KI-Governance & EU AI Act Compliance

KI-Governance und EU AI Act: Regeln, die Ihr Team im Alltag anwendet

Ihre Mitarbeitenden nutzen längst KI-Werkzeuge. Wir geben dem einen Rahmen: ein Verzeichnis aller KI-Systeme, eine begründete Risiko-Einstufung, einen kurzen Freigabeweg für neue Tools und ein Schulungskonzept nach Artikel 4 — knapp genug, dass es im Mittelstand wirklich gelebt wird. Vor Ort in Hannover, remote im gesamten DACH-Raum.

Kostenfreie Erstberatung anfragen Fristen ansehen
Flache Illustration: Ordner mit Checkliste aus vier KI-Anwendungen, daneben Freigabestempel, Kalenderblatt und Schlüssel als Sinnbild für KI-Register, Freigabeprozess und Fristen
KI-Register alle Systeme erfasst Freigabeprozess vor jedem neuen Tool Artikel 4 Kompetenzpflicht seit 02.02.2025 Burgwedel bei Hannoverremote im DACH-Raum
KI-Governance auf einen Blick
  • LeistungKI-Register, Risiko-Einstufung, KI-Richtlinie, Freigabeprozess, Schulungskonzept
  • RechtsrahmenVerordnung (EU) 2024/1689, geändert durch (EU) 2026/1744
  • ZielgruppeKleine und mittlere Unternehmen, die KI bereits einsetzen
  • Unsere RolleOrganisatorische und technische Umsetzung — keine Rechtsberatung, keine Zertifizierung
  • EinsatzgebietHannover und Umgebung · DACH-Raum remote
  • ErstgesprächKostenfrei und unverbindlich
  • Kontakt+49 511 9999 3960 · info@yagemi.de
  • ErreichbarMo–Do: 08:00–17:00 Uhr | Fr: 08:00–15:00 Uhr

Begriff

Was ist KI-Governance?

KI-Governance ist der organisatorische Rahmen für den Einsatz künstlicher Intelligenz im Unternehmen: Regeln, Zuständigkeiten und Prüfschritte, die festlegen, welche KI-Werkzeuge wofür genutzt werden dürfen und wer darüber entscheidet. Dazu gehören ein Verzeichnis aller KI-Systeme, eine Risiko-Einstufung, ein Freigabeprozess für neue Tools und ein Schulungskonzept für die Belegschaft.

Die großen Beratungshäuser beschreiben das als Framework mit zehn Prinzipien und einem eigenen Gremium. Für ein Unternehmen mit dreißig oder dreihundert Beschäftigten ist das die falsche Größe. Wir bauen dieselben Bausteine in einer Fassung, die eine Person nebenbei pflegen kann — eine Tabelle, eine dreiseitige Richtlinie, ein Formular.

Der praktische Auslöser ist fast immer derselbe: In den Fachbereichen laufen bereits Sprachmodelle, Transkriptionsdienste und KI-Funktionen in vorhandener Software. Niemand hat das je freigegeben, niemand weiß, welche Daten dort landen. Wie Sie diesen Punkt entschärfen, zeigt auch unser Beitrag dazu, ChatGPT datenschutzkonform im Unternehmen einzusetzen.

Governance oder Compliance?

Beide Begriffe fallen im selben Satz und meinen etwas anderes.

  • Compliance beantwortet, ob Sie geltendes Recht einhalten. Das ist eine Frage nach dem Ergebnis.
  • Governance beantwortet, wie Sie das organisieren: wer zuständig ist, wer prüft, wer freigibt und wo es dokumentiert wird.
  • Die KI-Verordnung gibt die Pflichten vor. Ohne Governance bleibt ihre Erfüllung eine Absichtserklärung ohne Zuständigkeit.

Betroffenheit

Betrifft das mein Unternehmen?

Die KI-Verordnung unterscheidet zwei Hauptrollen, und daran hängt Ihr gesamter Pflichtenkreis. Wer KI-Systeme nur einkauft und benutzt, ist Betreiber. Wer sie entwickelt oder unter eigener Marke ausliefert, ist Anbieter. Die meisten Unternehmen im Mittelstand sind ausschließlich Betreiber — mit deutlich kleinerem Pflichtenkreis, als die Schlagzeilen vermuten lassen.

