Im Rahmen von dem EU AI Act hat die Europäische Union erstmalig einen verbindlichen Regelungsrahmen für Künstliche Intelligenz geschaffen. Seit dem 1. August 2024 ist die Verordnung in Kraft, und ihre Pflichten greifen in mehreren Stufen. Für mittelständische Unternehmen stellt sich die entscheidende Frage: Welche Regeln betreffen mich wirklich – und was soll ich heute schon tun?

Künstliche Intelligenz ist im mittelständischen Sektor längst keine Zukunftsbild mehr. Sie ist im CRM-System, das Kundenfragen an die erste Stelle rückt. KI hilft im Beschaffungswesen bei der Bedarfsprognose, formuliert Texte, bewertet Rechnungen und unterstützt die HR-Abteilung bei der Auswahl von Bewerbungen.

Eine aktuelle Bitkom-Untersuchung belegt, dass inzwischen rund 57 Prozent der deutschen Unternehmen KI im Marketing benutzen – oft ohne klare Governance sowie ohne das passende Bewusstsein für regulatorische Konsequenzen (https://www.mindmelt.de/ki-agentur/blog/eu-ai-act-im-marketing-was-der-mittelstand-wissen-muss/). Wer sich jetzt fokussiert, umgeht spätere Haftungsrisiken sowie kann die offene Zeit bis zu den kommenden Stichtagen gezielt nutzen.

Die Idee hinter dem neuen Regelwerk

Der EU AI Act – offiziell Verordnung (EU) 2024/1689 – ist das weltweit erste umfassende Gesetz, das Künstliche Intelligenz risikoorientiert steuert. Anstelle einzelne Verfahren pauschal zu untersagen oder zuzulassen, teilt das Regelwerk KI-Systeme in vier Risikokategorien ein und bindet die Pflichten an das entsprechende Risikopotenzial.

• Unzulässiges Risiko: Einsatzformen wie Social Scoring durch Ämter oder beeinflussende Systeme, die bewusst Anfälligkeiten ausnutzen, sind prinzipiell verboten.
• Erhebliches Gefährdungsniveau: KI in schutzrelevanten oder grundrechtsrelevanten Sektoren wie Recruiting, Kreditwürdigkeitsprüfung oder kritischer Infrastruktur unterliegt strengen Auflagen.
• Begrenztes Gefährdungsniveau: Chatbots, Sprachassistenten sowie KI-generierte Beiträge müssen transparent markiert werden.
• Minimales Gefährdungsniveau: Konventionelle Anwendungen wie Spam-Filter oder Empfehlungssysteme bleiben größtenteils ungeregelt.

Für den KMU-Sektor ist diese Einteilung eine positive Nachricht: Die meisten KI-Anwendungen, die heute in typischen KMU eingesetzt werden, fallen in die unteren beiden Klassen. Systeme mit hohem Risiko sind eher die Ausnahme – sie tauchen aber schneller auf als gedacht, beispielsweise wenn ein HR-Tool selbsttätig Bewerbungen beurteilt oder ein Finanzmodul eine Darlehensentscheidung unterstützt.

Welche Fristen jetzt gelten

Der EU AI Act entwickelt seine Wirkung schrittweise. Maßgeblich ist: Einige Pflichten gelten schon, andere stehen unmittelbar an, erneut andere wurden durch den genannten Digital Omnibus politisch neu verhandelt.

Der verpflichtende Zeitplan sieht bislang folgendermaßen aus:
• Ab 2. Februar 2025: Verbote gewisser KI-Praktiken und die Pflicht zur KI-Kompetenz nach Artikel 4 sind gültig.
• Ab 2. August 2025: Pflichten für Bereitsteller genannter General-Purpose-AI-Modelle greifen.
• Ab 2. August 2026: Transparenzpflichten nach Artikel 50 und – nach anfänglicher Planung – die Vorgaben an Hochrisiko-KI-Systeme.

Artikel 4 AI Act im Alltag

Eine der am häufigsten unterschätzten Vorgaben ist die KI-Kompetenzpflicht nach Artikel 4. Sie besteht bereits seit dem 2. Februar 2025 – und zwar unabhängig von Risikoklasse, Branche oder Unternehmensgröße (https://ai-act-law.eu/de/artikel/4/).

Ausdrücklich verlangt der Gesetzgeber, dass Anbieter wie auch Betreiber von KI-Systemen sicherstellen, dass ihr Personal und alle in ihrem Auftrag handelnden Personen über ein angemessenes Maß an KI-Kompetenz verfügen. Das umfasst auch vermeintlich harmlose Einsatzbereiche wie ChatGPT oder Microsoft Copilot. Sobald ein Mitarbeiter ein KI-Tool im Arbeitskontext verwendet, entsteht Schulungsbedarf.

Wir sehen in der Praxis immer wieder, dass diese Pflicht unterbewertet wird. Der Normgeber fordert zwar keine konkrete Stundenzahl und kein bestimmtes Schulungsformat, aber drei Kompetenzbereiche sollten berücksichtigt werden:
• Technologisches Grundverständnis: Wie arbeitet ein KI-System? Welche Daten nutzt es? Wo liegen die Grenzen?
• Rechtliches Fachwissen: Welche Vorschriften bestehen für den Einsatz, insbesondere im Zusammenspiel mit DSGVO und branchenbezogener Compliance?
• Anwendungsbezogene Fähigkeiten: Welche Prompts sind zweckmäßig, wo befinden sich typische Fehlerursachen, wann ist personelle Überwachung zwingend?

