← zurück zur Ratgeber-Übersicht
Compliance · aktualisiert 10. August 2026

AI Act und NIS2 im Autohaus:
Was seit dem 2. August wirklich gilt.

Die Transparenzpflichten der KI-Verordnung sind seit dem 2. August 2026 anwendbar, Deutschland hat seit dem 29. Juli eine zuständige Aufsicht. Die meisten Kfz-Betriebe sind davon weniger betroffen, als gerade behauptet wird. Ich habe an 1.047 Betriebs-Websites nachgezählt, welche Pflicht wirklich fast jeden trifft.

Von Ronny Schumann · DIGISTAFF Berlin · Lesezeit ca. 9 Min.
DSGVO-Schild und Deutschland-Karte vor Server-Raum, Inhaber prüft Compliance-Dashboard auf Tablet
NIS2 und AI Act betreffen Autohäuser und Werkstätten ab bestimmten Schwellenwerten direkt. Bild: KI-generiert
RS

Ronny Schumann · Gründer DIGISTAFF

14 Jahre Autohaus- und B2B-Vertrieb, ehem. SEAT Topverkäufer. Spezialisiert auf KI-Agenten für Werkstatt- und Autohausbetriebe in Deutschland.

Was sich am 2. August tatsächlich geändert hat

Seit dem 2. August 2026 sind die Transparenzpflichten aus Artikel 50 der KI-Verordnung anwendbar. Die EU-Kommission hat den Start am 31. Juli angekündigt und setzt seitdem gemeinsam mit den nationalen Behörden durch.

Der Kern in einem Satz: Wer mit einem Kunden über ein KI-System spricht, muss das sagen. Ein Chatbot auf der Website gibt sich beim ersten Kontakt als Maschine zu erkennen. Deepfakes werden gekennzeichnet. Mehr steckt für einen Kfz-Betrieb nicht darin.

Wichtiger ist, was sich nicht geändert hat. Die Pflichten für Hochrisiko-Systeme wurden verschoben, auf den 2. Dezember 2027 und den 2. August 2028. Vollständig anwendbar ist die Verordnung nach Angaben der Bundesnetzagentur erst ab August 2027. Wer Ihnen gerade erzählt, ab sofort gelte alles auf einmal, verkauft Ihnen etwas.

Wer kontrolliert das eigentlich bei mir

Das ist die Frage, die in den meisten Ratgebern fehlt, und sie hat erst seit wenigen Wochen eine Antwort. Am 29. Juli 2026 ist das KI-Marktüberwachungs- und Innovationsförderungsgesetz in Kraft getreten, kurz KI-MIG. Damit ist geregelt, welche Behörde in Deutschland zuständig ist.

Deutschland fährt einen gemischten Ansatz. Wo es bereits eine Marktüberwachung gibt, bleibt sie zuständig. Überall sonst übernimmt die Bundesnetzagentur, sofern nicht ein Bundesland eine eigene Behörde bestimmt. Bei der Bundesnetzagentur entsteht zusätzlich ein Koordinierungs- und Kompetenzzentrum, das die anderen Behörden bei Auslegungsfragen unterstützt. Für große Sprachmodelle wie ChatGPT ist nicht Deutschland zuständig, sondern das KI-Büro der EU-Kommission.

Praktisch heißt das für Ihren Betrieb: Es gibt keine Streife, die durch Gewerbegebiete fährt und Websites prüft. Marktüberwachung wird tätig, wenn etwas auffällt oder gemeldet wird. Das ist kein Freibrief, nimmt aber die Dringlichkeit aus der Sache.

Die kostenlose Hilfe, die kaum jemand nennt

Die Bundesnetzagentur betreibt einen KI-Service-Desk für Unternehmen und einen KI-Compliance-Kompass. Damit können Sie in einer ersten Orientierung prüfen, ob und in welchem Umfang die Verordnung Sie überhaupt betrifft. Beides kostet nichts.

Ich sage das bewusst an dieser Stelle, obwohl ich damit meine eigene Beratungsleistung überflüssig mache. Wenn eine Behörde Ihnen die Einordnung umsonst gibt, sollten Sie dort anfangen und nicht bei einem Anbieter, der Ihnen im selben Atemzug ein Paket verkauft.

