EU AI Act für den Mittelstand: Pflichten, Fristen, Vorgehen

Der EU AI Act ist in Kraft, erste Pflichten gelten bereits. Viele mittelständische Unternehmen wissen trotzdem nicht, ob und wie sie betroffen sind. Die Informationslage hilft dabei wenig. Auf der einen Seite stehen Beratungsangebote, die mit drastischen Bußgeldszenarien arbeiten. Auf der anderen Seite hält sich die Annahme, das Gesetz betreffe ohnehin nur Tech-Konzerne. Beides führt in die Irre. Dieser Guide ordnet ein, was der EU AI Act für den Mittelstand tatsächlich bedeutet: welche Risikoklassen es gibt, welche Fristen gelten, was die Schulungspflicht nach Artikel 4 verlangt und welche Schritte Sie jetzt mit vertretbarem Aufwand gehen sollten.

Was der EU AI Act regelt – und was nicht

Der EU AI Act (Verordnung (EU) 2024/1689) ist das erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Er ist am 1. August 2024 in Kraft getreten und gilt als EU-Verordnung unmittelbar in allen Mitgliedstaaten. Ein nationales Umsetzungsgesetz wie bei Richtlinien ist nicht nötig, auch wenn Deutschland die Aufsichtsstrukturen noch national regelt.

Der zentrale Gedanke: Nicht die Technologie wird reguliert, sondern ihr Einsatzzweck. Der AI Act folgt einem risikobasierten Ansatz. Je höher das Risiko einer KI-Anwendung für Gesundheit, Sicherheit oder Grundrechte, desto strenger die Pflichten. Daraus folgt im Umkehrschluss: Der größte Teil der KI-Nutzung im Mittelstand (Textassistenten, Übersetzung, Recherche, Code-Unterstützung) unterliegt nur geringen oder gar keinen spezifischen Pflichten.

Was der AI Act nicht regelt: Er ist kein Datenschutzgesetz. Die DSGVO gilt parallel und unabhängig weiter. Wer KI-Tools mit personenbezogenen Daten füttert, muss beide Regelwerke beachten.

Die vier Risikoklassen verständlich erklärt

Unannehmbares Risiko: verboten

Artikel 5 verbietet bestimmte KI-Praktiken vollständig, seit dem 2. Februar 2025. Dazu gehören unter anderem Social Scoring (die Bewertung von Personen anhand ihres Sozialverhaltens mit nachteiligen Folgen), manipulative Techniken, die Menschen unterschwellig zu schädlichem Verhalten bewegen, sowie, mit engen Ausnahmen, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen. Für die meisten Mittelständler ist diese Kategorie schnell geprüft. Wer keine solchen Systeme einsetzt, ist hier fertig. Ein Stolperstein ist am ehesten die Emotionserkennung, die in manchen HR- oder Callcenter-Tools als Funktion enthalten sein kann.

Hohes Risiko: streng reguliert

Hochrisiko-KI-Systeme sind erlaubt, unterliegen aber umfangreichen Anforderungen: Risikomanagement, Datenqualität, Dokumentation, menschliche Aufsicht, Genauigkeit und Robustheit. Welche Systeme als Hochrisiko gelten, listet Anhang III der Verordnung auf. Für den Mittelstand relevant sind vor allem:

• Beschäftigung und Personalmanagement: KI zur Bewerbervorauswahl, zur Vergabe von Aufgaben oder zur Leistungs- und Verhaltensbewertung von Mitarbeitenden
• Kreditwürdigkeit: KI-gestützte Bonitätsprüfung natürlicher Personen
• Bildung: KI zur Bewertung von Lernergebnissen oder Zulassungsentscheidungen
• Kritische Infrastruktur: KI als Sicherheitskomponente etwa in der Energie- oder Wasserversorgung

Wichtig: Ein HR-Tool mit KI-Funktion macht Sie nicht automatisch zum streng regulierten Anbieter. Wer ein zugekauftes Hochrisiko-System lediglich einsetzt, ist Betreiber, mit deutlich schlankeren Pflichten (dazu unten mehr).

