EU AI Act im Mittelstand: Transparenzpflichten als Software-Feature umsetzen

Seit dem 2. August 2026 gelten die Transparenzpflichten des EU AI Act für viele KI-Anwendungen im Mittelstand. Wer Hinweise, Kennzeichnungen und Nachweise in die Systeme einbaut, erfüllt die Anforderungen verlässlicher und günstiger als mit Intranet-Richtlinien und Erinnerungsmails.

Der EU AI Act Mittelstand betrifft früher als viele denken

Beim EU AI Act schauen Geschäftsführer häufig zuerst auf Hochrisiko-KI: Kreditentscheidungen, Bewerberauswahl oder kritische Industrieprozesse. Das ist nachvollziehbar, führt aber in die falsche Reihenfolge. Die heute relevanten Transparenzpflichten treffen oft die unspektakulären Werkzeuge im Tagesgeschäft: den Chatbot auf der Website, den KI-Assistenten im Kundenservice oder das Content-System, das Bildvarianten erstellt.

Artikel 50 des EU AI Act verlangt je nach Rolle und Einsatzfall unterschiedliche Maßnahmen. Menschen müssen erkennen können, wenn sie mit einem KI-System interagieren, sofern das nicht ohnehin offensichtlich ist. Bei Deepfakes und bestimmten KI-generierten oder manipulierten Inhalten gelten Offenlegungspflichten. Anbieter von General-Purpose-AI-Modellen müssen ihre Ausgaben technisch so gestalten, dass KI-Erzeugung oder KI-Manipulation maschinenlesbar erkennbar wird.

Das wird oft zu einer pauschalen Regel verkürzt: „Jeder KI-Text braucht ein Label.“ So einfach ist die Rechtslage nicht. Ein intern formulierter Entwurf für ein Vertriebsangebot ist nicht automatisch ein veröffentlichungspflichtiger KI-Inhalt. Ein täuschend echtes KI-Video mit einer vermeintlichen Aussage des Geschäftsführers ist dagegen ein klarer Risikofall. Für den Mittelstand ist diese Unterscheidung wichtig, weil sie Aufwand dort konzentriert, wo Kunden, Öffentlichkeit oder Beschäftigte tatsächlich betroffen sind.

Eine Richtlinie im Intranet ist kein technisches Kontrollsystem

Eine PDF-Richtlinie kann Verhalten erklären. Sie kann keine Kennzeichnung erzwingen und keinen Nachweis erzeugen. Genau dort scheitern viele Compliance-Projekte.

Nehmen wir einen Vertriebsmitarbeiter, der um 17:40 Uhr noch eine personalisierte Antwort auf eine Kundenanfrage formuliert. Der Mitarbeiter nutzt einen KI-Assistenten, kopiert den Text in das CRM und verschickt die Nachricht. Eine Schulung vor sechs Monaten hilft in diesem Moment wenig. Unter Zeitdruck wird gearbeitet, nicht nach Handbuch. Wenn der Prozess eine Freigabe, einen Herkunftsvermerk oder eine Kennzeichnung braucht, muss das CRM oder der Kommunikations-Workflow diese Funktion anbieten.

Die bessere Frage lautet deshalb nicht: „Haben wir die Mitarbeitenden informiert?“ Sie lautet: „An welcher Stelle entsteht der Inhalt, und welches System setzt die passende Regel automatisch um?“ Das ist Architekturarbeit. Sie beginnt bei einer vollständigen Liste der KI-Einsatzfälle und endet nicht bei einer PowerPoint des Datenschutzbeauftragten.

Chatbots müssen ihre Rolle direkt in der Oberfläche zeigen

Ein KI-Chatbot auf einer Website sollte beim ersten Sichtkontakt klar als KI-Assistent erkennbar sein. Der Satz „Sie chatten mit unserem KI-Assistenten“ gehört in die Chat-Komponente, sichtbar oberhalb des Eingabefelds oder in die erste Systemnachricht. Ein Hinweis in der Datenschutzerklärung, drei Klicks entfernt, ist praktisch wertlos.

