EU AI Act für den Mittelstand: Was Sie ab wann beachten müssen

Der EU AI Act (KI-Verordnung) gilt gestaffelt und verpflichtet auch mittelständische Unternehmen, ihre KI-Systeme nach Risiko einzuordnen, zu dokumentieren und in bestimmten Fällen zu kennzeichnen. Für die meisten Betriebe ist nicht die Hochrisiko-Klasse das Thema, sondern die Frage, ob sie nachweisen können, welches System wann welche Entscheidung mit welchen Daten getroffen hat.

Wen der EU AI Act betrifft

Die Verordnung gilt für Anbieter, die KI-Systeme entwickeln, und für Betreiber, die sie einsetzen, unabhängig von der Unternehmensgröße. Wer einen Chatbot auf der Website betreibt, Texte generieren lässt oder Bewerbungen vorsortiert, ist Betreiber. Die Pflichten hängen von der Risikoklasse ab: verboten, hoch, begrenzt oder minimal. Ein Werkzeug, das Angebotstexte formuliert, ist minimal bis begrenzt riskant; eine Software, die über Kredite, Bewerber oder den Zugang zu Leistungen entscheidet, kann hochriskant sein. Diese Einordnung ersetzt keine Rechtsberatung; sie zeigt, dass die Klassifizierung Ihr erster Arbeitsschritt ist, nicht der letzte.

Ab wann welche Pflichten gelten

Die Verordnung tritt in Stufen in Kraft. Die Verbote bestimmter Praktiken, etwa Bewertungssysteme für das Sozialverhalten, gelten bereits, ebenso die Pflichten für Anbieter von Allzweck-Modellen wie GPT oder Claude. Die Pflichten für Hochrisiko-Systeme folgen gestaffelt; für den Großteil sind sie im Sommer 2026 wirksam geworden, für KI in regulierten Produkten wie Medizintechnik gilt eine spätere Stufe. Die Transparenzpflichten, etwa Chatbots und KI-generierte Inhalte zu kennzeichnen, gehören zu derselben Stufe. Der Zeitplan wurde politisch mehrfach diskutiert; prüfen Sie den aktuellen Stand, bevor Sie einen Termin in Ihren Plan schreiben.

KI-Entscheidungen nachvollziehbar dokumentieren: die Pflicht, die fast jeden trifft

Unabhängig von der Risikoklasse läuft fast jede Anforderung der Verordnung auf Nachvollziehbarkeit hinaus. Für Hochrisiko-Systeme sind Risikomanagement, technische Dokumentation, Protokollierung und menschliche Aufsicht vorgeschrieben. Für alle anderen Systeme brauchen Sie dieselben Dinge in kleinerer Form, sobald ein Kunde, ein Betriebsrat oder eine Aufsicht fragt, warum das System etwas entschieden hat.

Konkret heißt das: Sie wissen, welches Modell in welcher Version gelaufen ist, welche Eingaben es bekommen hat, welche Regeln oder Prompts galten, was es ausgegeben hat und wer die Ausgabe freigegeben oder verworfen hat. Ein Finanzdienstleister, der Bonität mit KI vorprüft, muss zeigen können, dass die Entscheidung nicht diskriminiert und dass ein Mensch sie überprüfen kann. Ohne Protokoll ist das eine Behauptung. Was in ein solches Protokoll gehört, beschreibt der Artikel zum Audit-Trail für KI-Systeme.

Warum der Browser-Tab das eigentliche Problem ist

Die meisten Verstöße entstehen nicht durch ein falsch klassifiziertes System, sondern durch KI, von der die Geschäftsführung nichts weiß: Mitarbeiter nutzen öffentliche Dienste mit privaten Konten, es gibt kein Protokoll, keine Modellversion, keine Freigabe. Diese Nutzung lässt sich nicht dokumentieren, weil sie nirgends stattfindet, worauf Sie Zugriff haben. Der erste Schritt zur Verordnung ist deshalb eine Bestandsaufnahme: Welche KI wird bei Ihnen tatsächlich genutzt, wofür, mit welchen Daten.

Was Nachvollziehbarkeit im System bedeutet

Dokumentation, die neben dem System gepflegt wird, veraltet nach der ersten Änderung. Verlässlich ist sie nur, wenn das System sie selbst erzeugt: Jede Anfrage läuft über einen eigenen Kontrollpunkt, der Modellversion, Eingabe, Ausgabe und Freigabe protokolliert; die Modellversion ist festgelegt, damit dieselbe Frage morgen dieselbe Antwort liefert; Kennzeichnungen für KI-generierte Inhalte setzt das System, nicht die Erinnerung eines Mitarbeiters. Wer seine KI so betreibt, hat die Dokumentationspflichten weitgehend erfüllt, bevor die Aufsicht fragt, und kann zusätzlich nachweisen, dass keine Daten unkontrolliert das Haus verlassen.

Häufige Fragen

Muss ich handeln, wenn ich KI nur nutze und nicht entwickle? Ja. Betreiber haben eigene Pflichten, vor allem zur Kennzeichnung, zur Aufsicht und zur Dokumentation. Ausgenommen ist nur die rein private Nutzung.

Was droht bei Verstößen? Die Verordnung sieht Bußgelder vor, deren Höhe nach Schwere des Verstoßes und Unternehmensgröße gestaffelt ist; für kleine und mittlere Unternehmen gelten niedrigere Obergrenzen. Die Beträge finden Sie im Verordnungstext. Entscheidend ist, dass auch die Betreiberpflichten bußgeldbewehrt sind.

Was ist der erste Schritt? Eine Liste aller KI-Systeme im Unternehmen, auch der inoffiziellen, mit Zweck, Datenarten und einer ersten Risikoeinschätzung. Daraus ergibt sich, welche Systeme ein Protokoll brauchen und welche eine Kennzeichnung.

Nehmen Sie ein KI-System, das bei Ihnen heute produktiv läuft, und versuchen Sie, für eine Ausgabe der letzten Woche Modellversion, Eingabe und Freigabe zu rekonstruieren. Gelingt das nicht, bringen Sie genau diesen Fall mit in den Potenzial-Check: eine halbe Stunde, kostenlos, und Sie wissen danach, was an Ihrem System nachgerüstet werden muss und was Sie jetzt schon vorweisen können.