Intragentic
Alle Beiträge

Was KMU 2026 bei Software und KI beachten müssen

Welche Gesetzesänderungen 2026 kleine und mittlere Unternehmen bei Software und KI treffen, ab wann sie gelten und was zu tun ist. Stand Oktober 2026.

Veröffentlicht
Lesezeit
11 Minuten

Welche Gesetzesänderungen 2026 Ihren Betrieb bei Software und KI treffen, hängt an seiner Größe und an seinem Angebot. Ein erfundener Fliesenfachhandel im Landkreis Erlangen-Höchstadt hat 22 Beschäftigte und rund 3,5 Millionen Euro Umsatz. Er verkauft an Handwerker und online auch an Privatkunden. Angebotstexte schreibt das Team mit einem KI-Werkzeug im Browser, geregelt ist dazu nichts.

Dazu ein ebenfalls erfundener Sondermaschinenbauer bei Schwabach mit 120 Beschäftigten, rund 24 Millionen Euro Umsatz und vernetzten Maschinen. Seine Personalabteilung testet ein Werkzeug, das Bewerbungen vorsortiert. Alle Zahlen sind erfunden.

Klein ist nach EU-Definition, wer weniger als 50 Beschäftigte und höchstens 10 Millionen Euro Umsatz oder Bilanzsumme hat. Mittel ist, wer unter 250 Beschäftigten bleibt und höchstens 50 Millionen Euro Umsatz oder 43 Millionen Euro Bilanzsumme hat. Der Fliesenhandel ist also klein, der Maschinenbauer mittel.

Stand dieses Überblicks ist der 21. Oktober 2026. Verbindlich sind nur der Gesetzestext und die zuständige Behörde. Das ist keine Rechts-, Steuer- oder Förderberatung.

KI-Verordnung

Die KI-Verordnung (VO (EU) 2024/1689) ist am 1. August 2024 in Kraft getreten. Seit dem 27. Juli 2026 gilt sie in der Fassung des Digital Omnibus (VO (EU) 2026/1744, Inkrafttreten). Betreiber ist, wer ein KI-System in eigener Verantwortung beruflich verwendet (Art. 3 Nr. 4), also schon der Fliesenhandel mit seinem Browser-Werkzeug. Für kleine und mittlere Unternehmen gelten dieselben Betreiberpflichten.

Art. 4 gilt seit dem 2. Februar 2025 (Geltungsbeginn) und ist seit dem 27. Juli 2026 leichter gefasst. Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit KI-Systemen arbeiten. Ein bestimmtes Niveau müssen sie nicht garantieren, eine Pflicht bleibt es trotzdem. Ein Zertifikat oder ein Standardkurs ist laut Bundesnetzagentur nicht vorgeschrieben. Sie empfiehlt, Art, Umfang und Teilnehmende jeder Maßnahme zu dokumentieren.

In den Bußgeldtatbeständen (Art. 99 Abs. 3 bis 5 KI-VO, § 15 KI-MIG) kommt Art. 4 nicht vor. Aufsicht in Deutschland ist seit dem 29. Juli 2026 in der Regel die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG, Inkrafttreten).

Seit dem 2. August 2026 gilt Art. 50 (Geltungsbeginn). Bei einem Chat erfahren Kunden spätestens mit der ersten Nachricht, dass sie mit einer KI schreiben. Der Hinweis muss klar und barrierefrei sein (Abs. 1 und 5). Die Pflicht trägt der Anbieter. Wer das ist, wenn ein Dienstleister den Chat für Sie baut, ist nicht abschließend geklärt.

Anbieter generativer KI kennzeichnen deren Ausgaben zudem maschinenlesbar (Abs. 2). Für Systeme, die vor dem 2. August 2026 auf den Markt kamen, gilt eine Übergangsfrist bis 2. Dezember 2026 (Art. 111 Abs. 4, Fristende). Beides richtet sich an die Anbieter der Werkzeuge.

Betreiber haben eigene Pflichten. Wer mit KI Bild-, Ton- oder Videoinhalte erzeugt oder verändert, die ein Deepfake sind, muss das offenlegen (Abs. 4). Dasselbe gilt für KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren. Ausgenommen sind Texte, die ein Mensch geprüft hat und für die eine Person oder Ihre Firma redaktionell verantwortlich ist.

