EU AI Act für KMU: Was jetzt gilt und was erst 2027 kommt
KI-Kompetenz, Transparenz, Hochrisiko: Welche Regeln mittelständische Unternehmen heute schon betreffen, was der Digital Omnibus verschoben hat und wo man sinnvoll anfängt.
Für die meisten mittelständischen Unternehmen gelten aus dem EU AI Act heute vor allem zwei Dinge: Sie müssen die KI-Kompetenz ihrer Beschäftigten fördern, und sie müssen offenlegen, wenn Menschen mit einer KI interagieren oder KI-generierte Inhalte erhalten. Die umfangreichen Pflichten für Hochrisiko-Systeme wurden durch den Digital Omnibus auf Dezember 2027 beziehungsweise August 2028 verschoben. Wer KI heute sauber dokumentiert und kontrolliert einsetzt, ist für die meisten Anwendungsfälle gut aufgestellt.
Der AI Act in einem Satz
Der EU AI Act regelt KI nach Risiko: Je größer die möglichen Folgen eines KI-Systems für Menschen, desto strenger die Anforderungen. Die meisten Anwendungen im Unternehmensalltag, etwa Textassistenten, Dokumentenauswertung oder Zusammenfassungen, fallen in die Kategorien mit geringem oder begrenztem Risiko.
Die Risikoklassen im Überblick
| Risikoklasse | Beispiele | Was gilt |
|---|---|---|
| Verboten | Social Scoring, manipulative Techniken, bestimmte biometrische Überwachung | Seit Februar 2025 untersagt |
| Hochrisiko | KI in Recruiting, Kreditvergabe, Bildung, kritischer Infrastruktur | Umfangreiche Pflichten, verschoben auf Dez. 2027 bzw. Aug. 2028 |
| Begrenztes Risiko | Chatbots, KI-generierte Texte und Bilder | Transparenzpflichten seit August 2026 |
| Minimales Risiko | Spamfilter, interne Textassistenten, Dokumentenzuordnung | Keine besonderen Pflichten außer KI-Kompetenz |
Was heute bereits gilt
Verbotene Praktiken seit Februar 2025
Seit dem 2. Februar 2025 sind bestimmte KI-Praktiken verboten, darunter Social Scoring und Systeme, die Menschen unterschwellig manipulieren. Für typische Mittelstandsanwendungen spielt das selten eine Rolle, sollte aber einmal geprüft werden. Der Digital Omnibus ergänzt weitere Verbote, die ab Dezember 2026 gelten.
KI-Kompetenz nach Artikel 4
Ebenfalls seit Februar 2025 müssen Unternehmen, die KI-Systeme anbieten oder einsetzen, für die KI-Kompetenz ihrer Beschäftigten sorgen. Der Digital Omnibus hat die Formulierung abgeschwächt: Statt ein ausreichendes Kompetenzniveau sicherzustellen, müssen Unternehmen nun Maßnahmen zur Förderung der KI-Kompetenz ergreifen. Die Pflicht besteht aber weiter, und zwar unabhängig von der Unternehmensgröße. Mehr dazu in unserem Artikel zur KI-Schulungspflicht nach Art. 4.
Pflichten für Anbieter großer KI-Modelle seit August 2025
Für Anbieter sogenannter General Purpose AI, also große Sprachmodelle wie GPT, Claude, Gemini oder Mistral, gelten seit August 2025 eigene Pflichten. Diese treffen die Modellhersteller, nicht die Unternehmen, die solche Modelle nutzen.
Transparenzpflichten seit August 2026
Seit dem 2. August 2026 müssen Menschen grundsätzlich erkennen können, dass sie mit einem KI-System interagieren, etwa bei einem Chatbot auf der Website. Für die Kennzeichnung synthetischer Inhalte gibt es eine Übergangsfrist bis Dezember 2026 für Systeme, die bereits vorher auf dem Markt waren.
