EU AI Act für den Mittelstand: was gilt wann

Der EU AI Act (KI-Verordnung) ist das weltweit erste umfassende KI-Gesetz. Bei vielen mittelständischen Unternehmen sorgt er für mehr Unsicherheit als nötig. Die meisten Betriebe, die KI für alltägliche Aufgaben wie Texte, Suche, Kundenservice oder Dokumentenverarbeitung nutzen, haben überschaubare Pflichten. Die strengen Vorgaben treffen eine kleine Gruppe von Hochrisiko-Systemen.

2026 hat die EU außerdem den Zeitplan geändert. Der sogenannte Digital Omnibus zur KI, in Kraft seit dem 27. Juli 2026, hat die Fristen für Hochrisiko-Systeme verschoben. Dieser Artikel ordnet, was wann gilt und was Sie jetzt tun sollten.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Für Ihren konkreten Fall wenden Sie sich an eine Anwältin oder einen Anwalt.

Anbieter oder Betreiber: Welche Rolle haben Sie?

Der AI Act unterscheidet zwei zentrale Rollen:

• Anbieter: Sie entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen in Verkehr oder in Betrieb. Ein Softwarehaus, das eine KI-Funktion verkauft, ist Anbieter.
• Betreiber: Sie setzen ein KI-System in eigener Verantwortung im Unternehmen ein. Ein Unternehmen, das einen KI-Assistenten im Kundenservice nutzt, ist Betreiber.

Die meisten mittelständischen Unternehmen sind Betreiber. Lassen Sie ein individuelles KI-System für den Eigengebrauch entwickeln, sind Sie in der Regel Betreiber und gelten unter Umständen zugleich als Anbieter. Klären Sie die Rollen deshalb im Entwicklungsvertrag.

Die vier Risikostufen

1. Verbotene Praktiken. Einige Anwendungen sind schlicht verboten, etwa Social Scoring, manipulative Techniken, die Schwächen ausnutzen, das ungezielte Auslesen von Gesichtsbildern und Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen (mit engen Ausnahmen).

2. Hochrisiko-Systeme. KI in sensiblen Bereichen, die das Gesetz aufzählt, zum Beispiel Personalauswahl und Mitarbeiterführung, Kreditwürdigkeitsprüfung, Bildung, kritische Infrastruktur sowie KI als Sicherheitsbauteil regulierter Produkte wie Maschinen oder Medizinprodukte. Diese Systeme brauchen Risikomanagement, Data Governance, Dokumentation, menschliche Aufsicht, Protokollierung und auf Anbieterseite eine Konformitätsbewertung.

3. Begrenztes Risiko mit Transparenzpflichten. Chatbots müssen offenlegen, dass Nutzer mit einer KI sprechen. KI-erzeugte oder manipulierte Bilder, Audio- und Videoinhalte (Deepfakes) müssen gekennzeichnet werden, und Anbieter generativer KI müssen Ergebnisse maschinenlesbar markieren.

4. Minimales Risiko. Spamfilter, KI in der internen Suche, Übersetzung, die meisten Formen der Dokumentenverarbeitung. Keine besonderen Pflichten über die allgemeinen hinaus.

Die meisten Anwendungsfälle im Mittelstand fallen in Stufe 3 und 4.

Zeitplan: Was gilt wann?

• Seit 2. Februar 2025: Verbotene Praktiken sind untersagt. Außerdem sollen Unternehmen dafür sorgen, dass Beschäftigte, die mit KI arbeiten, über ausreichende KI-Kompetenz verfügen; die Änderung von 2026 betont hier die Unterstützung für KMU, Schulungen bleiben aber der vernünftige Standard.
• Seit 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (die großen Modellanbieter) und die Sanktionsregeln.
• Seit 2. August 2026: Transparenzpflichten nach Artikel 50 (Hinweis bei Chatbots, Kennzeichnung von Deepfakes, Markierung KI-erzeugter Inhalte). Generative Systeme, die schon vor diesem Datum auf dem Markt waren, haben für die maschinenlesbare Markierung bis 2. Dezember 2026 Zeit.
• Ab 2. Dezember 2027: Pflichten für eigenständige Hochrisiko-Systeme (Anhang III), etwa KI in der Personalauswahl oder Kreditprüfung. Ursprünglich für August 2026 geplant, durch den Digital Omnibus verschoben.
• Ab 2. August 2028: Pflichten für Hochrisiko-KI in regulierten Produkten (Anhang I), etwa Maschinen oder Medizinprodukte. Ursprünglich August 2027.

