KI im Handwerksbetrieb: Was du zum EU AI Act wissen solltest

Die wichtigste Frage lautet: Welche Aufgabe übernimmt die KI? Einen Angebotstext vorzubereiten ist etwas anderes, als Bewerberinnen und Bewerber zu bewerten.

Welche Regeln sind für deinen Betrieb wichtig?

Der AI Act richtet sich danach, welche Risiken eine KI-Anwendung für Menschen mit sich bringt. Für den Betriebsalltag kannst du dir vier Bereiche merken:

• Manche Anwendungen sind verboten. Dazu gehört grundsätzlich KI, die am Arbeitsplatz Gefühle anhand körperlicher Merkmale wie Gesicht oder Stimme erkennen soll.
• Für bestimmte Anwendungen gelten besonders strenge Regeln. Diese sogenannte Hochrisiko-KI kann beispielsweise bei der Bewerberauswahl oder der Bewertung von Beschäftigten eingesetzt werden.
• In bestimmten Fällen muss der KI-Einsatz erkennbar sein. Das betrifft unter anderem Chatbots und täuschend echte KI-Inhalte. In diesem Bereich befinden sich in der Regel Anwendungen im Handwerk 
• Viele alltägliche Anwendungen sind nicht automatisch Hochrisiko-KI. Trotzdem können Pflichten gelten, etwa zur Anleitung deines Teams.

Nutzt du fertige KI oder entwickelst du selbst eine Lösung?

Wenn du ein fertiges KI-Programm nutzt, bist du meist Betreiber. Ein Beispiel: Dein Büro lässt sich einen Entwurf für eine Kundenantwort erstellen.

Entwickelst du selbst ein KI-System oder beauftragst jemanden damit, kann dein Betrieb Anbieter sein. Das gilt, wenn du das System unter eigenem Namen auf den Markt bringst oder in Betrieb nimmst – möglicherweise auch nur für den eigenen Betrieb.

Diese Unterscheidung ist wichtig, weil Anbieter häufig weitergehende Pflichten haben. Auch größere Änderungen oder ein neuer Einsatz können die Einordnung verändern. Soll

dein Schreibassistent künftig Bewerbungen bewerten, lass vorher prüfen, welche Regeln greifen.

Was gilt bereits – und was kommt später?

Der AI Act wird schrittweise angewendet. Die folgende Übersicht berücksichtigt die Änderungen durch die Verordnung (EU) 2026/1744, den sogenannten Digital Omnibus on AI.

Zeitpunkt Was gilt?

Seit Februar 2025 Verbote bestimmter KI-Anwendungen und Maßnahmen zur KI-Kompetenz

Seit August 2025 Bestimmte Pflichten für Anbieter vielseitig einsetzbarer KI-Modelle

Seit August 2026 Transparenzpflichten für bestimmte KI-Systeme und Inhalte

Ab Dezember 2027 Zentrale Pflichten für Hochrisiko-KI in bestimmten Einsatzbereichen, etwa bei Personalentscheidungen

Ab August 2028 Entsprechende Pflichten für bestimmte Hochrisiko-KI bei regulierten Produkten, etwa Maschinen

Spätere Fristen für Hochrisiko-KI bedeuten nicht, dass du mit allem warten kannst. Bereits geltende Regeln bleiben bestehen.

Was muss dein Team über KI wissen?

Wer KI im Betrieb nutzt, sollte wissen, was das Programm kann und wo seine Grenzen liegen. Genau darum geht es bei KI-Kompetenz.

Du musst passende Maßnahmen ergreifen, um diese Kenntnisse zu fördern. Eine feste Schulungsdauer, ein Zertifikat oder ein bestimmtes persönliches Wissensniveau sind nicht vorgeschrieben. Seit der Änderung im Juli 2026 ist ausdrücklich klargestellt, dass du kein bestimmtes individuelles Kompetenzniveau garantieren musst.

Für deinen Betrieb heißt das beispielsweise:

• Zeige deinem Team, wie die eingesetzten Programme funktionieren.
• Lege fest, welche Daten eingegeben werden dürfen.
• Vereinbare, wer KI-Ergebnisse vor der Verwendung prüft.
• Erkläre typische Fehler anhand der jeweiligen Aufgaben.

Ein Beispiel: KI kann einen Angebotstext gut formulieren, aber eine falsche Materialangabe oder einen unrealistischen Termin ergänzen. Deshalb prüft eine fachkundige Person den Entwurf, bevor er an die Kundin oder den Kunden geht.

Halte Schulungen und Hinweise am besten kurz fest. Das hilft dir, den Überblick zu behalten; ein bestimmtes Dokumentationsformat ist dafür nicht vorgeschrieben.

Wann müssen Kundinnen und Kunden vom KI-Einsatz erfahren?

Wenn KI direkt mit Menschen spricht

Bei einem Chatbot oder einer KI-Telefonassistenz muss der Anbieter grundsätzlich sicherstellen, dass Menschen über die KI-Interaktion informiert werden – sofern sie nicht ohnehin offensichtlich ist.

Nutzt du eine fertige Lösung, prüfe, ob der Hinweis tatsächlich ausgegeben wird. Eine Telefonassistenz könnte das beispielsweise gleich zu Beginn des Gesprächs erklären.

