Was ist der EU AI Act und wen betrifft er?
Der EU AI Act ist die weltweit erste umfassende Regulierung für künstliche Intelligenz und trat am 1. August 2024 in Kraft. Er gilt unmittelbar in allen Mitgliedstaaten ohne nationales Umsetzungsgesetz. Die Verordnung adressiert drei Akteursrollen: Anbieter (Provider), die KI-Systeme entwickeln oder in Verkehr bringen, Betreiber (Operator), die fremde Systeme unter eigener Verantwortung nutzen, sowie Einführer und Händler. Für den Mittelstand ist die Rollenverteilung entscheidend: Die meisten Unternehmen agieren als Betreiber, weil sie KI-Dienste Dritter – etwa HR-Scoring-Tools, Chatbots oder Predictive-Maintenance-Lösungen – einsetzen, ohne selbst Modelle zu trainieren.
Die Pflichten knüpfen primär an die Risikoklasse des Systems an, nicht an die Unternehmensgröße. Der risikobasierte Ansatz kennt vier Stufen: unzulässige Praktiken (Verbote), hohes Risiko (Anhang III), begrenztes Risiko (Transparenzpflichten) und minimales Risico (keine spezifischen Vorgaben). Typische Hochrisiko-Anwendungen im Mittelstand sind KI-gestütztes Recruiting, Bonitätsprüfungen oder die Steuerung kritischer Infrastrukturen. Wer ein solches System betreibt, muss Überwachungspflichten erfüllen, Dokumentation vorhalten und Personal schulen – unabhängig davon, ob das Unternehmen zehn oder 500 Beschäftigte zählt.
Erste Orientierung bietet die IHK München mit offizieller Fristenübersicht. Ergänzend fasst ein Überblicksartikel die Meilensteine und Auswirkungen für Betreiber zusammen. Der operative Startpunkt für jedes Unternehmen bleibt ein KI-Inventar: Welche Systeme werden zu welchem Zweck von wem genutzt? Ohne diese Bestandsaufnahme lässt sich keine Risikoklasse zuordnen.
Welche Fristen gelten für Mittelständler?
Der AI Act folgt einem gestaffelten Zeitplan. Seit dem 1. August 2024 ist die Verordnung in Kraft; verbotene Praktiken – etwa Social Scoring oder manipulative Systeme – sind bereits ab Februar 2025 untersagt. Die meisten Pflichten für Hochrisiko-KI greifen zum 2. August 2026. Für Systeme, die vor diesem Stichtag bereits am Markt waren, gewährt der Gesetzgeber eine Übergangsfrist bis August 2027, sofern sie keine wesentlichen Änderungen erfahren. Die Europäische Kommission fasst die relevanten Stichtage in ihren FAQ zur KI-Kompetenz übersichtlich zusammen.
Kleine und mittlere Unternehmen profitieren von Erleichterungen: Die technische Dokumentation darf in vereinfachter Form vorliegen, und die Bußgeldobergrenzen fallen niedriger aus als für Großkonzerne. Dennoch sollten Betreiber die Fristen nicht als Puffer missverstehen. Wer heute KI-gestütztes Recruiting, Bonitätsprüfungen oder Steuerung kritischer Infrastruktur einsetzt, muss bis August 2026 Risikomanagement, Datenqualität und Human-Oversight nachweisen können. Das DAVINCI-Rechenzentrum stellt die Fristenlogistik samt KMU-Sonderregeln gebündelt dar. Ein erster operativer Schritt bleibt das KI-Inventar: Welche Systeme laufen bereits, welche sind geplant, welche fallen unter Anhang III? Ohne diese Basis lässt sich keine Frist zuverlässig managen.
KI-gestützte Datenanalyse
Nutzen Sie die Kraft Ihrer Daten. Mit unseren KI-Analysetools gewinnen Sie wertvolle Insights für fundierte Geschäftsentscheidungen.
Kostenlose Datenanalyse:
Welche Rolle habe ich – Anbieter oder Betreiber?
Die Rollenzuordnung entscheidet über den Umfang der Pflichten. Ein Anbieter stellt ein KI-System unter eigenem Namen oder eigener Marke auf den Markt oder nimmt es in Betrieb. Ein Betreiber nutzt ein solches System unter eigener Verantwortung für berufliche Zwecke. Die meisten mittelständischen Unternehmen agieren als Betreiber, weil sie fertige Lösungen Dritter einsetzen – etwa Recruiting-Tools, Chatbots oder Predictive-Maintenance-Software.
Die Grenze verschiebt sich, sobald ein Unternehmen ein Hochrisiko-System wesentlich verändert („Substantial Modification“) oder unter eigenem Namen anbietet. Dann übernimmt es die Anbieterpflichten: Konformitätsbewertung, technische Dokumentation, Qualitätsmanagementsystem, Meldung an die Behörden. Auch das Neu-Trainieren eines Modells mit eigenen Daten kann diese Schwelle überschreiten. Actainable empfiehlt, jeden Eingriff in Architektur, Zweckbestimmung oder Trainingsdaten dokumentiert zu prüfen.
