Der EU AI Act ist die weltweit erste umfassende Regulierung für künstliche Intelligenz – und ein weit verbreiteter Irrtum ist, dass sie nur große Tech-Konzerne betrifft. Tatsächlich gilt sie auch für kleine und mittlere Unternehmen, die KI schlicht einsetzen: das Handwerksunternehmen mit KI-gestützter Angebotserstellung, die Personalabteilung mit einem KI-Bewerbungstool, das Büro, das ChatGPT für Kundenkorrespondenz nutzt. Dieser Artikel erklärt verständlich, was der AI Act ist, welche Pflichten wann greifen und was Sie als Mittelständler konkret tun sollten – ohne Panikmache, aber mit klarem Fahrplan.
⚠️ Wichtig: Dieser Beitrag ist eine praxisorientierte Einordnung und keine Rechtsberatung. Für die verbindliche Bewertung Ihrer konkreten KI-Anwendungen ziehen Sie im Zweifel juristischen Rat hinzu. Wir unterstützen Sie bei der technischen und organisatorischen Umsetzung.
Was ist der EU AI Act?
Der AI Act (Verordnung (EU) 2024/1689) ist eine EU-Verordnung, die seit August 2024 in Kraft ist und den Einsatz von KI-Systemen in der Europäischen Union reguliert. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten – ohne dass Deutschland ein eigenes Gesetz erlassen muss. Das Grundprinzip ist ein risikobasierter Ansatz: Je höher das Risiko eines KI-Systems für Menschen und Grundrechte, desto strenger die Anforderungen.
Entscheidend für KMU ist die Rolle, die Sie einnehmen. Die meisten Unternehmen sind nicht Anbieter (die KI entwickeln), sondern Betreiber – also Anwender, die fertige KI-Systeme im beruflichen Kontext einsetzen. Auch für Betreiber gelten Pflichten, wenn auch weniger umfangreiche als für Anbieter.
Die vier Risikoklassen
Das Herzstück des AI Act sind vier Risikostufen. Für jedes KI-System, das Sie einsetzen, sollten Sie wissen, in welche Klasse es fällt – daraus ergeben sich Ihre Pflichten.
| Risikoklasse | Bedeutung | Beispiele | Folge |
|---|---|---|---|
| Unannehmbares Risiko | verboten | Social Scoring, manipulatives Verhaltenstracking, bestimmte biometrische Überwachung | komplett untersagt |
| Hohes Risiko | streng reguliert | KI in Personalauswahl, Kreditwürdigkeit, kritischer Infrastruktur | umfangreiche Pflichten |
| Begrenztes Risiko | Transparenzpflicht | Chatbots, KI-generierte Inhalte, Deepfakes | Kennzeichnungspflicht |
| Minimales Risiko | frei | Spamfilter, KI in Videospielen, einfache Assistenzfunktionen | keine besonderen Pflichten |
Die gute Nachricht: Die überwiegende Zahl der KI-Anwendungen im Mittelstand fällt unter minimales oder begrenztes Risiko. Der Einsatz von ChatGPT für Textentwürfe, einer KI-Bildgenerierung oder eines Kundenservice-Chatbots ist nicht verboten – er löst „nur" Transparenz- und Kompetenzpflichten aus. Kritisch wird es dort, wo KI über Menschen entscheidet: bei Bewerbungen, Bonität oder Zugang zu wichtigen Leistungen.
Der Zeitplan: Was gilt ab wann?
Der AI Act tritt nicht auf einen Schlag in Kraft, sondern in Stufen. Diese Termine sollten Sie kennen:
Seit Februar 2025
Die Verbote für KI mit unannehmbarem Risiko gelten. Außerdem greift die Pflicht zur KI-Kompetenz: Unternehmen müssen sicherstellen, dass Mitarbeitende, die KI einsetzen, über ausreichendes Wissen dazu verfügen.
Seit August 2025
Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (etwa große Sprachmodelle) und die Governance- und Sanktionsregeln greifen.
