KI-Governance im Mittelstand: Wer entscheidet, wer haftet, wer prüft
von Paul Albrecht am 10.09.2026
In Kürze: KI-Governance regelt, wer im Unternehmen über den Einsatz von KI entscheidet, wer die Ergebnisse verantwortet und wer die Einhaltung prüft. Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50 der KI-Verordnung: Chatbots müssen sich als KI zu erkennen geben, synthetische Inhalte maschinenlesbar gekennzeichnet werden. Die meisten Mittelständler fallen dabei unter die Rolle Betreiber mit deutlich geringeren Pflichten.
Bis vor Kurzem war KI-Governance ein Thema für Konzerne mit eigener Rechtsabteilung. Das hat sich im Sommer 2026 geändert. Am 27. Juli 2026 ist die Digital-Omnibus-Verordnung in Kraft getreten, und seit dem 2. August 2026 greifen die Transparenzpflichten der KI-Verordnung für alle.
Gleichzeitig zeigt die Bitkom-Studie 2026, dass inzwischen 41 Prozent der Unternehmen ab 20 Beschäftigten KI aktiv einsetzen, nach 17 Prozent im Vorjahr. Die Nutzung ist also schneller gewachsen als die Regeln dafür.
Inhaltsverzeichnis:
Was seit dem 2. August 2026 gilt
Transparenzpflichten nach Artikel 50
Was der Digital Omnibus verschoben hat
Bist du Anbieter oder Betreiber?
Die drei Fragen, die KI-Governance beantwortet
Der Einstieg in fünf Schritten
Wer die Einhaltung prüft
Fazit
Was seit dem 2. August 2026 gilt
Die KI-Verordnung (Verordnung (EU) 2024/1689) wird stufenweise anwendbar. Zwei Stufen sind bereits durch: Seit Februar 2025 gelten die verbotenen Praktiken nach Artikel 5 und die Pflicht zur KI-Kompetenz nach Artikel 4. Am 2. August 2026 kommt die nächste Stufe.
Transparenzpflichten nach Artikel 50
Artikel 50 verlangt, dass Menschen erkennen können, wenn sie es mit KI zu tun haben. Für ein mittelständisches Unternehmen betrifft das vor allem zwei Situationen.
Die erste ist der Chatbot auf der Website. Wer ein KI-gestütztes Dialogsystem einsetzt, muss die Nutzer darüber informieren, bevor die Interaktion beginnt. Ein Hinweis im Impressum reicht dafür nicht.
Die zweite betrifft KI-generierte Inhalte. Synthetisch erzeugte Bilder, Videos, Audios und Texte müssen maschinenlesbar als künstlich erzeugt gekennzeichnet werden. Für Marketing-Abteilungen, die seit zwei Jahren mit Bildgeneratoren arbeiten, ist das der praktisch relevanteste Punkt der ganzen Verordnung.
Was der Digital Omnibus verschoben hat
Die Digital-Omnibus-Verordnung ist am 27. Juli 2026 in Kraft getreten und hat die Fristen für Hochrisiko-Systeme nach hinten geschoben. Die Begründung: Die technischen Normen und die Aufsichtsstrukturen waren nicht rechtzeitig fertig.
Bereich | Gilt ab | Status |
|---|---|---|
Verbotene Praktiken (Art. 5) | 2. Februar 2025 | In Kraft |
KI-Kompetenz (Art. 4) | 2. Februar 2025 | In Kraft, vom Omnibus nicht berührt |
Transparenzpflichten (Art. 50) | 2. August 2026 | Nicht verschoben |
Hochrisiko nach Anhang III | 2. Dezember 2027 | Verschoben |
Hochrisiko in regulierten Produkten (Anhang I) | 2. August 2028 | Verschoben |
Für den Mittelstand heißt das: Die seit Anfang August geltende Stufe betrifft dich mit hoher Wahrscheinlichkeit, die aufwendigen Hochrisiko-Pflichten mit hoher Wahrscheinlichkeit nicht. Wer trotzdem ein System betreibt, das unter Anhang III fällt, etwa im Bewerbermanagement oder bei der Bonitätsprüfung, hat bis Dezember 2027 Zeit und sollte diese Zeit auch nutzen.
Bist du Anbieter oder Betreiber?
Diese Unterscheidung entscheidet über den Umfang deiner Pflichten, und sie wird oft falsch beantwortet. Anbieter ist, wer ein KI-System entwickelt und unter eigenem Namen in Verkehr bringt. Betreiber ist, wer ein fremdes System im eigenen Geschäftsbetrieb einsetzt.
