EU AI Act im Unternehmen: Welche Pflichten die KI-Verordnung für den Mittelstand bringt

Kaum ein Regelwerk sorgt bei Geschäftsführern gerade für so viel Verunsicherung wie der EU AI Act, die europäische KI-Verordnung. Der Grund: Viele nehmen an, es gehe nur um Tech-Konzerne und Software-Hersteller. Das stimmt nicht. Sobald ein Unternehmen KI im Betrieb nutzt, und das tun heute fast alle, sei es über ChatGPT, Microsoft Copilot, ein KI-gestütztes Bewerbungstool oder eine automatische Belegerkennung, greifen bestimmte Pflichten. Dieser Artikel erklärt, welche das sind, ab wann sie gelten und was ein mittelständischer Betrieb jetzt tun sollte. Stand: 2026-09-28.

Was der EU AI Act für Unternehmen bedeutet

Der EU AI Act ist die weltweit erste umfassende KI-Verordnung. Er reguliert nicht die Technologie an sich, sondern ihren Einsatz, gestaffelt nach Risiko. Betroffen ist nicht nur, wer KI entwickelt, sondern auch, wer sie einsetzt. Für den Mittelstand heißt das: schon der normale Gebrauch gängiger KI-Werkzeuge löst konkrete Pflichten aus.

Die Verordnung (EU) 2024/1689 ist am 1. August 2024 in Kraft getreten und wird seither in mehreren Stufen anwendbar. Sie unterscheidet zwischen zwei zentralen Rollen: dem Anbieter, der ein KI-System entwickelt oder unter eigenem Namen auf den Markt bringt, und dem Betreiber, der ein KI-System in eigener Verantwortung nutzt. Die allermeisten KMU sind Betreiber. Das ist eine gute Nachricht, denn die Pflichten für Betreiber sind deutlich schlanker als die für Anbieter.

Quelle: Verordnung (EU) 2024/1689 (KI-Verordnung, AI Act), EUR-Lex

Wichtig zu verstehen: ITCC ist IT-Dienstleister und keine Software-Firma. Wir entwickeln keine KI. Aber wir sehen in der täglichen Betreuung von Bürobetrieben, Handwerk und Mittelstand, dass KI-Tools längst überall im Einsatz sind, oft ohne dass die Geschäftsführung es steuert. Genau da setzen die Pflichten des AI Act an.

Ab wann gilt was: die Fristen im Überblick

Der EU AI Act wird nicht auf einen Schlag scharf, sondern in Stufen. Für den Mittelstand sind zwei Termine bereits erreicht: Seit dem 2. Februar 2025 gelten die Verbote und die KI-Kompetenzpflicht, seit dem 2. August 2026 sind die zentralen Pflichten anwendbar und werden durchgesetzt. Weitere Anforderungen greifen gestaffelt bis 2027 und 2028.

1. 1
   1. August 2024: Inkrafttreten
   Die Verordnung tritt in Kraft. Ab hier laufen alle weiteren Fristen. Für Unternehmen zunächst ohne unmittelbare Pflichten, aber der Startschuss für die Vorbereitung.
2. 2
   2. Februar 2025: Verbote und KI-Kompetenz
   Die verbotenen KI-Praktiken sind ab jetzt untersagt. Gleichzeitig gilt die Pflicht zur KI-Kompetenz nach Artikel 4: Mitarbeitende, die mit KI arbeiten, müssen ausreichend geschult sein. Diese Pflicht betrifft praktisch jeden Betrieb, der KI nutzt.
3. 3
   2. August 2025: KI-Modelle, Governance und Sanktionen
   Die Regeln für KI-Modelle mit allgemeinem Verwendungszweck (etwa die großen Sprachmodelle hinter ChatGPT und Copilot) werden anwendbar. Die nationalen Aufsichtsstrukturen und die Sanktionsvorschriften greifen.
4. 4
   2. August 2026: zentrale Pflichten und Durchsetzung
   Der Großteil der Verordnung ist anwendbar und wird aktiv durchgesetzt, darunter die Transparenzpflichten (Kennzeichnung von Chatbots und KI-Inhalten) und die Pflichten für viele Hochrisiko-Anwendungen. Für die meisten KMU der entscheidende Stichtag.
5. 5
   Ab 2027 und 2028: weitere Hochrisiko-Systeme
   Für bestimmte Hochrisiko-KI, insbesondere solche, die in regulierte Produkte wie Maschinen, Aufzüge oder Spielzeug eingebaut ist, gelten längere Übergangsfristen. Details und einzelne Termine sind hier noch in Bewegung.