Rollen nach der KI-Verordnung (Artikel 3)
Rolle Norm Wer damit gemeint ist Typischerweise
Anbieter Artikel 3 Nummer 3 Entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke in Verkehr. Softwarehäuser und Modellanbieter. Für Sie relevant, sobald Sie ein KI-Feature unter Ihrer Marke ausliefern.
Betreiber Artikel 3 Nummer 4 Verwendet ein KI-System in eigener Verantwortung, ausgenommen die Verwendung im Rahmen einer persönlichen und nicht beruflichen Tätigkeit. Fast jedes Unternehmen: Sprachmodelle im Team, ein Chatbot im Shop, KI-Funktionen in vorhandener Software.

Die Kompetenzpflicht trifft jeden Betreiber

Artikel 4 der KI-Verordnung gilt seit dem 2. Februar 2025 und knüpft an keine Unternehmensgröße, keine Branche und keine Risikoklasse an. Sobald in Ihrem Haus jemand beruflich ein KI-System nutzt, sind Sie Betreiber und damit Adressat.

Die Digital-Omnibus-Verordnung hat den Artikel am 27. Juli 2026 neu gefasst. Statt ein Kompetenzniveau sicherzustellen, ergreifen Anbieter und Betreiber nun Maßnahmen, um die KI-Kompetenz ihres Personals zu unterstützen. Aus der Erfolgspflicht wurde eine Handlungspflicht: Sie schulden die geeignete Maßnahme, nicht den Lernerfolg jedes Einzelnen.

Was Sie dazu oft falsch lesen

Viele Beiträge verbinden die Kompetenzpflicht mit Bußgeldern von 35 Millionen Euro. Das ist nach dem Wortlaut der Verordnung nicht haltbar: Der Bußgeldkatalog in Artikel 99 Absatz 4 zählt die sanktionierten Pflichten abschließend auf und nennt Artikel 4 nicht.

Ein eigenes Bußgeld droht für fehlende Schulung also nicht. Die Pflicht bleibt trotzdem verbindlich und wirkt indirekt: über behördliche Prüfungen und Beschwerden, über die Bewertung Ihrer Organisation bei anderen Verstößen und über Haftungsfragen. Wer nichts vorweisen kann, argumentiert im Ernstfall aus einer schlechten Position.

Zeitplan

Welche Fristen gelten — und was der Digital Omnibus verschoben hat

Die KI-Verordnung tritt gestaffelt in Kraft. Im Juli 2026 hat die Änderungsverordnung (EU) 2026/1744, bekannt als Digital Omnibus, die Hochrisiko-Pflichten nach hinten geschoben. Die Transparenzpflichten und die Kompetenzpflicht hat sie ausdrücklich nicht verschoben — genau diese beiden betreffen den Mittelstand am häufigsten.

Fristen der KI-Verordnung, Stand August 2026
Datum Was gilt Wen es betrifft
2. Februar 2025 Verbotene Praktiken (Artikel 5) und die Kompetenzpflicht (Artikel 4) gelten. Alle Anbieter und Betreiber
2. August 2025 Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck; das Sanktionskapitel (Artikel 99) gilt; die Mitgliedstaaten benennen ihre Behörden. Modellanbieter, Mitgliedstaaten
27. Juli 2026 Die Digital-Omnibus-Verordnung (EU) 2026/1744 tritt in Kraft: Artikel 4 wird neu gefasst, die Hochrisiko-Fristen werden verschoben. Alle Anbieter und Betreiber
29. Juli 2026 Das KI-MIG tritt in Kraft. Die Bundesnetzagentur wird Marktüberwachungs-, Anlauf- und Beschwerdestelle und startet den KI-Service-Desk. Unternehmen in Deutschland
2. August 2026 Allgemeiner Geltungsbeginn der KI-Verordnung, einschließlich der Transparenzpflichten aus Artikel 50. Alle Anbieter und Betreiber
2. Dezember 2026 Übergangsfrist nach Artikel 111 Absatz 4: Systeme für synthetische Inhalte, die vor dem 2. August 2026 auf den Markt kamen, müssen Artikel 50 Absatz 2 erfüllen. Anbieter solcher Systeme
2. Dezember 2027 Die Pflichten für Hochrisiko-Systeme nach Anhang III greifen, verschoben vom ursprünglichen 2. August 2026. Anbieter und Betreiber solcher Systeme
2. August 2028 Die Pflichten für Hochrisiko-Systeme nach Anhang I greifen, also für KI in bereits regulierten Produkten. Produkthersteller

