Der EU AI Act und der Mittelstand: Was Geschäftsführer jetzt wissen müssen

Kaum ein Regelwerk sorgt derzeit für so viel Verunsicherung wie der EU AI Act – die weltweit erste umfassende Gesetzgebung für künstliche Intelligenz. Viele Geschäftsführer im Mittelstand fragen sich: Betrifft mich das überhaupt? Wir bauen doch keine KI, wir nutzen sie höchstens. Genau hier liegt das Missverständnis. Der AI Act nimmt nicht nur Entwickler in die Pflicht, sondern in Teilen auch Unternehmen, die KI lediglich einsetzen – und das sind heute praktisch alle. Die gute Nachricht: Für die meisten Mittelständler sind die Anforderungen überschaubar, wenn man sie kennt. Die schlechte: Wer sie ignoriert, riskiert empfindliche Bußgelder. Dieser Beitrag erklärt in klarer Sprache, was der AI Act ist, welche Risikoklassen es gibt, welche Fristen gelten und was Sie als Geschäftsführer jetzt konkret tun sollten.

Hinweis: Dieser Beitrag bietet allgemeine Orientierung und ersetzt keine Rechtsberatung. Die Fristen und Pflichten des AI Act werden schrittweise wirksam – prüfen Sie den aktuellen Stand für Ihren konkreten Fall.

Was der AI Act überhaupt regelt

Der AI Act ist eine EU-Verordnung, die seit August 2024 in Kraft ist und schrittweise wirksam wird. Ihr Ziel ist es, den Einsatz von künstlicher Intelligenz in der EU sicher, transparent und grundrechtskonform zu gestalten – ohne Innovation abzuwürgen. Der zentrale Gedanke ist ein risikobasierter Ansatz: Nicht jede KI wird gleich behandelt. Je größer das potenzielle Risiko für Menschen und Gesellschaft, desto strenger die Anforderungen. Eine KI, die Bewerbungen vorsortiert oder über Kreditwürdigkeit mitentscheidet, wird also anders reguliert als ein Rechtschreibassistent oder ein Spamfilter. Für Unternehmen ist entscheidend, in welche dieser Kategorien die von ihnen genutzten Werkzeuge fallen.

Die vier Risikoklassen – einfach erklärt

Der AI Act unterscheidet vier Stufen. Unannehmbares Risiko: Solche KI-Praktiken sind verboten, etwa Social Scoring durch Behörden oder manipulative Systeme, die Menschen gezielt ausnutzen. Hohes Risiko: KI in sensiblen Bereichen wie Personalauswahl, Kreditvergabe, kritischer Infrastruktur oder bestimmten Sicherheitskomponenten. Hier gelten strenge Auflagen an Dokumentation, Transparenz und menschliche Aufsicht. Begrenztes Risiko: Systeme mit Transparenzpflicht – Nutzer müssen zum Beispiel erkennen können, dass sie mit einem Chatbot sprechen oder dass ein Inhalt KI-generiert ist. Minimales Risiko: Der Großteil der Alltags-KI wie Textassistenten, Übersetzungstools oder Spamfilter – hier bestehen kaum besondere Pflichten. Für die meisten Mittelständler bewegt sich der Alltag in den unteren beiden Kategorien; heikel wird es erst, wenn Hochrisiko-Anwendungen ins Spiel kommen.

Betrifft mich das? Anbieter versus Betreiber

Der AI Act unterscheidet vor allem zwischen Anbietern, die KI entwickeln oder unter eigenem Namen auf den Markt bringen, und Betreibern, die KI im Rahmen ihrer Tätigkeit einsetzen. Die allermeisten mittelständischen Unternehmen sind Betreiber – sie kaufen KI ein oder nutzen sie über Dienste wie Microsoft Copilot. Für Betreiber sind die Pflichten deutlich geringer als für Anbieter, aber sie sind nicht null. Besonders relevant: Wer eine Hochrisiko-KI einsetzt, etwa ein KI-gestütztes Bewerber-Screening, übernimmt konkrete Betreiberpflichten wie menschliche Aufsicht, den bestimmungsgemäßen Einsatz und Informationspflichten gegenüber Betroffenen. Der erste Schritt ist deshalb immer die Frage: Welche KI setzen wir wofür ein – und fällt etwas davon in den Hochrisiko-Bereich?

Die Fristen im Überblick

Der AI Act tritt gestaffelt in Kraft, und einige Stufen gelten bereits. Seit Februar 2025 sind die verbotenen KI-Praktiken untersagt – und, für den Mittelstand besonders wichtig, es gilt eine Pflicht zur KI-Kompetenz: Unternehmen müssen dafür sorgen, dass Mitarbeiter, die mit KI arbeiten, über ausreichendes Grundverständnis verfügen. Seit August 2025 greifen die Regeln für KI-Modelle mit allgemeinem Verwendungszweck sowie Teile der Governance- und Sanktionsvorschriften. Die für viele Unternehmen entscheidende Stufe folgt im August 2026: Dann werden zentrale Pflichten für Hochrisiko-Systeme und die Transparenzanforderungen wirksam. Weitere, in bestehende Produktvorschriften eingebettete Hochrisiko-Fälle folgen mit längeren Übergangsfristen. Wer KI im Unternehmen strukturiert einsetzt, sollte diese Zeitschiene kennen – Stichtage konkret zu prüfen lohnt sich, da Details fortlaufend präzisiert werden.