Ein Zuwiderhandeln gegen Artikel 4 ist aktuell noch nicht unmittelbar bußgeldbewehrt. Im Schadensfall kann aber eine fehlende Schulung als Missachtung der Sorgfaltspflicht eingestuft werden – mit daraus resultierenden Haftungsfolgen für die Geschäftsleitung. Aus unserer Erfahrung als IT-Dienstleister ist die Botschaft klar: Besser ein pragmatisches, dokumentiertes Schulungskonzept als gar keines.

Der Blick auf Artikel 50 und die Hochrisiko-Regeln

Zwei weitere Regelungsblöcke sind für den Mittelstand besonders relevant. Zum einen die Transparenzpflichten nach Artikel 50, die voraussichtlich zum 2. August 2026 anwendbar werden. Zum Zweiten die Vorgaben an Hochrisiko-Systeme, deren Anwendung – bedingt vom Digital Omnibus – in den Kalenderjahren 2027 und 2028 einsetzt.

Die Transparenzpflichten sind rasch erklärt: Wer Chatbots oder KI-Telefonassistenten einsetzt, muss die Nutzer darüber informieren, dass sie mit einem KI-System kommunizieren. Wer KI-generierte Texte, Bilder, Audios oder Clips veröffentlicht, muss jene grundsätzlich maschinenlesbar markieren. Bei Deepfakes, also verblüffend realistischen Abbildungen wirklicher Personen, ist zusätzlich eine sichtbare Markierung vorgegeben. Für ein mittelständisches Unternehmen bedeutet das: Ein klarer Hinweis am Chatbot, ein Eintrag im Impressum und ein Vermerk in der Datenschutzerklärung decken den überwiegenden Teil der Vorgaben ab.

Anders sieht es bei Hochrisiko-KI aus. Wer ein System nach Anhang III betreibt – beispielsweise eine Recruiting-Software mit automatisierter Vorauswahl oder ein Werkzeug zur Kreditwürdigkeitsprüfung – muss eine Konformitätsbewertung vornehmen, ein Risikomanagementsystem etablieren, technische Dokumentation bereitstellen, Protokolle mindestens sechs Monate speichern und eine menschliche Überwachung sicherstellen. Diese Anforderungen greifen unabhängig von der Unternehmensgröße. Ein 30-Personen-Mittelständler muss hier genauso erfüllen wie ein Konzern.

Die Geldbußen machen klar, wie konsequent es die EU meint: Bei Verstößen drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (https://www.ing-ism.de/magazin/eu-ai-act-informationssicherheit-compliance-mittelstand/).

Der praktische Leitfaden zur Umsetzung

Eine belastbare Vorbereitung muss kein Mammutprojekt sein. Erfahrungsgemäß reicht ein systematisches Vorgehen in fünf Etappen.

• KI-Inventur: Dokumentieren Sie systematisch, welche KI-Systeme in welchen Bereichen im Einsatz sind – einschließlich extern beschaffter Software, eingebetteter Funktionen in vorhandenen Tools und eventueller Shadow-IT.

• Risikoklassifizierung: Weisen Sie jedes System einer Risikoklasse zu. Oft befindet sich die Mehrheit im Segment „minimal“ oder „begrenzt“, vereinzelte Systeme erfordern aber einen zweiten Blick.

• Verantwortlichkeiten festlegen: Legen Sie fest, wer unternehmensintern für KI-Compliance verantwortlich ist. Das kann eine neue Rolle sein oder in bestehende Strukturen wie Datenschutz oder Informationssicherheit eingebunden werden.

• Schulungskonzept realisieren: Bauen Sie ein Basistraining für alle Mitarbeitenden auf, erweitert um weiterführende Schulungen für Fachbereiche mit stärkerem KI-Einsatz.

• Dokumentation sichern: Halten Sie Rollen, Prozesse, Schulungsnachweise und Bewertungen schriftlich fest. Im Prüfungsfall entscheidet eine transparent nachvollziehbare Dokumentation.

Viele dieser Schritte lassen sich mit vorhandenen Prozessen aus DSGVO- und NIS-2-Compliance verbinden. Wer dort schon sauber aufgestellt ist, hat für den EU AI Act einen deutlichen Startvorteil.

Was am Ende wirklich zählt

Der EU AI Act ist kein Bedrohungsszenario, aber auch keine Nebensächlichkeit. Er wirkt schon heute – über die KI-Kompetenzpflicht – und wird in den bevorstehenden Monaten und Jahreszeiträumen durch Transparenzregeln und Hochrisiko-Pflichten greifbarer. Selbst wenn der Digital Omnibus die Fristen für Hochrisiko-Systeme nach hinten verlegt, bleibt die Richtung gleichbleibend: Wer KI im Unternehmen nutzt, muss Verantwortung dokumentieren, Kompetenzen entwickeln und Prozesse robust ausrichten.

Für den Mittelstand besteht darin eine zweifache Möglichkeit. Zum einen schafft ein systematischer Umgang mit KI Vertrauen bei Kunden, Partnern und Prüfern. Zum anderen ergibt sich so die Basis, um KI produktiv und rechtssicher in die unternehmenseigene Wertschöpfung zu bringen, statt sie aus Unsicherheit zu bremsen.

Sie möchten prüfen, wo Ihr Unternehmen beim Bereich EU AI Act steht, und einen praxisnahen Fahrplan aufsetzen? Kontaktieren Sie uns gerne – als Ihr IT-Dienstleister begleiten wir Sie von der KI-Inventur über die Risikoeinstufung bis zur Schulung Ihrer Beschäftigten.