EU AI Act 2026: Was Unternehmen jetzt wissen und tun müssen

Der EU AI Act ist seit dem 2. Februar 2025 in Teilen bindend. Für den Mittelstand heißt das vor allem eines: Wer KI-Tools wie ChatGPT, Microsoft Copilot oder Claude im Unternehmen einsetzt, muss sich um die KI-Kompetenz der eigenen Mitarbeiter kümmern (Artikel 4 AI Act). Die meisten Pflichten sind weniger dramatisch als oft dargestellt, einige sind aber jetzt akut. Dieser Artikel ordnet ein, was Sie 2026 wirklich tun müssen, was Panikmache ist und wo die echten Risiken liegen.

Das Wichtigste in Kürze

• Seit 2. Februar 2025 gilt die KI-Kompetenz-Pflicht (Art. 4) für alle Betreiber von KI-Systemen, auch für KMU.
• Seit dem Digital Omnibus (Amtsblatt 24.07.2026) ist Art. 4 eine Bemühens-, keine Erfolgspflicht mehr: Sie müssen Kompetenz fördern, nicht garantieren.
• Die Hochrisiko-Pflichten wurden verschoben: Anhang III auf den 2. Dezember 2027, Anhang I auf den 2. August 2028.
• Der Mittelstand ist meist Betreiber, nicht Anbieter; die Pflichten sind dadurch deutlich übersichtlicher.
• Übliche Tools (ChatGPT, Copilot, Claude) fallen meist in die Kategorien begrenztes oder minimales Risiko.
• Sinnvolle erste Schritte: KI-Inventur, kurze interne Richtlinie, dokumentierte Schulung der Mitarbeiter.

Was ist der EU AI Act und wen betrifft er konkret?

Der EU AI Act (Verordnung 2024/1689) ist das erste umfassende KI-Gesetz weltweit und gilt direkt in allen 27 EU-Mitgliedstaaten. Er reguliert nicht KI als Technologie, sondern den Einsatz von KI-Systemen entlang ihres Risikos für Grundrechte, Sicherheit und Gesundheit. Betroffen sind grundsätzlich zwei Rollen: Anbieter (wer ein KI-System entwickelt oder unter eigenem Namen vermarktet) und Betreiber (wer ein KI-System im Rahmen einer beruflichen Tätigkeit einsetzt).

Der typische Mittelständler mit 5 bis 100 Mitarbeitern, der ChatGPT Team oder Microsoft 365 Copilot nutzt, ist Betreiber. Das ist eine wichtige Unterscheidung, denn die strengen Pflichten (technische Dokumentation, Konformitätsbewertung, Marktüberwachung) treffen vor allem die Anbieter, also OpenAI, Microsoft, Anthropic und Co. Als Betreiber haben Sie deutlich überschaubarere Pflichten, primär rund um KI-Kompetenz, sinnvolle Nutzung und in Einzelfällen Transparenz gegenüber Betroffenen.

Wer nichts mit KI macht, ist trotzdem oft betroffen. Wenn Ihr Steuerberater eine KI-gestützte Buchhaltungssoftware einsetzt oder Ihr Recruiting-Dienstleister mit einem KI-Screening arbeitet, sind Sie als Auftraggeber unter Umständen mitverantwortlich für die Auswahl. In der Praxis lohnt sich also ein Blick auch auf die Lieferkette.

Was gilt seit Februar 2025?

Seit dem 2. Februar 2025 sind zwei zentrale Punkte bindend: erstens das Verbot bestimmter KI-Praktiken (Art. 5), zweitens die KI-Kompetenz-Pflicht (Art. 4). Verboten sind unter anderem Social Scoring durch staatliche Stellen, Emotionserkennung am Arbeitsplatz (mit engen Ausnahmen für Sicherheit oder Gesundheit) sowie ungezielte Auswertung von Gesichtsdaten aus dem Internet. Diese Verbote treffen den klassischen Mittelstand selten direkt; eine kurze Prüfung der eigenen Tools ist trotzdem ratsam.

Praktisch wichtiger ist Artikel 4. Er verlangt von Anbietern und Betreibern, sich um ausreichende KI-Kompetenz ihres Personals zu kümmern. Was das genau heißt, definiert das Gesetz bewusst offen: Es soll zur Größe des Unternehmens, zur Erfahrung der Mitarbeiter und zum Einsatzkontext der KI passen. Eine Steuerberatungskanzlei mit zwölf Mitarbeitern, die Copilot in Outlook nutzt, braucht keinen 40-stündigen KI-Lehrgang. Eine kurze, dokumentierte Schulung mit Hinweisen zu Datenschutz, Halluzinationen und Verantwortung reicht in aller Regel.

