EU AI Act in der Praxis: Was KMUs bis August 2026 wirklich geregelt haben sollten

Der EU AI Act ist inzwischen weniger ein Gesetzestext als ein Vertriebsargument. Wir bekommen regelmäßig Screenshots von Mails, in denen mittelständischen Unternehmen empfohlen wird, ein sechsstelliges Compliance-Projekt aufzusetzen, weil sie ein Transkriptionstool einsetzen. In fast allen Fällen, die wir gesehen haben, war das deutlich überzogen. Gleichzeitig gibt es einen Kern an Pflichten, den man tatsächlich erledigt haben sollte, und der ist erstaunlich klein.

Ein wichtiges Update vorweg: Mit dem sogenannten Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) hat die EU die Fristen für Hochrisiko-KI verschoben. Die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III, dazu zählen etwa automatisierte Bewerberauswahl oder Leistungsbeurteilung, gelten erst ab 2. Dezember 2027. Die Transparenzpflichten nach Artikel 50, also der Hinweis, wenn Menschen mit KI interagieren oder Gespräche verarbeitet werden, gelten dagegen unverändert ab 2. August 2026. Für die meisten KMUs, die KI nur betreiben, ändert das an der Praxis wenig, es verschafft nur bei den heikleren Anwendungsfällen etwas mehr Zeit.

Der erste Schritt ist die Rollenfrage. Fast jedes KMU ist Betreiber, nicht Anbieter (die Rollen definiert Artikel 3 des AI Act). Sie entwickeln kein KI-System, Sie setzen eines ein. Diese Unterscheidung entscheidet über den Großteil Ihrer Pflichten, und sie wird in Beratungsangeboten regelmäßig verwischt. Anbieterpflichten wie technische Dokumentation (Artikel 11), Konformitätsbewertung (Artikel 43) und CE-Kennzeichnung (Artikel 48) liegen bei Ihrem Softwarelieferanten. Prüfen Sie das im Vertrag, nicht im Marketingmaterial.

Der zweite Schritt ist die Risikoeinstufung Ihrer konkreten Anwendungsfälle, nicht Ihrer Tools. Dasselbe Werkzeug kann harmlos oder heikel sein, je nachdem, wofür Sie es nutzen. Ein Meetingprotokoll für ein Projektteam ist unkritisch. Dieselbe Technologie zur automatisierten Bewertung von Bewerbungsgesprächen oder zur Leistungsbeurteilung von Mitarbeitenden bewegt sich in einem ganz anderen Bereich. Schreiben Sie deshalb Anwendungsfälle auf, nicht Produktnamen.

Der dritte Schritt ist KI-Kompetenz (Artikel 4). Diese Pflicht wird am häufigsten übersehen und ist gleichzeitig am einfachsten zu erfüllen. Seit dem Digital Omnibus ist sie etwas weicher formuliert, Unternehmen sollen KI-Kompetenz fördern statt strikt sicherstellen, am praktischen Vorgehen ändert das nichts. Verlangt wird, dass die Menschen, die mit den Systemen arbeiten, verstehen, was das System tut, wo seine Grenzen liegen und wann sie eingreifen müssen. Eine zweistündige Schulung mit echten Beispielen aus Ihrem Haus, ein kurzes Merkblatt und eine Teilnehmerliste erfüllen den Zweck. Wichtig ist die Nachweisbarkeit, nicht der Umfang.

Der vierte Schritt ist Transparenz (Artikel 50). Wenn Gespräche aufgezeichnet oder verarbeitet werden, müssen die Beteiligten das wissen. Das ist ohnehin datenschutzrechtlich geboten und in der Praxis auch kulturell der entscheidende Punkt. Wir empfehlen einen Standardsatz zu Beginn jedes Termins und eine Betriebsvereinbarung, die klarstellt, dass Aufzeichnungen nicht zur Leistungskontrolle verwendet werden. Ohne diese Zusage folgt Ihnen im Betriebsrat niemand, mit ihr geht es meist überraschend schnell.

Der fünfte Schritt ist menschliche Aufsicht, und zwar konkret statt konzeptionell (bei Hochrisiko-Systemen verlangt Artikel 14 genau das). Es reicht nicht, in einer Richtlinie zu schreiben, dass der Mensch die letzte Instanz ist. Es braucht eine benannte Person pro Anwendungsfall, ein festgelegtes Prüfintervall und einen dokumentierten Weg, Fehler zu melden. Warum wir Human in the Loop als Grundprinzip verstehen, haben wir separat beschrieben. Genau das ist in vielen Unternehmen der einzige echte Aufwand, und er lohnt sich unabhängig von jeder Regulierung.

Was können Sie ignorieren?

Sie brauchen kein zertifiziertes KI-Managementsystem, um ein Dokumentationstool einzusetzen. Sie brauchen keine Risikoanalyse für jeden Chatbot, den ein Mitarbeitender einmal ausprobiert hat. Und Sie brauchen keine externe Zertifizierung, wenn Sie ausschließlich Systeme mit geringem Risiko betreiben. Was Sie brauchen, ist eine aktuelle Liste Ihrer Anwendungsfälle, klare Verantwortlichkeiten und Nachweise über Schulung und Aufsicht.

Ein realistischer Fahrplan für ein Unternehmen mit 50 bis 500 Mitarbeitenden umfasst drei Termine. Im ersten sammeln Sie alle tatsächlich genutzten KI-Anwendungen ein, auch die inoffiziellen, und das sind meist mehr, als die Geschäftsführung vermutet. Im zweiten ordnen Sie jedem Anwendungsfall eine verantwortliche Person und eine Risikoeinschätzung zu. Im dritten legen Sie Schulung, Transparenzhinweise und Prüfintervalle fest. Danach ist die Sache in einem Dokument von wenigen Seiten geregelt und muss nur einmal jährlich aktualisiert werden.

Der eigentliche Nutzen dieser Übung liegt übrigens selten in der Compliance. Er liegt darin, dass Sie zum ersten Mal einen vollständigen Überblick haben, wo in Ihrem Unternehmen KI tatsächlich eingesetzt wird. Diese Liste ist in den meisten Fällen die beste Grundlage für die nächste Investitionsentscheidung, die Sie ohnehin treffen müssen. Wie sich daraus ein tragfähiger Rahmen bauen lässt, zeigt unser Beitrag zu Responsible AI im Unternehmen, weitere Artikel finden Sie unter KI im Mittelstand.