Was ich in 1.047 Kfz-Websites gefunden habe

Bevor ich über Kennzeichnungspflichten schreibe, wollte ich wissen, wie viele Betriebe überhaupt betroffen sind. Also habe ich im Juli 2026 die Websites von 1.064 Kfz-Betrieben maschinell geprüft, 1.047 davon waren erreichbar.

Das Ergebnis: 32 Websites hatten überhaupt ein Chat-Element, also drei von hundert. Bei der anschließenden Handprüfung stellte sich rund ein Drittel dieser Treffer als Fehlalarm heraus, meist Baukasten-Plugins der Hoster oder ein WhatsApp-Knopf. Echte Chat-Funktionen blieben etwa zwanzig übrig, nachweisbare KI-Bots ganze vier.

Für Sie als Inhaber folgt daraus die Entwarnung, die sonst niemand ausspricht: Wer keine KI im Kundenkontakt einsetzt, muss auch nichts kennzeichnen. Kein Chatbot, keine automatisch erzeugten Kundenmails, keine KI-Vorabdiagnose bedeutet keine Pflicht aus Artikel 50. Die Zahl sagt nicht, dass 97 von 100 Betrieben gegen etwas verstoßen. Sie sagt, dass 97 von 100 Betrieben schlicht nichts haben, was zu kennzeichnen wäre.

Zur Einordnung der Methode: Ich habe die Startseiten maschinell auf bekannte Chat-Anbieter geprüft und die Treffer von Hand nachkontrolliert. Ein Bot, der erst nach einem Klick nachgeladen wird, kann dabei übersehen worden sein. Die Zahl ist also eher eine Obergrenze als eine Untergrenze, und das macht die Aussage nicht schwächer, sondern stärker.

Nebenbei erklärt das, warum in dieser Branche gerade alle über KI am Telefon reden und nicht über Chatbots: Der Chatkanal wurde in der Kfz-Branche schlicht übersprungen.

Die Pflicht, die fast jeden Betrieb trifft

Und jetzt der Teil, der in den meisten Artikeln fehlt, weil er sich schlechter dramatisieren lässt. Artikel 4 der KI-Verordnung verlangt KI-Kompetenz, und zwar nicht nur von Anbietern, sondern ausdrücklich auch von Betreibern. Betreiber sind Sie, sobald in Ihrem Betrieb jemand ein KI-System beruflich einsetzt.

Diese Pflicht gilt seit dem 2. Februar 2025, also seit anderthalb Jahren. Sie brauchen dafür weder Chatbot noch KI-Modul im DMS. Es genügt ein Serviceberater, der Kundenmails mit ChatGPT formuliert, oder eine Bürokraft, die Texte für die Website erzeugen lässt.

Was verlangt wird, ist überschaubar: Die Menschen, die mit dem System arbeiten, sollen es einschätzen können. Was kann es, wo irrt es, welche Daten dürfen hinein. In der Praxis reicht eine dokumentierte Unterweisung, eine Seite Papier mit Datum, Teilnehmern und Inhalten. Das ist derselbe Aufwand wie Ihre jährliche Arbeitssicherheitsunterweisung, nur für ein anderes Thema.

Was Sie an Ihre Software-Anbieter weitergeben können

Ein verbreitetes Missverständnis kostet Betriebe unnötig Zeit. Die maschinenlesbare Markierung von KI-erzeugten Inhalten ist Pflicht des Anbieters, der den Generator betreibt, also von Unternehmen wie OpenAI oder Adobe. Sie als Betrieb, der ein Werkzeug benutzt, schulden diese Markierung nicht.

Was Sie schulden, ist die Offenlegung im Kundenkontakt. Wenn ein System an Ihrer Stelle mit einem Kunden spricht, muss der Kunde das wissen. Wenn Sie jede Mail vor dem Versand selbst lesen und freigeben, sprechen nicht Sie durch eine Maschine, sondern die Maschine hat Ihnen zugearbeitet. Der Unterschied ist wichtiger als jede Hinweiszeile.