Wichtig: Der Omnibus hat Fristen verschoben, nicht die Regeln abgeschafft. Planen Sie jetzt ein KI-System in einem Hochrisiko-Bereich, berücksichtigen Sie die Anforderungen von Anfang an. Dokumentation, Protokollierung und menschliche Aufsicht nachträglich einzubauen, ist deutlich teurer.

Was sich für KMU geändert hat

Der Digital Omnibus hat außerdem Erleichterungen, die bisher nur für KMU galten, auf kleine Mid-Cap-Unternehmen ausgeweitet: vereinfachte Dokumentation, bevorzugter Zugang zu Reallaboren (Regulatory Sandboxes) und verhältnismäßige Bußgelder. Die Bußgelder sind theoretisch hoch (bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes bei verbotenen Praktiken), für KMU gilt jedoch jeweils der niedrigere der beiden Beträge.

Checkliste für Unternehmen, die KI nutzen

1. Bestandsaufnahme machen. Listen Sie alle KI-Werkzeuge und -Funktionen auf, auch KI in Software, die Sie bereits bezahlen. Notieren Sie Zweck, Abteilung und welche Daten hineinfließen.
2. Jede Nutzung einstufen. Minimales Risiko, Transparenzfall oder möglicherweise Hochrisiko (etwa KI, die Bewerbungen vorsortiert)?
3. Verbotene Nutzungen ausschließen. In der Praxis selten, aber prüfen Sie HR- und Überwachungswerkzeuge auf Emotionserkennung von Beschäftigten oder Ähnliches.
4. Transparenz umsetzen. Chatbots auf Ihrer Website oder in Ihrer App müssen sich als KI zu erkennen geben. Kennzeichnen Sie KI-erzeugte Bilder und Videos, wo die Regeln es verlangen.
5. Mitarbeitende schulen. Eine kurze interne Richtlinie und Schulung: welche Werkzeuge mit welchen Daten genutzt werden dürfen und wie Ergebnisse geprüft werden.
6. Mit der DSGVO abstimmen. Der AI Act ersetzt den Datenschutz nicht. Personenbezogene Daten in Prompts und Dokumenten brauchen weiterhin eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag mit dem Anbieter und gegebenenfalls eine Datenschutz-Folgenabschätzung.
7. Verträge klären. Legen Sie bei individueller KI im Vertrag fest, wer Anbieter ist, wer was dokumentiert und wie Protokollierung und menschliche Aufsicht funktionieren.

Checkliste für Unternehmen, die KI-Produkte entwickeln

Verkaufen Sie Software mit KI-Funktionen, sind Sie Anbieter. Zusätzlich zu den Punkten oben:

• Prüfen Sie, ob Ihr Produkt in einen Hochrisiko-Bereich fällt, heute und laut Roadmap.
• Bauen Sie Transparenz ein: Hinweis in der Oberfläche, maschinenlesbare Markierung erzeugter Inhalte.
• Führen Sie technische Dokumentation von Anfang an: Modellwahl, Datenquellen, Evaluierungsergebnisse, bekannte Grenzen.
• Planen Sie Protokollierung und menschliche Aufsicht in die Architektur ein, nicht als Nachtrag.

So gehen wir in Projekten vor

Wenn wir KI-Assistenten, Agenten oder Computer-Vision-Systeme entwickeln, dokumentieren wir Modellwahl, Datenquellen und Evaluierungsergebnisse als Teil der normalen Entwicklungsarbeit, bieten EU-Hosting oder selbst gehostete Modelle an und planen menschliche Aufsicht in den Arbeitsablauf ein. So wird Compliance zum Nebenprodukt guter Softwareentwicklung statt zu einem eigenen Projekt. Mehr dazu in unserem Artikel über RAG-Assistenten über eigene Dokumente und auf unserer Seite zur KI-Entwicklung.

KI-Projekt besprechen