EU AI Act 2026: Was Ihr Unternehmen jetzt wissen muss

Der EU AI Act kommt, und er betrifft auch Sie

Vielleicht haben Sie es schon mitbekommen: Die EU hat mit dem AI Act das weltweit erste umfassende KI-Gesetz verabschiedet. Seit August 2024 ist es in Kraft und wird stufenweise anwendbar. Ab August 2026 greifen weitere Pflichten, allen voran die Transparenzregeln, auch für den deutschen Mittelstand.

Was bedeutet das konkret für Ihr Unternehmen? Müssen Sie jetzt handeln? Und was passiert, wenn Sie es nicht tun? In diesem Artikel erfahren Sie alles, was Sie als KMU-Entscheider wissen müssen.

Was ist der EU AI Act?

Der EU AI Act ist eine europäische Verordnung, die den Einsatz von Künstlicher Intelligenz reguliert. Das Ziel: KI soll sicher, transparent und vertrauenswürdig eingesetzt werden, ohne Innovation zu bremsen.

Die Verordnung unterscheidet KI-Systeme nach ihrem Risikopotenzial in vier Stufen:

• Unannehmbares Risiko: Komplett verboten (z.B. Social Scoring, manipulative KI)
• Hohes Risiko: Streng reguliert (z.B. KI in der Personalauswahl oder Kreditvergabe)
• Begrenztes Risiko: Transparenzpflichten (z.B. Chatbots müssen als KI erkennbar sein)
• Minimales Risiko: Keine besonderen Auflagen (z.B. Spam-Filter, Rechtschreibprüfung)

Der Zeitplan: Was gilt ab wann?

Die Umsetzung erfolgt stufenweise. Der Zeitplan für die Hochrisiko-Pflichten wurde zuletzt gestreckt, die aktuellen Stufen sehen so aus:

• Februar 2025: Verbot von KI-Systemen mit unannehmbarem Risiko, zusätzlich gilt Artikel 4 zur KI-Kompetenz, seit Juli 2026 in entschärfter Fassung
• August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck (z.B. GPT-basierte Tools)
• August 2026: Die Transparenzpflichten werden anwendbar (z.B. Kennzeichnung von Chatbots und KI-generierten Inhalten)
• Dezember 2027: Die Anforderungen an Hochrisiko-KI nach Anhang III greifen (z.B. Personalauswahl, Kreditvergabe)
• August 2028: Die Pflichten für Hochrisiko-KI in regulierten Produkten (Anhang I) folgen

Einen laufend aktualisierten Überblick über die Fristen bietet die Europäische Kommission. Das heißt: Sie haben noch Zeit, aber die Vorbereitung sollten Sie jetzt beginnen.

Was bedeutet das für KMUs?

Die gute Nachricht zuerst: Der AI Act berücksichtigt die besondere Situation kleinerer Unternehmen. KMUs und Start-ups profitieren von:

• Vereinfachter Dokumentation: Die technische Dokumentation kann in reduzierten Formen eingereicht werden
• Regulatory Sandboxes: Sichere Testumgebungen unter behördlicher Aufsicht, mit priorisiertem und kostenlosem Zugang für KMUs
• Niedrigere Bußgeld-Obergrenzen: Für KMUs gilt bei Verstößen jeweils der niedrigere absolute Betrag

Trotzdem: Wenn Sie KI-Systeme einsetzen, und sei es nur ChatGPT für die Kundenberatung, sollten Sie sich mit dem Thema beschäftigen.

Die versteckte Gefahr: Schatten-KI

Erhebungen deuten darauf hin, dass Mitarbeitende in vielen Unternehmen private KI-Tools für die Arbeit nutzen, ohne Wissen oder Zustimmung der Geschäftsführung. Das ist ein Problem, denn:

• Sie wissen nicht, welche Daten in welche Systeme fließen
• Sie können keine Risikoklassifizierung vornehmen
• Im Falle einer Prüfung sind Sie nicht nachweisfähig

Der erste Schritt ist daher kein technischer, sondern ein organisatorischer: Schaffen Sie Transparenz darüber, welche KI-Tools in Ihrem Unternehmen bereits genutzt werden.

Ihr 5-Schritte-Plan für die Vorbereitung

1. KI-Inventar erstellen

Listen Sie alle KI-Systeme auf, die in Ihrem Unternehmen eingesetzt werden, offiziell und inoffiziell. Dazu gehören auch KI-Funktionen in bestehender Software (z.B. KI-gestützte E-Mail-Filter, Übersetzungstools, CRM-Assistenten).

2. Risikostufen klassifizieren

Ordnen Sie jedes System einer Risikokategorie zu. Die meisten Tools im Mittelstand fallen in die Kategorien „minimales" oder „begrenztes" Risiko. Aber prüfen Sie genau, ein KI-gestütztes Bewerbermanagement wäre z.B. hochriskant.

3. Interne Richtlinien erstellen

Definieren Sie klare Policies: Wer darf welche KI-Tools nutzen? Welche Daten dürfen verarbeitet werden? Wer ist verantwortlich? Diese Richtlinien sind nicht nur Best Practice, sie erleichtern Ihnen den Nachweis, sobald die jeweiligen Pflichten greifen.

4. Mitarbeiter schulen

Seit Februar 2025 gilt Artikel 4 zur KI-Kompetenz, seit dem 27. Juli 2026 in entschärfter Fassung. Sie müssen die Entwicklung der KI-Kompetenz Ihres Personals unterstützen, ein bestimmtes Niveau aber ausdrücklich nicht garantieren. Planen Sie Einweisungen ein, das muss keine Raketenwissenschaft sein. Eine Dokumentationspflicht schreibt Artikel 4 nicht vor. Ein kurzer interner Vermerk ist trotzdem sinnvoll, weil er zeigt, welche Maßnahmen Sie ergriffen haben.

5. Unterstützung nutzen

Die Bundesnetzagentur hat mit dem KI-Servicedesk eine Anlaufstelle eingerichtet, die Unternehmen bei der Einschätzung ihrer Pflichten unterstützt. Außerdem bieten die Mittelstand-Digital Zentren kostenlose Beratung und Workshops an.

Fazit: Kein Grund zur Panik, aber zum Handeln

Der EU AI Act ist keine Innovationsbremse, er schafft Spielregeln, die langfristig Vertrauen und Rechtssicherheit bringen. Für den Mittelstand ist jetzt der richtige Zeitpunkt, sich vorzubereiten: nicht hektisch, aber konsequent.

Fangen Sie mit dem KI-Inventar an. Erstellen Sie Ihre internen Richtlinien. Und holen Sie sich Unterstützung, dafür sind wir da. Die Unternehmen, die jetzt handeln, werden nicht nur compliant sein, sondern sich einen echten Wettbewerbsvorteil sichern.

Erfahren Sie in unserem Artikel KI-Strategie für den Mittelstand, wie Sie KI strukturiert und compliant in Ihr Unternehmen einführen. Welche konkreten KI-Tools für den Mittelstand es gibt und worauf Sie bei der DSGVO-Konformität achten sollten, lesen Sie ebenfalls in unserem Blog.

Wie KI-reif ist Ihr Unternehmen?

Finden Sie es in 2 Minuten heraus, mit unserem kostenlosen KI-Potenzialcheck.

Jetzt Potenzial prüfen →