Ein Unternehmen, das ChatGPT oder Microsoft Copilot für die Texterstellung nutzt, ist Betreiber. Die schweren Dokumentations- und Konformitätspflichten liegen beim Anbieter. Für Betreiber bleiben überschaubare Pflichten: Transparenz gegenüber betroffenen Personen, menschliche Aufsicht, Zweckbindung im Rahmen der Anbieter-Vorgaben.
Vorsicht bei einer Konstellation, die in unseren Projekten häufiger vorkommt, als man denkt: Wer ein fremdes Modell so weit anpasst oder unter eigenem Namen anbietet, dass es als eigenes Produkt auftritt, kann in die Anbieterrolle rutschen. Ein KI-Chatbot, den du für deine Kunden baust und betreibst, ist so ein Fall.
Die drei Fragen, die KI-Governance beantwortet
Hinter dem Begriff steckt weniger Bürokratie, als der Name vermuten lässt. KI-Governance beantwortet drei Fragen verbindlich, und zwar bevor der Ernstfall eintritt.
Wer entscheidet? Wer darf ein neues KI-Werkzeug einführen, und wer muss vorher gefragt werden? Ohne diese Regel entsteht Schatten-KI, also KI-Nutzung außerhalb der offiziellen Kanäle. Nach der Microsoft-Studie vom November 2025 nutzen 45 Prozent der Beschäftigten in Bundesbehörden Werkzeuge, die nie freigegeben wurden.
Wer verantwortet das Ergebnis? Wenn ein KI-generierter Text falsche Angaben enthält oder eine KI-gestützte Vorauswahl jemanden benachteiligt, haftet nicht das Modell. Es haftet das Unternehmen, das die Ausgabe verwendet hat. Diese Verantwortung braucht einen Namen.
Wer prüft? Governance ohne Kontrolle ist eine Absichtserklärung. Es braucht ein Intervall, in dem jemand nachsieht, welche Werkzeuge tatsächlich im Einsatz sind und ob die Regeln eingehalten werden.
Der Einstieg in fünf Schritten
Für ein Unternehmen mit 20 bis 250 Beschäftigten ist der erste Durchlauf an einem Tag machbar. Diese Reihenfolge hat sich bei uns bewährt:
Inventur. Alle KI-Werkzeuge auflisten, die tatsächlich im Einsatz sind. Gemeint sind die genutzten, nicht die genehmigten. Der Abstand zwischen beiden Listen ist der eigentliche Erkenntnisgewinn.
Rolle festhalten. Pro Werkzeug notieren, ob ihr Betreiber oder Anbieter seid und wofür es eingesetzt wird.
Gegen Artikel 5 prüfen. Emotionserkennung am Arbeitsplatz und biometrische Kategorisierung nach sensiblen Merkmalen sind seit Februar 2025 verboten. Diese Prüfung dauert zehn Minuten und schließt das größte Risiko aus.
Transparenz umsetzen. Bis zum 2. August: Chatbot-Hinweis auf der Website, Kennzeichnung KI-generierter Inhalte, Vermerk in den internen Prozessen.
KI-Kompetenz dokumentieren. Artikel 4 verlangt, dass Beschäftigte im Umgang mit KI geschult werden. Eine Schulungsübersicht mit Datum und Teilnehmerliste erfüllt die Nachweisfunktion.
Aus unserer Erfahrung dauert Schritt eins am längsten und liefert die meisten Überraschungen. In einem Projekt mit einem Kunden aus dem Maschinenbau kamen bei der Inventur elf Werkzeuge zusammen, von denen die Geschäftsführung drei kannte.
Wer die Einhaltung prüft
In Deutschland führt die Bundesnetzagentur die Marktüberwachung für die KI-Verordnung und koordiniert die Aufsicht über die beteiligten Stellen. Die Bußgeldrahmen der Verordnung reichen bei den schwersten Verstößen bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes.
Diese Zahlen zielen erkennbar auf große Anbieter. Für einen Betreiber im Mittelstand ist das realistische Risiko ein anderes: eine Beschwerde, eine Abmahnung wegen fehlender Kennzeichnung, oder ein Kunde im Ausschreibungsverfahren, der einen Nachweis über den KI-Einsatz verlangt. Letzteres begegnet uns inzwischen regelmäßig in Lastenheften.
Fazit
KI-Governance im Mittelstand ist weniger juristisch, als der Begriff klingt. Sie besteht aus einer ehrlichen Liste der eingesetzten Werkzeuge, drei klar benannten Zuständigkeiten und einem Termin, an dem jemand nachsieht.
Der 2. August 2026 ist ein guter Anlass, damit anzufangen. Wenn du bis dahin nur die Inventur und den Chatbot-Hinweis schaffst, hast du den größten Teil des akuten Risikos abgeräumt. Der Rest lässt sich in Ruhe nachziehen.