Wenn Sie eine Werkstatt-Software mit KI-Funktionen einsetzen, fragen Sie den Anbieter diese fünf Punkte ab:

Die letzte Frage ist die aufschlussreichste. Ein Anbieter, der sie nicht beantworten will, hat entweder etwas zu verbergen oder weiß es selbst nicht.

NIS2: Die Frist ist bereits abgelaufen

Hier muss ich einen früheren Stand dieses Artikels korrigieren. Das deutsche NIS2-Umsetzungsgesetz ist nicht mehr im Verfahren, sondern seit dem 6. Dezember 2025 in Kraft, ohne Übergangsfrist. Das Registrierungsportal des BSI ging im Januar 2026 an den Start, die gesetzliche Registrierungsfrist lief am 6. März 2026 ab. Betroffen sind nach Schätzungen rund 29.500 Unternehmen.

Für die meisten Leser dieses Artikels ist das trotzdem keine schlechte Nachricht. Direkt erfasst sind Betriebe ab 50 Mitarbeitern oder 10 Mio. Euro Jahresumsatz. Eine freie Werkstatt mit acht Leuten fällt nicht darunter, ein größeres Autohaus mit mehreren Standorten sollte genauer hinsehen.

Wenn Sie über der Schwelle liegen und noch nicht registriert sind, gilt: Die Frist ist verstrichen, die Registrierung bleibt trotzdem nachzuholen. Das BSI weist ausdrücklich darauf hin. Ein verspäteter Eintrag ist besser als keiner.

Der zweite Weg in NIS2 hinein führt über Ihre Kunden. Wer als Zulieferer oder Servicepartner für einen Hersteller, eine große Werkstattkette oder einen IT-Dienstleister arbeitet, bekommt deren Sicherheitsanforderungen im Vertrag weitergereicht, ganz unabhängig von der eigenen Betriebsgröße.

Was NIS2 im Kern verlangt:

Was bei Verstößen tatsächlich droht

Auch hier korrigiere ich eine Zahl, die in der früheren Fassung dieses Artikels stand und die man an vielen Stellen im Netz findet. Die oft zitierten 35 Mio. Euro beziehungsweise 7 Prozent des Jahresumsatzes gelten nach Artikel 99 Absatz 3 ausschließlich für verbotene KI-Praktiken nach Artikel 5, also Dinge wie Social Scoring oder manipulative Systeme.

Für Verstöße gegen die übrigen Pflichten, und dazu gehören die Transparenzpflichten aus Artikel 50, sieht Absatz 4 bis zu 15 Mio. Euro oder 3 Prozent des weltweiten Jahresumsatzes vor. Zudem schreibt die Verordnung den Mitgliedstaaten in Artikel 99 Absatz 1 ausdrücklich vor, die Interessen kleiner und mittlerer Unternehmen und deren wirtschaftliche Lebensfähigkeit zu berücksichtigen.

Bei NIS2 liegt der Rahmen bei bis zu 10 Mio. Euro oder 2 Prozent des Umsatzes, dazu kommt die persönliche Haftung der Geschäftsführung.

Ich nenne diese Zahlen ungern, weil sie in der Praxis für eine Werkstatt mit zwölf Leuten keine realistische Größe sind. Aber wenn schon Zahlen genannt werden, dann die richtigen.

Was Sie diese Woche tun können

  1. Aufschreiben, wo im Betrieb KI läuft. Nicht nur die offensichtlichen Stellen. Fragen Sie an der Theke und im Büro, wer ChatGPT oder ein ähnliches Werkzeug benutzt. Erfahrungsgemäß kommt dabei mehr zusammen, als der Inhaber vermutet.
  2. Eine Unterweisung zur KI-Kompetenz dokumentieren. Eine halbe Stunde, eine Seite Protokoll, Datum und Teilnehmer. Damit ist Artikel 4 für einen kleinen Betrieb praktisch erledigt.
  3. Prüfen, ob Kunden mit einer Maschine sprechen. Falls ja, einen eindeutigen Hinweis setzen. Falls nein, ist die Kennzeichnungsfrage für Sie erledigt.
  4. Bei über 50 Mitarbeitern die BSI-Registrierung prüfen. Die Frist ist abgelaufen, die Pflicht besteht weiter.
  5. Den KI-Compliance-Kompass der Bundesnetzagentur durchgehen, bevor Sie Geld für eine Einschätzung ausgeben.

