Der EU AI Act für den Mittelstand.
Pflichten klären. Risiken einordnen. Souverän handeln — ohne Panik, ohne Überregulierung, ohne Beraterprosa.
2–3 Termine über 3–4 Wochen
KI im Einsatz, Anbieten oder Vertrieb — Pflichten unklar
Risikoklassifizierung + Pflichten-Mapping + Drei-Schritt-Plan
Geschäftsführung & Datenschutz / Compliance
„Wir nutzen doch nur ChatGPT.„ Dieser Satz ist kein Freifahrtschein.
Sechs Anzeichen, dass der EU AI Act näher ist, als Sie denken.
- Mitarbeitende nutzen ChatGPT und Copilot — ohne dass jemand die Regeln dafür kennt.
- KI-Tools sind im Einsatz, aber nirgends dokumentiert, wer sie wofür verwendet.
- Niemand im Haus kann die Risikoklasse Ihrer KI-Anwendungen benennen.
- Die KI-Kompetenzpflicht ist Ihnen ein Begriff — aber es gibt keine Schulung dazu.
- Sie integrieren oder vertreiben ein Produkt mit KI-Komponente, ohne die ausgelösten Pflichten zu kennen.
- Die Geschäftsführung fragt nach Verantwortung und Haftung — und es bleibt still.
Unsicher, wie betroffen Sie sind? Der KI-Readiness-Check gibt Ihnen in wenigen Minuten eine erste Standortbestimmung — acht Fragen, ehrliche Auswertung, kein Verkauf.
Check startenWas ist der EU AI Act?
Die meisten Unternehmen fragen mich, welches KI-Tool sie einsetzen sollen. Die wichtigere Frage ist eine andere: Wer trägt die Verantwortung, wenn das Ergebnis falsch ist? Genau dort setzt der EU AI Act an.
Formal ist er die weltweit erste umfassende Regulierung künstlicher Intelligenz (Verordnung 2024/1689) — gültig seit August 2024, gestaffelt in Kraft bis 2028. Aber die Jahreszahlen sind nicht der Punkt.
Der AI Act ist kein Innovationsverbot. Er zwingt nur dazu, den Nutzen einer KI gegen die Verantwortung abzuwägen, die ihr Einsatz mit sich bringt. Anders als bei der DSGVO geht es nicht primär um Daten, sondern um die Rolle, in der Sie KI einsetzen — und um das Risiko für Menschen und Organisationen.
Wer KI nutzt, anbietet, vertreibt oder importiert, hat unterschiedliche Pflichten. Die erste Frage ist deshalb immer dieselbe: Was tun Sie eigentlich genau mit KI?
Vier Klassen.
Vier verschiedene Welten.
Der AI Act sortiert KI nach Risiko — nicht nach Technik. Welche Klasse für Sie greift, hängt davon ab, was die KI für wen entscheidet.
Unannehmbares Risiko
Strikt untersagt seit 02.02.2025
Beispiele
- Social Scoring durch Behörden
- Biometrische Massenüberwachung
- Manipulative Verhaltenssteuerung
Pflicht
Komplett verboten. Wer betreibt, riskiert 7 % vom Konzernjahresumsatz.
Hohes Risiko
Volle Pflichten ab 02.12.2027 · verschoben durch den Digital Omnibus
Beispiele für KMU
- HR-Software für Bewerber-Vorauswahl
- Kreditwürdigkeits- und Scoring-KI
- KI in kritischer Infrastruktur
- Bildungs-/Prüfungs-Bewertung
Pflicht
Risiko-Management, Datenqualität, Doku, menschliche Aufsicht, Konformitätsbewertung.
Begrenztes Risiko
Transparenzpflicht ab 02.08.2026
Beispiele
- Chatbots im Kundenservice
- KI-generierte Bilder/Texte (Deepfake-Kennzeichnung)
- Emotion-Recognition in nicht-Hochrisiko-Kontext
Pflicht
Klare Kennzeichnung: „Sie sprechen mit einer KI.“ KI-Outputs als solche markieren.
Minimales Risiko
Frei nutzbar — Empfehlungen
Beispiele
- Spam-Filter
- KI in Computerspielen
- Übersetzungs-Tools, Suchassistenten
- Allgemeines ChatGPT/Copilot ohne Hochrisiko-Kontext
Pflicht
Keine direkten Vorschriften. Aber: KI-Kompetenz im Unternehmen ist Pflicht.
