Blog · EU AI Act

EU AI Act im Mittelstand: Was Unternehmen jetzt konkret tun müssen

Von Denis Schnellenbach · Juni 2026 · aktualisiert am 04.11.2026 · Lesezeit: 6 Minuten

Die EU-Verordnung über Künstliche Intelligenz (AI Act) ist seit dem 1. August 2024 in Kraft. Die ersten Verbote gelten bereits, weitere Pflichten greifen stufenweise bis August 2028. Viele mittelständische Unternehmen unterschätzen, dass sie betroffen sind – nicht nur als Entwickler, sondern vor allem als Betreiber (Deployer) von KI-Systemen.

Wer ist betroffen?

Jedes Unternehmen, das KI-Systeme einsetzt – und sei es nur ein Chatbot im Kundenservice, ein KI-gestütztes Bewerbungsscreening oder eine automatisierte Bonitätsprüfung. Der AI Act unterscheidet nicht nach Unternehmensgröße, sondern nach Risikoklasse des Systems.

Die vier Risikoklassen im Überblick

• Inakzeptables Risiko – verboten seit Februar 2025: Social Scoring, manipulative KI-Systeme, biometrische Echtzeit-Überwachung (mit wenigen Ausnahmen). Ab 2. Dezember 2026 kommen KI-Systeme hinzu, die ohne Einwilligung intime oder sexuelle Deepfakes bestimmbarer Personen erzeugen, sowie KI-Systeme zur Erzeugung von Material über sexuellen Kindesmissbrauch.
• Hohes Risiko – strenge Anforderungen ab Dezember 2027 (Anhang I: August 2028): KI in Personalauswahl, Kreditvergabe, kritischer Infrastruktur, Bildung, Strafverfolgung. Erfordert Risikomanagement, Dokumentation, menschliche Aufsicht, Konformitätsbewertung.
• Begrenztes Risiko – Transparenzpflichten nach Art. 50 (seit 2. August 2026): Anbieter müssen sicherstellen, dass Nutzer erkennen, dass sie mit KI interagieren (z. B. Chatbots); Betreiber von Deepfake-Systemen müssen die Inhalte kennzeichnen. Für Altsysteme gilt für Art. 50 Abs. 2 eine Übergangsfrist bis 2. Dezember 2026.
• Minimales Risiko – keine besonderen Pflichten: Spam-Filter, KI-gestützte Textvorschläge, einfache Automatisierungen.

Die häufigsten Irrtümer im Mittelstand

„Wir entwickeln keine KI, also betrifft uns das nicht." – Falsch. Auch wer KI-Systeme einkauft und einsetzt, hat als Betreiber eigene Pflichten. Bei Hochrisiko-KI gehören dazu unter anderem Überwachung, Protokollierung und die Information der Beschäftigten (Art. 26); unabhängig davon gelten Art. 4 (KI-Kompetenz) und gegebenenfalls Art. 50 (Transparenz).

„Wir nutzen nur ChatGPT, das ist harmlos." – Kommt darauf an. Wenn ChatGPT in einen Prozess eingebunden wird, der unter Hochrisiko fällt (z.B. Personalentscheidungen), gelten die strengen Regeln – unabhängig davon, dass das Modell selbst von OpenAI stammt.

„Wir haben noch Zeit." – Teilweise. Die Verbote gelten bereits. Die Pflichten für General Purpose AI (wie GPT-4) gelten seit August 2025, die Transparenzpflichten nach Art. 50 seit 2. August 2026. Hochrisiko-Pflichten gelten ab Dezember 2027 (Anhang I: August 2028). Ein Governance-Framework aufzubauen dauert Monate.

Fünf konkrete Schritte für den Einstieg

• KI-Inventar erstellen: Welche KI-Systeme setzen Sie ein? Wo? Wofür? Unser Inventarisierungs-Fragebogen hilft dabei.
• Risikoklassen zuordnen: Für jedes System bewerten: minimal, begrenzt oder hoch? Nutzen Sie unseren KI-Governance-Check als Einstieg.
• Verantwortlichkeiten klären: Wer ist intern für KI-Governance zuständig? Das kann eine bestehende Rolle sein (DSB, Compliance, IT-Leitung) – aber es muss definiert sein.
• Dokumentation starten: Auch wenn noch nicht alles perfekt ist: beginnen Sie mit der Dokumentation Ihrer KI-Systeme, Zwecke und Risikobewertungen.
• Maßnahmen zur KI-Kompetenz planen: Art. 4 AI Act verlangt, dass Anbieter und Betreiber Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz („AI Literacy“) ihres Personals und anderer in ihrem Auftrag tätiger Personen zu unterstützen (seit 27. Juli 2026 in der Fassung des Digital Omnibus). Ein bestimmtes Kompetenzniveau müssen Sie nicht garantieren. Schulungen für Mitarbeitende, die KI einsetzen, sind ein naheliegender Baustein.

Was passiert bei Verstößen?

Die Bußgelder sind empfindlich: bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) für verbotene Praktiken; bis zu 15 Mio. Euro oder 3 % für Verstöße gegen bestimmte Pflichten (u. a. Anbieter- und Betreiberpflichten bei Hochrisiko-KI und Transparenz nach Art. 50). Für KMU und kleine Midcap-Unternehmen gilt jeweils der niedrigere der beiden Werte; aber auch diese Beträge können existenzbedrohend sein.

In Deutschland ist grundsätzlich die Bundesnetzagentur die zuständige Marktüberwachungsbehörde für die KI-Verordnung (§ 2 Abs. 1 KI-MIG, in Kraft seit 29. Juli 2026); in einzelnen Bereichen sind andere Behörden zuständig, etwa die BaFin bei regulierten Finanztätigkeiten. Die Bundesnetzagentur betreibt außerdem die zentrale Beschwerdestelle und einen KI-Service Desk mit Informationen für Unternehmen. Neben den Bußgeldern der Verordnung enthält das KI-MIG eigene Bußgeldtatbestände (§ 15).

Fazit

Der EU AI Act ist keine ferne Regulierung für Großkonzerne – er betrifft jedes Unternehmen, das KI einsetzt. Der Mittelstand hat den Vorteil kürzerer Entscheidungswege: Wer jetzt anfängt, kann die Compliance-Anforderungen überschaubar umsetzen. Wer wartet, riskiert hektische Nacharbeit unter Zeitdruck.