EU AI Act · Stand Verordnung 2026/1744
Was Mittelstandsbetriebe jetzt tun müssen
Der EU AI Act ist seit August 2024 in Kraft. Mit der Änderungsverordnung vom Juli 2026 gelten die Hochrisiko-Pflichten ab Dezember 2027. Artikel 4 zur KI-Kompetenz und die Transparenzpflichten gelten schon heute.
Das gilt nicht nur für KI-Hersteller. Wer ChatGPT, Copilot oder KI-gestützte Software nutzt, ist Betreiber im Sinne des Gesetzes. Und hat Pflichten.
Kostenlosen KI-Check starten→In rund 5 Minuten sehen Sie, welche Pflichten für Ihren Betrieb gelten. Kostenlos, keine Registrierung.
Betroffenheit
Betrifft das wirklich unseren Betrieb?
Ja, wenn Sie eines dieser Systeme einsetzen:
- →ChatGPT, Claude oder ähnliche Sprachmodelle
- →Microsoft Copilot in Word, Outlook oder Teams
- →KI-gestützte Kalkulationssoftware
- →Automatisierte Entscheidungssysteme in Produktion oder Einkauf
- →Bilderkennungs- oder Qualitätsprüfsysteme
Sie sind unsicher, welche Ihrer Systeme betroffen sind? Das Self-Assessment gibt Ihnen eine erste Einschätzung in 10 Minuten.
Bausteine
Fünf Bausteine für eine saubere KI-Ordnung
Für die meisten Betriebe schreibt der EU AI Act wenig Formales vor. Diese fünf Bausteine sind der naheliegende Weg, Artikel 4 zu erfüllen und den Überblick zu behalten.
KI-Inventar
Halten Sie fest, welche KI-Systeme Sie einsetzen. ChatGPT, Copilot, KI-gestützte Buchhaltung oder Produktionsplanung. Ohne diesen Überblick lässt sich weder Kompetenz fördern noch Risiko einschätzen.
Risikoklassifizierung
Jedes System wird einer Risikoklasse zugeordnet. Hochrisiko-Systeme unterliegen strengeren Auflagen. Die meisten Systeme im Mittelstand fallen in die niedrigen Kategorien.
Nutzungsrichtlinie
Eine interne Richtlinie regelt, wie Mitarbeitende KI-Systeme einsetzen dürfen. Das Gesetz schreibt sie nicht vor, aber sie ist der einfachste Weg, klare Regeln zu setzen.
Schulung mit Dokumentation
Artikel 4 verlangt Maßnahmen zur Förderung der KI-Kompetenz. Eine rollenbezogene Schulung ist der naheliegende Weg, ein kurzer Vermerk zeigt, dass Sie es getan haben.
Anbieter-Check
Prüfen Sie, welche Zusagen Ihre KI-Anbieter zu Datenschutz, Datenort und EU AI Act machen. Bei Hochrisiko-Systemen gehören Konformitätsnachweise dazu.
Zeitachse
Fristen und Risikoklassen im Überblick
Die wichtigsten Fristen
August 2024
EU AI Act in Kraft getreten
Februar 2025
Artikel 4: KI-Kompetenz fördern
Juli 2026
Änderungsverordnung 2026/1744 verabschiedet
Dezember 2026
Kennzeichnung KI-Inhalte aus bestehenden Systemen
Dezember 2027
Hochrisiko-KI (Anhang III)
August 2028
Hochrisiko-KI in Produkten (Anhang I)
Die vier Risikoklassen
Verboten
Unannehmbares Risiko
Social Scoring, manipulative Systeme
Strenge Auflagen
Hohes Risiko
Bewerber-Screening, Kreditvergabe
Transparenzpflicht
Begrenztes Risiko
Chatbots, KI-Inhalte kennzeichnen
Keine Auflagen
Minimales Risiko
Spamfilter, die meisten Mittelstand-Tools
In 5 Minuten wissen Sie, wo Sie stehen
Der kostenlose KI-Check zeigt Ihnen, welche Pflichten für Ihren Betrieb gelten und wo KI Zeit spart. Keine Registrierung. Keine Verkaufspräsentation.