Was gilt wann?
Die meisten Unternehmen glauben, sie hätten noch Jahre Zeit. Andere glauben seit der Verschiebung der Hochrisiko-Pflichten, das Thema sei vom Tisch. Beides stimmt nicht: Ein Teil der Pflichten gilt bereits heute, ein anderer wurde auf Ende 2027 verschoben. Wer weiß, was für ihn gilt, kann in Ruhe planen — statt zweimal zu handeln.
-
02.02.2025 Gilt seit 19 Monaten
Verbote in Kraft
Verbotene Praktiken (Klasse 1) sind untersagt. KI-Kompetenz im Unternehmen wurde Pflicht.
-
02.08.2025 Gilt seit 13 Monaten
GPAI-Pflichten
Anbieter von General-Purpose-AI (GPT, Claude, Gemini) erfüllen Transparenz-, Doku- und Urheberrechts-Pflichten.
-
02.08.2026 Gilt seit 1 Monaten
Transparenzpflichten (Art. 50)
Chatbots müssen sich als KI zu erkennen geben. Deepfakes und KI-Texte zu Themen öffentlichen Interesses müssen gekennzeichnet werden. Nicht verschoben — das gilt jetzt.
-
02.12.2026 In 3 Monaten
Neue Verbote & Nachrüstfrist
Verbot von KI-generierten intimen Inhalten ohne Einwilligung und Missbrauchsdarstellungen. Außerdem: Frist für die maschinenlesbare Markierung bei bereits im Markt befindlichen Systemen.
-
02.12.2027 In 15 Monaten
Hochrisiko (Anhang III)
Hochrisiko-KI in HR, Kreditwesen, kritischer Infrastruktur. Verschoben durch den Digital Omnibus — ursprünglich 02.08.2026.
-
02.08.2028 In 23 Monaten
Hochrisiko in Produkten (Anhang I)
KI, die in regulierte Produkte eingebettet ist (Maschinen, Medizintechnik, Fahrzeuge).
Stand: 09/2026
Mehr Zeit — aber nicht überall.
Am 27. Juli 2026 ist der Digital Omnibus in Kraft getreten — Änderungsverordnung (EU) 2026/1744. Die Fristen für Hochrisiko-Systeme verschieben sich damit um zwölf bis sechzehn Monate.
Was dabei häufig falsch wiedergegeben wird: Die Transparenzpflichten wurden nicht verschoben. Artikel 50 gilt seit dem 2. August 2026. Wer einen Chatbot betreibt oder KI-generierte Texte zu Themen öffentlichen Interesses veröffentlicht, ist in der Pflicht. Lediglich die maschinenlesbare Markierung bereits ausgelieferter Systeme hat bis Dezember Zeit.
Und beim Hochrisiko gilt: Verschoben wurde der Zeitpunkt, nicht der Inhalt. Wer jetzt aufatmet und das Thema vertagt, steht in achtzehn Monaten vor derselben Aufgabe — mit weniger Zeit und denselben Altsystemen.
Drei Schritte
ohne Panik.
Es gibt einen ruhigen, machbaren Einstieg. Genau diese drei Schritte.
Bestandsaufnahme
Wo wird in Ihrem Unternehmen heute KI eingesetzt — auch dort, wo Sie es nicht so nennen? ChatGPT-Lizenzen, HR-Tools, Office 365 Copilot, Lieferanten-Software.
Liefert: KI-Inventar
Risikoeinschätzung
Welche dieser KI fällt in Klasse 1, 2, 3 oder 4? Wer ist Anbieter, wer Betreiber? Diese Einordnung entscheidet, was Sie regeln müssen — und was nicht.
Liefert: Klassifizierung je System
Verantwortlichkeiten klären
Wer haftet wofür? Wer schult? Wer dokumentiert? Wer prüft regelmäßig? Klar verteilen, schriftlich festhalten — und dann normal weitermachen.
Liefert: Governance-Skizze
Was Sie danach einordnen können.
Klarheit über Ihre Pflichten
Welche Risikoklasse und welche Fristen für Sie gelten.