Wenn KI-Inhalte täuschend echt wirken

Sogenannte Deepfakes sind KI-Bilder, Tonaufnahmen oder Videos, die bestehenden Personen, Gegenständen, Orten oder Ereignissen ähneln und fälschlich echt erscheinen. Dafür gelten Offenlegungspflichten für Betreiber.

Denk beispielsweise an ein künstlich erzeugtes Video, das eine reale Person scheinbar eine Empfehlung für deinen Betrieb aussprechen lässt. Nicht jedes fotorealistische KI-Bild ist automatisch ein Deepfake. Ein erforderlicher Hinweis muss klar sein und zum jeweiligen Medium passen.

Wenn du über Themen von öffentlichem Interesse informierst

Bei veröffentlichten KI-Texten, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren sollen, kann eine Offenlegung erforderlich sein.

Es gibt eine wichtige Ausnahme: Der Text wurde menschlich geprüft oder redaktionell kontrolliert und eine Person oder Organisation übernimmt die redaktionelle Verantwortung für die Veröffentlichung.

Für bestimmte Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, gilt eine Übergangsfrist bis zum 2. Dezember 2026. Sie betrifft nur die technische, maschinenlesbare Kennzeichnung künstlich erzeugter Inhalte durch Anbieter – nicht sämtliche Hinweispflichten.

Bei welchen Anwendungen solltest du genauer hinschauen?

Bewerbungen und Beschäftigtenbewertung: KI, die Bewerberinnen und Bewerber auswählt oder die Leistung deines Teams bewertet, kann Hochrisiko-KI sein. Eine eng begrenzte Vorbereitung ist nicht automatisch genauso einzuordnen. Entscheidend ist, was das System macht und wie es Entscheidungen beeinflusst. Unproblematisch wäre zum Beispiel, wenn die KI lediglich prüft, ob alle geforderten Unterlagen eingereicht wurden. Hochriskant wird es, wenn die KI die Unterlagen auf die Übereinstimmung mit dem Stellenprofil hin sichtet.

Gefühle erkennen: KI, die am Arbeitsplatz Gefühle anhand biometrischer Daten wie Gesicht oder Stimme ableitet, ist grundsätzlich verboten. Nur für medizinische oder sicherheitsbezogene Zwecke bestehen eng begrenzte Ausnahmen.

So prüfst du den KI-Einsatz in deinem Betrieb

• Programme aufschreiben: Erfasse auch KI-Funktionen in deiner Büro-, Telefon- und Branchensoftware.
• Aufgaben notieren: Wofür nutzt ihr die KI tatsächlich? Passt das zur vorgesehenen Verwendung des Anbieters?
• Rolle klären: Nutzt du eine fertige Lösung oder entwickelst du selbst ein System?
• Kritische Einsätze erkennen: Geht es um Personalentscheidungen, biometrische Auswertungen oder Sicherheit?
• Verantwortung festlegen: Wer darf welche Daten eingeben? Wer prüft die Ergebnisse?
• Hinweise kontrollieren: Werden Menschen bei direkter KI-Kommunikation informiert? Müssen veröffentlichte Inhalte gekennzeichnet werden?
• Änderungen prüfen: Neue Funktionen oder andere Aufgaben können eine neue Bewertung nötig machen.

Kundendaten und Betriebswissen bleiben geschützt

Der AI Act ersetzt nicht die Datenschutz-Grundverordnung. Namen, Adressen, Bewerbungsunterlagen und Gesprächsaufzeichnungen darfst du nicht in KI-Dienste eingeben, sofern du nicht weißt, wie die Daten verarbeitet werden.Das gilt ebenso für vertrauliche Kalkulationen und Geschäftsgeheimnisse. Viele KIs nutzen insbesondere Eingabedaten für das weitere Training ihrer Modelle. Zudem wird eine eventuelle Datenverarbeitung häufig in Ländern außerhalb der EU erfolgen.

Auch wenn dein Auftraggeber oder dein Mitarbeiter möglicherweise zur Verarbeitung seiner personenbezogenen Daten durch dich eingewilligt hat, heißt das noch lange nicht, dass er auch in die Weitergabe an Dritte eingewilligt hat. Die Verwendung eines KI-Systems stellt regelmäßig eine solche Weitergabe an Dritte dar. In diese muss gesondert eingewilligt werden. Zudem muss regelmäßig in eine Datenübermittlung in ein EU-Drittland eingewilligt werden. Da zahlreiche KI-Anbieter die Daten insbesondere in den USA verarbeiten, müsste über die Risiken einer Datenübermittlung dorthin aufgeklärt und darin auch durch die betroffene Person eingewilligt werden.

Kläre vorab, welche Daten der Anbieter verarbeitet, wo er sie verarbeitet, ob er sie für eigene Zwecke nutzt und welche Verträge und Einstellungen gelten. Bei sensiblen Anwendungen sollte eine fachkundige Stelle den Einsatz manuell prüfen.

Fazit: Fang mit einem Überblick an

Du musst nicht jede Vorschrift auswendig kennen. Beginne damit, die KI-Anwendungen in deinem Betrieb und ihre Aufgaben aufzuschreiben. Lege fest, wer Ergebnisse kontrolliert und welche Daten geschützt bleiben müssen. Bei Personalentscheidungen, Sicherheitsfunktionen oder sensiblen Daten solltest du den Einsatz vorab fachkundig prüfen lassen.

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Welche Anforderungen gelten, hängt insbesondere von Rolle, Einsatzzweck und System ab.