EU AI Act: Was Mittelstandsbetriebe 2026 konkret tun müssen

Aktualisiert am 21. Oktober 2026: angepasst an die Endfassung der Änderungsverordnung (EU) 2026/1744.

Seit August 2024 ist der EU AI Act in Kraft. Die meisten Mittelstandsbetriebe haben das registriert, aber nicht gehandelt. Das ändert sich 2026.

Einige Fristen sind bereits verstrichen. Andere hat die Änderungsverordnung (EU) 2026/1744 im Juli 2026 nach hinten verschoben. Eine strukturierte Vorbereitung kostet wenig und schafft Überblick.

Dieser Artikel erklärt, welche Pflichten konkret gelten, für wen, und was in welcher Reihenfolge zu tun ist.

Gilt der EU AI Act für unseren Betrieb?

Ja, wenn Sie eines dieser Tools einsetzen:

• ChatGPT oder ähnliche Sprachmodelle
• Microsoft Copilot (in Word, Outlook, Teams)
• KI-gestützte Kalkulationssoftware
• Automatisierte Entscheidungssysteme (z. B. in der Produktionsplanung)
• Bilderkennungs- oder Qualitätsprüfsysteme

Der EU AI Act gilt nicht nur für KI-Hersteller, sondern für jeden Betrieb, der KI-Systeme einsetzt. Der Begriff "Betreiber" umfasst im deutschen Mittelstand praktisch jeden, der entsprechende Software lizenziert und nutzt.

Die wichtigsten Fristen im Überblick

Seit August 2024 in Kraft: Der EU AI Act gilt grundsätzlich für alle Unternehmen im EU-Raum.

Seit Februar 2025 Pflicht: Maßnahmen zur KI-Kompetenz nach Art. 4. Seit Juli 2026 gilt die neue Fassung: Unternehmen fördern die KI-Kompetenz ihrer Mitarbeitenden, ein bestimmtes Niveau jedes Einzelnen müssen sie nicht garantieren. Eine Schulung ist der naheliegende Weg, eine Dokumentation zeigt, dass Sie es getan haben.

Seit 2. August 2026: Der EU AI Act gilt allgemein, unter anderem mit den Transparenzpflichten nach Art. 50.

Ab 2. Dezember 2027: Anforderungen für Hochrisiko-KI-Systeme nach Anhang III, etwa in der Personalauswahl. Für KI in Produkten nach Anhang I gilt der 2. August 2028. Für die meisten Mittelstandsbetriebe sind das keine direkten Anforderungen.

Was konkret zu tun ist

1. KI-Inventar erstellen

Der erste Schritt ist eine vollständige Liste aller KI-Systeme im Betrieb. Das klingt einfach, ist es aber nicht immer. In der Praxis nutzen Mitarbeiter Tools, die die IT-Abteilung nicht kennt. Ein Einkäufer, der ChatGPT für Lieferantenanfragen nutzt. Eine Assistentin, die Copilot für Protokolle verwendet. Beide fallen unter den EU AI Act.

Das Inventar erfasst: welches System, wer nutzt es, wofür, seit wann.

2. Risikoklassifizierung

Jedes System im Inventar wird klassifiziert. Der EU AI Act unterscheidet vier Kategorien:

• Minimales Risiko: ChatGPT für interne Kommunikation, Copilot für Dokumente. Keine besonderen Anforderungen, aber Dokumentation empfehlenswert.
• Begrenztes Risiko: Chatbots mit Kundenkontakt. Transparenzpflicht (Nutzer müssen wissen, dass sie mit einer KI kommunizieren).
• Hohes Risiko: KI in kritischen Entscheidungen, z. B. Kreditvergabe, Personalauswahl. Strenge Anforderungen, häufig nicht relevant für typische Mittelstandsanwendungen.
• Inakzeptables Risiko: Verboten. Social Scoring, biometrische Überwachung. Für normale Geschäftsprozesse nicht relevant.

Die gute Nachricht: Die meisten Mittelstandsanwendungen fallen in die Kategorie "Minimales Risiko". Das bedeutet wenig Aufwand, aber nicht keinen Aufwand.

3. Nutzungsrichtlinie

Eine interne Richtlinie, die regelt:

• Welche KI-Tools sind im Betrieb erlaubt?
• Wer darf sie wofür nutzen?
• Was ist verboten? (z. B. keine Kundendaten in öffentliche Modelle eingeben)
• Was passiert bei Verstößen?

Der EU AI Act schreibt eine solche Richtlinie nicht vor. Sie ist aber der einfachste Weg, Regeln klar zu machen. Sinnvoll ist sie schriftlich, kommuniziert und mit Datum versehen. Ein einseitiges Dokument reicht für die meisten Betriebe.

