Mit dem EU AI Act hat die EU erstmalig einen verbindlichen Rechtsrahmen für Künstliche Intelligenz etabliert. Seit dem 1. August 2024 ist die Verordnung wirksam, und ihre Verpflichtungen kommen stufenweise. Für KMU stellt sich die entscheidende Frage: Welche Vorschriften betreffen mich wirklich – und was soll ich heute schon tun?
KI ist im mittelständischen Sektor längst keine Zukunftsbild mehr. Sie ist im CRM-System, das Kundenfragen priorisiert. Sie unterstützt im Einkauf bei der Bedarfsprognose. Sie formuliert Texte, analysiert Rechnungen und unterstützt die Personalabteilung bei der Auswahl von Bewerbungen.
Eine aktuelle Bitkom-Untersuchung belegt, dass inzwischen rund 57 Prozent der deutschen Firmen KI im Marketing benutzen – meist ohne klare Governance sowie ohne das passende Bewusstsein für regulatorische Folgen. Wer sich heute fokussiert, umgeht spätere Haftungsrisiken und kann die offene Zeit bis zu den nächsten Stichtagen gezielt nutzen.
Was steckt hinter dem EU AI Act?
Der EU AI Act – offiziell Verordnung (EU) 2024/1689 – ist das weltweit erste umfassende Gesetz, das Künstliche Intelligenz risikobasiert steuert. Anstelle einzelne Technologien pauschal zu verbieten oder freizugeben, gliedert das Vorschriftenwerk KI-Systeme in vier Risikokategorien ein und knüpft die Vorgaben an das jeweilige Risikopotenzial.
-
Unzulässiges Wagnis:
Unzulässiges Wagnis: Einsatzformen wie Social Scoring durch Ämter oder manipulative Systeme, die gezielt Anfälligkeiten ausbeuten, sind prinzipiell verboten. -
Erhebliches Risiko:
KI in sicherheits- oder grundrechtsbezogenen Bereichen wie Recruiting, Kreditwürdigkeitsprüfung oder kritischer Infrastruktur unterliegt rigorosen Vorgaben. -
Eingeschränktes Risiko:
Chatbots, Sprachassistenten und KI-generierte Beiträge müssen transparent gekennzeichnet werden. -
Minimales Risiko:
Konventionelle Anwendungen wie Spam-Filter oder Empfehlungssysteme verbleiben größtenteils unreguliert.
Für den KMU-Sektor ist diese Klassifizierung eine positive Nachricht: Die meisten KI-Anwendungen, die heute in typischen KMU laufen, fallen in die niedrigeren beiden Klassen. Hochrisiko-Systeme sind vergleichsweise die Ausnahme – sie tauchen aber schneller auf als gedacht, beispielsweise wenn ein HR-Tool automatisiert Bewerberprofile beurteilt oder ein Finanzmodul eine Kreditentscheidung unterstützt.
Welche Fristen jetzt gelten
Das EU-KI-Gesetz entfaltet seine Auswirkung schrittweise. Entscheidend ist: Einige Pflichten gelten schon, andere stehen unmittelbar an, erneut andere wurden durch den sogenannten Digital Omnibus regierungspolitisch neu ausgehandelt.
Der verpflichtende Zeitplan sieht bislang folgendermaßen aus:
Verbote gewisser KI-Praktiken und die Pflicht zur KI-Kompetenz nach Artikel 4 sind gültig.
Pflichten für Anbieter genannter General-Purpose-AI-Modelle greifen.
Transparenzpflichten nach Artikel 50 und – nach ursprünglicher Konzeption – die Anforderungen an Hochrisiko-KI-Systeme.
Artikel 4 AI Act im Alltag
Eine der am öftesten unterschätzten Vorgaben ist die KI-Kompetenzpflicht nach Artikel 4. Sie gilt schon seit dem 2. Februar 2025 – und zwar unabhängig von Risikoklasse, Nische oder Unternehmensgröße.
Konkret fordert der Normgeber, dass Anbieter und Betreiber von KI-Systemen gewährleisten, dass ihr Personalbestand und sämtliche in ihrem Auftrag handelnden Personen über ein angemessenes Maß an KI-Kompetenz verfügen. Das betrifft auch vermeintlich harmlose Anwendungen wie ChatGPT oder Microsoft Copilot. Sobald ein Mitarbeiter ein KI-Tool im Arbeitskontext nutzt, entsteht Schulungsbedarf.
Wir sehen in der Anwendungspraxis immer wieder, dass diese Pflicht unterbewertet wird. Der Gesetzgeber fordert zwar keine festgelegte Stundenzahl und kein bestimmtes Schulungsformat, aber drei Kompetenzbereiche sollten abgedeckt sein:
-
Technologisches Grundverständnis:
Wie funktioniert ein KI-System? Welche Daten verarbeitet es? Wo befinden sich die Grenzen? -
Rechtliches Fachwissen:
Welche Regeln gelten für den Einsatz, besonders im Zusammenwirken mit DSGVO und branchenspezifischer Compliance? -
Anwendungsbezogene Kenntnisse:
Welche Prompts sind sinnvoll, wo liegen typische Fehlerquellen, wann ist personelle Aufsicht unerlässlich?
Ein Verstoß gegen Artikel 4 ist gegenwärtig noch nicht direkt sanktionsbewehrt. Im Schadensfall kann aber eine mangelnde Schulung als Verletzung der Sorgfaltspflicht gewertet werden – mit daraus resultierenden Haftungsfolgen für die Geschäftsleitung. Aus unserer Erfahrung als IT-Dienstleister ist die Aussage eindeutig: Lieber ein praxisnahes, dokumentiertes Schulungskonzept als gar keines.
