EU AI Act im Mittelstand: Pflichten und Zeitplan für KMU
Der EU AI Act - offiziell Verordnung (EU) 2024/1689 - gilt gestaffelt seit August 2024. Für die meisten kleinen und mittleren Unternehmen ist er weniger dramatisch als befürchtet: Wer KI für E-Mails, Wissenssuche oder Angebotsentwürfe einsetzt, hat überschaubare Pflichten. Aufwendig wird es erst, wenn KI über Menschen entscheidet - etwa bei Bewerbungen oder Kreditwürdigkeit.
Im Juli 2026 hat die EU mit dem Digital-Omnibus zur KI zentrale Fristen verschoben. Dieser Ratgeber ordnet Zeitplan, Stichtage und den Stand Oktober 2026 ein: welche Pflichten im Mittelstand schon gelten, was erst 2027 und 2028 kommt, wie du deinen Anwendungsfall einstufst und was du jetzt konkret tun solltest. Er ersetzt keine Rechtsberatung, gibt dir aber den Überblick für die richtigen Entscheidungen.
DSGVO-KI-Check
Wie sicher ist der KI-Einsatz in deinem Unternehmen? Finde dein Risiko heraus.
Wie nutzt dein Team heute KI?
Der Zeitplan: alle Stichtage im Überblick
Die ursprünglichen Fristen der KI-Verordnung, ergänzt um die Änderungen durch die Verordnung (EU) 2026/1744 (Digital-Omnibus zur KI).
Was der Digital-Omnibus geändert hat
Die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und gilt seit dem 27. Juli 2026. Für den Mittelstand sind vier Änderungen relevant:
- Hochrisiko später: Die Pflichten für Hochrisiko-Systeme nach Anhang III gelten erst ab dem 2. Dezember 2027 statt ab August 2026, für KI in regulierten Produkten nach Anhang I ab dem 2. August 2028.
- KI-Kompetenz entschärft: Artikel 4 verlangt von Anbietern und Betreibern jetzt, Maßnahmen zur Förderung der KI-Kompetenz ihres Personals zu ergreifen. Ein bestimmtes Kompetenzniveau jeder einzelnen Person muss nicht garantiert werden.
- Erleichterungen für KMU: Vereinfachte technische Dokumentation nach einer Vorlage der Kommission, ein Qualitätsmanagement, das sich an der Unternehmensgröße orientiert, und bevorzugter Zugang zu KI-Reallaboren. Auch für kleine Mid-Caps gibt es neue Erleichterungen.
- Unverändert: Die Transparenzpflichten gelten weiterhin seit dem 2. August 2026, die Verbote bleiben in Kraft und wurden sogar erweitert.
Wichtig: Verschoben ist nicht abgeschafft. Wer heute ein System entwickelt, das ab Dezember 2027 als Hochrisiko-System gilt, sollte die Anforderungen schon jetzt in die Architektur einplanen - nachrüsten ist fast immer teurer.
Anbieter oder Betreiber: deine Rolle entscheidet
Die KI-Verordnung unterscheidet vor allem zwei Rollen. Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen auf den Markt oder in Betrieb. Betreiber setzen ein KI-System in eigener Verantwortung beruflich ein.
Die meisten Mittelständler sind Betreiber: Sie nutzen ein Sprachmodell, ein KI-Tool oder eine Anwendung, die eine Agentur für sie gebaut hat. Vorsicht bei individuellen Entwicklungen: Wer ein KI-System unter eigenem Namen in Betrieb nimmt oder ein Hochrisiko-System wesentlich verändert, kann selbst zum Anbieter werden - mit deutlich mehr Pflichten. Kläre diese Rollenverteilung deshalb vertraglich mit deinem Entwicklungspartner, bevor das Projekt startet.
Die vier Risikostufen
Wie streng die Regeln sind, hängt nicht von der Technik ab, sondern vom Einsatzzweck. Ein und dasselbe Sprachmodell kann je nach Anwendung in jeder Stufe landen.
Verbotene Praktiken
Seit Februar 2025 untersagt: unter anderem Social Scoring, manipulative Techniken, die Menschen schaden, und Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen - mit engen Ausnahmen etwa aus medizinischen oder Sicherheitsgründen. Im Mittelstand selten ein Thema, aber bei Mitarbeiter-Analytics ein Prüfpunkt.
