EU AI Act für KMU: Diese Pflichten gelten wirklich

Der EU AI Act ist das weltweit erste umfassende KI-Gesetz — und er gilt nicht nur für Tech-Konzerne. Auch ein Handwerksbetrieb, der ChatGPT für Angebote nutzt, oder ein Händler mit KI-Chatbot fällt darunter. Die gute Nachricht: Für die allermeisten Mittelständler sind die Pflichten überschaubar und mit wenigen Maßnahmen erfüllt. Dieser Beitrag übersetzt das Gesetz in das, was Sie als KMU wirklich tun müssen.

Die Zeitleiste: Was gilt seit wann?

Pflicht Nr. 1 für jedes Unternehmen: KI-Kompetenz (Artikel 4)

Wer KI-Systeme betreibt oder nutzt, muss sicherstellen, dass die eigenen Mitarbeiter über „ein ausreichendes Maß an KI-Kompetenz“ verfügen — angemessen zu ihrer Rolle und den eingesetzten Systemen. Das gilt seit dem 2. Februar 2025 und schließt den geschäftlichen Einsatz von ChatGPT, Copilot, Claude & Co. ein.

Was das praktisch heißt: Ihre Leute sollten verstehen, was die Tools können und wo sie irren, welche Daten hinein dürfen und dass Ergebnisse geprüft werden müssen. Der praktikabelste Nachweis ist eine dokumentierte Schulung plus eine KI-Richtlinie. Beides haben wir in eigenen Leitfäden beschrieben: KI-Schulung für Mitarbeiter und KI-Richtlinie mit Muster-Gliederung. Eine Förderung kann je nach Maßnahme und Betrieb möglich sein, kurze Workshops sind jedoch nicht automatisch förderfähig.

Bin ich „Hochrisiko“? Bei typischer Büro-KI oft nicht

Die strengen Pflichten des AI Act zielen auf Hochrisiko-Systeme — KI in Bereichen wie Personalauswahl, Kreditwürdigkeitsprüfung, kritischer Infrastruktur, Medizin oder Strafverfolgung. Typische Mittelstands-Anwendungen sind kein Hochrisiko:

• Texte, Angebote und E-Mails mit KI vorbereiten: meist minimales oder begrenztes Risiko
• Interne Wissens-Chatbots und Dokumentenanalyse: meist kein Hochrisiko, Datenschutz bleibt trotzdem relevant
• Kundenservice-Chatbot: meist kein Hochrisiko, aber Nutzer müssen erkennen können, dass sie mit einer KI sprechen
• KI-gestützte Bewerber-Vorauswahl: Hochrisiko — nach dem aktualisierten Zeitplan greifen die einschlägigen Pflichten ab Dezember 2027

Faustregel: Trifft oder beeinflusst die KI Entscheidungen über Menschen (Job, Kredit, Gesundheit), wird es ernst. Automatisiert sie Papierkram, sind Sie im grünen Bereich.

Transparenzpflichten: Die drei, die KMU wirklich betreffen

1. Chatbots kennzeichnen: Wer mit Ihrer KI chattet, muss das erkennen können. Ein Hinweis im Chat-Fenster genügt.
2. KI-generierte Inhalte: Täuschend echte KI-Bilder/-Videos (Deepfakes) müssen gekennzeichnet werden. Für normale Marketing-Texte gilt das nicht.
3. Keine versteckte Manipulation: Systeme, die Nutzer täuschen oder ausnutzen, sind schlicht verboten.

Was bei Verstößen droht

Die Bußgeldrahmen sind bewusst abschreckend — bis zu 35 Millionen Euro oder 7 Prozent des Weltumsatzes für verbotene Praktiken, gestaffelt darunter für andere Verstöße. Für KMU werden Art, Schwere und Verhältnismäßigkeit im konkreten Fall berücksichtigt. Richtlinie und Schulung sind wichtige Schutzmaßnahmen, aber keine Garantie gegen Sanktionen.

Ihre AI-Act-Checkliste als KMU

• ☐ Überblick verschaffen: Welche KI-Tools sind bei uns im Einsatz (auch inoffiziell)?
• ☐ KI-Richtlinie einführen (2–4 Seiten, siehe Muster-Gliederung)
• ☐ Mitarbeiter schulen und Teilnahme dokumentieren (Artikel-4-Nachweis; Förderung im Einzelfall prüfen)
• ☐ Kundenkontakt-Chatbots kennzeichnen
• ☐ Prüfen: Nutzen wir KI in Personalauswahl oder anderen Hochrisiko-Feldern? Falls ja: Einstufung, Dokumentation und Zeitplan fachkundig prüfen lassen

Was sich im Sommer 2026 geändert hat

Die Zeitachse wurde durch das europäische Vereinfachungspaket angepasst. Nach dem aktuellen Überblick der EU-Kommission gelten die Hochrisiko-Regeln für sensible Bereiche wie Beschäftigung ab dem 2. Dezember 2027. Für KI, die in regulierten Produkten steckt, läuft die Frist bis zum 2. August 2028. Transparenzregeln nach Artikel 50 gelten dagegen seit dem 2. August 2026.

Das ist wichtig, weil viele ältere Checklisten noch pauschal August 2026 nennen. Nutzen Sie für Entscheidungen immer den aktuellen EU-Zeitplan. Bei rechtlich sensiblen Systemen ersetzt dieser Artikel keine Einzelfallprüfung.

Der einfache Vier-Fragen-Check

1. Setzen wir KI nur intern ein oder wirkt sie direkt auf Kunden und Bewerber?
2. Trifft oder beeinflusst sie Entscheidungen über Menschen?
3. Erzeugen wir Inhalte, die gekennzeichnet werden müssen?
4. Können wir erklären, wer Ergebnisse prüft und wer verantwortlich ist?

Wenn Sie bei Frage zwei mit Ja antworten, brauchen Sie eine genauere Risikoeinstufung. Bei den meisten Text-, Recherche- und Assistenzaufgaben reichen Inventar, Richtlinie, Schulung und klare menschliche Kontrolle als solide Basis.

Der Rechtsrahmen für kleine und mittlere Unternehmen

Der EU AI Act schafft einen europäischen Rechtsrahmen für künstliche Intelligenz. Für KMU und andere kleine und mittlere Unternehmen hängt die Anwendung der Verordnung von Rolle und Einsatzzweck ab. Wer fremde KI-Systeme nur betreibt, hat andere Pflichten als ein Anbieter, der ein System unter eigenem Namen auf den Markt bringt.

Im August 2026 sind besonders Transparenz und dokumentierte Schulung wichtig. Ein Verstoß kann Folgen haben, aber nicht jede Nutzung ist automatisch Hochrisiko. Erfassen Sie deshalb 2026 alle KI-Systeme, prüfen Sie den konkreten Zweck und halten Sie fest, welche Maßnahmen bereits umgesetzt wurden.

Fazit

Der AI Act ist für den Mittelstand kein Grund zur Panik — aber auch kein Thema zum Aussitzen. Die eine Pflicht, die praktisch jeden betrifft, ist die KI-Kompetenz nach Artikel 4, und sie ist mit einer geförderten Schulung plus Richtlinie effizient erfüllt. Alles Weitere hängt davon ab, wofür Sie KI einsetzen — und das lässt sich in einer Stunde sauber klären.

Unsicher, wo Sie stehen? Im kostenlosen Erstgespräch gehen wir Ihre KI-Nutzung einmal durch — inklusive AI-Act-Kurzcheck. Oder starten Sie mit unserem KI-Readiness-Check.

Häufige Fragen