Seit dem Digital Omnibus ist der Wortlaut zurückhaltender: Aus dem ursprünglichen „sicherstellen“ wurde ein „Maßnahmen ergreifen, um die Entwicklung von KI-Kompetenz zu unterstützen“. Das senkt den Maßstab, hebt die Pflicht aber nicht auf. Die Details dazu stehen in KI-Schulungspflicht nach dem Digital Omnibus.

Am 2. August 2025 kamen die Pflichten für Anbieter von General-Purpose-AI-Modellen dazu (also Modelle wie GPT-4, Claude oder Gemini). Diese Pflichten richten sich primär an die Modellanbieter, nicht an Sie als Nutzer. Die Regeln für Hochrisiko-KI-Systeme nach Anhang III greifen nach der Verschiebung durch den Omnibus erst am 2. Dezember 2027, für KI in regulierten Produkten (Anhang I) am 2. August 2028. Unverändert bleibt es dagegen beim 2. August 2026 für die Transparenzpflichten nach Artikel 50 — der Termin, der für den Mittelstand tatsächlich zuerst relevant wird.

Welche Risikoklassen sind für den Mittelstand relevant?

Der EU AI Act unterscheidet vier Risikoklassen. Für den Alltag in einem mittelständischen Unternehmen sind faktisch nur die unteren beiden relevant, mit seltenen Ausnahmen im Personalwesen.

Praktisch heißt das: ChatGPT, Microsoft Copilot oder Claude im normalen Büroalltag fallen unter begrenztes oder minimales Risiko. Schreiben Sie mit dem Tool eine Kundenmail oder lassen Sie ein Protokoll zusammenfassen, ist das unkritisch. Setzen Sie KI dagegen in der Personalauswahl ein (etwa zur automatisierten Vorsortierung von Bewerbungen), landen Sie schnell im Hochrisiko-Bereich mit deutlich höheren Anforderungen. Hier ist ehrlich gesagt Vorsicht geboten; in unseren Projekten raten wir KMU meistens davon ab, solange keine sauberen Prozesse stehen.

Für Hochrisiko-Anwendungen haben Sie durch den Digital Omnibus jetzt deutlich mehr Zeit — bis Dezember 2027 statt bis August 2026. Das ist eine echte Entlastung, aber kein Freibrief: Wer heute ein KI-Recruiting-Tool einführt, sollte die Anforderungen trotzdem kennen, weil ein späterer Umbau teurer wird als eine saubere Auswahl von Anfang an.

Was müssen Sie konkret tun?

Die ehrliche Antwort: weniger als die meisten Berater Ihnen verkaufen wollen, aber mehr als nichts. Die folgenden Kennzahlen zeigen, worauf es bei der Umsetzung wirklich ankommt.

• 02.02.2025 KI-Kompetenz-Pflicht (Art. 4) in Kraft
• 02.08.2026 Transparenzpflichten nach Art. 50 — nächster relevanter Termin
• 02.12.2027 Hochrisiko-KI nach Anhang III (vom Omnibus verschoben)
• 4 Klassen Risikokategorien im AI Act

Konkret empfehlen wir vier Bausteine, die jedes KMU schaffen kann. Erstens eine KI-Inventur: Welche Tools setzen Sie und Ihre Mitarbeiter heute ein? Oft tauchen hier Schatten-IT-Tools auf, die niemand offiziell beschafft hat. Zweitens eine kurze interne KI-Richtlinie auf zwei bis drei Seiten, die Erlaubtes und Verbotenes regelt. Drittens dokumentierte Schulungen für alle Mitarbeiter, die KI nutzen. Viertens eine verantwortliche Person, die für KI-Themen ansprechbar ist; das muss kein neuer Posten sein, oft passt es zur IT-Leitung oder zum Datenschutzbeauftragten.

Wenn Sie Unterstützung brauchen, ist eine strukturierte Erstanalyse Ihrer KI-Landschaft meist der schnellste Weg. Für die Schulung selbst eignen sich kompakte Team-Workshops oder rollenbasierte Schulungen, je nach Größe und Bedarf.

Wie hoch sind die Bußgelder wirklich?