Was Artikel 50 seit dem 2. August 2026 konkret von Ihnen verlangt, wenn Sie Chatbots, KI-Bilder oder KI-Texte einsetzen, haben wir im Beitrag zur KI-Kennzeichnungspflicht im Detail aufgeschlüsselt. Einen Überblick über alle Pflichten aus dem EU AI Act für Unternehmen finden Sie ebenfalls in unserem Blog.

Stand: August 2026. Fristen und Auslegungen können sich ändern; die belegenden Quellen finden Sie weiter unten unter „Quellen & offizielle Informationen".

Bausteine

Sechs Bausteine, aus denen Ihre KI-Governance besteht

Diese sechs Teile bilden das Gerüst. Sie hängen aneinander: Ohne Register keine Einstufung, ohne Einstufung kein sinnvoller Freigabeweg, ohne Dokumentation kein Nachweis. Wir bauen sie in dieser Reihenfolge auf.

KI-Kompetenz nach Artikel 4

Was Artikel 4 seit der Neufassung im Juli 2026 wirklich verlangt — und warum es dafür keinen Bußgeldtatbestand gibt.

KI-Register

Ein Verzeichnis aller eingesetzten KI-Systeme mit Zweck, Fachbereich, verantwortlicher Person und Datenarten. Es ist die Grundlage für jede weitere Entscheidung: Ohne Überblick lässt sich weder ein Risiko einstufen noch eine Pflicht zuordnen.

Risiko-Einstufung

Für jedes System klären wir die Einordnung nach der KI-Verordnung: verboten, hochrisikoreich, transparenzpflichtig oder ohne besondere Auflagen. Die Einstufung wird begründet und datiert, damit sie im Zweifel nachvollziehbar bleibt.

Freigabeprozess

Ein kurzer, verbindlicher Weg für neue Werkzeuge: Wer darf beantragen, wer prüft Datenschutz und Sicherheit, wer gibt frei. So verschwindet die Schatten-KI aus den Abteilungen, ohne dass Sie Ihr Team ausbremsen.

Rollen und Verantwortlichkeiten

Wer trägt die Verantwortung für den KI-Einsatz, wer entscheidet im Zweifel, wer wird bei neuen Anwendungen gefragt? Im Mittelstand genügt meist eine benannte Person mit einem kleinen Kreis aus IT, Datenschutz und Fachbereich.

Schulungskonzept nach Artikel 4

Ein dokumentierter Plan, wer welche Inhalte wann erhält: Grundlagen für alle, Vertiefung für Vielnutzer, Auffrischung im Jahresrhythmus. Damit belegen Sie die Maßnahme, die Artikel 4 verlangt.

Dokumentation und Nachweis

Richtlinie, Registereinträge, Freigabeentscheidungen und Schulungsnachweise gehören an einen Ort und bekommen ein Änderungsdatum. Kommt eine Anfrage der Aufsicht oder eines Kunden, antworten Sie aus dem Ordner statt aus dem Gedächtnis.

Sie wissen nicht, welche KI-Werkzeuge in Ihren Abteilungen laufen? Genau da fangen wir an.

Digitalisierung besprechen

Leistungsumfang

Was wir für Sie übernehmen

Wir liefern das Regelwerk und setzen es technisch um. Beides aus einer Hand, damit die Richtlinie nicht an der Software scheitert und die Software nicht an der Richtlinie vorbeiläuft.

Bestandsaufnahme Ihrer KI-Nutzung

Wir sprechen mit den Fachbereichen und sichten Software, Abos und Browser-Erweiterungen. Am Ende steht ein befülltes KI-Register statt einer Vermutung darüber, was im Haus benutzt wird.

