EU AI Act: Was der Mittelstand jetzt wissen und tun muss

1. Was ist der EU AI Act?

Der EU AI Act (Verordnung (EU) 2024/1689) ist das weltweit erste umfassende KI-Regulierungsgesetz. Er wurde im Juli 2024 im Amtsblatt der EU veröffentlicht und tritt schrittweise in Kraft. Ziel ist es, einen einheitlichen rechtlichen Rahmen für KI-Systeme in der EU zu schaffen – mit klaren Anforderungen an Sicherheit, Transparenz und Verantwortlichkeit.

Anders als die DSGVO, die primär den Umgang mit personenbezogenen Daten regelt, adressiert der AI Act die KI-Systeme selbst – unabhängig davon, ob personenbezogene Daten verarbeitet werden. Er unterscheidet zwischen verschiedenen Akteuren: Herstellern (die KI entwickeln), Betreibern (die KI in ihrem Unternehmen einsetzen) und Nutzern.

Für den deutschen Mittelstand besonders relevant: Auch wer ausschließlich KI-Systeme von Drittanbietern (z.B. Microsoft Copilot, SAP AI, ChatGPT Enterprise) einsetzt, ist als "Betreiber" den Anforderungen des AI Acts unterworfen.

2. Die vier Risikoklassen im Überblick

Der EU AI Act ordnet KI-Systeme in vier Risikoklassen ein. Die Klasse bestimmt, welche Pflichten gelten:

Für die meisten Mittelständler gilt: Der Großteil der eingesetzten KI-Systeme (interne Automatisierung, Chatbots, Produktivitätstools) fällt in die Kategorien "begrenzt" oder "minimal" – mit überschaubaren Anforderungen. Kritisch wird es, sobald KI in Personalentscheidungen, Kreditvergabe oder Sicherheitssystemen eingesetzt wird.

3. Was gilt konkret für KMU?

Der AI Act unterscheidet nicht grundsätzlich nach Unternehmensgröße – er unterscheidet nach Rolle und Risikoklasse des KI-Systems. Dennoch gibt es Erleichterungen für Kleinstunternehmen (weniger als 10 Mitarbeiter, unter 2 Mio. € Umsatz) bei bestimmten Dokumentationspflichten.

Als Mittelständler sind Sie in der Regel Betreiber – d.h. Sie setzen KI-Systeme ein, die von anderen entwickelt wurden. Als Betreiber tragen Sie Verantwortung für:

• Die zweckgemäße Nutzung des KI-Systems (entsprechend der Herstelleranweisungen)
• Menschliche Aufsicht und Überwachung bei Hochrisiko-Systemen
• Datenschutz und Datensicherheit beim Betrieb
• Protokollierung und Dokumentation bei Hochrisiko-KI
• Information der Mitarbeiter über den KI-Einsatz

4. Dokumentations- und Transparenzpflichten im Überblick

Für Betreiber von Hochrisiko-KI-Systemen

• Risikobewertung: Dokumentierter Prozess zur Bewertung des KI-Risikos
• Technische Dokumentation: Zweck, Leistungsgrenzen, Trainingsdaten (vom Hersteller bereitstellen lassen)
• Protokollierung: Automatische Logs der KI-Entscheidungen aufbewahren (mind. 6 Monate bei Hochrisiko)
• Menschliche Aufsicht: Klare Prozesse, wer wann eingreift
• Mitarbeiterinformation: Betroffene Mitarbeiter müssen über den KI-Einsatz informiert sein

Für Betreiber von Chatbots und KI-generierten Inhalten

• Nutzer müssen erkennen können, dass sie mit einem KI-System interagieren
• KI-generierte Texte, Bilder und Videos müssen als solche gekennzeichnet sein (gilt ab gewissen Schwellwerten)

5. Fristen und Zeitplan 2026

6. Bußgelder: Was droht bei Verstößen?

Die Sanktionen des AI Acts sind erheblich und gestaffelt:

• Verbotene KI-Praktiken: Bis zu 35 Mio. € oder 7 % des globalen Jahresumsatzes
• Verstöße gegen Hochrisiko-Anforderungen: Bis zu 15 Mio. € oder 3 % des Jahresumsatzes
• Falsche Angaben gegenüber Behörden: Bis zu 7,5 Mio. € oder 1,5 % des Jahresumsatzes

Für KMU gilt: Bei der Bemessung sollen die wirtschaftlichen Verhältnisse berücksichtigt werden. Die Behörden können von Höchstgrenzen abweichen. Dennoch: Auch 1,5 % des Jahresumsatzes können für einen mittelständischen Betrieb schmerzhaft sein.

7. Fünf Schritte zur AI-Act-Compliance

8. Wie VerdaGen.ai beim EU AI Act hilft

Compliance klingt bürokratisch – muss es aber nicht sein. Unser Ansatz: Pragmatismus statt Paragrafen-Alarm. Wir helfen Ihnen, die relevanten Anforderungen für Ihre konkrete KI-Nutzung zu identifizieren und mit minimalem Aufwand umzusetzen.

Das umfasst ein KI-Inventar-Workshop (halber Tag, alle eingesetzten KI-Systeme erfassen und klassifizieren), die Erstellung einer AI-Act-Compliance-Roadmap mit priorisierten Maßnahmen, sowie die Unterstützung bei der technischen Dokumentation für Hochrisiko-Systeme.

Wichtig: Wenn Sie bisher keine KI einsetzen, ist jetzt der ideale Zeitpunkt, eine KI-Strategie zu entwickeln, die von Anfang an compliant ist – statt eine bestehende Implementierung nachträglich anzupassen.