Blog · EU AI Act

EU AI Act 2025: Was mittelständische Unternehmen jetzt konkret tun müssen

Von Denis Schnellenbach · Juni 2026 · Lesezeit: 6 Minuten

Die EU-Verordnung über Künstliche Intelligenz (AI Act) ist seit dem 1. August 2024 in Kraft. Die ersten Verbote gelten bereits, weitere Pflichten greifen stufenweise bis August 2027. Viele mittelständische Unternehmen unterschätzen, dass sie betroffen sind – nicht nur als Entwickler, sondern vor allem als Betreiber (Deployer) von KI-Systemen.

Wer ist betroffen?

Jedes Unternehmen, das KI-Systeme einsetzt – und sei es nur ein Chatbot im Kundenservice, ein KI-gestütztes Bewerbungsscreening oder eine automatisierte Bonitätsprüfung. Der AI Act unterscheidet nicht nach Unternehmensgröße, sondern nach Risikoklasse des Systems.

Die vier Risikoklassen im Überblick

• Inakzeptables Risiko – verboten seit Februar 2025: Social Scoring, manipulative KI-Systeme, biometrische Echtzeit-Überwachung (mit wenigen Ausnahmen).
• Hohes Risiko – strenge Anforderungen ab August 2026: KI in Personalauswahl, Kreditvergabe, kritischer Infrastruktur, Bildung, Strafverfolgung. Erfordert Risikomanagement, Dokumentation, menschliche Aufsicht, Konformitätsbewertung.
• Begrenztes Risiko – Transparenzpflichten: Chatbots müssen als KI gekennzeichnet werden, Deepfakes müssen markiert werden.
• Minimales Risiko – keine besonderen Pflichten: Spam-Filter, KI-gestützte Textvorschläge, einfache Automatisierungen.

Die häufigsten Irrtümer im Mittelstand

„Wir entwickeln keine KI, also betrifft uns das nicht." – Falsch. Auch wer KI-Systeme einkauft und einsetzt, hat als Betreiber eigene Pflichten: Überwachung, Protokollierung, Information der Mitarbeitenden.

„Wir nutzen nur ChatGPT, das ist harmlos." – Kommt darauf an. Wenn ChatGPT in einen Prozess eingebunden wird, der unter Hochrisiko fällt (z.B. Personalentscheidungen), gelten die strengen Regeln – unabhängig davon, dass das Modell selbst von OpenAI stammt.

„Wir haben noch Zeit." – Teilweise. Die Verbote gelten bereits. Die Transparenzpflichten für General Purpose AI (wie GPT-4) gelten ab August 2025. Hochrisiko-Pflichten ab August 2026. Ein Governance-Framework aufzubauen dauert Monate.

Fünf konkrete Schritte für den Einstieg

• KI-Inventar erstellen: Welche KI-Systeme setzen Sie ein? Wo? Wofür? Unser Inventarisierungs-Fragebogen hilft dabei.
• Risikoklassen zuordnen: Für jedes System bewerten: minimal, begrenzt oder hoch? Nutzen Sie unseren KI-Risiko-Check als Einstieg.
• Verantwortlichkeiten klären: Wer ist intern für KI-Governance zuständig? Das kann eine bestehende Rolle sein (DSB, Compliance, IT-Leitung) – aber es muss definiert sein.
• Dokumentation starten: Auch wenn noch nicht alles perfekt ist: beginnen Sie mit der Dokumentation Ihrer KI-Systeme, Zwecke und Risikobewertungen.
• Schulung planen: Art. 4 AI Act verlangt „AI Literacy" – Mitarbeitende, die KI einsetzen, müssen ausreichend geschult sein.

Was passiert bei Verstößen?

Die Bußgelder sind empfindlich: bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken; bis zu 15 Mio. Euro oder 3 % für Verstöße gegen Hochrisiko-Anforderungen. Für KMU gelten zwar niedrigere Obergrenzen, aber auch diese können existenzbedrohend sein.

Fazit

Der EU AI Act ist keine ferne Regulierung für Großkonzerne – er betrifft jedes Unternehmen, das KI einsetzt. Der Mittelstand hat den Vorteil kürzerer Entscheidungswege: Wer jetzt anfängt, kann die Compliance-Anforderungen überschaubar umsetzen. Wer wartet, riskiert hektische Nacharbeit unter Zeitdruck.