Ab August 2026
Der Großteil der Pflichten für Hochrisiko-KI-Systeme wird wirksam – der zentrale Meilenstein für Unternehmen, die solche Systeme einsetzen.
Ab August 2027
Die Pflichten für Hochrisiko-KI, die in regulierte Produkte eingebettet ist, greifen. Damit ist der AI Act vollständig anwendbar.
Die wichtigste Pflicht schon heute: KI-Kompetenz
Eine Pflicht wird gern übersehen, gilt aber bereits: die KI-Kompetenz (AI Literacy). Der AI Act verlangt, dass Unternehmen dafür sorgen, dass ihre Mitarbeitenden, die mit KI-Systemen arbeiten, ein angemessenes Verständnis dafür haben – also wissen, was das Tool kann, wo seine Grenzen liegen und welche Risiken es birgt.
Das bedeutet nicht, dass jeder Mitarbeiter Data Scientist werden muss. Es geht um ein grundlegendes, rollengerechtes Verständnis: Wer ein KI-Tool im Kundenkontakt nutzt, sollte wissen, dass die Ausgaben fehlerhaft sein können (Stichwort Halluzinationen), dass keine vertraulichen Daten unbedacht eingegeben werden dürfen und dass die Verantwortung für das Ergebnis beim Menschen bleibt.
Eine kurze, dokumentierte Schulung für alle Mitarbeitenden, die KI einsetzen, erfüllt die Kompetenzpflicht und schützt gleichzeitig vor teuren Fehlern – etwa der versehentlichen Eingabe von Betriebsgeheimnissen oder personenbezogenen Daten in ein öffentliches KI-Tool.
Transparenzpflichten: Wenn KI mit Menschen interagiert
Fällt Ihre KI-Anwendung unter „begrenztes Risiko" – was auf viele Chatbots und generative Tools zutrifft – gelten Transparenzpflichten. Der Grundsatz: Menschen sollen wissen, wenn sie es mit einer KI zu tun haben oder wenn Inhalte künstlich erzeugt wurden.
- Chatbots müssen erkennbar machen, dass der Nutzer mit einer KI kommuniziert und nicht mit einem Menschen
- KI-generierte oder -bearbeitete Bilder, Audio- und Videoinhalte (Deepfakes) müssen als solche gekennzeichnet werden
- KI-generierte Texte, die die Öffentlichkeit informieren sollen, sind unter bestimmten Bedingungen kennzeichnungspflichtig
- Die Kennzeichnung muss klar, verständlich und für den Nutzer wahrnehmbar sein
Vorsicht bei Hochrisiko: KI, die über Menschen entscheidet
Richtig aufwendig wird es bei Hochrisiko-Systemen. Auch KMU können betroffen sein – besonders im Personalbereich. Ein KI-Tool, das Bewerbungen vorsortiert oder Kandidaten bewertet, gilt als Hochrisiko-Anwendung. Wer so etwas einsetzt, übernimmt als Betreiber konkrete Pflichten:
Menschliche Aufsicht
Ein Mensch muss die KI-Entscheidungen überwachen und im Zweifel eingreifen können. Keine vollautomatische Entscheidung über Menschen ohne Kontrolle.
Betrieb nach Vorgaben
Das System ist gemäß der Anbieter-Anleitung zu betreiben; die vorgesehenen Rahmenbedingungen dürfen nicht ignoriert werden.
Protokollierung
Relevante Vorgänge müssen dokumentiert werden, damit Entscheidungen nachvollziehbar bleiben.
Informationspflichten
Betroffene Personen müssen unter Umständen darüber informiert werden, dass eine Hochrisiko-KI eingesetzt wird.
⚠️ Wichtig: Setzen Sie KI im Bewerbungsprozess, bei der Bonitätsprüfung oder bei ähnlich weitreichenden Entscheidungen ein, prüfen Sie unbedingt, ob es sich um ein Hochrisiko-System handelt. Hier drohen die höchsten Bußgelder – und der Reputationsschaden bei diskriminierenden Entscheidungen wiegt oft noch schwerer.
