EU AI Act für den Mittelstand: Pflichten und Fristen

Was ist der EU AI Act – kurz erklärt

Der EU AI Act (Verordnung 2024/1689) ist die erste umfassende KI-Regulierung weltweit. Er trat im August 2024 in Kraft und gilt schrittweise. Für KMU sind drei Bausteine relevant:

1. Verbotene KI-Praktiken (seit Februar 2025)
2. KI-Kompetenz-Pflicht für alle Anwender (seit Februar 2025)
3. Pflichten für Hochrisiko-KI (ab August 2026)

Risikoklassen verstehen

| Klasse | Beispiele | Pflichten |

|---|---|---|

| Verboten | Social Scoring, manipulative Systeme | Vollständiges Verbot |

| Hochrisiko | HR-Screening, Kredit-Scoring, biometrische ID, kritische Infrastruktur | Risikomanagement, Daten-Governance, Transparenz, menschliche Aufsicht |

| Begrenztes Risiko | Chatbots, Deepfakes, Emotionserkennung | Transparenzpflicht („Sie sprechen mit einer KI") |

| Minimales Risiko | Spam-Filter, Empfehlungs-Systeme | Keine speziellen Pflichten |

Die meisten KMU-Use-Cases (Chatbot, Texterstellung, Lead-Scoring im B2B) fallen in begrenztes oder minimales Risiko. Vorsicht bei HR- und Kredit-Use-Cases – die werden schnell Hochrisiko.

KI-Kompetenz-Pflicht (Art. 4) – gilt seit Februar 2025

Jedes Unternehmen, das KI einsetzt, muss sicherstellen, dass die betroffenen Mitarbeiter angemessene KI-Kompetenz besitzen. Das gilt auch, wenn Sie „nur" ChatGPT oder Microsoft Copilot nutzen.

Praktisch bedeutet das: Dokumentierte Schulungen, klare Nutzungsrichtlinien, regelmäßige Auffrischung. Details im [KI-Schulungs-Leitfaden](/blog/ki-schulung-mitarbeiter-kmu).

Was Sie konkret tun müssen – die 7-Punkte-Checkliste

1. Inventarisierung: Welche KI-Systeme werden im Unternehmen eingesetzt? Auch ChatGPT-Accounts der Mitarbeiter zählen.
2. Risiko-Klassifikation: Pro System einordnen (verboten / hoch / begrenzt / minimal).
3. Kompetenz-Nachweis: Schulungsplan für alle betroffenen Mitarbeiter, dokumentiert.
4. Nutzungsrichtlinie: Welche Daten dürfen in welches System? Verbindliche Policy.
5. Transparenz: Bei Kundenkontakt (Chatbots etc.) Hinweis auf KI-Nutzung.
6. Lieferanten-Pflicht: Vertragsklauseln mit KI-Anbietern, dass AI-Act-Anforderungen eingehalten werden.
7. Reviewzyklus: Jährliche Prüfung neuer Use Cases und Risiko-Reklassifikation.

Sanktionen

Bei Verstößen drohen Bußgelder:

• Bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes (bei verbotener KI)
• Bis 15 Mio. € oder 3 % (bei Hochrisiko-Verstößen)
• Bis 7,5 Mio. € oder 1 % (bei Falschangaben)

Mittelstand-Regelung: Für KMU gelten in der Regel die niedrigeren Beträge – schmerzhaft genug.

Zusammenspiel mit DSGVO

Der AI Act ersetzt nicht die DSGVO – er ergänzt sie. Praktisch heißt das: Sie brauchen weiterhin AVV nach Art. 28 DSGVO, Datenschutz-Folgenabschätzung bei automatisierten Entscheidungen (Art. 35) und Transparenzpflichten nach Art. 13/14.

Detail-Checkliste in unserem [DSGVO-Leitfaden für KI-Projekte](/blog/dsgvo-ki-projekte-checkliste).

Realistischer Umsetzungsaufwand

Für ein typisches mittelständisches Unternehmen (50–250 Mitarbeiter) liegt der Einmal-Aufwand bei 3–10 Beratertagen plus interner Koordinationszeit. Laufend rechnen Sie mit 0,5–1 Personentag pro Monat für Pflege.

Wer einen kuratierten [KI-Marktplatz](/ki-marktplatz) nutzt, profitiert davon, dass Anbieter dort bereits DSGVO- und AI-Act-Anforderungen vor Listung nachweisen müssen.

Fazit

Der EU AI Act ist 2026 keine optionale Hausaufgabe mehr. Für KMU bleibt der Aufwand überschaubar – wenn man strukturiert vorgeht: Inventarisierung, Klassifikation, Schulung, Policy. Wer wartet, bis die ersten Bußgeldverfahren kommen, riskiert teure Nachläufe.