Bußgeldrahmen, gestaffelt nach Schwere — Bei verbotenen KI-Praktiken (Art. 5) drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes (je nachdem, was höher ist). Bei Verstößen gegen Pflichten für Hochrisiko-KI sind es bis zu 15 Millionen Euro oder 3 Prozent. Falsche Angaben gegenüber Behörden werden mit bis zu 7,5 Millionen Euro oder 1 Prozent geahndet. Für KMU gelten anteilig die jeweils niedrigeren Beträge, was deutlich entlastet.

Die Schlagzeilen zu den 35 Millionen Euro sind technisch korrekt, aber missverständlich. Diese Maximalsummen treffen Großkonzerne, die zum Beispiel verbotene biometrische Massenüberwachung anbieten würden. Ein klassischer Mittelständler, der ChatGPT für E-Mails nutzt, riskiert solche Beträge nicht. Realistisch ist eher die Frage, ob bei einem Datenschutzvorfall plus fehlender KI-Kompetenz ein zusätzliches Bußgeld nach AI Act droht. Auch hier gilt die Verhältnismäßigkeit; Aufsichtsbehörden gehen 2026 in Deutschland vielerorts noch beratend vor, bevor sie hart sanktionieren.

Trotzdem: Ein Bußgeldverfahren ist teuer, langwierig und reputationsschädigend, selbst wenn am Ende nur ein paar Tausend Euro fällig werden. Die nötigen Schritte zur Compliance kosten weniger und sind ohnehin gute Praxis.

Was ist Panikmache, was echte Pflicht?

Meine ehrliche Meinung dazu: Rund um den AI Act wird gerade viel Angst verkauft. Beratungspakete für 15.000 Euro, KI-Compliance-Audits, dreitägige Pflicht-Seminare. Das meiste davon braucht ein 30-Personen-Unternehmen schlicht nicht.

Echte Pflicht ist die KI-Kompetenz nach Artikel 4. Sie müssen nachweisen können, dass Ihre Mitarbeiter wissen, was KI kann, was sie nicht kann und wo die Risiken liegen. Echte Pflicht ist auch der Verzicht auf verbotene Praktiken, was im Mittelstand fast nie ein Problem ist. Echte Pflicht ist die Transparenz bei Chatbots: Wenn Kunden mit einem KI-Bot chatten, müssen sie das erkennen können.

Panikmache ist die Behauptung, jedes Unternehmen brauche jetzt einen KI-Beauftragten, eine Folgenabschätzung pro Tool und ein zertifiziertes Managementsystem. Solche Anforderungen gelten für Hochrisiko-Anbieter, nicht für den Bäcker, der mit Copilot seine Schichtpläne entwirft. Wer Ihnen sowas verkaufen will, sollte Ihnen mindestens den entsprechenden Artikel im Gesetzestext zeigen können.

Der AI Act ist kein Grund, KI-Projekte zu stoppen. Er ist ein Grund, sie endlich sauber aufzusetzen.

Wie starten Sie in drei Schritten?

Wenn Sie bis heute noch gar nichts gemacht haben, ist das kein Drama. Mit drei sauberen Schritten kommen Sie in wenigen Wochen in einen Zustand, der die wichtigsten Pflichten erfüllt.

• Schritt 1: KI-Inventur erstellen. Listen Sie alle KI-Tools auf, die im Unternehmen offiziell oder inoffiziell genutzt werden. Notieren Sie pro Tool: Anbieter, Lizenztyp, Einsatzzweck, verarbeitete Datenarten.
• Schritt 2: Interne KI-Richtlinie aufsetzen. Zwei bis drei Seiten reichen. Inhalt: erlaubte Tools, verbotene Eingaben (z.B. personenbezogene oder vertrauliche Daten in Consumer-Tools), Verantwortliche, Meldewege bei Vorfällen.
• Schritt 3: Schulung dokumentieren. Eine kompakte interne Schulung von 60 bis 90 Minuten reicht für die meisten Rollen. Wichtig: Teilnahmenachweise und Schulungsinhalte aufbewahren, damit Sie KI-Kompetenz nachweisen können.
• Optional Schritt 4: Halbjährlich nachsteuern. KI-Tools entwickeln sich schnell, neue Mitarbeiter kommen, Prozesse ändern sich. Ein kurzer Review zweimal im Jahr hält die Dokumentation aktuell.

Wer das selbst nicht stemmen kann oder will, holt sich punktuelle Unterstützung. In unseren Projekten dauert die Einführung dieses Pakets bei einem typischen 30-Mann-Betrieb zwischen drei und sechs Wochen, je nach Komplexität der bestehenden Tool-Landschaft. Mehr dazu im Artikel KI-ROI berechnen oder direkt im Erstgespräch.