Im Rahmen von dem EU AI Act hat die EU erstmals einen verbindlichen Rechtsrahmen für Künstliche Intelligenz geschaffen. Seit dem 1. August 2024 ist die Verordnung wirksam, und ihre Verpflichtungen kommen stufenweise. Für KMU ergibt sich die entscheidende Frage: Welche Regeln gelten für mich wirklich – und was soll ich heute schon tun?

Künstliche Intelligenz ist im mittelständischen Sektor längst keine Zukunftsbild mehr. Sie steckt im CRM-System, das Kundenfragen priorisiert und hilft im Beschaffungswesen bei der Bedarfsprognose. Sie erstellt Texte, analysiert Rechnungen und unterstützt die Personalabteilung bei der Auswahl von Bewerbungen.

Eine aktuelle Bitkom-Erfassung belegt, dass gegenwärtig rund 57 Prozent der deutschen Unternehmen KI im Marketing benutzen – meist ohne klare Governance und ohne das passende Bewusstsein für regulatorische Folgen (https://www.mindmelt.de/ki-agentur/blog/eu-ai-act-im-marketing-was-der-mittelstand-wissen-muss/). Wer sich heute orientiert, vermeidet spätere Haftungsrisiken und kann die offene Zeit bis zu den kommenden Stichtagen gezielt nutzen.

Was steckt hinter dem EU AI Act?

Der EU AI Act – offiziell Verordnung (EU) 2024/1689 – ist das weltweit erste weitreichende Regelwerk, das Künstliche Intelligenz risikobasiert reguliert. Anstelle einzelne Technologien pauschal zu untersagen oder zuzulassen, teilt das Vorschriftenwerk KI-Systeme in vier Risikoklassen ein und bindet die Vorgaben an das jeweilige Risikopotenzial.

• Inakzeptables Wagnis: Anwendungen wie Social Scoring durch Ämter oder beeinflussende Systeme, die gezielt Schwächen ausbeuten, sind grundsätzlich untersagt.
• Hohes Risiko: KI in schutzrelevanten oder grundrechtsrelevanten Bereichen wie Recruiting, Kreditwürdigkeitsprüfung oder kritischer Infrastruktur unterliegt rigorosen Vorgaben.
• Eingeschränktes Gefährdungsniveau: Chatbots, Sprachassistenten und KI-generierte Beiträge müssen transparent markiert werden.
• Minimales Risiko: Konventionelle Einsatzbereiche wie Spam-Filter oder Empfehlungssysteme bleiben weitgehend ungeregelt.

Für den KMU-Sektor ist diese Klassifizierung eine positive Mitteilung: Die meisten KI-Anwendungen, die derzeit in typischen KMU laufen, gehören in die niedrigeren zwei Kategorien. Hochrisiko-Systeme sind vergleichsweise die Ausnahme – sie tauchen jedoch schneller auf als gedacht, etwa wenn ein HR-Tool automatisiert Bewerbungen beurteilt oder ein Finanzmodul eine Darlehensentscheidung unterstützt.

Was wann scharfgeschaltet wird

Das EU-KI-Gesetz entwickelt seine Wirkung stufenweise. Entscheidend ist: Einige Pflichten bestehen bereits, andere stehen unmittelbar an, erneut andere wurden durch den sogenannten Digital Omnibus politisch neu ausgehandelt.

Der verpflichtende Zeitplan sieht bisher so aus:

• Ab 2. Februar 2025: Untersagungen bestimmter KI-Praktiken und die Verpflichtung zur KI-Kompetenz nach Artikel 4 sind anwendbar.
• Seit 2. August 2025: Pflichten für Bereitsteller genannter General-Purpose-AI-Modelle gelten.
• Ab 2. August 2026: Offenlegungspflichten nach Artikel 50 und – nach anfänglicher Konzeption – die Vorgaben an Hochrisiko-KI-Systeme.

Artikel 4 AI Act im Alltag

Eine der am häufigsten unterschätzten Bestimmungen ist die KI-Kompetenzpflicht nach Artikel 4. Sie besteht bereits seit dem 2. Februar 2025 – und zwar losgelöst von Risikoklasse, Nische oder Unternehmensgröße (https://ai-act-law.eu/de/artikel/4/).

Konkret verlangt der Gesetzgeber, dass Anbieter und Betreiber von KI-Systemen gewährleisten, dass ihr Personal und alle in ihrem Auftrag handelnden Personen über ein angemessenes Maß an KI-Kompetenz verfügen. Das umfasst auch vermeintlich harmlose Anwendungen wie ChatGPT oder Microsoft Copilot. Sobald ein Mitarbeiter ein KI-Tool im Arbeitskontext nutzt, ergibt sich Schulungsbedarf.

Wir sehen in der Praxis regelmäßig, dass diese Verpflichtung unterbewertet wird. Der Gesetzgeber fordert zwar keine festgelegte Stundenzahl und kein vorgegebenes Schulungsformat, aber drei Kompetenzbereiche sollten abgedeckt sein:

• Technologisches Grundverständnis: Wie arbeitet ein KI-System? Welche Daten nutzt es? Wo befinden sich die Grenzen?
• Juristisches Wissen: Welche Vorschriften bestehen für den Gebrauch, besonders im Zusammenwirken mit DSGVO und branchenspezifischer Compliance?
• Praxisbezogene Kenntnisse: Welche Prompts sind sinnvoll, wo liegen übliche Fehlerquellen, wann ist menschliche Aufsicht zwingend?

