehme. Dieselbe Disziplin wende ich auf die künstliche Intelligenz in meiner eigenen Kanzlei an, nach einer schriftlich niedergelegten Arbeitsmethode.

Wenn Ihr Unternehmen KI nutzt, helfe ich Ihnen dabei, dieses Inventar aufzustellen und den Vertrag mit dem Chatbot-Anbieter oder den Anbietern Ihrer übrigen Werkzeuge zu prüfen. Schreiben Sie mir, oder sehen Sie sich vorher an, wie ich wirtschaftsrechtliche Mandate bearbeite.

Redaktionelle Verantwortung: Carles Jiménez, spanischer Rechtsanwalt (Anwaltskammer Barcelona Nr. 34.946). Dieser Beitrag wurde mit Unterstützung von Werkzeugen der künstlichen Intelligenz erstellt und vor der Veröffentlichung vom Autor geprüft und freigegeben.

Zurück zu Aktuelles