EU AI Act im Mittelstand: Was gilt jetzt und was kommt noch?
5 Min. Lesezeit
Kurz beantwortet
Für die meisten mittelständischen Unternehmen sind die Pflichten aus dem EU AI Act überschaubar, weil sie KI als Betreiber einsetzen und nicht selbst anbieten. Seit 2025 gilt: KI-Kompetenz der Mitarbeitenden fördern und verbotene Praktiken meiden. Seit August 2026 gelten Transparenzpflichten. Strenge Vorgaben für Hochrisiko-Systeme, etwa in der Personalauswahl, greifen ab Dezember 2027.
Was bedeutet das für Ihr Unternehmen? Erstgespräch vereinbaren
Kaum ein Gesetz sorgt im Mittelstand für so viel Verunsicherung wie der EU AI Act, die europäische KI-Verordnung. Die gute Nachricht vorweg: Die typischen Anwendungen, etwa Texte entwerfen, Dokumente auslesen oder E-Mails sortieren, fallen in die Kategorie mit geringem Risiko. Für sie sind die Pflichten überschaubar und gut umsetzbar.
Sind Sie Anbieter oder Betreiber?
Die Verordnung unterscheidet vor allem zwischen Anbietern, die ein KI-System entwickeln oder unter eigenem Namen in Verkehr bringen, und Betreibern, die ein KI-System in eigener Verantwortung nutzen. Die meisten mittelständischen Unternehmen sind Betreiber.
Vorsicht bei Eigenentwicklungen: Wer ein System eigens für sich entwickeln lässt und unter eigenem Namen einsetzt, kann selbst als Anbieter gelten. Bei Anwendungen mit geringem Risiko hat das kaum Folgen, bei Hochrisiko-Systemen sehr wohl.
Welche Pflichten gelten bereits?
KI-Kompetenz (Art. 4 KI-VO). Seit Februar 2025 müssen Unternehmen, die KI einsetzen, sich um die KI-Kompetenz ihrer Mitarbeitenden kümmern. Seit Ende Juli 2026 ist die Pflicht durch den Digital Omnibus abgeschwächt: Gefordert sind Maßnahmen, die KI-Kompetenz fördern, ein bestimmtes Niveau muss nicht garantiert werden. In der Praxis heißt das: kurze Schulung, klare Regeln, beides dokumentieren.
Verbotene Praktiken (Art. 5 KI-VO). Bestimmte Anwendungen sind seit Februar 2025 untersagt, zum Beispiel die Erkennung von Emotionen am Arbeitsplatz, außer aus medizinischen oder Sicherheitsgründen, oder manipulative Techniken, die Menschen zu ihrem Nachteil beeinflussen.
Transparenz (Art. 50 KI-VO). Seit dem 2. August 2026 gilt: Menschen sollen erkennen, wenn sie mit einer KI sprechen, etwa mit einem Chatbot. Täuschend echte, KI-erzeugte Bilder, Videos oder Tonaufnahmen müssen gekennzeichnet werden. Gleiches gilt für KI-Texte, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren sollen, sofern kein Mensch sie redaktionell verantwortet. Mehr zu Chatbots im Beitrag Lohnt sich ein KI-Chatbot auf der Website?
Was kommt noch?
Der Digital Omnibus, der seit dem 27. Juli 2026 in Kraft ist, hat die Pflichten für Hochrisiko-Systeme verschoben:
- Ab 2. Dezember 2027: eigenständige Hochrisiko-Systeme, etwa KI zur Auswahl von Bewerbern, zur Bewertung von Mitarbeitenden, zur Kreditwürdigkeitsprüfung oder in kritischer Infrastruktur.
- Ab 2. August 2028: KI, die in regulierte Produkte eingebaut ist, etwa in Maschinen oder Medizinprodukte.
Für den Mittelstand sind vor allem zwei Fälle relevant: KI in der Personalarbeit und Hersteller, die KI in ihre Produkte einbauen. In beiden Fällen lohnt sich die Vorbereitung schon jetzt, mit rechtlicher Beratung.
Was sollten Sie jetzt tun?
- KI-Werkzeuge erfassen: Welche Werkzeuge sind im Einsatz, wofür, mit welchen Daten?
- Regeln und Schulung: Die Grundlagen stehen im Beitrag ChatGPT im Unternehmen.
- Hochrisiko prüfen: Gibt es Anwendungen in Personal, Kreditvergabe oder in Ihren Produkten?
- Datenschutz nicht vergessen: Die DSGVO gilt unabhängig vom AI Act weiter. Mehr dazu im Beitrag KI datenschutzkonform nutzen.
Julius Launhardt hilft mittelständischen Unternehmen, KI sicher und mit Augenmaß einzusetzen: Bestandsaufnahme, Regeln und Schulung. Eine Rechtsberatung ersetzt das nicht. Mehr dazu auf der Seite zu IT-, Daten- und KI-Sicherheit.
Häufige Fragen
Gilt der EU AI Act auch für kleine Unternehmen?
Ja, eine generelle Ausnahme nach Unternehmensgröße gibt es nicht. Für typische Anwendungen im Mittelstand sind die Pflichten aber überschaubar: KI-Kompetenz fördern, Transparenz herstellen und verbotene Praktiken meiden.
Muss ich jeden KI-generierten Text kennzeichnen?
Nein. Eine Kennzeichnung ist vor allem bei veröffentlichten Texten zu Themen von öffentlichem Interesse nötig, wenn kein Mensch sie redaktionell prüft und verantwortet. Interne Entwürfe und geprüfte Texte fallen in der Regel nicht darunter.
Wurde der AI Act verschoben?
Teilweise. Mit dem sogenannten Digital Omnibus wurden die Pflichten für Hochrisiko-Systeme auf Dezember 2027 und August 2028 verschoben. Die Pflicht zur KI-Kompetenz, die Verbote und die Transparenzpflichten gelten weiterhin.
Darf ich KI bei der Bewerberauswahl einsetzen?
Grundsätzlich ja, solche Systeme gelten aber als hochriskant. Ab Dezember 2027 gelten dafür strenge Anforderungen. Wer heute damit plant, sollte die Vorgaben früh berücksichtigen und rechtlichen Rat einholen.