AI Act Pflichten für KMUs – Die praktische Checkliste

Update Juli 2026 – Digital Omnibus in Kraft: Mit der Verordnung (EU) 2026/1744 (in Kraft seit 27. Juli 2026) gelten die Hochrisiko-Pflichten ab 2. Dezember 2027 (Annex III) bzw. 2. August 2028 (Annex I) – feste Termine. Die Transparenzpflichten (Art. 50) gelten seit dem 2. August 2026. Art. 4 (KI-Kompetenz) bleibt eine Pflicht, verlangt aber nur noch Maßnahmen zur Förderung der KI-Kompetenz statt eines bestimmten Kompetenzniveaus. Die KMU-Erleichterungen wurden auf Small Mid-Caps erweitert.

Der EU AI Act gilt stufenweise: Transparenzpflichten seit August 2026, Hochrisiko-Pflichten ab Dezember 2027. Für kleine und mittlere Unternehmen (KMUs) und Small Mid-Caps (bis 750 Mitarbeiter / 150 Mio. EUR Umsatz) bedeutet das: Wer Künstliche Intelligenz nutzt – und das tun mittlerweile die meisten – muss bestimmte Pflichten erfüllen. Sonst drohen Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes.

Klingt dramatisch? Ist es auch. Aber die gute Nachricht: Durch den Digital Omnibus haben Sie für die Hochrisiko-Compliance deutlich mehr Zeit. Und für die meisten KMUs sind die Anforderungen überschaubar – wenn man weiß, was zu tun ist.

Betrifft mich der AI Act überhaupt?

Kurze Antwort: Ja, sehr wahrscheinlich.

Der AI Act gilt für jedes Unternehmen, das in der EU KI-Systeme einsetzt (als „Betreiber“) oder entwickelt (als „Anbieter“). Und „KI-Systeme“ ist weit gefasst.

Nutzen Sie eines der folgenden Tools? Dann sind Sie betroffen:

ChatGPT, Claude, Gemini für Texterstellung oder Kundenservice
Microsoft Copilot in Office oder Windows
DeepL für Übersetzungen
Midjourney, DALL-E für Bildgenerierung
HubSpot, Salesforce mit KI-gestütztem Lead-Scoring
Recruiting-Software mit automatischer Bewerbervorauswahl
Buchhaltungssoftware mit KI-gestützter Belegerfassung

Die Liste ist lang. Der AI Act unterscheidet nicht nach Unternehmensgröße – er unterscheidet nach Risiko.

Die 4 Risikoklassen – wo steht Ihr KI-Einsatz?

Der AI Act teilt KI-Systeme in vier Risikoklassen ein:

1. Verbotene KI-Praktiken

Bestimmte KI-Anwendungen sind seit Februar 2025 komplett verboten. Dazu gehören Social Scoring, manipulative Systeme und biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen zu Strafverfolgungszwecken (mit engen Ausnahmen). Ab dem 2. Dezember 2026 kommen KI-Systeme für nicht einvernehmliche intime Deepfakes („Nudify-Apps“) und Darstellungen sexuellen Kindesmissbrauchs hinzu. Für die meisten KMUs irrelevant, aber wichtig zu kennen.

2. Hochrisiko-KI

Hier wird es für einige KMUs relevant: KI-Systeme in den Bereichen Personalwesen (Bewerberauswahl, Leistungsbewertung), Kreditwürdigkeit, Versicherungsprämien, Bildung oder kritische Infrastruktur gelten als Hochrisiko. Die Pflichten sind umfangreich: Risikomanagement, technische Dokumentation, menschliche Aufsicht, Registrierung.

3. KI mit begrenztem Risiko (Limited Risk)

Hierunter fallen Chatbots, KI-generierte Texte und Bilder. Die häufigste Kategorie für KMUs. Hauptpflicht: Transparenz – Sie müssen offenlegen, dass KI im Spiel ist.