Hochrisiko ist unter anderem KI, die Bewerbungen sichtet, filtert oder Bewerber bewertet (Anhang III Nr. 4). Ebenso KI für Entscheidungen über Beförderung, Kündigung oder Leistungsbewertung und für die Bonitätsprüfung natürlicher Personen (Nr. 4 und 5). Die Pflichten dafür gelten ab dem 2. Dezember 2027 (Geltungsbeginn). Das Bewerbungswerkzeug des Maschinenbauers fällt darunter.

Was zu tun ist: eine Maßnahme zur KI-Kompetenz festhalten, einen Chat nur mit Hinweis starten, Bewerbungs-KI vorher an Anhang III messen.

Datenschutz bei Dienstleistern

Verarbeitet ein Dienstleister personenbezogene Daten für Sie, braucht es einen Vertrag nach Art. 28 Abs. 3 DSGVO. Das gilt etwa für Cloud-KI, Hosting, Website-Chat und Warenwirtschaft in der Cloud. Der Dienstleister arbeitet nur auf Ihre dokumentierte Weisung (Abs. 3) und setzt Unterauftragnehmer nur mit Ihrer Genehmigung ein (Abs. 2). Der Vertrag ist schriftlich zu schließen, elektronisch genügt (Abs. 9).

Eine Ausnahme nach Größe kennt Art. 28 nicht. Gehen Daten in ein Drittland, gelten zusätzlich Art. 44 ff. Auch Server in Deutschland ersetzen den Vertrag nicht. Was zu tun ist: die Dienste auflisten und für jeden den Vertrag heraussuchen.

E-Rechnung

Seit dem 1. Januar 2025 muss jedes Unternehmen im Inland E-Rechnungen empfangen können, auch Kleinunternehmer (Geltungsbeginn). Ein E-Mail-Postfach genügt laut Bundesfinanzministerium. Die Pflicht gilt nur zwischen Unternehmen im Inland, nicht für Rechnungen an Privatkunden (§ 14 Abs. 2 UStG).

Papier oder, mit Zustimmung des Empfängers, PDF dürfen alle noch bis zum 31. Dezember 2026 schicken (Fristende). Ab dem 1. Januar 2027 müssen Unternehmen mit mehr als 800.000 Euro Vorjahresumsatz E-Rechnungen ausstellen (Geltungsbeginn). Wer höchstens 800.000 Euro umgesetzt hat, hat bis zum 31. Dezember 2027 Zeit (§ 27 Abs. 38 UStG, Fristende). Ab dem 1. Januar 2028 gilt die Pflicht für alle, außer bei Kleinbeträgen bis 250 Euro, Fahrausweisen und Kleinunternehmern.

Eine Verschiebung fordert der Zentralverband des Deutschen Handwerks, beschlossen ist sie nicht. Mehr zum Rechnungseingang mit KI.

NIS2 und BSI-Gesetz

Das neue BSI-Gesetz setzt NIS2 um und ist seit dem 6. Dezember 2025 in Kraft, laut BSI ohne allgemeine Übergangsfrist.

Wichtige Einrichtung ist ein Unternehmen einer Einrichtungsart aus Anlage 1 oder 2 mit mindestens 50 Beschäftigten. Dasselbe gilt, wenn Umsatz und Bilanzsumme jeweils über 10 Millionen Euro liegen (§ 28 Abs. 2 BSIG). Anlage 2 nennt etwa Maschinenbau, elektrische Ausrüstungen, Kraftwagenteile, Medizinprodukte, Lebensmittelgroßhandel und -industrie sowie Chemie nach REACH. Anlage 1 umfasst etwa Energie, Verkehr, Gesundheit und digitale Infrastruktur.

Unter diesen Schwellen sind Sie in der Regel nicht selbst erfasst. Ausnahmen sind wenige größenunabhängige Fälle wie Vertrauens- und DNS-Dienste. Mittelbar kann es aber auch kleine Betriebe treffen. Liefern Sie an eine NIS2-Einrichtung, kann sie Anforderungen zu Sicherheit, Vorfällen und Updates in den Vertrag schreiben (BSI, FAQ). Ein allgemeines Zertifikat dafür gibt es nicht.