Modular Ops nennt konkrete Kriterien: Ändert sich die Risikoklasse, der Verwendungszweck oder die Leistungsfähigkeit signifikant, liegt eine wesentliche Änderung vor. Reine Konfiguration innerhalb der vom Hersteller vorgegebenen Parameter reicht nicht. Wer unsicher ist, sollte den Hersteller um eine schriftliche Einordnung bitten und das Ergebnis im KI-Inventar ablegen. So lässt sich später nachweisen, dass die Rollenprüfung sorgfältig erfolgte.
Wie ordne ich meine KI-Systeme in Risikoklassen ein?
Der AI Act unterscheidet vier Risikoklassen: unzulässig, hohes Risiko, begrenztes Risiko und minimales Risiko. Die Einordnung richtet sich ausschließlich nach dem Verwendungszweck – etwa nach Anhang III –, nicht nach der zugrundeliegenden Technologie. Ein Recruiting-Tool, das Bewerbungen filtert und bewertet, fällt damit unter hohes Risiko, während derselbe Algorithmus zur internen Wissenssuche unkritisch bleiben kann.
Der zwingende erste Schritt ist ein KI-Inventar (Mapping). Unternehmen erfassen systematisch, welche Systeme – einschließlich Embedded KI in Standardsoftware und Shadow AI durch private Tools von Mitarbeitenden – zu welchem Zweck von wem genutzt werden. Ohne dieses Verzeichnis lässt sich keine Klasse zuordnen. Das KOFA stellt konkrete Erhebungsfragen für HR und Fachabteilungen bereit, die den Aufwand strukturieren: Welche Daten fließen? Wer entscheidet auf Basis der Ausgabe? Gibt es menschliche Aufsicht?
Central Solution ergänzt praxisnahe Checklisten für den Mittelstand, die auch Schnittstellen zu bestehender Compliance (DSGVO, ISO 27001) aufzeigen. Wer das Inventar früh aufbaut, erkennt früh, ob Konformitätsbewertungen, technische Dokumentation oder Überwachungspflichten nötig werden – und vermeidet teure Nachrüstungen kurz vor August 2026.
Welche Pflichten habe ich als Betreiber von Hochrisiko-KI?
Betreiber hochriskanter KI-Systeme tragen die Verantwortung für den bestimmungsgemäßen Einsatz. Sie müssen menschliche Aufsicht organisieren, die Eingabedaten auf Relevanz und Repräsentativität prüfen und Vorfälle unverzüglich melden. Hinzu kommen Dokumentations- und Aufbewahrungspflichten über den gesamten Lebenszyklus. Die KGSt skizziert dafür einen strukturierten Erfassungsprozess, der als Blaupause für die Betreiberpflichten dient: Zweck, Datenquellen, Risikoklasse und Verantwortlichkeiten werden vor der Produktivnahme systematisch erfasst.
Eine praxisnahe Checkliste für 2026 liefert Sage. Sie fasst zusammen, dass Betreiber Anweisungen des Anbieters befolgen, die Kompetenz des Bedienpersonals sicherstellen und Logs automatisch aufbewahren müssen. Wer ein System wesentlich verändert oder unter eigenem Namen anbietet, wechselt in die Anbieterrolle und unterliegt dann den strengeren Konformitätsbewertungen. Ein internes KI-Inventar bleibt der operative Ausgangspunkt – ohne Übersicht keine Compliance.
Was fordert Artikel 4 (KI-Kompetenz) von meinem Unternehmen?
Artikel 4 der KI-Verordnung verpflichtet jeden Betreiber, Personal, das KI-Systeme bedient oder überwacht, mit ausreichender KI-Kompetenz auszustatten. Die Pflicht greift ab August 2026 und betrifft nicht nur Entwickler, sondern alle Mitarbeitenden, die im Arbeitsalltag mit KI-Tools umgehen – vom Recruiting bis zur Produktionssteuerung.
Kompetenz bedeutet hier: Verständnis für die Funktionsweise des eingesetzten Systems, dessen Risiken, die eigenen Rechte sowie die gesetzlichen Pflichten. Nicht jeder Mitarbeiter muss zum KI-Experten werden; die Schulung muss verhältnismäßig zur Rolle und zum Risiko des Systems ausfallen. Die Europäische Kommission präzisiert im AI Literacy FAQ, dass eine risikobasierte Abstufung ausreicht – Basisschulung für Anwender, vertiefte Qualifikation für Verantwortliche Hochrisiko-Systeme.