Quelle: Europäische Kommission: Regulatory framework on AI

Die vier Risikoklassen: wo Ihr KI-Einsatz einzuordnen ist

Der EU AI Act arbeitet mit einem risikobasierten Ansatz und teilt KI-Systeme in vier Klassen ein: verboten, hochriskant, begrenztes Risiko und minimales Risiko. Je höher das Risiko für Sicherheit und Grundrechte, desto strenger die Pflichten. Für den typischen Büro- und Handwerksbetrieb liegt der KI-Einsatz meist bei begrenztem oder minimalem Risiko.

Unannehmbares Risiko (verboten): Bestimmte Praktiken sind seit dem 2. Februar 2025 komplett untersagt, etwa Social Scoring, manipulative KI, die das Verhalten von Menschen unterschwellig steuert, das Ausnutzen der Schwäche vulnerabler Gruppen und Emotionserkennung am Arbeitsplatz. Für die meisten KMU spielt diese Kategorie im Alltag keine Rolle, sie ist aber die mit den höchsten Bußgeldern.

Hohes Risiko: KI-Systeme, die erheblich in Sicherheit oder Grundrechte eingreifen können. Für den Mittelstand ist vor allem der Personalbereich relevant: KI zur Vorauswahl von Bewerbungen oder zur Bewertung von Mitarbeitenden zählt dazu. Ebenso KI in kritischer Infrastruktur oder bei der Kreditwürdigkeitsprüfung. Diese Systeme unterliegen strengen Pflichten wie Risikomanagement, technischer Dokumentation und menschlicher Aufsicht.

Begrenztes Risiko (Transparenz): Hier landen die meisten alltäglichen Anwendungen, bei denen Menschen direkt mit KI in Kontakt kommen, allen voran Chatbots. Für sie gelten Transparenzpflichten: Der Nutzer muss erkennen können, dass er es mit einer KI zu tun hat.

Minimales Risiko: Der Großteil der KI im Betrieb, etwa Spam-Filter, Rechtschreibhilfen oder KI-Funktionen in Standardsoftware. Hier gibt es keine besonderen Pflichten aus dem AI Act.

KI-Kompetenz nach Artikel 4: die Pflicht, die schon gilt

Die für den Mittelstand greifbarste Pflicht ist die KI-Kompetenz nach Artikel 4. Sie gilt seit dem 2. Februar 2025 und verlangt: Unternehmen müssen sicherstellen, dass Mitarbeitende, die KI-Systeme bedienen oder deren Ergebnisse nutzen, ein ausreichendes Verständnis dafür haben. Das betrifft jeden Betrieb, der KI einsetzt, unabhängig von Größe und Branche.

Wichtig ist, was Artikel 4 nicht verlangt: keine bestimmte Zertifizierung, keinen verpflichtenden KI-Beauftragten und kein vorgeschriebenes Schulungsformat. Gefragt ist organisatorische Verantwortung. Schulungen, interne Richtlinien oder Multiplikatoren-Programme sind gleichermaßen anerkannte Maßnahmen. Der nötige Umfang richtet sich nach der Rolle im Unternehmen, dem Risiko der eingesetzten Systeme und den Vorkenntnissen der Mitarbeitenden.

Quelle: TÜV Rheinland Consulting: KI-Kompetenz nach Art. 4 EU AI Act

In der Praxis bedeutet das für einen Bürobetrieb: Wer im Team Copilot oder ChatGPT nutzt, sollte eine kurze, dokumentierte Einweisung erhalten, was die Tools können, wo ihre Grenzen liegen (Stichwort erfundene Fakten), welche Daten nie eingegeben werden dürfen und wie man Ergebnisse kritisch prüft. Genau diese Punkte gehören ohnehin in eine KI-Nutzungsrichtlinie, sodass sich beides in einem Aufwasch erledigen lässt.