Ein Zuwiderhandeln gegen Artikel 4 ist gegenwärtig noch nicht direkt bußgeldbewehrt. Im Fall eines Schadens kann aber eine fehlende Schulung als Missachtung der Sorgfaltspflicht gewertet werden – mit daraus resultierenden Haftungsfolgen für die Geschäftsleitung. Aus unserer Erfahrung als IT-Dienstleister ist die Aussage klar: Besser ein praxisnahes, nachweisbares Schulungskonzept als gar keines.

Der Blick auf Artikel 50 und die Hochrisiko-Regeln

Zwei weitere Regelungsbereiche sind für den KMU-Sektor insbesondere relevant. Zum einen die Transparenzpflichten nach Artikel 50, die voraussichtlich zum 2. August 2026 anwendbar werden. Zum anderen die Vorgaben an Hochrisiko-Systeme, deren Geltung – bedingt vom Digital Omnibus – in den Kalenderjahren 2027 und 2028 folgt.

Die Transparenzpflichten sind rasch erklärt: Wer Chatbots oder KI-Telefonassistenten einsetzt, muss die Nutzer darüber informieren, dass sie mit einem KI-System kommunizieren. Wer KI-generierte Beiträge, Bilder, Audios oder Clips veröffentlicht, muss jene grundsätzlich maschinenlesbar kennzeichnen. Bei Deepfakes, also verblüffend echten Abbildungen realer Personen, ist zusätzlich eine deutlich erkennbare Markierung vorgeschrieben. Für ein mittelgroßes Unternehmen heißt das: Ein eindeutiger Hinweis am Chatbot, ein Eintrag im Impressum und ein Vermerk in der Datenschutzerklärung decken den überwiegenden Teil der Vorgaben ab.

Abweichend sieht es bei Hochrisiko-KI aus. Wer ein System nach Anhang III einsetzt – beispielsweise eine Recruiting-Software mit automatisierter Vorauswahl oder ein Tool zur Kreditwürdigkeitsprüfung – muss eine Konformitätsbewertung durchführen, ein Risikomanagementsystem etablieren, fachtechnische Dokumentation bereitstellen, Protokolle wenigstens sechs Monate speichern und eine menschliche Aufsicht gewährleisten. Diese Anforderungen gelten unabhängig von der Unternehmensgröße. Ein 30-Personen-Mittelständler muss hier gleichermaßen liefern wie ein Konzern.

Die Geldbußen verdeutlichen, wie ernst es die EU meint: Bei Verstößen drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist (https://www.ing-ism.de/magazin/eu-ai-act-informationssicherheit-compliance-mittelstand/).

Der praktische Leitfaden zur Umsetzung

Eine belastbare Vorbereitung muss kein Mammutprojekt sein. Erfahrungsgemäß betrachtet reicht ein strukturiertes Vorgehen in fünf Schritten.

• KI-Inventur: Dokumentieren Sie strukturiert, welche KI-Systeme in welchen Bereichen im Einsatz sind – einschließlich zugekaufter Software, eingebetteter Funktionen in vorhandenen Tools und möglicher Shadow-IT.
• Risikoklassifizierung: Weisen Sie jedes System einer Risikoklasse zu. Oft liegt die überwiegende Anzahl im Segment „minimal“ oder „begrenzt“, vereinzelte Systeme verdienen aber einen zweiten Blick.
• Verantwortlichkeiten benennen: Bestimmen Sie, wer unternehmensintern für KI-Compliance verantwortlich ist. Das kann eine zusätzliche Rolle sein oder in bestehende Strukturen wie Datenschutz oder Informationssicherheit integriert werden.
• Schulungskonzept umsetzen: Bauen Sie ein Basistraining für alle Beschäftigten auf, erweitert um weiterführende Schulungen für Fachbereiche mit intensiverem KI-Einsatz.
• Dokumentation gewährleisten: Halten Sie Rollen, Prozesse, Schulungsnachweise und Bewertungen dokumentiert fest. Im Prüfungsfall zählt nachvollziehbare Dokumentation.

Zahlreiche dieser Maßnahmen können sich mit vorhandenen Prozessen aus DSGVO- und NIS-2-Compliance verbinden. Wer dort bereits strukturiert aufgestellt ist, hat für den EU AI Act einen deutlichen Startvorteil.

Zusammenfassung und Empfehlung

Der EU AI Act ist kein Bedrohungsszenario, aber auch keine Nebensächlichkeit. Er wirkt bereits gegenwärtig – über die KI-Kompetenzpflicht – und wird in den kommenden Monaten und Jahren durch Transparenzregeln und Hochrisiko-Pflichten konkreter. Selbst wenn der Digital Omnibus die Fristen für Hochrisiko-Systeme nach hinten verlegt, bleibt die Entwicklung unverändert: Wer KI im Unternehmen einsetzt, muss Verantwortung dokumentieren, Fähigkeiten aufbauen und Prozesse belastbar gestalten.

Für den Mittelstand besteht darin eine zweifache Chance. Zum einen schafft ein strukturierter Umgang mit KI Zuversicht bei Kunden, Partnern und Prüfern. Andererseits ergibt sich so die Basis, um KI produktiv und rechtssicher in die unternehmenseigene Wertschöpfung zu bringen, anstatt sie aus Unsicherheit zu bremsen.

Sie möchten prüfen, wo Ihr Unternehmen beim Bereich EU AI Act steht, und einen pragmatischen Fahrplan erstellen? Sprechen Sie uns gerne an – als Ihr IT-Dienstleister begleiten wir Sie von der KI-Inventur über die Risikoeinstufung bis zur Schulung Ihrer Beschäftigten.