Hochrisiko-Systeme
KI in sensiblen Bereichen nach Anhang III, etwa Bewerberauswahl, Entscheidungen über Beförderung oder Kündigung, Kreditwürdigkeitsprüfung von Privatpersonen oder Zugang zu Bildung. Dazu kommen Sicherheitskomponenten regulierter Produkte. Hier gelten ab Dezember 2027 umfangreiche Pflichten.
Transparenzpflichten
Chatbots, Telefonassistenten und Systeme, die Bilder, Audio oder Texte erzeugen. Menschen müssen erkennen können, dass sie mit KI interagieren, Deepfakes müssen offengelegt werden. Gilt seit dem 2. August 2026.
Minimales Risiko
Der Großteil der Anwendungen im Mittelstand: Wissenssuche, Textentwürfe, Dokumentenauswertung, Prozessautomatisierung im Backoffice. Keine besonderen Pflichten aus dem AI Act - die DSGVO gilt trotzdem.
Was heute schon für fast jedes Unternehmen gilt
Auch wenn dein Anwendungsfall im minimalen Risiko liegt, sind zwei Punkte relevant:
KI-Kompetenz (Art. 4): Wer KI-Systeme einsetzt, muss Maßnahmen ergreifen, damit das Personal sie sachkundig nutzt. Praktisch heißt das: eine Nutzungsrichtlinie, eine kurze Schulung zu Möglichkeiten, Grenzen und Risiken der eingesetzten Tools und eine Dokumentation, wer wann geschult wurde. Ein KI-Workshop für die betroffenen Teams deckt das in der Regel ab.
Transparenz (Art. 50): Setzt du einen Chatbot auf der Website, einen KI-Telefonassistenten oder automatisch erzeugte Bilder ein, müssen Betroffene das erkennen können. Die Pflicht zur Gestaltung liegt formal beim Anbieter des Systems; als Betreiber solltest du trotzdem prüfen, dass der Hinweis tatsächlich erscheint. Wie das im Kundenservice aussieht, zeigt der Ratgeber KI-Chatbot im Kundenservice.
Wenn du ein Hochrisiko-System betreibst
Ab dem 2. Dezember 2027 haben Betreiber von Hochrisiko-Systemen nach Anhang III unter anderem diese Pflichten (Art. 26):
- das System gemäß der Betriebsanleitung des Anbieters verwenden,
- eine menschliche Aufsicht durch kompetente, geschulte Personen sicherstellen,
- den Betrieb überwachen und bei Risiken oder schwerwiegenden Vorfällen Anbieter und Behörden informieren,
- automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren, soweit sie unter deiner Kontrolle stehen,
- Beschäftigte und ihre Vertretung informieren, bevor ein solches System am Arbeitsplatz eingesetzt wird,
- Eingabedaten auf Relevanz prüfen, soweit du sie kontrollierst.
Anbieter tragen die schwerere Last: Risikomanagement, technische Dokumentation, Datenqualität, Konformitätsbewertung und Registrierung in der EU-Datenbank. Ausnahme: Ein System aus Anhang III gilt nicht als hochriskant, wenn es kein erhebliches Risiko birgt, etwa weil es nur eine eng begrenzte Verfahrensaufgabe erledigt. Diese Einstufung muss der Anbieter dokumentieren und das System trotzdem registrieren.
Wo steht dein Anwendungsfall?
Drei Fragen bringen dich in den meisten Fällen schnell zur richtigen Einordnung.
Entscheidet die KI über Menschen?
Sprechen Menschen direkt mit der KI?
Arbeitet die KI nur intern im Hintergrund?
Checkliste für KMU
- Erstelle ein KI-Inventar: welche Tools und Systeme im Unternehmen genutzt werden, auch die inoffiziellen.
- Ordne jedem Eintrag deine Rolle (Anbieter oder Betreiber) und eine Risikostufe zu.
- Prüfe, ob irgendwo verbotene Praktiken berührt sind, etwa Emotionserkennung bei Mitarbeitenden.
- Setze eine Nutzungsrichtlinie auf und dokumentiere die Schulungen zur KI-Kompetenz.
- Stelle sicher, dass Chatbots und Telefonassistenten sich als KI zu erkennen geben.