Der Maschinenbauer ist wichtige Einrichtung und hätte sich binnen drei Monaten beim BSI registrieren müssen (§ 33). Rechnerisch endete die Frist am 6. März 2026 (Fristende). Das BSI nennt sie abgelaufen und fordert Betroffene auf, sich umgehend im BSI-Portal zu registrieren.

Dazu kommt Risikomanagement mit zehn Mindestmaßnahmen nach § 30 Abs. 2, etwa Backup, Schulungen, Multi-Faktor-Authentifizierung und Sicherheit der Lieferkette. Erhebliche Sicherheitsvorfälle sind binnen 24 Stunden erstmals, binnen 72 Stunden erneut und spätestens einen Monat danach abschließend zu melden (§ 32 Abs. 1). Die Geschäftsleitung setzt die Maßnahmen um, überwacht sie und nimmt regelmäßig an Schulungen teil (§ 38). Bei schuldhaften Verstößen haftet sie nach Gesellschaftsrecht. Ob Ihr Betrieb betroffen ist, prüfen Sie selbst; dabei hilft die Betroffenheitsprüfung des BSI.

Barrierefreiheit im Onlineshop

Das Barrierefreiheitsstärkungsgesetz (BFSG) ist am 28. Juni 2025 in Kraft getreten. Es erfasst Websites und Apps, über die Verbraucher Verträge schließen, etwa Onlineshops (§ 1 Abs. 3, § 2 Nr. 26). Ausgenommen sind nur Kleinstunternehmen mit Dienstleistungen, also unter zehn Beschäftigten und bis 2 Millionen Euro Umsatz oder Bilanzsumme (§ 3 Abs. 3). Ein reiner Shop für Geschäftskunden fällt nicht darunter.

Der Shop des Fliesenhandels ist erfasst, denn der Betrieb hat mehr als zehn Beschäftigte. Für mittlere Unternehmen gibt es keine Ausnahme. Die Aufsicht liegt bei den Ländern (§ 20). Was zu tun ist: Shop und Bestellweg auf Barrierefreiheit prüfen lassen.

Data Act und Cloud-Wechsel

Der Data Act (VO (EU) 2023/2854) gilt seit dem 12. September 2025 (Geltungsbeginn). Als Kunde eines Cloud-Dienstes dürfen Sie zu einem anderen Anbieter oder auf eigene Server wechseln (Art. 23). Die Kündigungsfrist dafür beträgt höchstens zwei Monate, die Übergangsfrist höchstens 30 Tage (Art. 25). Ab dem 12. Januar 2027 entfällt das Wechselentgelt (Art. 29, Geltungsbeginn).

Diese Rechte hängen nicht von Ihrer Größe ab. Bei Diensten, die für einen einzelnen Kunden gebaut sind, gilt unter anderem das Verbot des Wechselentgelts nicht (Art. 31). Was zu tun ist: die Wechselklauseln bei der nächsten Verlängerung lesen.

Hersteller vernetzter Produkte müssen den Datenzugang bei allem vorsehen, was nach dem 12. September 2026 in Verkehr kommt (Art. 3 Abs. 1, Geltungsbeginn). Kleinst- und Kleinunternehmen ohne größere Partner- oder verbundene Unternehmen sind davon ausgenommen, mittlere nur im ersten Jahr (Art. 7 Abs. 1).

Cyber Resilience Act

Der Cyber Resilience Act (VO (EU) 2024/2847) richtet sich vor allem an Hersteller, die Produkte mit digitalen Elementen in Verkehr bringen. Gemeint ist vernetzte Hard- und Software (Art. 2, Art. 3). Seit dem 11. September 2026 melden Hersteller aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle am Produkt, mit einer Frühwarnung binnen 24 Stunden (Art. 14, Geltungsbeginn). Das gilt auch für Produkte, die vorher ausgeliefert wurden (Art. 69 Abs. 3). Vollständig gilt er ab dem 11. Dezember 2027 (Art. 71, Geltungsbeginn), dann auch für Einführer und Händler.

Der Maschinenbauer ist Hersteller. Kleinst- und Kleinunternehmen haben Erleichterungen, etwa eine vereinfachte technische Dokumentation (Art. 33 Abs. 5), mittlere nicht.