Wichtig ist der Wechsel zum Menschen. Wenn der Chatbot an den Kundenservice übergibt, muss die Oberfläche anzeigen, dass nun eine reale Person antwortet. Kehrt die Unterhaltung später zur KI zurück, braucht es erneut einen eindeutigen Hinweis. Ohne diese Zustandswechsel entsteht genau die Täuschung, die die Transparenzpflicht vermeiden soll.

Der Aufwand ist überschaubar, wenn der Chatbot sauber integriert ist. Bei einer eigenen oder anpassbaren Web-Komponente sind Kennzeichnung und Übergabestatus meist ein Ticket von wenigen Stunden. Teuer wird es bei eingekauften SaaS-Lösungen, deren Oberfläche nicht anpassbar ist. Dann muss der Anbieter entweder eine belastbare Konfiguration liefern oder die Lösung passt nicht zum Einsatzfall. Das ist keine juristische Spitzfindigkeit, sondern eine Beschaffungsentscheidung.

KI-Inhalte brauchen Herkunftsdaten am Entstehungsort

Maschinenlesbare Kennzeichnung heißt nicht, dass am Ende eines Word-Dokuments ein Sternchen steht. Maschinenlesbar bedeutet: Ein System kann die Herkunft technisch erkennen, etwa über Metadaten, ein CMS-Feld oder einen Provenance-Standard wie C2PA, die Coalition for Content Provenance and Authenticity.

Ein konkretes Beispiel aus dem Marketing: Ein Mitarbeiter erstellt mit einem Bildmodell ein Visual für eine Produktkampagne. Statt den Mitarbeiter auf eine manuelle Kennzeichnung zu verpflichten, schreibt der Bild-Workflow die Herkunftsinformation beim Export in die Datei. Das Content-Management-System übernimmt zusätzlich ein Feld wie „KI-generiert: ja“ und kann daraus bei Bedarf einen sichtbaren Hinweis ausspielen. Der Freigabeprozess dokumentiert, wer das Bild veröffentlicht hat.

Nicht jede Datei lässt sich gleich gut markieren. Metadaten können beim Upload in soziale Netzwerke verloren gehen, und manche Drittplattformen entfernen Provenance-Daten. Dann reicht es nicht, sich auf die Datei zu verlassen. Der Veröffentlichungs-Workflow braucht eine zusätzliche Prüfung: Wird das Bild auf einem Kanal ausgespielt, der Metadaten entfernt, muss die sichtbare Offenlegung im Beitrag oder in der Darstellung erfolgen. Wer das einmal im CMS abbildet, schützt alle Redakteure. Wer es per Richtlinie regelt, setzt auf Erinnerungsvermögen.

Ein Audit-Trail spart im Ernstfall Tage

Der Audit-Trail ist ein nachvollziehbares Protokoll: Welches Modell erzeugte welchen Inhalt, wann geschah das, welche Daten wurden verwendet und wer gab das Ergebnis frei? Für den EU AI Act Mittelstand ist dieses Protokoll kein Selbstzweck. Es beantwortet im Streitfall die Fragen, die sonst eine hektische Suche durch Postfächer und Teams-Chats auslösen.

Ein zentraler KI-Zugang ist dafür der praktikabelste Hebel. Statt dass 60 Mitarbeitende eigene Accounts bei verschiedenen KI-Diensten nutzen, laufen zugelassene Modelle über ein kontrolliertes KI-Portal oder Gateway. Das Gateway protokolliert Modell, Zeitstempel, Nutzerkennung und Einsatzkontext. Inhalte mit vertraulichen Kundendaten können dort blockiert oder über eine europäische, datensouveräne Architektur verarbeitet werden.

Ein vollständiges Prompt-Logging ist allerdings nicht immer sinnvoll. Prompts können Geschäftsgeheimnisse oder personenbezogene Daten enthalten. In vielen Fällen genügt es, die notwendigen technischen und organisatorischen Ereignisdaten zu speichern und sensible Inhalte zu minimieren oder getrennt abzusichern. Die Speicherfristen müssen zum Risiko, zum Zweck und zu den Datenschutzvorgaben passen. Wer pauschal alles speichert, baut sich das nächste Problem gleich selbst.

