Im Rahmen von dem EU AI Act hat die Europäische Union erstmals einen verbindlichen Rechtsrahmen für Künstliche Intelligenz etabliert. Seit 1. August 2024 ist die Verordnung in Kraft, und ihre Pflichten greifen in mehreren Stufen. Für KMU ergibt sich die entscheidende Fragestellung: Welche Vorschriften gelten für mich wirklich – und was muss ich heute schon tun?
Künstliche Intelligenz ist im mittelständischen Sektor längst keine Zukunftsbild mehr. Sie steckt im CRM-System, das Kundenfragen priorisiert. Sie hilft im Beschaffungswesen bei der Bedarfsprognose. Sie formuliert Texte, bewertet Rechnungen und begleitet die HR-Abteilung bei der Auswahl von Bewerbungen.
Eine aktuelle Bitkom-Erfassung belegt, dass gegenwärtig rund 57 Prozent der deutschen Firmen KI im Marketing einsetzen – meist ohne klare Governance sowie ohne das nötige Bewusstsein für regulatorische Folgen (https://www.mindmelt.de/ki-agentur/blog/eu-ai-act-im-marketing-was-der-mittelstand-wissen-muss/). Wer sich heute fokussiert, umgeht spätere Haftungsrisiken und kann die offene Zeit bis zu den kommenden Stichtagen gezielt nutzen.
Der EU AI Act – offiziell Verordnung (EU) 2024/1689 – ist das global erste umfassende Regelwerk, das KI risikoorientiert steuert. Anstelle einzelne Technologien pauschal zu untersagen oder zuzulassen, teilt das Regelwerk KI-Systeme in vier Risikokategorien ein und bindet die Vorgaben an das entsprechende Gefährdungspotenzial.
Für den KMU-Sektor ist diese Einteilung eine positive Nachricht: Die meisten KI-Anwendungen, die heute in typischen KMU laufen, gehören in die unteren zwei Klassen. Systeme mit hohem Risiko sind eher die Ausnahme – sie tauchen jedoch rascher auf als vermutet, beispielsweise wenn ein HR-Tool selbsttätig Bewerberprofile beurteilt oder ein Finanzmodul eine Darlehensentscheidung unterstützt.
Der EU AI Act entfaltet seine Auswirkung schrittweise. Entscheidend ist: Einige Vorgaben gelten schon, andere stehen unmittelbar bevor, erneut andere wurden durch den genannten Digital Omnibus politisch neu ausgehandelt.
Der verpflichtende Zeitplan sieht bislang folgendermaßen aus:
Eine der am öftesten unterschätzten Vorgaben ist die KI-Kompetenzpflicht nach Artikel 4. Sie gilt schon seit dem 2. Februar 2025 – und zwar losgelöst von Risikoklasse, Branche oder Unternehmensgröße (Quelle).
Ausdrücklich verlangt der Gesetzgeber, dass Anbieter und Betreiber von KI-Systemen gewährleisten, dass ihr Personal und alle in ihrem Auftrag tätigen Personen über ein angemessenes Maß an KI-Kompetenz verfügen. Das betrifft auch scheinbar harmlose Anwendungen wie ChatGPT oder Microsoft Copilot. Wenn ein Mitarbeiter ein KI-Tool im Arbeitskontext verwendet, ergibt sich Schulungsbedarf.
Wir beobachten in der Anwendungspraxis immer wieder, dass diese Verpflichtung unterbewertet wird. Der Normgeber fordert zwar keine konkrete Stundenzahl und kein bestimmtes Schulungsformat, aber drei Kompetenzbereiche sollten abgedeckt sein:
Ein Zuwiderhandeln gegen Artikel 4 ist aktuell noch nicht unmittelbar sanktionsbewehrt. Im Fall eines Schadens kann aber eine fehlende Schulung als Verletzung der Sorgfaltspflicht eingestuft werden – mit daraus resultierenden Haftungsfolgen für die Geschäftsleitung. Aus unserer Erfahrung als IT-Dienstleister ist die Botschaft klar: Lieber ein pragmatisches, dokumentiertes Schulungskonzept als gar keines.