KI-Richtlinie für Ihr Unternehmen

Eine kurze, lesbare Richtlinie in Ihrer Sprache: freigegebene Werkzeuge, verbotene Datenarten, Kennzeichnungsregeln, Ansprechpartner. Kein Fließtext, den niemand liest, sondern Regeln, nach denen sich arbeiten lässt.

Risiko-Einstufung und Rollenklärung

Wir ordnen Ihre Systeme den Kategorien der Verordnung zu und klären je System, ob Sie Anbieter oder Betreiber sind. Bleibt eine Einordnung strittig, sagen wir das und benennen den Punkt für die juristische Prüfung.

Freigabeprozess einrichten

Wir bauen den Antrags- und Freigabeweg in die Werkzeuge ein, die Sie ohnehin nutzen, etwa als Formular mit automatischer Weiterleitung. Ein Prozess, den niemand öffnet, ändert nichts am Verhalten.

Schulungskonzept und Durchführung

Wir schreiben das Konzept nach Artikel 4, legen Zielgruppen und Inhalte fest und führen die Schulungen durch. Mehr dazu auf unserer Seite zu KI-Schulungen und Workshops.

Technische Absicherung der Werkzeuge

Geschäftliche Konten statt privater Zugänge, abgeschaltetes Training mit Ihren Eingaben, geregelte Rechte, sauber angebundene Schnittstellen. Governance wirkt erst, wenn die Technik sie stützt.

Wo unsere Rolle endet

Das gehört zur Ehrlichkeit dieser Seite: Es gibt Dinge, die wir nicht leisten dürfen und nicht leisten wollen.

  • Wir sind keine Anwaltskanzlei. Rechtsverbindliche Auslegung, Verträge und Haftungsfragen gehören zu Ihrer Anwältin oder Ihrem Anwalt.
  • Wir zertifizieren nicht und prüfen keine Konformität. Bei Hochrisiko-Systemen ist dafür eine benannte Stelle zuständig, nicht wir.
  • Wir stellen keine Bescheinigung aus, dass Ihr Haus „AI-Act-konform" ist. Eine solche Bescheinigung gibt es in dieser Form nicht.
  • Wir vertreten Sie nicht vor Behörden. Für Auskünfte nutzen Sie den kostenlosen KI-Service-Desk der Bundesnetzagentur oder Ihre Rechtsberatung.

Was Sie danach haben

  • Sie wissen, welche KI-Werkzeuge im Haus laufen, und müssen nicht mehr raten.
  • Ihr Team hat klare Regeln und muss nicht bei jedem neuen Tool selbst entscheiden.
  • Fragen von Kunden, Auditoren oder Versicherern beantworten Sie aus einer Dokumentation.
  • Neue KI-Projekte starten schneller, weil der Prüfweg schon existiert.

Wir arbeiten seit über 20 Jahren an E-Commerce- und Unternehmensprozessen im Mittelstand. Diese Erfahrung entscheidet hier mehr als jedes Framework: Wir wissen, welche Regel im Tagesgeschäft überlebt und welche nach zwei Wochen umgangen wird.

Ablauf

So läuft ein Governance-Projekt bei uns ab

Fünf Schritte, die aufeinander aufbauen. Der erste liefert schon nach wenigen Tagen ein Ergebnis, mit dem Sie arbeiten können.

  1. 01

    Bestandsaufnahme

    Gespräche mit den Fachbereichen, Sichtung von Software und Abos. Ergebnis ist das erste befüllte KI-Register.

  2. 02

    Einstufung

    Jedes System bekommt eine Rolle und eine Risiko-Einordnung nach der Verordnung, jeweils mit Begründung und Datum.

  3. 03

    Regelwerk

    Wir formulieren die KI-Richtlinie und den Freigabeprozess und stimmen beides mit Geschäftsführung und Fachbereichen ab.

  4. 04

    Einführung

    Rollout im Unternehmen: Schulung nach Artikel 4, technische Absicherung der freigegebenen Werkzeuge, Ablage der Nachweise.