Was der Digital Omnibus verschoben hat
Die wichtigste Änderung für Unternehmen betrifft die Hochrisiko-Systeme. Ihre Pflichten sollten ursprünglich ab August 2026 greifen. Nach dem Digital Omnibus gilt:
- Hochrisiko-Systeme nach Anhang III, etwa in Recruiting, Kreditvergabe oder Bildung: ab 2. Dezember 2027.
- Hochrisiko-Systeme nach Anhang I, also KI in bereits regulierten Produkten wie Maschinen oder Medizinprodukten: ab 2. August 2028.
Außerdem wurden Erleichterungen, die bisher nur für KMU galten, auf sogenannte Small Mid-Caps ausgeweitet, also Unternehmen mit weniger als 750 Beschäftigten und höchstens 150 Millionen Euro Umsatz.
Wie Unternehmen den AI Act einschätzen
Laut Bitkom sehen sich 2026 37 Prozent der Unternehmen vom AI Act betroffen, und zwei Drittel erwarten eher Nachteile als Vorteile. Gleichzeitig schult ein Viertel der Unternehmen seine Beschäftigten überhaupt nicht zum Umgang mit KI. Rechtliche Unsicherheit ist nach dem Datenschutz das zweitgrößte Hemmnis beim KI-Einsatz.
Diese Unsicherheit ist verständlich, aber oft größer als die tatsächliche Pflichtenlage. Für die meisten Anwendungsfälle lässt sich mit überschaubarem Aufwand Klarheit schaffen.
Fünf Schritte, die jetzt sinnvoll sind
- KI-Inventar anlegen: Welche KI-Werkzeuge werden im Unternehmen genutzt, offiziell und inoffiziell? Wofür, von wem, mit welchen Daten?
- Risikoklasse je Anwendungsfall bestimmen: Die meisten Fälle sind minimal oder begrenzt. Fälle mit Personalbezug oder Auswirkung auf Kreditwürdigkeit genauer prüfen.
- KI-Kompetenz fördern: Schulungen, die zu den tatsächlich genutzten Werkzeugen passen, plus eine verständliche KI-Richtlinie. Teilnahme dokumentieren.
- Transparenz herstellen: Chatbots und KI-generierte Inhalte gegenüber Kunden kennzeichnen.
- Kontrolle technisch verankern: Protokollierung, Rechte und menschliche Freigaben bei kritischen Aktionen. Ein AI-Gateway bündelt das an einer Stelle.
Häufige Fragen
Gilt der AI Act auch für kleine Unternehmen?
Ja. Der AI Act gilt unabhängig von der Unternehmensgröße für alle, die KI-Systeme in der EU anbieten oder einsetzen. KMU und Small Mid-Caps erhalten aber Erleichterungen, etwa bei Dokumentationspflichten und Bußgeldern. Für die meisten KMU sind KI-Kompetenz und Transparenz die relevanten Pflichten.
Ist die Nutzung von ChatGPT im Unternehmen nach dem AI Act erlaubt?
Ja. Die Nutzung eines allgemeinen KI-Assistenten für Texte, Recherche oder Zusammenfassungen ist kein Hochrisiko-Einsatz. Es gilt die Pflicht zur Förderung der KI-Kompetenz. Davon unabhängig müssen die Anforderungen der DSGVO erfüllt werden, wenn personenbezogene Daten verarbeitet werden.
Welche Strafen drohen bei Verstößen?
Der AI Act sieht gestaffelte Bußgelder vor, die für verbotene Praktiken am höchsten sind. Für KMU gelten jeweils die niedrigeren Obergrenzen. Für die Durchsetzung sind nationale Aufsichtsbehörden zuständig, in Deutschland ist dafür die Bundesnetzagentur vorgesehen.
Muss ich einen KI-Beauftragten ernennen?
Der AI Act schreibt keinen KI-Beauftragten vor. Es ist aber sinnvoll, Verantwortlichkeiten klar zu regeln: Wer gibt neue KI-Werkzeuge frei, wer pflegt das Inventar, wer ist Ansprechpartner für Fragen aus dem Team?