Häufige Fragen

Gilt der EU AI Act jetzt für Autohäuser und Werkstätten?

Die Transparenzpflichten nach Artikel 50 sind seit dem 2. August 2026 anwendbar. Sie greifen aber nur, wenn im Kundenkontakt tatsächlich ein KI-System eingesetzt wird. Ein Betrieb ohne Chatbot und ohne automatisch erzeugte Kundennachrichten hat aus Artikel 50 nichts zu tun. Die Pflicht zur KI-Kompetenz nach Artikel 4 gilt dagegen seit Februar 2025 für jeden Betrieb, in dem KI beruflich genutzt wird.

Welche Behörde ist in Deutschland zuständig?

Seit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz vom 29. Juli 2026 gilt ein gemischter Ansatz: Bestehende Marktüberwachungsbehörden bleiben in ihrem Bereich zuständig, sonst übernimmt die Bundesnetzagentur, sofern kein Bundesland eine eigene Behörde bestimmt. Die Bundesnetzagentur bündelt die Fachkompetenz in einem Koordinierungs- und Kompetenzzentrum und bietet Unternehmen einen KI-Service-Desk an.

Muss ich jede automatische E-Mail kennzeichnen?

Nur dann, wenn die Nachricht ohne Ihre Prüfung an den Kunden geht und dabei der Eindruck entsteht, ein Mensch habe geschrieben. Wenn Sie jede Mail vor dem Versand lesen und freigeben, tragen Sie die Verantwortung für den Inhalt und nicht die Maschine. Eine Hinweiszeile schadet trotzdem nie und schafft Vertrauen.

Ist mein Betrieb von NIS2 erfasst?

Direkt erfasst sind Betriebe ab 50 Mitarbeitern oder 10 Mio. Euro Jahresumsatz. Das deutsche Umsetzungsgesetz gilt seit dem 6. Dezember 2025, die Registrierungsfrist beim BSI endete am 6. März 2026. Kleinere Betriebe sind nicht direkt verpflichtet, bekommen die Anforderungen aber häufig über Verträge mit größeren Auftraggebern weitergereicht.

Was kostet die Compliance konkret?

Für eine inhabergeführte Werkstatt, die keine KI im Kundenkontakt einsetzt, praktisch nichts außer der dokumentierten Unterweisung. Wer einen Chatbot oder automatisierte Kundenkommunikation betreibt, braucht zusätzlich eine Kennzeichnung und eine kurze Dokumentation der eingesetzten Systeme. Die Orientierungshilfen der Bundesnetzagentur sind kostenfrei.

Muss ich KI-generierte Bilder auf meiner Website kennzeichnen?

Die maschinenlesbare Markierung schuldet der Anbieter des Bildgenerators, nicht Sie. Anders liegt der Fall bei fotorealistischen Darstellungen echter Personen, Orte oder Ereignisse, die fälschlich authentisch wirken. Unabhängig von der Rechtslage halte ich eine schlichte Bildunterschrift für sinnvoll. Wer seine Kunden nicht täuscht, hat auch keine Diskussion darüber.

Quellen

Alle Angaben in diesem Artikel stammen aus den folgenden Quellen, abgerufen am 10. August 2026. Wo es eine amtliche Quelle gibt, ist sie verlinkt.

Sie wollen wissen, wo in Ihrem Betrieb überhaupt KI läuft?

In der kostenfreien Potenzialanalyse gehe ich mit Ihnen durch, welche Ihrer Systeme KI-Funktionen haben, was davon unter die Verordnung fällt und was nicht. Sie bekommen eine ehrliche Einschätzung, auch dann, wenn bei Ihnen nichts zu tun ist.

Kostenfreie Potenzialanalyse anfragen

Hinweis: Dieser Artikel ist eine praxisorientierte Einführung nach bestem Wissen, kein Ersatz für eine anwaltliche Beratung im Einzelfall. Verbindlich auslegen können die KI-Verordnung nur die Gerichte. Bei konkreten Compliance-Fragen wenden Sie sich an einen Fachanwalt für IT-Recht oder Ihre IHK.