Kostenlosen KI-Check starten→FAQ
Häufige Fragen
Die folgenden Antworten dienen der allgemeinen Information und stellen keine Rechtsberatung dar. Für rechtssichere Einschätzungen zu Ihrem konkreten Fall empfehlen wir, einen zugelassenen Rechtsanwalt hinzuzuziehen.
Betrifft der EU AI Act auch kleine und mittelständische Unternehmen?
Ja. Der EU AI Act (Verordnung (EU) 2024/1689) gilt unabhängig von der Unternehmensgröße. Es gibt keine generelle Ausnahme für kleine und mittlere Unternehmen. Für KMU sind einzelne Pflichten verhältnismäßig ausgestaltet, etwa bei der Dokumentation oder beim Zugang zu Reallaboren, doch die Kernpflichten gelten für alle. Sobald Sie KI im Unternehmen einsetzen, sind Sie betroffen.
Gilt der EU AI Act auch, wenn ich KI nur nutze und nicht selbst entwickle?
Ja, auch dann. Der AI Act unterscheidet zwischen Anbietern, die KI-Systeme entwickeln und auf den Markt bringen, und Betreibern, die KI-Systeme einsetzen. Die meisten Mittelständler sind Betreiber. Betreiber haben weniger Pflichten als Anbieter, aber eben nicht keine. Insbesondere Artikel 4 zur KI-Kompetenz und bestimmte Transparenzpflichten gelten auch für reine Nutzer.
Was bedeutet der EU AI Act konkret für ein Unternehmen, das ChatGPT oder Microsoft Copilot einsetzt?
Wer ChatGPT, Copilot oder vergleichbare Werkzeuge im Alltag nutzt, ist Betreiber eines KI-Systems. Die wichtigsten Pflichten dabei: das Unternehmen ergreift Maßnahmen, um die KI-Kompetenz seiner Mitarbeiter zu fördern (Artikel 4), bei bestimmten Anwendungen muss Transparenz hergestellt werden, und verbotene Einsatzzwecke sind tabu. Die normale Büronutzung fällt in aller Regel nicht unter die Hochrisiko-Vorschriften.
Was ist die KI-Kompetenzpflicht nach Artikel 4 des EU AI Act?
Artikel 4 verpflichtet Anbieter und Betreiber, Maßnahmen zu ergreifen, um die KI-Kompetenz ihrer Mitarbeiter und aller Personen zu fördern, die in ihrem Auftrag KI-Systeme betreiben. Seit der Änderungsverordnung (EU) 2026/1744 vom Juli 2026 verlangt das Gesetz ausdrücklich nicht mehr, ein bestimmtes Kompetenzniveau einzelner Personen zu garantieren. Die Maßnahmen sollen zur jeweiligen Rolle und zum Einsatzkontext passen. Kommission und Mitgliedstaaten sollen dabei besonders kleine und mittlere Unternehmen unterstützen.
Ab wann gilt die KI-Kompetenzpflicht?
Artikel 4 gilt seit dem 2. Februar 2025. Mit der Verordnung (EU) 2026/1744 wurde er nicht verschoben, aber umformuliert: Statt ein ausreichendes Kompetenzniveau sicherzustellen, ergreifen Unternehmen heute Maßnahmen zur Förderung der KI-Kompetenz.
Was muss ich tun, um die KI-Kompetenzpflicht zu erfüllen?
Der AI Act schreibt kein bestimmtes Zertifikat vor. Verlangt werden angemessene Maßnahmen zur Förderung der KI-Kompetenz: Schulung und Sensibilisierung passend zu den jeweiligen Rollen und ein Grundverständnis von Chancen und Risiken der eingesetzten KI. Eine kurze Dokumentation zeigt, dass Sie diese Maßnahmen ergriffen haben. In der Praxis heißt das: rollenbezogene Schulungen, eine klare Nutzungsrichtlinie und ein Vermerk, wer wann geschult wurde.
Wer im Unternehmen muss KI-kompetent sein?
Alle, die im Auftrag des Unternehmens KI nutzen oder von ihrem Einsatz betroffen sind, nicht nur die IT-Abteilung. Das reicht von der Geschäftsführung über den Vertrieb bis in die Fachbereiche. Die Maßnahmen sind abgestuft und richten sich nach der Aufgabe der jeweiligen Person.