Zwei zusätzliche Regelungsbereiche sind für den KMU-Sektor insbesondere bedeutsam. Zum Ersten die Transparenzpflichten nach Artikel 50, die aller Voraussicht nach zum 2. August 2026 anwendbar werden. Zum anderen die Anforderungen an Hochrisiko-Systeme, deren Anwendung – abhängig vom Digital Omnibus – in den Jahren 2027 und 2028 folgt.
Die Transparenzpflichten sind rasch erläutert: Wer Chatbots oder KI-Telefonassistenten verwendet, muss die Nutzer darüber informieren, dass diese mit einem KI-System kommunizieren. Wer KI-generierte Texte, Bilder, Audios oder Clips publiziert, muss diese prinzipiell automatisiert auslesbar markieren. Bei Deepfakes, also täuschend realistischen Darstellungen wirklicher Personen, ist zusätzlich eine deutlich erkennbare Kennzeichnung vorgegeben. Für ein mittelgroßes Unternehmen heißt das: Ein eindeutiger Hinweis am Chatbot, ein Vermerk im Impressum und ein Zusatz in der Datenschutzerklärung decken den Großteil der Anforderungen ab.
Anders sieht es bei Hochrisiko-KI aus. Wer ein System nach Anhang III einsetzt – beispielsweise eine Recruiting-Software mit automatisierter Vorauswahl oder ein Tool zur Kreditwürdigkeitsprüfung – muss eine Konformitätsbewertung durchführen, ein Risikomanagementsystem etablieren, technische Dokumentation vorhalten, Protokolle mindestens sechs Monate speichern und eine menschliche Aufsicht sicherstellen. Diese Anforderungen gelten unabhängig von der Unternehmensgröße. Ein 30-Personen-Mittelständler muss hier genauso erfüllen wie ein Konzern.
Die Geldbußen verdeutlichen, wie ernst es die EU meint: Bei Zuwiderhandlungen drohen bis zu 35 Millionen Euro oder 7 Prozent des globalen Jahresumsatzes, je nachdem, welcher Betrag höher ist (Quelle).
Eine belastbare Vorbereitung muss kein Großprojekt sein. Erfahrungsgemäß genügt ein systematisches Verfahren in fünf Etappen.
Zahlreiche dieser Maßnahmen können sich mit bestehenden Prozessen aus DSGVO- und NIS-2-Compliance verzahnen. Wer dort schon strukturiert aufgestellt ist, hat für den EU AI Act einen deutlichen Vorsprung.
Der EU AI Act ist kein Bedrohungsszenario, aber auch keine Randnotiz. Er wirkt bereits gegenwärtig – über die KI-Kompetenzpflicht – und wird in den kommenden Monaten und Jahreszeiträumen durch Transparenzregeln und Hochrisiko-Pflichten konkreter. Selbst wenn der Digital Omnibus die Zeitvorgaben für Hochrisiko-Systeme nach hinten verschiebt, bleibt die Entwicklung unverändert: Wer KI im Unternehmen einsetzt, muss Verantwortung dokumentieren, Kompetenzen aufbauen und Prozesse belastbar gestalten.
Für den KMU-Bereich liegt darin eine doppelte Chance. Zum einen schafft ein systematischer Umgang mit KI Vertrauen bei Kunden, Partnern und Prüfern. Zum anderen ergibt sich so die Basis, um KI produktiv und rechtssicher in die unternehmenseigene Wertschöpfung zu bringen, statt sie aus Ungewissheit zu bremsen.
Sie möchten prüfen, wo Ihr Unternehmen beim Bereich EU AI Act positioniert ist, und einen pragmatischen Umsetzungsplan erstellen? Sprechen Sie uns gerne an – als Ihr IT-Dienstleister unterstützen wir Sie von der KI-Inventur über die Risikoeinstufung bis zur Schulung Ihrer Mitarbeitenden.