KI-Kompetenz lässt sich an den Zugang koppeln

Die Pflicht zur ausreichenden KI-Kompetenz nach Artikel 4 gilt bereits seit Februar 2025. Trotzdem liegt der Schulungsnachweis in vielen Unternehmen verstreut: eine Excel-Liste in HR, ein PDF im SharePoint, fehlende Bestätigungen bei neuen Mitarbeitenden.

Ein zentraler KI-Zugang löst auch dieses Thema sauberer. Vor der ersten Nutzung erscheint eine kurze, rollenbezogene Einweisung. Im Vertrieb geht es etwa um Kundendaten und die Prüfung von Aussagen; im Marketing um Veröffentlichungen und Kennzeichnungen. Erst nach Bestätigung wird der Zugang freigeschaltet. Der Nachweis entsteht dabei automatisch.

Das ersetzt keine fachliche Schulung für Teams mit besonderen Risiken. Wer KI zur Vorauswahl von Bewerbungen oder zur Bewertung von Bonität einsetzen will, braucht deutlich mehr als ein fünfminütiges Onboarding. Für den normalen Büroalltag ist ein verbindlicher Einstieg am System aber wirksamer als die jährliche Pflichtfolie.

FAQ

Müssen mittelständische Unternehmen jeden KI-generierten Text kennzeichnen?

Nein. Die Transparenzpflichten hängen vom konkreten Einsatzfall und von der Rolle des Unternehmens ab. Besonders relevant sind KI-Interaktionen mit Menschen, täuschend echte manipulierte Inhalte sowie bestimmte veröffentlichte Inhalte. Unternehmen sollten ihre externen Kommunikations- und Content-Prozesse zuerst prüfen, statt intern jedes KI-gestützte Arbeitsergebnis mit Warnhinweisen zu versehen.

Reicht ein Hinweis in der Datenschutzerklärung für einen Website-Chatbot?

Nein. Der Hinweis muss für den Nutzer beim Kontakt mit dem KI-System klar wahrnehmbar sein. Platzieren Sie die Kennzeichnung direkt in der Chat-Oberfläche. Dokumentieren Sie zusätzlich, wie die Übergabe an einen menschlichen Mitarbeiter angezeigt wird.

Was kostet eine pragmatische Umsetzung der Transparenzpflichten?

Bei einem einzelnen Chatbot oder einem klar abgegrenzten CMS-Workflow liegt der technische Aufwand häufig bei wenigen Entwicklungstagen. Kostentreiber sind gewachsene Systemlandschaften, mehrere nicht dokumentierte KI-Tools und fehlende zentrale Identitäten. Eine Voranalyse der realen Datenflüsse verhindert, dass ein Unternehmen Geld in Kontrollmechanismen investiert, die am eigentlichen Prozess vorbeigehen.

Sind KI-Tools aus den USA automatisch unzulässig?

Nein. Der EU AI Act verbietet nicht pauschal die Nutzung amerikanischer KI-Dienste. Entscheidend sind unter anderem der konkrete Einsatz, Vertragsbedingungen, Datenschutz, Datenflüsse und die Fähigkeit, erforderliche Transparenz- sowie Nachweispflichten technisch umzusetzen. Bei sensiblen Daten ist eine souveräne europäische Architektur oft die belastbarere Wahl.

Fazit

Geschäftsführer im Rhein-Main-Gebiet sollten jetzt nicht noch eine KI-Richtlinie beauftragen, sondern die vorhandenen Chatbots, Content-Workflows und KI-Zugänge technisch prüfen lassen. Buchen Sie einen Termin, um die KI-Potenziale für Ihr Unternehmen zu besprechen: Nach einer Architekturaufnahme wissen Sie, welche Features fehlen, was davon wirklich erforderlich ist und welche Umsetzung sich wirtschaftlich nicht lohnt.