EU AI Act: Was bis 2027 wirklich Pflicht ist

Worum es geht — und worum nicht

Der EU AI Act ist seit August 2024 in Kraft und reguliert KI-Systeme nach ihrem Risiko: Je größer das Schadenspotenzial einer Anwendung für Menschen, desto strenger die Auflagen. Das ist die zentrale Logik — und sie ist für den Mittelstand eine gute Nachricht. Denn die allermeisten KI-Anwendungen in KMU, von der Textunterstützung über die Service-Dokumentation bis zur Rechnungsprüfung, fallen in die niedrigste Risikoklasse mit minimalen Pflichten.

Trotzdem wäre es falsch, das Thema zu ignorieren. Einzelne Pflichten gelten ausdrücklich für jedes Unternehmen, das KI einsetzt — unabhängig von Größe und Branche. Und wer als Geschäftsführer auf die Frage eines Kunden, eines Betriebsrats oder eines Auditors nach dem KI-Einsatz im Haus keine Antwort hat, hat ein Problem, das mit Bußgeldern noch gar nichts zu tun hat.

Wichtig für die Einordnung: Der AI Act unterscheidet zwischen Anbietern, die KI-Systeme entwickeln und auf den Markt bringen, und Betreibern, die sie lediglich nutzen. Als typischer Mittelständler sind Sie Betreiber — und für Betreiber ist der Pflichtenkatalog deutlich kürzer, als die Schlagzeilen vermuten lassen.

Der Zeitplan: Was wann gilt

Der AI Act tritt nicht auf einen Schlag in Kraft, sondern in Stufen über mehrere Jahre. Für Ihre Planung sind vier Daten relevant:

• Seit 2. Februar 2025: Verbotene Praktiken (z. B. Social Scoring, manipulative Systeme) sind untersagt — und die Pflicht zur KI-Kompetenz gilt: Wer KI einsetzt, muss sein Personal angemessen schulen (Art. 4).
• Seit 2. August 2025: Pflichten für Anbieter von Allzweck-KI-Modellen (GPAI) wie OpenAI, Google oder Anthropic — das betrifft Sie als Anwender nicht direkt, sorgt aber für mehr Transparenz bei Ihren Werkzeugen.
• Ab 2. August 2026: Die Verordnung gilt weitgehend vollständig — inklusive Transparenzpflichten (KI-Chatbots und KI-generierte Inhalte müssen erkennbar sein) und der Pflichten für Hochrisiko-Systeme nach Anhang III.
• Ab 2. August 2027: Verlängerte Übergangsfrist für Hochrisiko-KI, die in regulierten Produkten steckt (etwa Maschinen oder Medizinprodukte) — relevant vor allem für produzierende Unternehmen mit eigener Produktentwicklung.

Die vier Risikoklassen — und wo Sie vermutlich stehen

Die Verordnung sortiert KI-Systeme in vier Stufen: verbotene Praktiken, Hochrisiko-Systeme, Systeme mit Transparenzpflichten und minimales Risiko. Verbotene Praktiken — etwa Systeme zur emotionalen Manipulation oder zum Social Scoring — spielen im seriösen Geschäftsalltag keine Rolle. Die spannende Trennlinie für den Mittelstand verläuft zwischen Hochrisiko und dem großen Rest.

Hochrisiko wird es immer dann, wenn KI über Menschen entscheidet oder wesentlich mitentscheidet: bei der Vorauswahl von Bewerbungen, bei Beförderungen und Kündigungen, bei Kreditwürdigkeitsprüfungen. Wer KI in solchen Prozessen einsetzt, muss ab August 2026 mit echten Auflagen rechnen — menschliche Aufsicht, Dokumentation, Protokollierung. Unsere klare Empfehlung: Lassen Sie KI in Personalentscheidungen vorerst nur assistieren, niemals entscheiden.

Die typischen Produktivitäts-Use-Cases dagegen — Angebote formulieren, Service-Berichte strukturieren, Rechnungen vorprüfen, Texte übersetzen — sind minimales oder begrenztes Risiko. Hier verlangt der AI Act im Kern nur, dass Menschen wissen, wann sie es mit KI zu tun haben, und dass Ihr Team kompetent damit umgeht.

Was Sie als Betreiber konkret tun müssen

Aus dem Gesetzestext destilliert bleibt für die meisten Mittelständler eine überschaubare Liste. Wer diese fünf Punkte sauber abarbeitet, hat den AI Act für den Normalbetrieb im Griff:

„Die Schulungspflicht gilt seit Februar 2025 für jedes Unternehmen, das KI einsetzt — unabhängig von der Größe.“

• KI-Inventur anlegen: Welche KI-Werkzeuge sind im Einsatz, wofür, mit welchen Daten? Ohne diese Übersicht ist keine der weiteren Pflichten erfüllbar.
• Schulungen durchführen und dokumentieren: Die KI-Kompetenz-Pflicht gilt bereits — ein Nachweis über Inhalte und Teilnehmer gehört in die Ablage.
• Transparenz herstellen: Chatbots als solche kennzeichnen, KI-generierte Bilder und Texte mit Außenwirkung erkennbar machen — spätestens ab August 2026.
• Datenschutz mitdenken: Der AI Act ersetzt die DSGVO nicht. Auftragsverarbeitungsverträge mit KI-Anbietern und klare Regeln für personenbezogene Daten bleiben Pflicht.
• Interne KI-Richtlinie aufsetzen: Ein bis zwei Seiten genügen — welche Tools sind freigegeben, was darf hinein, wer prüft Ergebnisse, an wen gehen Fragen.

Bußgelder: real, aber kein Grund zur Panik

Die Bußgeldrahmen klingen dramatisch: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Millionen Euro oder 3 Prozent für Verstöße gegen andere Pflichten. Für KMU sieht die Verordnung allerdings ausdrücklich vor, dass der jeweils niedrigere Betrag gilt — und dass die Aufsicht die wirtschaftliche Lage kleiner Unternehmen berücksichtigt.

Realistisch betrachtet ist das Bußgeldrisiko für einen Mittelständler mit normalen Produktivitäts-Use-Cases gering. Das größere Risiko ist ein anderes: Lieferketten. Immer mehr Konzerne fragen ihre Zulieferer bereits heute nach KI-Governance ab — wer dann eine Inventur, eine Richtlinie und Schulungsnachweise vorlegen kann, hat einen handfesten Wettbewerbsvorteil gegenüber dem Mitbewerber, der erst anfangen muss zu suchen.

Fazit: Mit drei Maßnahmen sind Sie auf der sicheren Seite

Der EU AI Act ist für den Mittelstand kein Verhinderungsgesetz, sondern eine Hausaufgabenliste — und keine besonders lange. Mit einer KI-Inventur, dokumentierten Schulungen und sauberer Kennzeichnung haben Sie rund 90 Prozent der Betreiberpflichten erledigt. Den Rest erledigt die Auswahl seriöser, europäischer Plattformen, die ihre Anbieterpflichten selbst erfüllen.

Unser Rat: Erledigen Sie diese Hausaufgaben jetzt, solange der Aufwand klein ist — und nutzen Sie die gewonnene Klarheit gleich doppelt. Denn dieselbe Inventur, die der AI Act verlangt, ist auch die beste Grundlage für die Frage, wo KI in Ihrem Unternehmen den größten Nutzen stiftet.