Welche Fristen des EU AI Act sind für den Mittelstand wirklich relevant?
Für die meisten Mittelständler sind vier Stichtage zentral: die verbotenen Praktiken (seit 2. Februar 2025), Artikel 4 zur KI-Kompetenz (seit 2. Februar 2025), die Regeln für allgemeine KI-Modelle (seit 2. August 2025) und die Transparenzpflichten (seit 2. August 2026). Die Hochrisiko-Pflichten folgen am 2. Dezember 2027 und am 2. August 2028; sie betreffen typische Büro- und Prozessanwendungen im Mittelstand in der Regel nicht.
Wurde die August-2026-Frist für Hochrisiko-KI verschoben?
Ja. Mit der Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital Omnibus) gelten die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027, für in regulierte Produkte eingebettete Systeme nach Anhang I ab dem 2. August 2028. Die politische Einigung vom 7. Mai 2026 ist damit förmlich umgesetzt.
Gilt die August-2026-Deadline jetzt noch oder nicht?
Für Hochrisiko-KI nicht mehr. Mit der Verordnung (EU) 2026/1744 gelten dafür die neuen Stichtage 2. Dezember 2027 und 2. August 2028. Andere Teile, etwa die Transparenzpflichten, gelten seit dem 2. August 2026. Für die meisten Mittelständler sind ohnehin Artikel 4 zur KI-Kompetenz und die Transparenzpflichten entscheidend.
Was sind Hochrisiko-KI-Systeme, und betreibt mein Unternehmen so etwas?
Hochrisiko-Systeme sind KI-Anwendungen in besonders sensiblen Bereichen wie Biometrie, kritischer Infrastruktur, Bildung, Beschäftigung, wesentlichen Diensten oder Strafverfolgung sowie KI als Sicherheitsbauteil in regulierten Produkten. Klassische Mittelstandsanwendungen wie automatisierte Angebotserstellung, E-Mail-Triage oder eine Wissensdatenbank sind normalerweise nicht hochriskant. Eine häufig übersehene Ausnahme ist der Personalbereich: KI, die Bewerber vorsortiert oder bewertet, gilt als hochriskant.
Welche KI-Anwendungen sind nach dem AI Act verboten?
Verboten sind seit Februar 2025 unter anderem Social Scoring, manipulative unterschwellige Techniken, das Ausnutzen von Schutzbedürftigkeit, das ungezielte Auslesen von Gesichtsbildern aus dem Internet sowie Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, jeweils mit eng definierten Ausnahmen. Für normale Unternehmen ist vor allem das Verbot der Emotionserkennung am Arbeitsplatz praxisrelevant.
Welche Transparenzpflichten gelten bei KI-Nutzung?
Nutzer müssen erkennen können, dass sie mit einer KI interagieren, etwa bei Chatbots. KI-generierte oder veränderte Inhalte wie Deepfakes müssen entsprechend gekennzeichnet werden. Diese Transparenzpflichten gelten weitgehend seit dem 2. August 2026. Für KI-Systeme, die schon vor diesem Datum auf dem Markt waren, gilt die Kennzeichnungspflicht für Anbieter (Wasserzeichen) nach der Verordnung (EU) 2026/1744 ab dem 2. Dezember 2026. Die Pflichten für Betreiber blieben im Wesentlichen auf dem ursprünglichen Zeitplan.
Was ist Schatten-KI, und warum ist sie ein rechtliches Risiko?
Schatten-KI bezeichnet die inoffizielle Nutzung von KI-Werkzeugen durch Mitarbeiter ohne Wissen oder Freigabe des Unternehmens. Das Risiko ist doppelt: Erstens können vertrauliche Daten ungewollt abfließen, was auch datenschutzrechtlich heikel ist. Zweitens lässt sich die KI-Kompetenz nicht gezielt fördern und die Nutzung nicht steuern, wenn niemand weiß, welche Werkzeuge überhaupt im Einsatz sind. Schatten-KI ist deshalb Chefsache.