4. Minimales Risiko

Spam-Filter, Rechtschreibprüfung, einfache Empfehlungssysteme. Keine besonderen Pflichten – aber ein KI-Inventar schadet trotzdem nicht.

Die 7 Pflichten, die jedes KMU kennen muss

1. KI-Inventar erstellen

Was: Dokumentieren Sie alle KI-Systeme, die in Ihrem Unternehmen eingesetzt werden.

Praxis-Tipp: Gehen Sie systematisch vor – IT, Marketing, HR, Vertrieb, Buchhaltung. Fragen Sie in jeder Abteilung: „Welche Tools nutzt ihr, die irgendwas automatisch entscheiden, erstellen oder analysieren?“

Sie werden überrascht sein, wie viele KI-Tools bereits im Einsatz sind.

2. Risikoklassifizierung durchführen

Was: Ordnen Sie jedes KI-System einer der vier Risikoklassen zu.

Praxis-Tipp: Für die meisten Office-KI-Tools (ChatGPT, Copilot, DeepL) landen Sie bei „begrenztes Risiko“ oder „minimales Risiko“. Kritisch wird es bei HR-Tools und allem, was automatisierte Entscheidungen über Menschen trifft.

3. Transparenzpflichten umsetzen

Was: Wenn KI Inhalte erzeugt oder mit Menschen interagiert, muss das kenntlich gemacht werden.

Konkret:

Chatbot auf der Website? → Muss als KI erkennbar sein
KI-generierte Texte im Marketing? → Kennzeichnen (zumindest intern dokumentieren)
Automatisierte E-Mail-Antworten? → Empfänger informieren

4. KI-Kompetenz (Art. 4) – Förderpflicht statt Kompetenzgarantie

Was: Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals und anderer Personen, die in ihrem Auftrag KI-Systeme betreiben und nutzen, zu unterstützen. Durch den Digital Omnibus (in Kraft seit 27. Juli 2026) wurde Art. 4 abgeschwächt: Früher war ein „ausreichendes Maß an KI-Kompetenz“ sicherzustellen, heute müssen Sie kein bestimmtes Kompetenzniveau einzelner Personen garantieren. Eine Pflicht bleibt es trotzdem.

Praxis-Tipp: Schulungen sind der einfachste Nachweis, dass Sie Maßnahmen ergriffen haben: Sie reduzieren Haftungsrisiken, sind bei Hochrisiko-Compliance (ab Dez. 2027) relevant und schaffen Klarheit im Team. Ein halbtägiger Workshop pro Jahr reicht. Wichtig: Dokumentieren, dass die Schulung stattgefunden hat.

5. Technische Dokumentation (nur Hochrisiko)

Was: Anbieter von Hochrisiko-KI müssen umfangreiche technische Dokumentation vorhalten.

Für KMU-Betreiber: Sie müssen nicht selbst dokumentieren, wie ChatGPT funktioniert – das ist OpenAIs Job. Aber Sie müssen dokumentieren, wie und wofür Sie es einsetzen.

6. Menschliche Aufsicht (nur Hochrisiko)

Was: Bei Hochrisiko-Systemen muss immer ein Mensch die Möglichkeit haben, einzugreifen.

Praxis-Tipp: Kein KI-System darf im Hochrisiko-Bereich vollautomatisch finale Entscheidungen treffen. Bewerber-Screening per KI? Okay – aber ein Mensch muss die Endentscheidung treffen und dokumentieren.

7. Überwachung & Meldepflichten (nur Hochrisiko)

Was: Betreiber von Hochrisiko-KI müssen Vorfälle dokumentieren und bei schwerwiegenden Vorfällen die Behörden informieren.