In der Praxis leiten Unternehmen den Qualifizierungsbedarf aus ihrem KI-Inventar ab: Welches System nutzt welche Abteilung zu welchem Zweck? Daraus ergeben sich Zielgruppen, Inhalte und Nachweispflichten. Anbieter wie DND Systems und SolonOS demonstrieren, wie sich Schulungspläne modulär aufbauen, Fortschritte dokumentieren und bei Audits vorlegen lassen – ohne parallele Schatten-IT zu schaffen. Wer die Kompetenzpflicht ignoriert, riskiert Bußgelder und haftet für Fehlentscheidungen ungelernten Personals.
Prozessautomatisierung mit KI
Steigern Sie Ihre Effizienz durch intelligente Automatisierung. Unsere KI-Lösungen optimieren Ihre Workflows und reduzieren manuelle Aufgaben.
Jetzt Potenziale entdecken:
Wie erstelle ich ein KI-Inventar (Mapping) in der Praxis?
Ein KI-Inventar erfasst systematisch: Systemname, Zweck, Anbieter, Nutzerkreis, verarbeitete Daten, Risikoklasse und Verantwortlicher. Auch Shadow AI – private Tools wie ChatGPT im Browser – gehört hinein. Ohne dieses Verzeichnis lässt sich keine Risikoklasse zuordnen, keine Schulung planen und kein Audit-Nachweis führen.
Der Aufwand bleibt überschaubar, wenn Fachbereiche schlanke Fragebögen ausfüllen, die an bestehende Asset-Register andocken. W+W Consulting empfiehlt, die Erhebung in die reguläre Software-Inventarisierung einzubetten, statt ein Insellösung zu bauen. Modular Ops ergänzt: Wer die Daten einmal strukturiert vorhält, kann später Compliance-Reports automatisiert generieren und Substantial-Modification-Prüfungen beschleunigen.
Wichtig ist der Abgleich mit Einkauf und IT-Security: Lizenzverträge zeigen oft Systeme, die Fachbereiche nicht melden. Ein quartalsweiser Review hält das Inventar aktuell und schließt Lücken, bevor Prüfer nachfragen.
Was droht bei Verstößen – Bußgelder und Sanktionen?
Verstöße gegen Pflichten für Hochrisiko-KI-Systeme ziehen Bußgelder von bis zu 3 % des weltweiten Jahresumsatzes oder 15 Mio. € nach sich – der jeweils höhere Betrag greift. Diese Obergrenze nennt die Verordnung explizit in Artikel 99. Für KMU und kleine Midcaps sieht das Digital-Omnibus-Paket reduzierte Höchstgrenzen vor, wie Sage und verdagen in ihren Ausarbeitungen darstellen.
Neben Geldbußen ordnet die Verordnung Marktverbote an: Nicht konforme Systeme dürfen nicht mehr in Verkehr gebracht oder in Betrieb genommen werden. Bereits ausgelieferte Produkte können zurückgerufen werden. Behörden dürfen die Nutzung untersagen und die Stilllegung anordnen. Hinzu kommen Reputationsschäden, die bei Geschäftspartnern und Kunden oft länger nachwirken als die Strafe selbst.
Beide Analysen betonen: Proaktive Compliance ist günstiger als nachträgliche Abwehr. Ein frühzeitiges KI-Inventar, Risikoklassen-Zuordnung und technische Dokumentation verhindern Verstöße, bevor sie entstehen. Wer erst nach behördlichem Einschreiten reagiert, trägt doppelte Kosten – für die Strafe und für die hastige Nachrüstung laufender Systeme.
Wie setze ich Compliance operativ um – Tools und Prozesse?
Etablieren Sie schlanke AI Gate Reviews vor jeder Produktivnahme. Prüfen Sie dabei Zweck, Datenherkunft, Risikoklasse, Datenschutz-Folgenabschätzung und Verantwortlichkeiten in einem festen Raster. Nutzen Sie bestehende Governance-Strukturen – ISO 27001, NIS2 und DSGVO – als Fundament für eine integrierte KI-Governance, statt Parallelwelten aufzubauen.
Spezialisierte Compliance-SaaS decken Risiko-Klassifizierung, Dokumentationsvorlagen und Audit-Trails out of the box ab. Anbieter wie Kertos, Safe Bytes oder Modular Ops liefern vorkonfigurierte Workflows, die auf Mittelstandsprozesse abgestimmt sind. Wer bereits ein ISMS betreibt, bindet KI-Risiken als eigene Asset-Kategorie ein und erweitert bestehende Kontrollen um Artikel-4-Schulungsnachweise und Hochrisiko-Überwachungspflichten.
Wichtig: Dokumentieren Sie jede Freigabeentscheidung revisionssicher. Ein durchgängiger Audit-Trail vom Inventar-Eintrag bis zum Gate-Review-Protokoll ersetzt spätere Beweisführung vor Aufsichtsbehörden. Automatisierte Erinnerungen an Wiederholungsprüfungen (Modell-Drift, neue Datenquellen, regulatorische Änderungen) halten den Aufwand dauerhaft beherrschbar.
