EU AI Act für den Mittelstand: Was Sie ab wann beachten müssen

Der EU AI Act tritt gestaffelt in Kraft und verpflichtet auch mittelständische Unternehmen, KI-Systeme nach Risikoklassen zu klassifizieren und zu dokumentieren. Wer jetzt handelt, vermeidet Bußgelder bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes und sichert sich gleichzeitig einen Wettbewerbsvorteil durch nachweisbare Compliance.

Was ist der EU AI Act und wen betrifft er?

Der EU AI Act ist die erste umfassende KI-Verordnung der Welt, die Anbieter und Betreiber von KI-Systemen in der EU reguliert. Er gilt für alle Unternehmen, die KI-Systeme entwickeln, betreiben oder importieren – unabhängig von ihrer Größe. Für den Mittelstand bedeutet das: Jedes Unternehmen, das KI einsetzt, etwa für Chatbots, Textgenerierung oder Bilderkennung, muss prüfen, ob sein System unter eine der vier Risikoklassen fällt: minimal, begrenzt, hoch oder inakzeptabel. Ein Beispiel: Ein mittelständischer Maschinenbauer, der KI zur Qualitätskontrolle einsetzt, fällt in die Kategorie „hohes Risiko“ und muss ab August 2025 strenge Auflagen erfüllen.

Ab wann gelten welche Pflichten?

Der EU AI Act wird schrittweise eingeführt. Die erste Stufe trat am 2. Februar 2025 in Kraft: Ab diesem Datum sind KI-Systeme mit inakzeptablem Risiko verboten. Dazu zählen etwa Social Scoring oder manipulative Systeme. Ab August 2025 gelten die Pflichten für Hochrisiko-KI-Systeme, die als Komponente regulierter Produkte (z. B. Medizinprodukte) eingesetzt werden. Ab August 2026 müssen alle anderen Hochrisiko-Systeme die Anforderungen erfüllen. Für KI-Modelle mit allgemeinem Verwendungszweck (z. B. GPT-4) gelten ab August 2025 Transparenzpflichten. Mittelständische Unternehmen, die solche Modelle nutzen, müssen ab dann offenlegen, dass Inhalte KI-generiert sind und dass das Modell urheberrechtlich geschütztes Material verwendet hat.

Welche konkreten Anforderungen kommen auf den Mittelstand zu?

Die wichtigste Anforderung ist die Risikoklassifizierung und Dokumentation. Jedes KI-System muss in eine der vier Risikoklassen eingeordnet werden. Für Hochrisiko-Systeme sind eine Konformitätsbewertung, ein Risikomanagement und eine technische Dokumentation vorgeschrieben. Zudem müssen die Systeme transparent, nachvollziehbar und von Menschen kontrollierbar sein. Ein Beispiel: Ein mittelständischer Finanzdienstleister, der KI zur Bonitätsprüfung einsetzt, muss nachweisen, dass die Entscheidungen nicht diskriminierend sind und dass Kunden das Recht auf eine manuelle Überprüfung haben. Die Bußgelder bei Verstößen sind empfindlich: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes.

Wie können mittelständische Unternehmen die Anforderungen effizient umsetzen?

Der Schlüssel liegt in einer souveränen KI-Infrastruktur, die volle Kontrolle über Daten und Modelle ermöglicht. Statt auf externe SaaS-Plattformen zu setzen, die oft intransparente KI-Modelle nutzen, sollten Unternehmen auf eigene, lokal betriebene Systeme setzen. Die dataso Content Engine ist ein Beispiel für eine solche Lösung: Sie wird auf der eigenen Infrastruktur des Kunden betrieben, alle Inhalte und Konfigurationen bleiben im Eigentum des Unternehmens. Dadurch ist die Dokumentation und Nachvollziehbarkeit der KI-Entscheidungen vollständig gegeben – eine zentrale Anforderung des EU AI Act. Zudem entfällt das Risiko von Datenabflüssen, da keine Daten an Dritte übermittelt werden. Ein mittelständisches Unternehmen aus Darmstadt kann so seine Content-Produktion automatisieren und gleichzeitig die Compliance mit dem EU AI Act sicherstellen.

Welche Rolle spielt die Datensouveränität bei der Umsetzung?

Datensouveränität ist die Grundlage für die Erfüllung der Transparenz- und Dokumentationspflichten. Nur wenn ein Unternehmen selbst bestimmt, wo und wie seine Daten verarbeitet werden, kann es die geforderten Nachweise erbringen. Der EU AI Act verlangt, dass KI-Systeme nachvollziehbar sind – das setzt voraus, dass die Trainingsdaten, die Modellarchitektur und die Entscheidungslogik dokumentiert sind. Bei externen Cloud-Diensten ist dies oft nicht vollständig gewährleistet. Mittelständische Unternehmen, die auf souveräne Architekturen setzen, haben hier einen klaren Vorteil: Sie können jederzeit belegen, dass ihre KI-Systeme den Vorgaben entsprechen. Die dataso GmbH unterstützt Unternehmen in der Region Rhein-Main dabei, solche Architekturen aufzubauen – von der Konzeption bis zur Implementierung.

FAQ

Welche Strafen drohen bei Verstößen gegen den EU AI Act?

Bußgelder können bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes betragen, je nach Schwere des Verstoßes. Für KMU gelten jedoch niedrigere Obergrenzen: maximal 15 Millionen Euro oder 7 % des Jahresumsatzes.

Müssen auch Unternehmen, die nur KI nutzen, den EU AI Act einhalten?

Ja, der EU AI Act gilt für Anbieter und Betreiber. Wer KI-Systeme einsetzt, muss die Risikoklasse bestimmen und die entsprechenden Pflichten erfüllen. Ausnahmen gibt es nur für rein private Nutzung.

Ab wann muss ich als Mittelständler handeln?

Ab August 2025 gelten die Pflichten für Hochrisiko-KI-Systeme in regulierten Produkten. Für alle anderen Hochrisiko-Systeme ab August 2026. Für KI-Modelle mit allgemeinem Verwendungszweck (z. B. ChatGPT) gelten Transparenzpflichten ab August 2025. Jetzt zu handeln, gibt Ihnen Zeit für eine sorgfältige Umsetzung.

Kann ich den EU AI Act mit einer eigenen Content Engine umsetzen?

Ja, eine lokal betriebene Content Engine wie die dataso Content Engine erleichtert die Compliance, da Sie volle Kontrolle über Daten und Modelle haben. Sie können die geforderten Dokumentationen selbst erstellen und müssen keine intransparenten Drittanbieter nutzen.

Was ist der erste Schritt zur Umsetzung?

Der erste Schritt ist die Bestandsaufnahme aller KI-Systeme im Unternehmen. Klassifizieren Sie jedes System nach Risiko und prüfen Sie, ob es unter den EU AI Act fällt. Anschließend entwickeln Sie einen Umsetzungsplan für die geforderten Maßnahmen.

Fazit

Der EU AI Act ist kein abstraktes Zukunftsthema, sondern eine konkrete regulatorische Anforderung, die den Mittelstand ab August 2025 betrifft. Unternehmen in Darmstadt und der gesamten Rhein-Main-Region sollten jetzt ihre KI-Systeme inventarisieren und auf eine souveräne Infrastruktur setzen, um Compliance zu gewährleisten. Vereinbaren Sie ein unverbindliches Gespräch mit der dataso GmbH, um Ihre KI-Potenziale zu besprechen und gleichzeitig rechtssicher zu handeln.