EU AI Act: Pflichten für den Mittelstand

62 % (Destatis, 2025) der Unternehmen ohne KI-Einsatz nennen Unklarheit über rechtliche Folgen als Grund. Ein Teil dieser Unsicherheit geht auf die KI-Verordnung zurück, die oft als Hochrisiko-Regelwerk wahrgenommen wird. Für den typischen Mittelstandsbetrieb ist sie in der Praxis überschaubar — wenn man weiß, in welcher Rolle man handelt und in welche Klasse das eigene System fällt. Dieser Text ordnet das ein; er ist keine Rechtsberatung.

Was regelt die KI-Verordnung?

Die KI-Verordnung ist ein Produktsicherheitsgesetz für KI-Systeme: Sie verbietet bestimmte Praktiken, stellt strenge Anforderungen an Hochrisiko-Systeme, verlangt Transparenz bei Systemen mit Menschenkontakt und legt Pflichten für Anbieter großer Basismodelle fest. Sie gilt unmittelbar in allen Mitgliedstaaten, ohne nationales Umsetzungsgesetz. Zwei Rollen sind entscheidend: der Anbieter, der ein System entwickelt oder unter eigenem Namen in Verkehr bringt, und der Betreiber, der es in eigener Verantwortung einsetzt. Ein Mittelständler, der einen KI-Assistenten oder eine Dokumentenlösung einkauft, ist fast immer Betreiber — und hat damit weniger, aber nicht keine Pflichten.

Welche Risikoklassen gibt es?

Vier Stufen, von denen für die meisten Mittelständler nur die unteren beiden relevant sind. Verbotene Praktiken (Kapitel II) umfassen etwa Social Scoring oder manipulative Systeme — im Betriebsalltag kaum anzutreffen. Hochrisiko-Systeme sind in Anhang I (Sicherheitskomponenten regulierter Produkte wie Maschinen oder Medizinprodukte) und Anhang III (etwa Beschäftigung, Kreditwürdigkeit, kritische Infrastruktur, Bildung) aufgezählt; für sie gelten umfangreiche Anforderungen an Risikomanagement, Daten, Dokumentation und menschliche Aufsicht. Systeme mit Transparenzpflichten (Art. 50) sind solche, die mit Menschen interagieren oder Inhalte erzeugen. Alles andere ist minimales Risiko ohne besondere Pflichten — außer der KI-Kompetenz nach Art. 4, die für alle gilt.

Welche Fristen gelten — und was hat der Digital Omnibus geändert?

Die Verordnung gilt gestuft, und die jüngste Stufe wurde 2026 verschoben. Nach Art. 113 gelten die Verbote und die KI-Kompetenz-Pflicht seit dem 02.02.2025, die Pflichten für Anbieter von Basismodellen seit dem 02.08.2025, der Hauptteil der Verordnung seit dem 02.08.2026. Die Verordnung (EU) 2026/1744 (Digital Omnibus on AI) ist am 27.07.2026 in Kraft getreten und verschiebt den Geltungsbeginn der Hochrisiko-Pflichten: für Systeme nach Anhang III auf den 02.12.2027, für Systeme nach Anhang I auf den 02.08.2028. Zugleich wurden Erleichterungen für kleine und mittlere Unternehmen auf kleine Unternehmen mittlerer Kapitalisierung ausgeweitet. Ob einzelne Transparenzvorschriften durch den Omnibus angepasst wurden, war beim Prüfstand 08/2026 aus den Primärquellen nicht abschließend belegt — prüfen Sie den aktuellen Stand, bevor Sie Fristen intern kommunizieren.

Was verlangt Art. 4 konkret von einem KMU?

Art. 4 verlangt, dass Anbieter und Betreiber Maßnahmen ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt — unter Berücksichtigung von Vorwissen, Ausbildung, Einsatzkontext und den betroffenen Personen. Drei Dinge fallen auf, wenn man den Wortlaut ernst nimmt. Wer: alle Personen, die in Ihrem Auftrag mit KI-Systemen arbeiten — auch Freie und Dienstleister, nicht nur Festangestellte. Was: „ausreichend“ ist relativ; eine Sachbearbeiterin, die einen Schreibassistenten nutzt, braucht anderes Wissen als die Person, die den Kundenservice-Bot konfiguriert. Eine Grundschulung für alle plus rollenspezifische Vertiefung deckt das ab. Ab wann: seit dem 02.02.2025 — die Pflicht gilt bereits, auch wenn Sanktionen dafür nicht im Vordergrund stehen. Dokumentieren Sie, wer wann welche Schulung erhalten hat; KI-Schulung für Mitarbeitende beschreibt passende Formate.