Transparenzpflichten: Chatbots und KI-Inhalte kennzeichnen

Setzt Ihr Unternehmen einen Chatbot ein, etwa auf der Website oder im Kundenservice, müssen Nutzer erkennen können, dass sie mit einer KI und nicht mit einem Menschen kommunizieren. Diese Transparenzpflicht nach Artikel 50 ist seit dem 2. August 2026 anwendbar und gehört zu den wichtigsten praktischen Punkten für KMU, die direkten Kundenkontakt über KI abwickeln.

Über den Chatbot hinaus können auch KI-generierte oder KI-manipulierte Inhalte unter die Kennzeichnungspflicht fallen. Dazu zählen etwa künstlich erzeugte Bilder, Audio oder Video (Deepfakes) sowie unter bestimmten Voraussetzungen KI-erzeugte Texte, die die Öffentlichkeit informieren sollen. Ziel ist, dass Menschen wissen, wann ein Inhalt maschinell entstanden ist.

Für die meisten Mittelständler ist der Aufwand überschaubar: Ein deutlicher Hinweis am Chatbot ("Sie chatten mit einem KI-Assistenten") und eine interne Regel, wie mit KI-generierten Inhalten in der Außenkommunikation umgegangen wird, decken den Kern ab. Wer, wie in vielen unserer betreuten Betriebe, KI vor allem intern zur Textarbeit und Recherche nutzt und keinen öffentlichen Chatbot betreibt, hat hier wenig zu tun.

Bußgelder: was bei Verstößen wirklich droht

Der EU AI Act sieht gestaffelte Bußgelder vor. Am oberen Ende, bei Verstößen gegen die verbotenen KI-Praktiken, drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Darunter liegen niedrigere Stufen für andere Pflichtverletzungen. Für KMU gilt eine wichtige Erleichterung.

• Verbotene Praktiken: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.
• Verstöße gegen Hochrisiko- und sonstige Pflichten: bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes.
• Falsche oder irreführende Angaben gegenüber Behörden: bis zu 7,5 Millionen Euro oder 1,5 Prozent des Jahresumsatzes.

Für kleine und mittlere Unternehmen sowie Start-ups gilt bei diesen Rahmen jeweils der niedrigere der beiden Höchstwerte, nicht der höhere. Das dämpft das theoretische Maximalrisiko, macht die Pflichten aber nicht optional.

Quelle: secjur: EU AI Act, Berechnung von Bußgeldern und Sanktionen

Fällt mein Betrieb überhaupt darunter? Betreiber statt Anbieter

Die entscheidende Frage lautet für den Mittelstand fast nie "Sind wir betroffen?", sondern "In welcher Rolle?". Fast alle KMU sind Betreiber: Sie kaufen KI als fertiges Produkt ein und nutzen sie. Anbieter, die eigene KI entwickeln und in Verkehr bringen, sind die Ausnahme. Betreiber haben deutlich weniger Pflichten, dürfen sich aber nicht in Sicherheit wiegen.

Ein typischer Bürobetrieb, der Microsoft 365 mit Copilot nutzt, ist Betreiber. Microsoft ist der Anbieter und trägt die anbieterseitigen Pflichten (Konformität, Dokumentation, Sicherheit des Modells). Der Betrieb selbst muss vor allem drei Dinge leisten: die KI-Kompetenz seiner Mitarbeitenden sicherstellen, Transparenzpflichten einhalten und, sobald KI in sensiblen Bereichen wie der Personalauswahl eingesetzt wird, für menschliche Aufsicht und einen sachgerechten Einsatz sorgen.

Vorsicht ist geboten, wenn ein KI-System so verändert oder unter eigenem Namen eingesetzt wird, dass aus dem Betreiber faktisch ein Anbieter wird. Wer etwa ein zugekauftes KI-Modell wesentlich anpasst und als eigenes Produkt weitergibt, rutscht in die strengeren Anbieterpflichten. Für den klassischen Anwendungsfall (Standardsoftware nutzen) passiert das nicht.

Was Unternehmen jetzt konkret tun sollten

Der pragmatische Einstieg ist eine ehrliche Bestandsaufnahme, keine Compliance-Großoffensive. Klären Sie zuerst, welche KI in Ihrem Betrieb tatsächlich im Einsatz ist, in welcher Risikoklasse sie liegt und ob Ihre Mitarbeitenden dafür ausreichend geschult sind. Aus diesen drei Antworten ergibt sich der konkrete Handlungsbedarf fast von selbst.