Transparenz und Hochrisiko-KI: Was sonst noch auf den Mittelstand zukommt
Zwei zusätzliche Regelungsbereiche sind für den Mittelstand besonders bedeutsam. Zum Ersten die Transparenzpflichten nach Artikel 50, die voraussichtlich zum 2. August 2026 anwendbar werden. Zum Zweiten die Vorgaben an Hochrisiko-Systeme, deren Anwendung – abhängig vom Digital Omnibus – in den Jahren 2027 und 2028 einsetzt.
Die Transparenzpflichten sind schnell erläutert: Wer Chatbots oder KI-Telefonassistenten einsetzt, muss die Anwender darüber informieren, dass diese mit einem KI-System interagieren. Wer KI-generierte Texte, Bilder, Audios oder Clips publiziert, muss jene grundsätzlich maschinenlesbar kennzeichnen. Bei Deepfakes, also täuschend realistischen Abbildungen realer Personen, ist zusätzlich eine sichtbare Kennzeichnung vorgeschrieben. Für ein mittelständisches Unternehmen bedeutet das: Ein klarer Hinweis am Chatbot, ein Vermerk im Impressum und ein Vermerk in der Datenschutzerklärung decken den überwiegenden Teil der Anforderungen ab.
Abweichend schaut es bei Hochrisiko-KI aus. Wer ein System nach Anhang III einsetzt – beispielsweise eine Recruiting-Software mit automatischer Vorauswahl oder ein Tool zur Kreditwürdigkeitsprüfung – muss eine Konformitätsbewertung durchführen, ein Risikomanagementsystem einführen, technische Dokumentation vorhalten, Protokolle mindestens sechs Monate aufbewahren und eine personelle Überwachung sicherstellen. Diese Vorgaben gelten ungeachtet der Unternehmensgröße. Ein 30-Personen-Mittelständler muss hier genauso erfüllen wie ein Konzern.
Die Bußgelder machen klar, wie ernst es die EU meint: Bei Verstößen drohen bis zu 35 Millionen Euro oder 7 Prozent des globalen Jahresumsatzes, je nachdem, welcher Betrag höher ist.
In fünf Schritten zur EU-AI-Act-Compliance
Eine tragfähige Vorplanung muss kein Großprojekt sein. Erfahrungsgemäß genügt ein systematisches Verfahren in fünf Schritten.
Für den KMU-Sektor ist diese Klassifizierung eine positive Nachricht: Die meisten KI-Anwendungen, die heute in typischen KMU laufen, fallen in die niedrigeren beiden Klassen. Hochrisiko-Systeme sind vergleichsweise die Ausnahme – sie tauchen aber schneller auf als gedacht, beispielsweise wenn ein HR-Tool automatisiert Bewerberprofile beurteilt oder ein Finanzmodul eine Kreditentscheidung unterstützt.
-
KI-Inventur:
Dokumentieren Sie systematisch, welche KI-Systeme in welchen Abteilungen im Einsatz sind – inklusive extern beschaffter Software, eingebetteter Funktionen in vorhandenen Tools und möglicher Shadow-IT. -
Risikoklassifizierung:
Weisen Sie jedes System einer Risikoklasse zu. Oft liegt die überwiegende Anzahl im Segment „minimal“ oder „begrenzt“, vereinzelte Systeme verdienen aber einen genaueren Blick. -
Verantwortlichkeiten benennen:
Bestimmen Sie, wer unternehmensintern für KI-Compliance verantwortlich ist. Das kann eine neue Rolle sein oder in bestehende Organisationseinheiten wie Datenschutz oder Informationssicherheit eingebunden werden. -
Schulungskonzept realisieren:
Stellen Sie ein Basistraining für alle Beschäftigten auf, erweitert um vertiefte Schulungen für Fachbereiche mit intensiverem KI-Einsatz. -
Dokumentation sichern:
Halten Sie Rollen, Prozesse, Schulungsnachweise und Bewertungen schriftlich fest. Im Prüfungsfall entscheidet eine nachvollziehbare Dokumentation.
Zahlreiche dieser Maßnahmen lassen sich mit bestehenden Prozessen aus DSGVO- und NIS-2-Compliance verbinden. Wer dort bereits strukturiert aufgestellt ist, hat für den EU AI Act einen erheblichen Vorsprung.
Zusammenfassung und Empfehlung
Der EU AI Act ist kein Schreckgespenst, aber auch keine Nebensächlichkeit. Er greift bereits heute – über die KI-Kompetenzpflicht – und wird in den kommenden Monaten und Jahren durch Transparenzregeln und Hochrisiko-Pflichten konkreter. Selbst wenn der Digital Omnibus die Fristen für Hochrisiko-Systeme nach hinten verschiebt, bleibt die Entwicklung gleichbleibend: Wer KI im Unternehmen einsetzt, muss Verantwortung dokumentieren, Fähigkeiten aufbauen und Prozesse belastbar gestalten.
Für den Mittelstand besteht darin eine doppelte Chance. Einerseits schafft ein strukturierter Umgang mit KI Vertrauen bei Kunden, Partnern und Prüfern. Zum anderen entsteht so die Grundlage, um KI gewinnbringend und rechtssicher in die unternehmenseigene Wertschöpfung zu integrieren, statt sie aus Ungewissheit zu behindern.
Sie möchten bewerten, wo Ihr Unternehmen beim Thema EU AI Act positioniert ist, und einen pragmatischen Umsetzungsplan erstellen?
Sprechen Sie uns gerne an – als Ihr IT-Dienstleister unterstützen wir Sie von der KI-Inventur über die Risikoeinstufung bis zur Schulung Ihrer Mitarbeitenden.