Was bedeutet Art. 50 für Chatbots und KI-Inhalte?

Art. 50 verlangt Transparenz dort, wo Menschen auf KI treffen. Systeme, die direkt mit natürlichen Personen interagieren, müssen so gestaltet sein, dass die Personen informiert werden, dass sie mit einem KI-System interagieren — es sei denn, das ist aus Sicht einer verständigen Person offensichtlich. Für einen Kundenservice-Chatbot oder einen Telefonassistenten heißt das: Hinweis am Anfang, keine Täuschung über die Natur des Gegenübers, und in der Praxis eine erkennbare Möglichkeit, zu einem Menschen zu wechseln. Unter den Unternehmen, die KI nutzen, setzen 88 % (Bitkom, 2025) sie im Kundenkontakt ein — die Vorschrift betrifft also die Mehrheit der Anwender. Weitere Absätze des Art. 50 regeln die Kennzeichnung KI-generierter Inhalte; prüfen Sie, welche davon auf Ihre Marketing- oder Kommunikationsprozesse zutreffen. Wie die Anbieter unserer Auswahl die Übergabe an Menschen lösen, steht im Vergleich der Kundenservice-Lösungen.

Wie sind typische Mittelstands-Anwendungen einzuordnen?

Überwiegend als minimal oder begrenzt riskant — mit Ausnahmen, die vom Einsatzzweck abhängen. Ein KI-Assistent für E-Mails, Zusammenfassungen und Recherche fällt in die Klasse minimalen Risikos; relevant bleiben Art. 4 und die DSGVO. Eine Dokumentenverarbeitung, die Rechnungen ausliest und ins ERP überträgt, ebenso — solange sie keine Entscheidungen über Personen vorbereitet. Ein Kundenservice-Bot unterliegt den Transparenzpflichten des Art. 50. Hochrisiko wird es, wenn dasselbe Werkzeug für Bewerbervorauswahl, Leistungsbewertung von Beschäftigten oder Kreditentscheidungen genutzt wird — dann greifen ab den oben genannten Fristen die Anforderungen des Anhangs III. Die Einordnung ist eine Frage des konkreten Einsatzes, nicht des Produktnamens; lassen Sie sie für Ihr System prüfen, bevor Sie es in sensiblen Prozessen nutzen.

Wie hängen KI-Verordnung und DSGVO zusammen?

Sie regeln verschiedene Dinge und gelten nebeneinander. Die DSGVO schützt personenbezogene Daten und fragt nach Rechtsgrundlage, Auftragsverarbeitung und Drittlandtransfer; die KI-Verordnung regelt das System als Produkt und fragt nach Risikoklasse, Transparenz und Kompetenz. Ein Assistent mit minimalem Risiko nach der KI-Verordnung kann datenschutzrechtlich trotzdem anspruchsvoll sein, wenn Mitarbeitende Kundendaten eingeben. Planen Sie beide Prüfungen zusammen — die Checkliste unter KI und DSGVO ergänzt die folgende.

Was sollten Sie jetzt tun?

Häufige Fehler

• Die Verordnung als reines Hochrisiko-Thema abtun — und Art. 4 übersehen, der seit 2025 für alle gilt.
• Alte Fristen kommunizieren. Wer intern noch den 02.08.2027 für Anhang I nennt, arbeitet mit überholtem Stand.
• Den Chatbot als Menschen auftreten lassen. Ein Name und ein Foto ersetzen den Hinweis nach Art. 50 nicht.
• Unbemerkt zum Anbieter werden. Wer ein eingekauftes System unter eigener Marke an Kunden weitergibt, trägt Anbieterpflichten.
• Schulung ohne Nachweis. Ohne Teilnahmeliste lässt sich die Kompetenzpflicht im Zweifel nicht belegen.

Wo Ihr Unternehmen bei Kompetenz, Regeln und Bestandsaufnahme steht, zeigt der KI-Readiness-Check.