4. Schulung mit Dokumentation

Art. 4 verlangt Maßnahmen, die die KI-Kompetenz der Mitarbeitenden fördern. Gemeint ist kein mehrtägiges Seminar, sondern eine Grundunterweisung: Was ist KI, welche Systeme nutzen wir, was sind die Risiken, welche Richtlinien gelten.

Eine kurze Dokumentation zeigt, dass Sie es getan haben. Eine Teilnehmerliste, eine Bestätigung per E-Mail oder ein kurzes Online-Quiz genügen.

5. Anbieter-Check

Ihre KI-Anbieter müssen bestimmte Dokumentationen bereitstellen. Microsoft, OpenAI und die großen Anbieter sind vorbereitet. Kleinere oder spezialisierte Softwareanbieter oft nicht. Prüfen Sie, ob Ihre Anbieter die notwendigen Konformitätserklärungen und technischen Dokumentationen liefern können.

Ein Beispiel aus der Praxis

Ein Maschinenbauer mit 80 Mitarbeitern nutzt ChatGPT für interne Kommunikation, Copilot für Dokumentenerstellung und eine KI-gestützte Kalkulationssoftware vom Fachdienstleister.

Nach einer strukturierten Analyse: Alle drei Systeme fallen in die Kategorie "Minimales Risiko". Die Kalkulationssoftware erfordert eine Rückfrage beim Anbieter. Die notwendigen Maßnahmen: KI-Inventar dokumentieren, Nutzungsrichtlinie verabschieden, zwei Stunden Schulung für alle Mitarbeiter mit Protokoll.

Zeitaufwand intern: ein halber Tag. Externes Audit inklusive Dokumentation: vier Wochen.

Der Gewinn: ein klarer Überblick, welche KI im Betrieb läuft und wer was darf.

Was Betriebe jetzt prüfen sollten

Unabhängig von den neuen Fristen sollten diese Fragen beantwortet sein:

1. Welche KI-Systeme nutzen wir tatsächlich? 2. Haben wir eine schriftliche Nutzungsrichtlinie? 3. Können wir belegen, dass Mitarbeiter unterwiesen wurden? 4. Liefern unsere Anbieter die notwendige Dokumentation?

Wer diese vier Fragen mit "Ja" beantworten kann, ist für 2026 gut aufgestellt.

Interne Links für den nächsten Schritt

Die vollständige Checkliste für alle fünf Compliance-Bausteine findet sich im Artikel zur EU AI Act Checkliste für Unternehmen.

Wer eine KI-Nutzungsrichtlinie erstellen will: die KI-Nutzungsrichtlinie Vorlage liefert ein fertiges Grundgerüst zum Anpassen.

Was Art. 4 zur KI-Kompetenz seit der Neufassung konkret verlangt, erklärt der Artikel zur EU AI Act Schulungspflicht für Mitarbeiter.

Wer alle fünf Bausteine professionell begleitet abarbeiten will: der KI Compliance Check ist dafür ausgelegt.

Häufige Fragen

Müssen kleine Betriebe den EU AI Act wirklich ernst nehmen? Ja. Die Betreiber-Pflichten gelten grundsätzlich unabhängig von der Betriebsgröße. Wer KI-Systeme nutzt, fällt unter die Anforderungen. Kleinere Betriebe haben in der Regel weniger Systeme im Blick zu behalten. Bei der KI-Kompetenz sollen Kommission und Mitgliedstaaten KMU gezielt unterstützen.

Was kostet eine Nutzungsrichtlinie? Intern erstellt: wenige Stunden Arbeit. Extern professionell ausgearbeitet: ein bis zwei Tage. Die Richtlinie selbst ist kein großer Aufwand. Der Aufwand liegt in der vorausgehenden Inventarisierung.

Reicht es, wenn wir nur ChatGPT nutzen? Auch dann gilt Art. 4: Fördern Sie die KI-Kompetenz der Nutzer, am einfachsten mit einer kurzen Schulung und Dokumentation. Eine Nutzungsrichtlinie und ein KI-Inventar sind nicht vorgeschrieben, aber sinnvoll. Der Aufwand ist überschaubar.

Was droht bei Verstößen? Der EU AI Act staffelt die Bußgelder. Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes gelten für verbotene Praktiken, bis zu 15 Millionen Euro oder 3 Prozent für Verstöße gegen andere Pflichten. Für KMU gilt jeweils der niedrigere der beiden Beträge.

Wo fange ich an? Mit dem KI-Inventar. Eine Liste aller genutzten Systeme. Das dauert in den meisten Betrieben ein bis zwei Stunden und ist die Grundlage für alles weitere.