EU AI Act
Code of Practice:
Was Sie wirklich tun müssen

Die EU-Kommission hat am 10. Juni 2026 den ersten Code of Practice für die Kennzeichnung KI-generierter Inhalte veröffentlicht. Eine Woche zuvor gründete der Nationale Sicherheitsrat in Berlin das deutsche KI-Sicherheitsinstitut DE-AISI. Beides klingt nach neuer Regulierungslast. Für den Mittelstand ist es vor allem eine Klarstellung: Brüssel liefert das Werkzeug, Berlin prüft die großen Modelle — und KMU-Anwender können sich auf das konzentrieren, was sie tatsächlich betrifft: Transparenz.

Was ist der Code of Practice — und was nicht?

Der Code of Practice ist kein neues Gesetz, sondern ein Compliance-Werkzeug der EU-Kommission, das Unternehmen bei der Umsetzung von Artikel 50 des EU AI Act unterstützt.

Die EU unterscheidet zwei Rollen. Provider — Unternehmen, die generative KI-Systeme bauen oder anbieten — müssen ihre Outputs maschinenlesbar markieren. Deployer — Unternehmen, die generative KI einsetzen, also der Großteil des Mittelstands — müssen KI-generierte Deepfakes und KI-Text zu Themen öffentlichen Interesses offenlegen.

Der Code of Practice liefert dafür einen gemeinsamen Standard, inklusive offizieller EU-Icons zur Kennzeichnung. Wer unterzeichnet, bekommt Rechtssicherheit über alle Mitgliedstaaten. Wer nicht unterzeichnet, muss Compliance individuell nachweisen. Beides ist ein legitimer Weg.

Wichtig für KMU mit bestehenden KI-Systemen: Der AI Omnibus vom 7. Mai 2026 gibt Systemen, die vor dem 2. August auf dem EU-Markt sind, bis zum 2. Dezember 2026 Zeit für die maschinenlesbare Markierung. Die übrigen Offenlegungspflichten gelten ab August ohne Übergangsfrist.

Wer wird durch DE-AISI geprüft — und wer nicht?

Am 8. Juni 2026 hat der Nationale Sicherheitsrat die Gründung des deutschen KI-Sicherheitsinstituts beschlossen. Die erste Phase läuft virtuell über bestehende Strukturen von BSI und Bundesnetzagentur — kein eigener Etat, kein Standort, kein Personalplan.

Das Mandat ist klar: DE-AISI prüft Frontier-KI-Modelle und erstellt Lagebilder für die Bundesregierung. Telefon-Agenten, Buchungs-Assistenten und Marketing-Chatbots — die typischen KI-Anwendungen im Mittelstand — fallen nicht unter dieses Mandat.

Bitkom fordert eine Finanzierung auf dem Niveau des britischen UK AISI, das seit November 2023 über £360 Millionen verfügt und mehr als 100 technische Mitarbeiter beschäftigt. Experten sprechen von einem Startbudget von mindestens €100 Millionen — die Bundesregierung hat sich bisher nicht festgelegt.

DE-AISI ist keine neue Prüfinstanz für Ihr Unternehmen. Es ist die Instanz, die Ihre KI-Anbieter prüft.

Was bedeutet das konkret für Handwerker, Finanzdienstleister und andere KMU?

In der EU-Systematik sind Mittelständler fast immer Deployer — sie setzen KI ein, sie bauen keine Foundation Models. Ihre Pflichten konzentrieren sich auf Transparenz und Dokumentation.

Ab dem 2. August 2026 gilt konkret:

• Chatbot-Disclosure: Nutzer müssen erkennen, dass sie mit KI interagieren — etwa durch eine Ansage zu Beginn eines Telefonats mit einem KI-Agenten.
• Deepfake-Offenlegung: KI-generierte Bilder, Audio- und Video-Inhalte müssen als solche gekennzeichnet werden.
• Public-Interest-Disclosure: KI-generierter Text zu Themen öffentlichen Interesses muss offengelegt werden — sofern keine redaktionelle Verantwortung übernommen wird.

Ob Handwerksbetrieb mit KI-Telefonagent oder Finanzdienstleister mit automatisierter Erstqualifizierung — die Deployer-Pflichten sind überschaubar. Amazing Agents baut Setups, in denen diese Transparenzpflichten von Anfang an integriert sind.

Hochrisiko-Anwendungen wie biometrische Identifikation betreffen nur einen kleinen Teil der KMU und greifen erst ab dem 2. August 2027.

Zur Einordnung der Kosten: Bitkom schätzt für ein Unternehmen mit rund 500 Mitarbeitenden €80.000 bis €250.000 initiale Compliance-Kosten und €30.000 bis €70.000 jährlich für laufende Dokumentation. Seit März 2026 fördert die Bundesregierung bis zu 50 % dieser Kosten mit einem €500-Millionen-Programm, gedeckelt bei €250.000 pro Unternehmen.

Drei Dinge, die Sie diese Woche prüfen können

Compliance muss kein Angstthema sein. Der Code of Practice ist Brüssels Art zu sagen: Hier ist die Werkzeugkiste — nutzen Sie sie. Drei konkrete Schritte:

1. Chatbot- und Telefonagent-Disclosure prüfen: Macht Ihr KI-System zu Beginn jeder Interaktion transparent, dass der Nutzer mit KI spricht? Bei Amazing Agents ist das in der Anfangsansage von Ben automatisch enthalten.
2. Kennzeichnungsprozess für KI-Inhalte etablieren: Wenn Sie Bilder, Videos oder Texte zu öffentlichen Themen mit KI erstellen — haben Sie einen Workflow zur Kennzeichnung?
3. Provider-Dokumentation anfragen: Wenn Sie Foundation Models über eine API nutzen, fragen Sie Ihren Anbieter nach der Marking- und Metadata-Pipeline. Das ist deren Pflicht nach Art. 50(2), aber Sie profitieren direkt davon.

Bei Amazing Agents helfen wir Mittelständlern, genau das umzusetzen — ohne eigene Rechtsabteilung.

Dieser Artikel bietet eine Orientierung und keine verbindliche rechtliche Beratung.

FAQ — EU AI Act Code of Practice und Mittelstand

Ist der Code of Practice Pflicht?

Nein. Der Code of Practice ist freiwillig. Pflicht ist Artikel 50 des EU AI Act, der ab dem 2. August 2026 gilt. Der Code of Practice ist das von der EU empfohlene Werkzeug, um diese Pflicht zu erfüllen.

Prüft DE-AISI mein Unternehmen?

Nein. DE-AISI prüft Frontier-KI-Modelle wie GPT, Claude oder Gemini — nicht die KI-Anwendungen von Mittelständlern.

Was kostet AI-Act-Compliance für KMU?

Bitkom rechnet für ein Unternehmen mit ~500 Mitarbeitenden mit €80.000–250.000 initial und €30.000–70.000 jährlich. Ein Förderprogramm der Bundesregierung (€500 Mio.) übernimmt bis zu 50 % der Kosten, gedeckelt bei €250.000 pro Unternehmen.

Muss ich Deepfakes kennzeichnen?

Ja. Deployer müssen KI-generierte Bilder, Audio- und Video-Inhalte als solche offenlegen — ab dem 2. August 2026.

Was passiert, wenn ich den Code of Practice nicht unterzeichne?

Nichts Verbotenes. Sie müssen die Compliance-Anforderungen nach Artikel 50 dann individuell gegenüber der zuständigen Marktüberwachungsbehörde nachweisen.