Erleichterungen für KMUs

Der AI Act ist nicht blind für die Realität kleiner Unternehmen. Mehrere Artikel sehen explizit Erleichterungen vor:

Sandbox-Zugang (Art. 62 Abs. 1): KMUs und Start-ups erhalten vorrangigen Zugang zu KI-Reallaboren
Reduzierte Gebühren (Art. 62 Abs. 2): Gebühren für die Konformitätsbewertung werden für KMU-Anbieter verhältnismäßig gesenkt
Bußgeld-Bemessung (Art. 99 Abs. 1, 6 und 6a): Die Interessen von KMUs und Small Mid-Caps werden berücksichtigt; für KMUs gilt jeweils der niedrigere der beiden Höchstbeträge (für Small Mid-Caps bei Abs. 4 und 5)
Unterstützungspflicht (Art. 62 Abs. 1): Mitgliedstaaten müssen Schulungen und Beratungskanäle für KMUs anbieten
Vereinfachte Dokumentation: Durch den Digital Omnibus auch für Small Mid-Caps (bis 750 Mitarbeiter / 150 Mio. EUR Umsatz) – nicht mehr nur für KMUs
Vorlagen: Das KI-Büro stellt standardisierte Vorlagen bereit (Art. 62 Abs. 3)

Aber: Die Erleichterungen betreffen Form und Verfahren – nicht die Substanz. Ein Hochrisiko-System bleibt Hochrisiko, egal wie klein das Unternehmen ist.

Was passiert, wenn ich nichts tue?

Drei Szenarien:

Best Case: Nichts. Viele KMUs werden anfangs nicht kontrolliert – die Behörden konzentrieren sich auf Großunternehmen und offensichtliche Verstöße.
Realistischer Case: Ein Kunde, Geschäftspartner oder Auftraggeber fragt nach Ihrer AI-Act-Compliance. Ohne Dokumentation stehen Sie schlecht da – besonders bei öffentlichen Ausschreibungen oder Großkunden mit eigener Compliance-Abteilung.
Worst Case: Beschwerde, Prüfung, Bußgeld. Bei verbotenen Praktiken bis zu 35 Mio. €, bei Verstößen gegen Hochrisiko- oder Transparenzpflichten bis zu 15 Mio. €, bei falschen oder unvollständigen Angaben gegenüber Behörden bis zu 7,5 Mio. € – jeweils alternativ bis zu 7 %, 3 % oder 1 % des Jahresumsatzes. Für KMUs gilt der jeweils niedrigere Betrag.

Ihr Aktionsplan: Zwei Phasen

Phase 1: Transparenz – gilt bereits (dringend)

Jetzt: Die Transparenzpflichten gelten seit dem 2. August 2026. → KI-Inventar erstellen. Jedes Tool erfassen. Risikoklasse vorläufig einordnen. → Transparenzhinweise einbauen: Chatbots kennzeichnen, KI-generierte Inhalte markieren. → KI-Kompetenz-Maßnahmen (Art. 4) festlegen und dokumentieren. → Meldeprozesse für schwerwiegende Vorfälle vorbereiten.

Phase 2: Hochrisiko-Compliance bis Dezember 2027

Durch den Digital Omnibus haben Sie für die Hochrisiko-Pflichten deutlich mehr Zeit. Nutzen Sie sie sinnvoll:

→ Risikoklassifizierung finalisieren. Handlungsbedarf pro System identifizieren. → KI-Schulungen durchführen (Best Practice, relevant für Hochrisiko-Aufsicht). → Bei Hochrisiko: Risikomanagement-System aufbauen, technische Dokumentation erstellen, EU-Datenbank-Registrierung vorbereiten.

Phase eins dieses Plans, Inventar und Einstufung, ist der Teil, an dem die meisten hängenbleiben. In vier Schritten zur Dokumentation führt genau dort entlang.

Fazit

Der AI Act ist kein Grund zur Panik – aber ein Grund zum Handeln. Die meisten KMUs kommen mit überschaubarem Aufwand durch, wenn sie jetzt anfangen. Wer wartet, riskiert nicht nur Bußgelder, sondern auch einen Wettbewerbsnachteil: Kunden und Partner werden AI-Act-Compliance zunehmend als Hygienefaktor betrachten.

Der erste Schritt? Wissen, welche KI-Systeme Sie einsetzen und in welche Risikoklasse sie fallen.