EU AI Act verstehen und umsetzen

Der EU AI Act setzt am Einsatz an. Er fragt, wofür ein KI-System genutzt wird, und knüpft daran die Pflichten. Je höher das Risiko für Menschen und Grundrechte, desto strenger die Anforderungen. Für ein Unternehmen heißt das: Der gleiche Chatbot kann harmlos oder streng reguliert sein, je nachdem, ob er Rezepte vorschlägt oder über Kredite entscheidet.

Diese Logik ist die wichtigste Erkenntnis für den Mittelstand. Die meisten alltäglichen Anwendungen, ein interner Wissensassistent, eine Textzusammenfassung, eine Angebotsrecherche, fallen in niedrige Risikostufen mit wenigen Pflichten.

Verbotene Praktiken

Ein kleiner Kreis von Anwendungen ist untersagt, etwa Social Scoring oder manipulative Systeme. Diese Regeln gelten bereits.

Hochrisiko

Klar benannte Felder wie Personalauswahl, Kreditwürdigkeit, kritische Infrastruktur oder Bildung. Hier greifen die strengen Pflichten: Dokumentation, Risikomanagement, menschliche Aufsicht.

Begrenztes Risiko

Vor allem Transparenz. Wer mit einem KI-System interagiert, muss das erkennen können, und KI-generierte Inhalte werden gekennzeichnet.

Minimales Risiko

Der Großteil der Anwendungen. Kaum Pflichten über die allgemeine KI-Kompetenz hinaus.

Zwei Dinge betreffen jeden, der KI im Unternehmen nutzt, unabhängig von der Risikostufe.

KI-Kompetenz im Team

Seit 2025 verlangt der EU AI Act, dass Beschäftigte, die mit KI arbeiten, ein angemessenes Verständnis dafür haben, KI sinnvoll und verantwortungsvoll einzusetzen. Eine formale Zertifizierung verlangt der Act dafür nicht. Für den Mittelstand ist das der greifbarste Punkt, und er zahlt sich ohnehin aus.

Transparenz

Wer einen Chatbot oder Voice-Agenten betreibt, muss Nutzer erkennen lassen, dass sie mit einer KI sprechen. KI-generierte Inhalte und Deepfakes werden gekennzeichnet.

2026 hat die EU mit dem sogenannten Digital Omnibus zentrale Fristen für Hochrisiko-Systeme nach hinten verschoben. Die Pflichten für eigenständige Hochrisiko-Systeme rücken vom ursprünglichen August 2026 auf den 2. Dezember 2027. Für KI, die in regulierte Produkte eingebettet ist, etwa in Maschinen oder Medizinprodukte, gilt der 2. August 2028.

Ein verbreitetes Missverständnis sollte man hier vermeiden. Die Verschiebung betrifft den Zeitplan, nicht den Inhalt. Die Anforderungen an Hochrisiko-Systeme bleiben unverändert bestehen. Wer ein solches System plant, gewinnt Zeit für eine saubere Vorbereitung, kein Argument, das Thema erneut zu vertagen.

Für die meisten Mittelständler lautet die Antwort: von den strengen Hochrisiko-Pflichten eher nicht, von der KI-Kompetenz und der Transparenz sehr wohl. Ein einfacher Weg zur Einordnung:

Hochrisiko-Feld?

Nutzt Ihr System eines der benannten Hochrisiko-Felder, etwa die Auswahl von Bewerbern, die Bewertung der Kreditwürdigkeit oder die Steuerung kritischer Infrastruktur? Dann greifen die strengen Pflichten, mit der verschobenen Frist.

Sichtbare KI?

Interagieren Menschen sichtbar mit der KI, oder erzeugt sie Inhalte? Dann greift die Transparenzpflicht.

KI im Team?

Arbeiten Mitarbeiter mit KI? Dann greift die Kompetenzpflicht.

Wer ein System bewusst als nicht hochriskant einstuft, sollte diese Einschätzung begründen und festhalten können. Diese Nachweispflicht bleibt bestehen.

Unabhängig von der Frist lohnt sich jetzt ein geordneter Start.

KI-Inventur

Verschaffen Sie sich einen Überblick, wo im Unternehmen bereits KI genutzt wird, auch die inoffizielle.

Rollen und Verantwortung

Klären Sie, wer für KI im Haus zuständig ist.

Datenklassifizierung

Legen Sie fest, welche Daten ein System sehen darf und welche außen vor bleiben.

Dokumentation

Halten Sie fest, welche Systeme wofür genutzt werden und wie sie eingestuft sind.

KI-Kompetenz

Bauen Sie das Verständnis im Team auf, die eine Pflicht, die schon heute gilt.

Verschiebung gleich Entwarnung

Der Zeitplan rückt, die Anforderungen bleiben. Und die Kompetenz- und Transparenzpflichten gelten ohnehin heute.

Jede KI ist hochriskant

Der Großteil der Anwendungen im Mittelstand fällt in niedrige Stufen mit wenigen Pflichten.

Das betrifft nur Großkonzerne

Die KI-Kompetenzpflicht gilt für jedes Unternehmen, das KI einsetzt.

Wir machen aus der Regulierung einen geordneten Rahmen, in dem KI verantwortbar genutzt wird. Gemeinsam mit einem spezialisierten Partner für Datenschutz und Sicherheit richten wir eine freigegebene Umgebung ein, mit klaren Rollen, einer Datenklassifizierung und der Dokumentation, die der EU AI Act verlangt. Und wir bauen die KI-Kompetenz im Team auf, damit die Nutzung erlaubt und zugleich gekonnt ist.

Verbotene Praktiken, KI-Kompetenz

gelten seit 2025.

Transparenzpflichten

gelten seit August 2026.

Hochrisiko, eigenständig (Anhang III)

2. Dezember 2027.

Hochrisiko, eingebettet (Anhang I)

2. August 2028.

KI-Überblick

Wir wissen, wo im Unternehmen KI genutzt wird.

Hochrisiko geklärt

Es ist geklärt, ob eines unserer Systeme in ein Hochrisiko-Feld fällt.

Transparenz

Nutzer erkennen, wenn sie mit einer KI interagieren.

Kompetenz

Das Team hat ein angemessenes Verständnis von KI.

Begründbar

Wir können begründen, warum ein System als nicht hochriskant gilt.

Grundlage ist der EU AI Act und der 2026 verhandelte Digital Omnibus, der die Hochrisiko-Fristen verschiebt. Die politische Einigung erfolgte im Mai 2026, die formale Veröffentlichung folgt. Bis dahin gelten die ursprünglichen Daten formal weiter, die sinnvolle Planungsgrundlage sind die verschobenen Fristen. Dieser Guide ersetzt keine Rechtsberatung.