- Kennzeichne KI-generierte Bilder, Audio- und Videoinhalte, die du veröffentlichst.
- Kläre bei Individualentwicklungen vertraglich, wer Anbieter im Sinne der Verordnung ist.
- Plane für mögliche Hochrisiko-Anwendungen die Anforderungen ab Dezember 2027 schon jetzt ein.
- Verzahne die Dokumentation mit dem Datenschutz - Details im Ratgeber KI DSGVO-konform nutzen.
- Lege fest, wer im Unternehmen für das Thema verantwortlich ist und das Inventar aktuell hält.
Bußgelder und Aufsicht in Deutschland
Die Verordnung sieht empfindliche Bußgelder vor: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Millionen Euro oder 3 Prozent für Verstöße gegen andere Pflichten. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Werte - das schützt vor existenzbedrohenden Summen, aber nicht vor spürbaren.
In Deutschland regelt seit dem 29. Juli 2026 das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) die Durchführung. Zentrale Marktüberwachungsbehörde ist die Bundesnetzagentur; sie soll auch Informations- und Schulungsangebote machen und ein KI-Reallabor betreiben, zu dem KMU und Start-ups bevorzugt Zugang erhalten.
Unser Rat: Panik ist unnötig, Ignorieren teuer. Wer ohnehin strukturiert vorgeht, wie im Leitfaden KI im Mittelstand einführen beschrieben, erfüllt die meisten Anforderungen nebenbei.
Verschoben ist nicht abgeschafft - wer jetzt sauber baut, muss später nicht umbauen.
Häufige Fragen zum EU AI Act
Gilt der EU AI Act auch für kleine Unternehmen?
Ja. Die Verordnung gilt unabhängig von der Unternehmensgröße für alle, die KI-Systeme in der EU anbieten oder beruflich einsetzen. Für kleine und mittlere Unternehmen gibt es aber Erleichterungen, etwa vereinfachte technische Dokumentation, ein größenangemessenes Qualitätsmanagement, bevorzugten Zugang zu Reallaboren und bei Bußgeldern jeweils den niedrigeren Höchstbetrag.
Wurden die Fristen des AI Act verschoben?
Teilweise. Mit dem Digital-Omnibus zur KI, Verordnung (EU) 2026/1744, gelten die Pflichten für Hochrisiko-Systeme nach Anhang III erst ab dem 2. Dezember 2027 und für KI in regulierten Produkten nach Anhang I ab dem 2. August 2028. Verbote, KI-Kompetenz und Transparenzpflichten wurden nicht verschoben.
Muss ich meine Mitarbeitenden zum AI Act schulen?
Wer KI-Systeme einsetzt, muss Maßnahmen ergreifen, um die KI-Kompetenz des Personals zu fördern. Seit der Neufassung durch den Digital-Omnibus muss kein bestimmtes Niveau je Person mehr garantiert werden, Maßnahmen wie Nutzungsrichtlinie und Schulung sollten aber vorhanden und dokumentiert sein.
Ist ein Chatbot auf der Website ein Hochrisiko-System?
In aller Regel nicht. Ein Chatbot für Produktfragen oder Terminvereinbarungen unterliegt den Transparenzpflichten: Nutzer müssen erkennen können, dass sie mit einer KI sprechen. Hochrisiko wird es erst, wenn das System über Menschen entscheidet, etwa über Kredite oder Bewerbungen.
Wer überwacht den AI Act in Deutschland?
Seit dem 29. Juli 2026 regelt das KI-Marktüberwachungs- und Innovationsförderungsgesetz die Durchführung. Zentrale Marktüberwachungsbehörde ist die Bundesnetzagentur. Für bestimmte regulierte Produktbereiche bleiben die dort zuständigen Fachbehörden verantwortlich.
Bin ich Anbieter, wenn eine Agentur mein KI-System entwickelt?
Das kann sein. Anbieter ist, wer ein KI-System entwickeln lässt und es unter eigenem Namen in Betrieb nimmt oder auf den Markt bringt. Bei individuellen Entwicklungen sollte die Rollenverteilung deshalb vertraglich geklärt werden. Für Anwendungen mit minimalem Risiko hat die Rolle kaum praktische Folgen, bei Hochrisiko-Systemen sehr wohl.