EU AI Act: Was der Mittelstand jetzt wissen und tun muss

1. Was ist der EU AI Act?

Der EU AI Act (Verordnung (EU) 2024/1689) ist das weltweit erste umfassende KI-Regulierungsgesetz. Er wurde im Juli 2024 im Amtsblatt der EU veröffentlicht und tritt schrittweise in Kraft. Ziel ist es, einen einheitlichen rechtlichen Rahmen für KI-Systeme in der EU zu schaffen – mit klaren Anforderungen an Sicherheit, Transparenz und Verantwortlichkeit.

Anders als die DSGVO, die primär den Umgang mit personenbezogenen Daten regelt, adressiert der AI Act die KI-Systeme selbst – unabhängig davon, ob personenbezogene Daten verarbeitet werden. Er unterscheidet zwischen verschiedenen Akteuren, vor allem Anbietern (die KI entwickeln oder entwickeln lassen und unter eigenem Namen in Verkehr bringen oder in Betrieb nehmen) und Betreibern (die KI in eigener Verantwortung einsetzen).

Für den deutschen Mittelstand besonders relevant: Auch wer ausschließlich KI-Systeme von Drittanbietern (z.B. Microsoft Copilot, SAP AI, ChatGPT Enterprise) einsetzt, ist als "Betreiber" den Anforderungen des AI Acts unterworfen.

2. Die vier Risikoklassen im Überblick

Der EU AI Act ordnet KI-Systeme in vier Risikoklassen ein. Die Klasse bestimmt, welche Pflichten gelten:

Für die meisten Mittelständler gilt: Der Großteil der eingesetzten KI-Systeme (interne Automatisierung, Chatbots, Produktivitätstools) fällt in die Kategorien "begrenzt" oder "minimal" – mit überschaubaren Anforderungen. Kritisch wird es, sobald KI in Personalentscheidungen, Kreditvergabe oder Sicherheitssystemen eingesetzt wird.

3. Was gilt konkret für KMU?

Der AI Act unterscheidet nicht grundsätzlich nach Unternehmensgröße – er unterscheidet nach Rolle und Risikoklasse des KI-Systems. Dennoch gibt es Erleichterungen für KMU und – seit dem Digital Omnibus – für kleine Midcaps, etwa bei der Form der technischen Dokumentation und bei den Bußgeldobergrenzen.

Als Mittelständler sind Sie in der Regel Betreiber – d.h. Sie setzen KI-Systeme ein, die von anderen entwickelt wurden. Als Betreiber tragen Sie Verantwortung für:

• Die zweckgemäße Nutzung des KI-Systems (entsprechend der Herstelleranweisungen)
• Menschliche Aufsicht und Überwachung bei Hochrisiko-Systemen
• Datenschutz und Datensicherheit beim Betrieb
• Protokollierung und Dokumentation bei Hochrisiko-KI
• Information der Mitarbeitenden über den KI-Einsatz

4. Dokumentations- und Transparenzpflichten im Überblick

Für Betreiber von Hochrisiko-KI-Systemen

• Bestimmungsgemäße Verwendung: Einsatz nach der Betriebsanleitung des Anbieters, Eingabedaten im eigenen Verantwortungsbereich prüfen
• Überwachung: Betrieb anhand der Betriebsanleitung beobachten. Bei Grund zur Annahme eines Risikos nach Art. 79 Abs. 1 unverzüglich Anbieter oder Händler und Marktüberwachungsbehörde informieren und die Verwendung aussetzen; schwerwiegende Vorfälle melden.
• Protokollierung: Automatische Logs der KI-Entscheidungen aufbewahren (mind. 6 Monate bei Hochrisiko)
• Menschliche Aufsicht: Klare Prozesse, wer wann eingreift
• Information: Beschäftigte und deren Vertretung vor dem Einsatz am Arbeitsplatz informieren

Für Anbieter und Betreiber von Chatbots und KI-generierten Inhalten

• Anbieter müssen sicherstellen, dass Menschen erkennen können, dass sie mit einem KI-System interagieren (Art. 50 Abs. 1). Wer einen Chatbot einkauft, sollte das beim Anbieter prüfen; wer ihn selbst baut und in Betrieb nimmt, ist in der Regel selbst Anbieter.
• Anbieter müssen KI-generierte Inhalte maschinenlesbar markieren (Art. 50 Abs. 2); Betreiber müssen Deepfakes offenlegen (Art. 50 Abs. 4). Für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden: Übergangsfrist für die Markierung bis 2. Dezember 2026.

5. Fristen und Zeitplan bis 2028

6. Bußgelder: Was droht bei Verstößen?

Die Sanktionen des AI Acts sind erheblich und gestaffelt:

• Verbotene KI-Praktiken: Bis zu 35 Mio. € oder 7 % des globalen Jahresumsatzes
• Verstöße gegen Hochrisiko-Pflichten und Transparenzpflichten (Art. 50): Bis zu 15 Mio. € oder 3 % des Jahresumsatzes
• Falsche oder irreführende Angaben gegenüber Behörden: Bis zu 7,5 Mio. € oder 1 % des Jahresumsatzes

Bei Großunternehmen gilt jeweils der höhere, bei KMU der niedrigere der beiden Beträge (Art. 99 Abs. 6); seit dem Digital Omnibus gilt das für die Stufen nach Art. 99 Abs. 4 und 5, also etwa Hochrisiko- und Transparenzpflichten sowie falsche Angaben, auch für kleine Midcaps. Bei der Bemessung berücksichtigen die Behörden zudem die Umstände des Einzelfalls und die wirtschaftliche Lage. Auch reduzierte Beträge können für einen mittelständischen Betrieb schmerzhaft sein. Stand: 5. November 2026 – diese Übersicht ersetzt keine Rechtsberatung.

7. Fünf Schritte zur AI-Act-Compliance

8. Wie VerdaGen.ai beim EU AI Act hilft

Compliance klingt bürokratisch – muss es aber nicht sein. Unser Ansatz: Pragmatismus statt Paragrafen-Alarm. Wir helfen Ihnen, die relevanten Anforderungen für Ihre konkrete KI-Nutzung zu identifizieren und mit minimalem Aufwand umzusetzen.

Das umfasst ein KI-Inventar-Workshop (halber Tag, alle eingesetzten KI-Systeme erfassen und klassifizieren), die Erstellung einer AI-Act-Compliance-Roadmap mit priorisierten Maßnahmen, sowie die Unterstützung bei der technischen Dokumentation für Hochrisiko-Systeme.

Wichtig: Wenn Sie bisher keine KI einsetzen, ist jetzt der ideale Zeitpunkt, eine KI-Strategie zu entwickeln, die von Anfang an compliant ist – statt eine bestehende Implementierung nachträglich anzupassen.