1. 1
   KI-Inventar erstellen
   Erfassen Sie, welche KI-Tools im Unternehmen genutzt werden, offizielle wie inoffizielle. ChatGPT, Copilot, KI-Funktionen in bestehenden Programmen, KI im Bewerbungsprozess. Ohne diese Übersicht lässt sich keine Pflicht sinnvoll zuordnen.
2. 2
   Risikoklassen zuordnen
   Ordnen Sie jedes Tool grob ein: minimal, begrenzt (Transparenz), hoch oder verboten. Der Löwenanteil landet bei minimal oder begrenzt. Achten Sie besonders auf Einsatz im Personalbereich, der schnell hochriskant wird.
3. 3
   KI-Kompetenz sicherstellen
   Schulen Sie Mitarbeitende, die mit KI arbeiten, angemessen zu Möglichkeiten, Grenzen und Risiken. Dokumentieren Sie Inhalt, Teilnehmer und Datum. Diese Dokumentation ist der Nachweis nach Artikel 4.
4. 4
   KI-Nutzungsrichtlinie einführen
   Legen Sie schriftlich fest, welche Tools erlaubt sind, welche Daten nie eingegeben werden dürfen und wer Freigaben erteilt. Das erfüllt gleichzeitig einen Teil der DSGVO- und Geschäftsgeheimnis-Anforderungen.
5. 5
   Transparenz umsetzen
   Kennzeichnen Sie Chatbots und regeln Sie den Umgang mit KI-generierten Inhalten in der Außenkommunikation. Für Betriebe ohne öffentlichen Chatbot ist der Aufwand gering.
6. 6
   Menschliche Aufsicht verankern
   Wo KI Entscheidungen vorbereitet, insbesondere bei Personal, muss ein Mensch prüfen und verantworten. Halten Sie fest, dass KI-Ergebnisse nicht ungeprüft übernommen werden.

EU AI Act, DSGVO und NIS2: wo sie zusammenspielen

Der EU AI Act steht nicht allein, sondern greift mit DSGVO und NIS2 ineinander. Die DSGVO regelt den Schutz personenbezogener Daten, die auch in KI-Systeme fließen. NIS2 regelt die Cybersicherheit betroffener Unternehmen. Der AI Act reguliert das KI-System selbst. Wer eines der Regelwerke sauber umsetzt, hat für die anderen oft schon die halbe Arbeit erledigt.

Konkret: Eine dokumentierte KI-Nutzungsrichtlinie erfüllt Punkte aus allen drei Welten. Sie schützt personenbezogene Daten (DSGVO), gehört zur Sicherheitsorganisation (NIS2) und dient als Beleg für organisatorische KI-Kompetenz (AI Act). Ähnlich verhält es sich mit Schulungen und einem Verzeichnis der eingesetzten Systeme. Statt drei getrennter Aktenordner ist ein gemeinsamer Rahmen sinnvoll.

Quelle: Verordnung (EU) 2016/679 (DSGVO)

Wer die Zusammenhänge vertiefen will: In unseren Beiträgen zu den DSGVO-Pflichten für KMU und zu NIS2 für Unternehmen finden Sie den jeweiligen Rahmen im Detail. Der AI Act ist der jüngste Baustein in diesem Compliance-Gefüge, nicht ein völlig neues Universum.

ITCC unterstützt beim praktischen Teil

Der EU AI Act ist für den Mittelstand beherrschbar, wenn man ihn nüchtern angeht: Bestandsaufnahme, Risikoeinordnung, KI-Kompetenz und eine klare Nutzungsrichtlinie decken für die meisten Betriebe das Wesentliche ab. Der Stolperstein ist selten die Regel selbst, sondern die unkontrollierte KI-Nutzung im Alltag, die niemand steuert.

Als externe IT-Abteilung für Bürobetriebe, Mittelstand und Handwerk in der Pfalz, Rhein-Neckar und Rhein-Main helfen wir bei genau diesem praktischen Teil: KI-Inventar aufnehmen, Copilot und Co. datenschutzkonform aufsetzen, eine verständliche KI-Nutzungsrichtlinie erstellen und die Nachweise so führen, dass sie zu Ihrer bestehenden DSGVO- und NIS2-Dokumentation passen. Ohne Fachchinesisch und ohne doppelte Aktenführung. Wenn Sie unsicher sind, wo Ihr Betrieb steht, sprechen Sie uns an.