Begrenztes Risiko: Transparenzpflichten

Für bestimmte KI-Anwendungen gelten Transparenzpflichten nach Artikel 50. Die wichtigsten Fälle: Chatbots müssen sich als KI zu erkennen geben, wenn das für Nutzer nicht offensichtlich ist. KI-generierte oder manipulierte Bild-, Audio- und Videoinhalte (Deepfakes) müssen als solche gekennzeichnet werden. Wer einen Kundenservice-Chatbot betreibt oder KI-generierte Inhalte veröffentlicht, sollte diese Kennzeichnung früh sauber lösen. Der Aufwand ist gering.

Minimales Risiko: keine spezifischen Pflichten

Alles, was in keine der oberen Kategorien fällt (Spamfilter, Rechtschreibkorrektur, die meisten internen Produktivitätsanwendungen), unterliegt keinen besonderen Pflichten aus dem AI Act. Hier landet nach unserer Markteinschätzung der Großteil der heute im Mittelstand eingesetzten KI.

Anbieter oder Betreiber? Ihre Rolle entscheidet

Der AI Act unterscheidet zwischen Anbietern (Provider), also wer ein KI-System entwickelt oder unter eigenem Namen auf den Markt bringt, und Betreibern (Deployer), also wer ein KI-System in eigener Verantwortung beruflich nutzt. Die schweren Pflichten der Hochrisiko-Regulierung treffen primär die Anbieter. Betreiber müssen im Wesentlichen das System bestimmungsgemäß nach Herstellervorgaben verwenden, menschliche Aufsicht sicherstellen und relevante Vorfälle melden.

Ein Punkt verdient Aufmerksamkeit. Wer ein zugekauftes KI-System wesentlich verändert oder unter eigener Marke als Hochrisiko-System anbietet, kann rechtlich in die Anbieterrolle rutschen, mit allen Pflichten. Wer KI-Systeme nicht nur nutzt, sondern in eigene Produkte oder Agent-Lösungen einbaut, sollte diese Abgrenzung vor dem Launch prüfen, nicht danach.

Die Fristen im Überblick

Der AI Act gilt gestaffelt. Die wichtigsten Stichtage:

Eine Einordnung zum Stand: Am 7. Mai 2026 haben sich Rat und Parlament im Rahmen des sogenannten Digital Omnibus vorläufig darauf geeinigt, die Hochrisiko-Fristen zu strecken. Die Anhang-III-Pflichten rücken damit von August 2026 auf Dezember 2027. Die formale Verabschiedung und Veröffentlichung im Amtsblatt standen bei Redaktionsschluss noch aus, werden aber vor August 2026 erwartet. Was bereits gilt, bleibt davon unberührt: die Verbote nach Artikel 5 und die KI-Kompetenzpflicht nach Artikel 4. Wer betroffen sein könnte, prüft den aktuellen Stand vor wichtigen Entscheidungen und verlässt sich nicht darauf, dass Pflichten ganz entfallen.

Die Schulungspflicht nach Artikel 4

Artikel 4 ist die Pflicht, die praktisch jedes Unternehmen mit KI-Einsatz betrifft, unabhängig von der Risikoklasse. Der Wortlaut verlangt von Anbietern und Betreibern, „Maßnahmen zu ergreifen, um nach besten Kräften sicherzustellen“, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Gemeint sind die Fähigkeiten und das Verständnis, KI-Systeme sachkundig einzusetzen und sich der Chancen und Risiken bewusst zu sein.

Was das Gesetz nicht vorschreibt: eine bestimmte Schulungsform, eine Stundenzahl, ein Zertifikat oder eine Prüfung. Die Anforderung ist kontextabhängig. Sie richtet sich nach technischem Vorwissen, Rolle und Einsatzzweck. Eine Fachkraft, die gelegentlich einen Textassistenten nutzt, braucht ein anderes Niveau als ein Team, das ein Hochrisiko-System bedient.