Wer Software nur kauft und nutzt, stellt sie nicht auf dem Markt bereit und ist nach unserem Verständnis kein Hersteller. Reine Browser-Anwendungen sind nach den Leitlinien der Kommission vom 27. Juli 2026 kein Produkt im Sinne des CRA; verbindlich sind sie nicht.

Offen ist, ob eine Eigenentwicklung nur für den eigenen Betrieb erfasst sein kann. Offen ist auch, wie übergebene Individualsoftware einzuordnen ist, die beim Kunden läuft.

Fristen auf einen Blick

  • Seit 1. Januar 2025 (Geltungsbeginn): E-Rechnungen empfangen, alle Unternehmen.
  • Seit 2. Februar 2025 (Geltungsbeginn): Maßnahmen zur KI-Kompetenz nach Art. 4, neue Fassung seit 27. Juli 2026 (Inkrafttreten).
  • Seit 28. Juni 2025 (Inkrafttreten): BFSG für Shops an Verbraucher, außer Kleinstunternehmen.
  • Seit 6. Dezember 2025 (Inkrafttreten): BSI-Gesetz mit NIS2; Registrierung bis 6. März 2026 (Fristende, berechnet), laut BSI abgelaufen.
  • Seit 2. August 2026 (Geltungsbeginn): Transparenzpflichten nach Art. 50, etwa KI-Hinweis im Chat.
  • Seit 11. September 2026 (Geltungsbeginn): Meldepflichten für Hersteller nach CRA Art. 14.
  • 31. Dezember 2026 (Fristende): Papier oder PDF zwischen Unternehmen für alle. Ab 1. Januar 2027 (Geltungsbeginn) E-Rechnung bei mehr als 800.000 Euro Vorjahresumsatz.
  • 12. Januar 2027 (Geltungsbeginn): Cloud-Wechsel ohne Wechselentgelt, außer bei Diensten für einen einzelnen Kunden.
  • 2. Dezember 2027 (Geltungsbeginn): Hochrisiko-Pflichten, etwa für Bewerberauswahl mit KI.
  • 1. Januar 2028 (Geltungsbeginn): E-Rechnung zwischen Unternehmen für alle außer Kleinunternehmern, Kleinbeträgen und Fahrausweisen; die Übergangsfrist bis 800.000 Euro endet am 31. Dezember 2027 (Fristende).

Was Intragentic übernehmen kann

Unser KI-Workshop kostet 1.490 € für einen halben Tag mit bis zu zwölf Personen. Dazu gehört eine Dokumentation der Maßnahme zur KI-Kompetenz nach Art. 4, kein Zertifikat. Bauen wir einen Chat oder Assistenten, enthält der Produktiv-Build ab 29.000 € die Kennzeichnung nach Art. 50.

Im Betrieb ab 490 € im Monat laufen Ihre Instanz und die Modelle auf Servern in Deutschland. Standard sind eigene Instanzen mit Open-Source-Modellen. Für Ihre Daten schließen wir dabei einen Vertrag zur Auftragsverarbeitung. Alle Preise sind netto.

Beim Fliesenhandel könnte ein Chat Lieferzeiten nur aus der Warenwirtschaft beantworten; Rabatte und Reklamationen gibt ein Mitarbeiter frei. Beim Maschinenbauer entwirft ein Assistent Wartungsberichte, der Techniker prüft und gibt sie frei. KI für Bewerberauswahl oder Entscheidungen über Personen bauen wir nicht.

Wir beraten nicht zu Recht oder NIS2 und machen keinen Betrieb „NIS2-konform“. Ist ein Kunde NIS2-Einrichtung, liefern wir ihm die Angaben zu unserer Leistung, die er für seine Lieferkette braucht.

Schreiben Sie uns, welche KI-Werkzeuge und Cloud-Dienste Sie nutzen. Im Erstgespräch trennen wir mit Ihnen, was Technik ist und was Sie mit Kanzlei oder Steuerberatung klären.

Quellen

Alle Links abgerufen am 21.10.2026. EU-Recht in der Fassung des Amtsblatts, Änderungen durch den Digital Omnibus nach der konsolidierten Fassung.

Sprechen wir über Ihren Ablauf.

Ein Erstgespräch dauert 30 Minuten und kostet nichts. Danach wissen Sie, welche Stufe für Sie passt.

Erstgespräch anfragen

Assistent

Feste Antworten, ohne KI