  5. 05

    Pflege

    Register und Einstufungen bleiben nur mit Turnus aktuell. Wir legen den Rhythmus fest und begleiten die Überprüfung.

Den Umfang bestimmen Ihre Systeme und Fachbereiche. Ein Betrieb mit vier freigegebenen Werkzeugen ist schneller durch als ein Haus mit eigener Software-Entwicklung. Nach dem Erstgespräch nennen wir Ihnen einen konkreten Zuschnitt statt einer Pauschale.

Verwandte Leistungen

Womit Ihre KI-Governance zusammenspielt

Governance ist kein Selbstzweck. Sie soll den KI-Einsatz absichern, den Sie tatsächlich betreiben — deshalb greifen diese Leistungen ineinander.

Wird in einer Ausschreibung eine Zertifizierung nach ISO/IEC 42001 verlangt, ordnen wir zuerst ein, ob sie in Ihrem Fall überhaupt der richtige Hebel ist. Wir bringen Ihre KI-Prozesse und Ihre Dokumentation in eine auditfähige Form und begleiten Sie zur akkreditierten Zertifizierungsstelle; die Prüfung selbst führt immer ein unabhängiger Dritter durch. Die Grundlagen dazu — Aufbau der Norm, Fristenlage und die Frage nach den Kosten — haben wir im Beitrag zu ISO 42001 als KI-Managementsystem zusammengestellt.

KI-Schulung & Workshops

Die Durchführung zum Schulungskonzept: Formate, Inhalte und Termine für Ihr Team.

Mehr erfahren

KI-Beratung

Welche Anwendungsfälle sich lohnen, bevor Sie Regeln für sie schreiben.

Mehr erfahren

KI-Mitarbeiter & KI-Agenten

Agenten handeln selbstständig. Genau deshalb brauchen sie definierte Rechte und Freigaben.

Mehr erfahren

RAG-Wissensdatenbank

Antworten mit Quellenangabe aus Ihren eigenen Dokumenten statt aus dem Modellgedächtnis.

Mehr erfahren

KI-Content & Produkttexte

Texte im großen Stil erzeugen und dabei die Kennzeichnungsregeln von Anfang an mitdenken.

Mehr erfahren

Digitalisierungsberatung

Der Rahmen darüber: Prozesse, Systeme und Roadmap für den Mittelstand.

Mehr erfahren

Belege

Quellen & offizielle Informationen

Jede Rechtsangabe auf dieser Seite ist an den folgenden Quellen geprüft. Stand: 31. August 2026. Alle externen Links öffnen in einem neuen Tab.

Hinweis zur Methode: Das EU-Rechtsportal EUR-Lex liefert automatisierten Abrufen häufig eine Amtsblatt-Übersicht statt des Normtexts. Die verlinkten Fundstellen bleiben deshalb als amtliche Referenz stehen, jede einzelne Aussage ist zusätzlich über die Europäische Kommission, den AI Act Explorer, dejure.org, die Bundesnetzagentur oder das zuständige Bundesministerium belegt.

Dies ist keine Rechtsberatung. Yagemi ist weder eine Rechtsanwaltskanzlei noch eine Zertifizierungsstelle. Die Angaben geben den Rechtsstand vom 31. August 2026 wieder und ersetzen keine Prüfung des Einzelfalls. Für eine rechtsverbindliche Bewertung wenden Sie sich bitte an eine Rechtsanwältin oder einen Rechtsanwalt; für Auskünfte zur KI-Verordnung steht Unternehmen zusätzlich der kostenlose KI-Service-Desk der Bundesnetzagentur zur Verfügung.

FAQ

Häufige Fragen zu KI-Governance und EU AI Act

Was ist KI-Governance?

KI-Governance ist der organisatorische Rahmen für den Einsatz künstlicher Intelligenz im Unternehmen: Regeln, Zuständigkeiten und Prüfschritte, die festlegen, welche KI-Werkzeuge wofür genutzt werden dürfen und wer entscheidet. Sie umfasst typischerweise ein Verzeichnis aller KI-Systeme, eine Risiko-Einstufung, einen Freigabeprozess und ein Schulungskonzept für die Belegschaft.

Was ist der Unterschied zwischen Governance und Compliance?