Pragmatisch umsetzen lässt sich Artikel 4 in drei Schritten: erstens erfassen, wer im Unternehmen welche KI-Systeme wofür nutzt; zweitens rollenbezogene Schulungen durchführen, Grundlagen für alle Nutzenden, vertieft für Verantwortliche; drittens die Maßnahmen dokumentieren, denn im Zweifel müssen Sie zeigen können, dass Sie tätig geworden sind. Strukturierte KI-Workshops decken diesen Bedarf ab und schaffen nebenbei das, was Compliance allein nicht leistet: Mitarbeitende, die KI produktiv und sicher einsetzen.

Sanktionen: was im Gesetz steht

Der AI Act sieht Bußgelder vor, gestaffelt nach Schwere des Verstoßes. Die Höchstrahmen nach Artikel 99 reichen bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken; für die meisten anderen Verstöße liegen sie darunter. Für KMU gilt jeweils der niedrigere der beiden Beträge. Das sind Obergrenzen, keine Regelbeträge. Tatsächliche Bußgelder bemessen sich am Einzelfall. Eine etablierte Sanktionspraxis gibt es noch nicht. Wer heute systematisch dokumentiert und nachvollziehbar handelt, steht in jeder denkbaren Prüfung besser da als wer abwartet.

Was Sie jetzt tun sollten: fünf Schritte

• 1. KI-Inventar erstellen. Erfassen Sie alle KI-Systeme im Unternehmen, auch die inoffiziell genutzten Tools einzelner Teams („Schatten-KI“). Ohne vollständiges Bild ist jede Risikobewertung Stückwerk.
• 2. Risikoklassen zuordnen. Prüfen Sie jedes System: Fällt es unter ein Verbot nach Art. 5? Unter einen Hochrisiko-Anwendungsfall nach Anhang III? Unter Transparenzpflichten? Meist landet das meiste bei „minimales Risiko“, aber das Ergebnis gehört dokumentiert.
• 3. Rollen klären. Sind Sie nur Betreiber, oder entwickeln bzw. integrieren Sie KI so, dass Sie zum Anbieter werden? Diese Frage entscheidet über Ihren Pflichtenumfang.
• 4. Artikel 4 umsetzen. Rollenbezogene KI-Schulungen planen, durchführen, dokumentieren. Diese Pflicht gilt bereits.
• 5. Verantwortung verankern. Benennen Sie eine zuständige Person oder ein kleines Gremium für KI-Governance, also die internen Regeln, Zuständigkeiten und Prozesse für den KI-Einsatz. Für die initiale Bestandsaufnahme und den Aufbau schlanker Strukturen muss es keine Vollzeitstelle sein. Ein erfahrener AI-Governance-Berater auf Projektbasis ist für den Mittelstand oft der wirtschaftlichere Weg.

Fazit: Pflichten ernst nehmen, Aufwand richtig dosieren

Der EU AI Act ist für den Mittelstand kein Grund zur Panik, aber auch kein Thema zum Aussitzen. Zwei Pflichten gelten bereits für praktisch alle KI-nutzenden Unternehmen: keine verbotenen Praktiken einzusetzen und die KI-Kompetenz der Mitarbeitenden sicherzustellen. Die strengen Hochrisiko-Anforderungen treffen nur einen kleinen Teil der Unternehmen, und meist in der schlankeren Betreiberrolle. Der pragmatische Weg: jetzt ein KI-Inventar aufbauen, Risikoklassen zuordnen, Schulungen nach Artikel 4 umsetzen und Verantwortung benennen. Damit sind die geltenden Pflichten abgedeckt und die Grundlage für alles Weitere gelegt. Unklare Begriffe von GPAI bis Deployer erklärt unser KI-Glossar; für die strukturierte Umsetzung im Unternehmen sind ein AI-Governance-Berater oder ein kompakter KI-Workshop der sinnvolle erste Schritt.