Einordnung Ihrer KI-Nutzung
Was erlaubt, was heikel, was zu dokumentieren ist.
Ein Fahrplan
Was bis wann zu tun ist — bevor andere es für Sie entscheiden.
Was Entscheider
am häufigsten fragen.
01 Wir nutzen ja nur ChatGPT — sind wir betroffen?
Ja, aber meist im niedrigsten Maß. Standard-ChatGPT-Nutzung fällt in der Regel unter „minimal“ oder „begrenzt“. Pflichtig wird es, sobald Sie KI-Antworten ungeprüft als Entscheidungsgrundlage einsetzen — etwa in Bewerbungsfilter oder Kreditprüfung. Dann kann derselbe Chatbot plötzlich Hochrisiko sein.
02 Was ist der Unterschied zwischen Anbieter und Betreiber?
Anbieter entwickelt oder bringt KI in Verkehr. Betreiber/Deployer setzt KI im Geschäftsbetrieb ein. Die meisten KMU sind Betreiber — und haben damit deutlich weniger, aber konkrete Pflichten: Aufsicht, Schulung, Dokumentation, Risikobewertung der konkreten Anwendung.
03 Was kostet uns das?
Kommt darauf an, was Sie heute haben. Eine ehrliche Standortbestimmung dauert in der Regel 2–3 Termine. Kosten dafür liegen typischerweise im niedrigen vierstelligen Bereich. Was die Erfüllung kostet, hängt davon ab, welche Klasse Sie betreiben — und ob bestehende Prozesse aus DSGVO oder ISO bereits vorgreifen.
04 Was passiert, wenn wir nichts tun?
Bei Klasse 1: bis 7 % vom weltweiten Konzern-Jahresumsatz. Bei Klasse 2: bis 3 %. Realistisch wahrscheinlich nicht für ein KMU mit ChatGPT-Lizenz, aber sehr wohl für jemanden, der eine HR-KI ohne Aufsicht laufen lässt. Wichtiger als die Strafe: Sie verlieren Vertrauen — bei Kunden, bei Aufsichtsbehörden, bei Mitarbeitenden.
05 Brauchen wir einen externen KI-Beauftragten?
Pflicht ist das nicht. Aber: KI-Kompetenz im Unternehmen ist seit 02.02.2025 gesetzlich gefordert. Wer das intern abdecken kann, braucht keinen externen Beauftragten. Wer es nicht kann, hat zwei Optionen: aufbauen oder einkaufen. Beides ist legitim — nichts tun ist es nicht.
06 Wie viel Zeit haben wir noch?
Weniger, als die Schlagzeilen suggerieren. Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50: Chatbots müssen sich als KI zu erkennen geben, Deepfakes und KI-Texte zu Themen öffentlichen Interesses müssen gekennzeichnet werden. Das wurde nicht verschoben.
Verschoben wurden die Hochrisiko-Pflichten: Anhang III von 02.08.2026 auf 02.12.2027, Anhang I auf 02.08.2028. Bereits ausgelieferte Systeme haben für die maschinenlesbare Markierung bis 02.12.2026 Zeit.
Was sich nicht verschoben hat: die Pflichten selbst. Sechzehn Monate klingen nach viel. Wer eine KI-Inventur, Risikoklassifizierung und Verantwortungsstruktur aufbauen muss, hat sie aufgebraucht.
Drei Wege, mit denen Sie
nicht allein bleiben.
KI-Standortbestimmung
Eine ehrliche Diagnose: wo Sie heute mit KI stehen, was Pflicht ist, was Kür — und was Sie sich erst einmal sparen können.
→KI-Readiness-Check
In 10 Minuten ein erstes Bild: wie weit Ihre Organisation in Sachen KI-Reife steht. Mit konkreten Maßnahmen-Vorschlägen.
→Strategisches Sparring
Wenn Sie keinen Berater wollen, sondern jemanden, mit dem Sie Entscheidungen vor- und nachbesprechen können. Auf Augenhöhe.
→
Bevor Sie die nächste KI-Entscheidung allein treffen —
nehmen wir uns 20 Minuten.
Kostenfrei. Ohne Vorbereitung. Ohne Vorvertrag. Mit ehrlicher Einordnung statt Sales-Pitch.