Die meisten Leitfäden zur KI-Verordnung sind für Organisationen mit einer Compliance-Abteilung geschrieben. Wenn Sie acht Leute sind und eine oder einer davon das zwischen zwei Sprints erledigt, lautet die brauchbare Frage nicht "was verlangt die Verordnung" - sondern was ist die kleinste vertretbare Position, die ich halten kann, und wie schnell komme ich dorthin. Meistens: ungefähr ein Tag.
Die kurze Antwort für die meisten Start-ups: Sie sind Betreiber oder Anbieter eines Systems mit begrenztem oder minimalem Risiko, Sie schulden drei aktive Pflichten, die einen Nachmittag kosten, und der furchteinflößende Stoff aus Kapitel III gilt für Sie nicht. Die Arbeit besteht darin, das schriftlich festzuhalten - denn "wir haben es geprüft, hier ist unsere Position, mit Datum" ist das, wonach Investoren und Großkunden tatsächlich fragen.
Gilt sie überhaupt für Sie?
Wenn Ihre Nutzenden in der EU sitzen, ja - unabhängig davon, wo Sie gegründet sind. Artikel 2 erfasst Anbieter mit Sitz an jedem beliebigen Ort, sofern die Ausgabe in der Union verwendet wird. Eine Delaware C-Corp, die nach Berlin verkauft, ist erfasst. Ein britisches Unternehmen mit EU-Kunden ebenfalls.
Was das nicht bedeutet: dass jede Pflicht gilt. Anwendungsbereich und Risikoklasse sind verschiedene Fragen, und sie zu vermischen ist der mit Abstand häufigste Fehler von Start-ups.
Die drei, die gerade jetzt aktiv sind
| Pflicht | Wen | Aufwand |
|---|---|---|
| Artikel 50 - sagen, dass es KI ist | Alle mit einem nutzerseitigen Bot oder einer generativen Funktion | Ein Satz in der Begrüßung |
| Artikel 4 - KI-Kompetenz | Alle, deren Mitarbeitende KI-Systeme nutzen | Eine Sitzung, protokolliert |
| Artikel 5 - verbotene Praktiken | Alle | Eine Prüfung, kein Projekt. Das Ableiten von Emotionen bei Mitarbeitenden oder Nutzenden ist die realistische Falle |
Das ist die gesamte aktive Last für ein typisches Start-up. Durchsetzbar seit dem 2. August 2026 - vom Omnibus nicht verschoben, was auch immer in den Schlagzeilen stand.
Die zwei Fragen, die alles Weitere entscheiden
1. Sind Sie Anbieter oder Betreiber? Selbst gebaut und unter Ihrem Namen ausgeliefert → Anbieter dieses Systems. Ein fremdes lizenziert und eingesetzt → Betreiber. Die meisten Teams antworten "Anbieter", weil sie Code geschrieben haben, obwohl das KI-System selbst lizenziert ist. Das falsch zu beantworten heißt, sich fremde Pflichten aufzuladen. Die vollständige Prüfung.
2. Bewertet irgendetwas, das Sie ausliefern, einen Menschen? Das ist die Weggabelung. Bewerten, ranken, vorfiltern oder Vorhersagen über natürliche Personen treffen - für Arbeit, Kredit, Bildung, wesentliche Dienste - bringt Sie in Anhang III, und Profiling schließt den Ausgang über Artikel 6(3). Alles andere ist mit hoher Wahrscheinlichkeit begrenztes oder minimales Risiko.
Auf GPT oder Claude zu bauen macht Sie nicht zum GPAI-Anbieter. API-Nutzung, Prompting und leichte Feinabstimmung belassen Artikel 53 beim Modellanbieter. ChatGPT / OpenAI-API · Wo die Grenze verläuft.
Die Bußgeldzahlen, richtiggestellt
Sie werden überall 35 Mio. € / 7% zitiert finden. Diese Stufe gilt für die verbotenen Praktiken aus Artikel 5, und für KMU und Start-ups wendet Artikel 99(6) den jeweils niedrigeren Wert an - den festen Betrag oder den Prozentsatz - und nicht den höheren. Bei 2 Mio. € Umsatz liegt die Obergrenze für einen Verstoß gegen Artikel 50 bei rund 60.000 €, nicht bei 15 Millionen €. Die meisten veröffentlichten Zusammenfassungen geben das verkehrt herum wieder. Die drei Stufen.
Warum Gründerinnen und Gründer das am Ende doch tun
Selten, weil eine Behörde angerufen hat. Meistens, weil:
- Die Beschaffung im Großkundengeschäft gefragt hat. "Position zur KI-Verordnung auf Anfrage verfügbar" wird still und leise zu einem Filter, und eine steckengebliebene Sicherheitsprüfung kostet mehr als die Arbeit.
- Die Due Diligence gefragt hat. Eine unbeantwortete regulatorische Frage im Datenraum ist ein Abschlag.
- Der Datenschutzbeauftragte eines Kunden gefragt hat und Ihre Antwort ein Dokument sein muss, keine Slack-Nachricht.
In allen drei Fällen ist das Ergebnis dasselbe: eine datierte, begründete schriftliche Position, die Ihr Produkt benennt. Genau das ist ein Gap-Report (auf Englisch), und deshalb hört die kostenlose Stufe bei einer Risikoklasse auf - die Klasse beantwortet Ihre Frage, das Dokument beantwortet deren Frage.
Ungefähr ein Tag
- Listen Sie Ihre KI-Funktionen auf und wen jede betrifft
- Den kostenlosen Check durchführen, je Funktion, die Menschen berührt
- Fügen Sie allem, was Konversationen führt, den Hinweis auf KI hinzu - diese Woche, es ist geltendes Recht
- Führen Sie eine Schulung zur KI-Kompetenz durch und protokollieren Sie sie
- Schreiben Sie Rolle und Risikoklasse je System auf, mit Begründung und Datum
- Nur wenn wirklich etwas unter Anhang III fällt: Starten Sie das Programm für Kapitel III jetzt, denn die Konformitätsbewertung dauert 12-18 Monate, und der Dezember 2027 ist näher, als er aussieht
Beginnen Sie mit der Zwei-Minuten-Fassung
Der kostenlose Check gibt Ihnen Ihre Rolle und die wahrscheinliche Risikoklasse. Wenn Beschaffung oder Investoren es schriftlich brauchen, kostet der vollständige Report 59 €.
Kostenlosen Check startenKeine Karte, kein Konto. Vollständiger Gap-Report ab 59 €. Einen echten Report ansehen (auf Englisch).
Selbsteinschätzung, keine Rechtsberatung. Diese Seite und der Reglynn-Report sind eine strukturierte Selbsteinschätzung auf Grundlage der KI-Verordnung (Verordnung 2024/1689 in der Fassung des Omnibus vom Juni 2026). Sie zeigen, wo Sie voraussichtlich stehen und was Sie mit einer qualifizierten Beraterin oder einem qualifizierten Berater prüfen sollten. Reglynn ist keine notifizierte Stelle und stellt keine Zertifikate aus.
Wie das entstanden ist. Reglynn-Reports werden von einem KI-System auf Basis von Claude von Anthropic erstellt und vor dem Versand geprüft. Reglynn ist ein KI-System mit begrenztem Risiko nach Artikel 50; wir legen den Einsatz von KI überall dort offen, wo er stattfindet, auch in unserem Chat-Assistenten. Unsere eigene Selbsteinschätzung.