Was passiert bei Verstößen?
Der AI Act sieht empfindliche Bußgelder vor, gestaffelt nach Schwere des Verstoßes. Für den Einsatz verbotener KI-Praktiken drohen Strafen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Verstöße gegen andere Pflichten (etwa bei Hochrisiko-Systemen) können mit bis zu 15 Millionen Euro oder 3 % des Umsatzes geahndet werden. Für KMU sieht die Verordnung eine gewisse Verhältnismäßigkeit vor – dennoch sollte niemand die Vorgaben auf die leichte Schulter nehmen.
Ihr Fahrplan: In fünf Schritten AI-Act-fit
KI-Inventar erstellen
Listen Sie alle KI-Systeme auf, die in Ihrem Unternehmen eingesetzt werden – auch die inoffiziellen, die einzelne Mitarbeiter nutzen. Man kann nur schützen, was man kennt.
Risiko einordnen
Ordnen Sie jedes System einer Risikoklasse zu. Besonderes Augenmerk auf alles, was Entscheidungen über Menschen trifft.
KI-Kompetenz sicherstellen
Schulen Sie die Mitarbeitenden, die KI nutzen, und dokumentieren Sie das. Diese Pflicht gilt bereits.
Transparenz herstellen
Kennzeichnen Sie Chatbots und KI-generierte Inhalte dort, wo es erforderlich ist.
Regeln und Verantwortlichkeiten festlegen
Eine interne KI-Richtlinie klärt, welche Tools erlaubt sind, welche Daten eingegeben werden dürfen und wer verantwortlich ist. Das schützt vor Datenschutzpannen und schafft Klarheit.
AI-Act-Checkliste für Ihr Unternehmen
- Wir wissen, welche KI-Systeme im Unternehmen eingesetzt werden (KI-Inventar)
- Jedes System ist einer Risikoklasse zugeordnet
- Wir setzen keine verbotenen KI-Praktiken ein
- Mitarbeitende, die KI nutzen, sind geschult (KI-Kompetenz) und das ist dokumentiert
- Chatbots und KI-generierte Inhalte sind gekennzeichnet, wo nötig
- Bei Hochrisiko-Anwendungen (z. B. im Personalbereich) ist menschliche Aufsicht sichergestellt
- Es gibt eine interne KI-Richtlinie zum sicheren Umgang mit KI-Tools
- Keine vertraulichen oder personenbezogenen Daten gelangen unkontrolliert in öffentliche KI-Dienste
Fazit: Kein Grund zur Panik, aber zum Handeln
Der EU AI Act ist keine Bedrohung für den Mittelstand, sondern ein Ordnungsrahmen – und für die meisten KMU deutlich weniger dramatisch, als die Schlagzeilen vermuten lassen. Wer KI verantwortungsvoll einsetzt, sie kennzeichnet, wo nötig, seine Mitarbeitenden schult und die Finger von den wenigen verbotenen Praktiken lässt, ist bereits auf einem guten Weg. Kritisch – und dringend zu prüfen – wird es nur dort, wo KI weitreichende Entscheidungen über Menschen trifft.
Der beste erste Schritt ist immer die Bestandsaufnahme: Welche KI setzen wir eigentlich ein, und in welche Risikoklasse fällt sie? Daraus ergibt sich fast automatisch, was zu tun ist. Als IT-Partner in Südbaden begleiten wir Sie dabei – vom KI-Inventar über die interne KI-Richtlinie bis zur Schulung Ihrer Mitarbeitenden, damit Sie KI rechtssicher und mit gutem Gewissen nutzen.
Der AI Act bestraft nicht den Einsatz von KI, sondern den unbedachten. Wer weiß, was er einsetzt und warum, hat das Wesentliche schon erledigt.