Compliance beantwortet die Frage, ob Sie geltendes Recht einhalten. Governance beantwortet die Frage, wie Sie das organisieren. Die KI-Verordnung gibt die Pflichten vor, die Governance legt fest, wer sie erfüllt, welche Werkzeuge freigegeben sind und wie Entscheidungen dokumentiert werden. Ohne Governance bleibt Compliance eine Absichtserklärung ohne Zuständigkeit.

Was gehört in ein KI-Register?

Ein KI-Register listet jedes im Unternehmen genutzte KI-System mit Name und Anbieter, Einsatzzweck, Fachbereich und verantwortlicher Person. Dazu kommen die Rolle nach der KI-Verordnung, die Risiko-Einstufung, die verarbeiteten Datenarten und das Datum der letzten Prüfung. Eine gepflegte Tabelle genügt; eine Spezialsoftware brauchen kleine und mittlere Unternehmen dafür nicht.

Ab wann gilt der EU AI Act für mein Unternehmen?

Die KI-Verordnung gilt seit dem 2. August 2026 allgemein; die Transparenzpflichten aus Artikel 50 greifen seit diesem Tag. Verbotene Praktiken und die Kompetenzpflicht gelten bereits seit dem 2. Februar 2025. Die Pflichten für Hochrisiko-Systeme hat die Änderungsverordnung (EU) 2026/1744 auf den 2. Dezember 2027 beziehungsweise den 2. August 2028 verschoben.

Muss ich meine Mitarbeitenden zu KI schulen?

Artikel 4 der KI-Verordnung verpflichtet Anbieter und Betreiber, Maßnahmen zu ergreifen, um die KI-Kompetenz ihres Personals zu unterstützen. Seit der Änderung im Juli 2026 schulden Sie die geeignete Maßnahme, nicht den Lernerfolg jedes Einzelnen. Ein dokumentiertes Konzept mit Zielgruppen, Inhalten und Terminen erfüllt diese Pflicht nachvollziehbar.

Welche Bußgelder drohen bei Verstößen gegen die KI-Verordnung?

Artikel 99 sieht für verbotene Praktiken bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für weitere Pflichten wie die Transparenzpflichten gelten bis zu 15 Millionen Euro oder 3 Prozent. Bei kleinen und mittleren Unternehmen gilt jeweils der niedrigere Betrag.

Braucht auch ein kleines Unternehmen eine KI-Richtlinie?

Sobald Beschäftigte KI-Werkzeuge beruflich nutzen, sind Sie Betreiber im Sinne der Verordnung, unabhängig von der Unternehmensgröße. Eine KI-Richtlinie muss deshalb nicht umfangreich sein, aber vorhanden: freigegebene Werkzeuge, verbotene Datenarten, Kennzeichnungsregeln und ein Ansprechpartner. Zwei bis drei Seiten reichen im Mittelstand meist aus.

Wer beaufsichtigt die KI-Verordnung in Deutschland?

Seit dem 29. Juli 2026 gilt das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz, kurz KI-MIG. Es macht die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde sowie zur Anlauf- und Beschwerdestelle. Sie betreibt zusätzlich einen kostenlosen KI-Service-Desk für Compliance-Fragen von Unternehmen und richtet KI-Reallabore ein.

KI-Governance-Beratung anfragen

Sagen Sie uns, welche KI-Werkzeuge bei Ihnen im Einsatz sind. Wir ordnen die Lage ein und nennen die nächsten Schritte. Das Erstgespräch ist kostenfrei und unverbindlich.

Lars Paetzold, Inhaber & Gründer von Yagemi

Ihr Ansprechpartner

Lars Paetzold

Inhaber & Gründer. Über 20 Jahre E-Commerce und Digitalisierung im Mittelstand. Antwortet persönlich auf Ihre Anfrage.

Direkter Kontakt
  • Überblick über die KI-Systeme, die bei Ihnen laufen
  • Einordnung Ihrer Rolle nach der KI-Verordnung
  • KI-Richtlinie und Freigabeprozess für Ihr Haus
  • Schulungskonzept nach Artikel 4, auf Wunsch inklusive Durchführung