Was passiert, wenn meine Mitarbeiter KI-Tools ohne Freigabe nutzen?
Die Verantwortung bleibt beim Unternehmen als Betreiber. Unkontrollierte Nutzung untergräbt die Kompetenz- und Transparenzpflichten und schafft Risiken bei Datenschutz und Geheimnisschutz. Diese Pflichten lassen sich nicht an den einzelnen Mitarbeiter wegdelegieren. Wer nicht weiß, was im Unternehmen läuft, kann auch nichts steuern.
Brauche ich eine KI-Richtlinie im Unternehmen?
Der AI Act verlangt keine einzelne vorgeschriebene Richtlinie. In der Praxis ist eine KI-Nutzungsrichtlinie aber der naheliegende Weg, um die KI-Kompetenz zu fördern, Schatten-KI zu steuern und eine saubere Governance zu belegen. Sie gehört zu den ersten sinnvollen Schritten.
Welche Strafen drohen bei Verstößen gegen den EU AI Act?
Der Bußgeldrahmen ist gestaffelt. Für verbotene Praktiken drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, für Verstöße gegen andere Pflichten bis zu 15 Millionen Euro oder 3 Prozent, für falsche Angaben weniger. Für KMU gelten verhältnismäßige Obergrenzen.
Wie fange ich als Mittelständler mit der AI-Act-Umsetzung an?
Ein pragmatischer Einstieg in vier Schritten: erstens erfassen, welche KI-Werkzeuge tatsächlich im Einsatz sind, inklusive Schatten-KI. Zweitens diese Anwendungen grob nach Risiko einordnen. Drittens die KI-Kompetenz der Mitarbeiter durch rollenbezogene Schulung fördern. Viertens eine KI-Richtlinie aufsetzen und das Ganze dokumentieren. Dieser Bestandsaufnahme-Schritt ist gleichzeitig der beste Ausgangspunkt, um echte Effizienzpotenziale zu finden.
Was kostet die Umsetzung der EU-AI-Act-Pflichten ungefähr?
Das hängt stark vom Einsatzbereich ab. Die Basis aus Kompetenz, Richtlinie und Governance ist mit überschaubarem Aufwand erreichbar. Teuer wird es erst bei echten Hochrisiko-Systemen mit Konformitätsbewertung, die die meisten Mittelständler aber gar nicht betreiben. In der Regel übersteigt der Nutzen eines strukturierten KI-Einsatzes, gemessen in eingesparter Arbeitszeit, den Aufwand für die Compliance-Grundlagen deutlich.
Wie hängen KI-Einführung und EU-AI-Act-Compliance zusammen?
Sie sind dasselbe Projekt. Wer KI strukturiert einführt, also erfasst, welche Werkzeuge genutzt werden, Mitarbeiter schult, Richtlinien setzt und Prozesse dokumentiert, erfüllt damit zugleich die zentralen Pflichten des AI Act. Wer umgekehrt die Compliance ernst nimmt, schafft genau die Ordnung, die produktiven KI-Einsatz erst möglich macht. KI nutzen und KI regelkonform nutzen lassen sich nicht trennen, und das ist die eigentliche Botschaft: Der AI Act ist kein Hindernis für KI im Mittelstand, sondern die Anleitung, sie richtig einzuführen.
Was ist ein KI-Inventar und wie erstelle ich es?
Ein KI-Inventar listet alle KI-Systeme auf, die im Betrieb eingesetzt werden, mit Angaben zu Anbieter, Zweck und Risikoklasse. Unser Compliance-Check erstellt dieses Inventar als Teil der Analyse.
Wie lange dauert ein Compliance-Check?
Die Datenerhebung dauert einen halben Tag. Der vollständige Bericht mit Maßnahmenplan liegt in der Regel innerhalb von 5 Werktagen vor.
Was kostet das Self-Assessment?
Das Online-Self-Assessment ist kostenlos. Es zeigt Ihnen in rund 5 Minuten, welche Pflichten wahrscheinlich für Ihren Betrieb gelten. Für eine gründliche Bestandsaufnahme bieten wir einen strukturierten Compliance-Check an. Eine Rechtsberatung ersetzt beides nicht.