Was Sie jetzt konkret tun sollten

Für den typischen Mittelständler lässt sich die Umsetzung auf einige handhabbare Schritte herunterbrechen. Erstens: Verschaffen Sie sich einen Überblick, welche KI-Werkzeuge im Unternehmen tatsächlich genutzt werden – auch die inoffiziellen. Zweitens: Ordnen Sie diese grob den Risikoklassen zu und prüfen Sie, ob eine Hochrisiko-Anwendung dabei ist, etwa im Personalwesen. Drittens: Erfüllen Sie die bereits geltende Pflicht zur KI-Kompetenz durch kurze, praxisnahe Schulungen Ihrer Mitarbeiter. Viertens: Halten Sie in einer knappen internen Richtlinie fest, welche Werkzeuge erlaubt sind, wofür sie genutzt werden dürfen und wer die Ergebnisse verantwortet. Damit erfüllen Sie nicht nur einen Großteil der praktischen Anforderungen, sondern schaffen zugleich die Grundlage für einen sicheren und produktiven KI-Einsatz – ganz unabhängig vom Gesetz.

Warum Sie das Thema nicht aussitzen sollten

Manch einer mag hoffen, dass der AI Act den kleinen Mittelständler schon nicht treffen wird. Diese Rechnung ist riskant. Zwar sieht die Verordnung für kleine und mittlere Unternehmen an einigen Stellen Erleichterungen vor, doch die grundlegenden Pflichten gelten unabhängig von der Größe. Und die möglichen Sanktionen sind erheblich: Für verbotene Praktiken drohen Bußgelder im zweistelligen Millionenbereich oder ein Prozentsatz des weltweiten Jahresumsatzes, für andere Verstöße immer noch empfindliche Summen. Für KMU gelten dabei tendenziell die jeweils niedrigeren Beträge – trotzdem bleibt das Risiko real. Hinzu kommt der Reputationsaspekt: Kunden und Partner achten zunehmend darauf, ob ein Unternehmen verantwortungsvoll mit KI umgeht. Wer das Thema früh ordnet, verwandelt eine gesetzliche Pflicht in einen Vertrauensvorsprung.

Fazit

Der EU AI Act ist kein Grund zur Panik, aber ein klarer Handlungsauftrag – auch für den Mittelstand. Die meisten Unternehmen sind Betreiber, nicht Entwickler, und bewegen sich mit ihrer Alltags-KI im niedrigen Risikobereich. Entscheidend ist, dass Sie wissen, welche KI bei Ihnen im Einsatz ist, ob eine Hochrisiko-Anwendung dabei ist und dass Ihre Mitarbeiter kompetent damit umgehen. Wer diese Grundlagen jetzt schafft, muss die kommenden Fristen nicht fürchten, sondern kann KI mit gutem Gewissen als das nutzen, was sie ist: ein Werkzeug, das das Unternehmen voranbringt. Ein erfahrener IT-Partner hilft dabei, aus den abstrakten Vorgaben eine konkrete, machbare Umsetzung zu machen.

Wissen Sie, welche KI in Ihrem Unternehmen im Einsatz ist – und ob sie AI-Act-konform ist?

→ Vereinbaren Sie ein unverbindliches Gespräch. Wir verschaffen Ihnen den Überblick über Ihre KI-Nutzung und helfen, die Anforderungen des AI Act praxisnah umzusetzen.

Häufige Fragen (FAQ)

Diese Q&A-Blöcke eignen sich für FAQ-Schema-Markup und Google-SGE-Featured-Snippets.

Gilt der AI Act auch für kleine Unternehmen?

Ja. Der AI Act kennt keine generelle Ausnahme für kleine Unternehmen. Es gibt zwar Erleichterungen und niedrigere Bußgeld-Obergrenzen für KMU, doch die grundlegenden Pflichten – etwa die KI-Kompetenz der Mitarbeiter und die Anforderungen an Hochrisiko-Anwendungen – gelten unabhängig von der Unternehmensgröße.

Wir nutzen KI nur, entwickeln sie nicht selbst. Reicht das als Entwarnung?

Nicht ganz. Als reiner Anwender (Betreiber) haben Sie deutlich weniger Pflichten als ein Anbieter, aber nicht null. Setzen Sie eine Hochrisiko-KI ein, etwa im Bewerber-Screening, kommen konkrete Pflichten wie menschliche Aufsicht und Information der Betroffenen hinzu. Der erste Schritt ist immer eine Bestandsaufnahme Ihrer KI-Nutzung.

Was bedeutet die Pflicht zur KI-Kompetenz konkret?

Unternehmen müssen sicherstellen, dass Mitarbeiter, die mit KI arbeiten, ein ausreichendes Grundverständnis für deren Funktionsweise, Chancen und Grenzen haben. In der Praxis lässt sich das über kurze, verständliche Schulungen erfüllen – kein IT-Studium, sondern praxisnahes Wissen für den verantwortungsvollen Umgang.

Bis wann müssen wir handeln?

Einige Pflichten gelten bereits (verbotene Praktiken und KI-Kompetenz seit Anfang 2025). Zentrale Anforderungen an Hochrisiko-Systeme und Transparenz werden im Laufe des Jahres 2026 wirksam. Da die Fristen gestaffelt sind und laufend präzisiert werden, empfiehlt sich eine frühzeitige Bestandsaufnahme und die Prüfung des aktuellen Stands für Ihren Fall.