EU AI Act: Was Ihr Betrieb wirklich tun muss

Um kaum ein Gesetz ranken sich so viele Schauergeschichten wie um die europäische KI-Verordnung. Dabei ist der AI Act für die allermeisten Mittelständler das Gegenteil eines Verbots: Er sortiert KI-Anwendungen nach Risiko und lässt den Alltag bewusst in Ruhe. Die Regeln sind Leitplanken, innerhalb derer Sie sich frei bewegen können. Hier ist der Stand August 2026, in Klartext.

Wen betrifft der AI Act, und in welcher Rolle?

Das Gesetz unterscheidet zwischen Anbietern, die KI-Systeme entwickeln und verkaufen, und Betreibern, die sie nutzen. Ein Mittelständler, der ChatGPT im Büro einsetzt, einen KI-Sprachassistenten für Kundenanfragen betreibt oder seine Rechnungsverarbeitung automatisiert, ist fast immer nur Betreiber, und für Betreiber sind die Pflichten bewusst schlank gehalten. Die aufwendigen Anforderungen wie technische Dokumentation, Konformitätsbewertung und Registrierung treffen die Anbieter der Systeme, nicht deren Nutzer. Dazu sortiert das Gesetz jede Anwendung in eine von vier Risikoklassen: verboten, hochriskant, begrenzt riskant und minimal riskant. Die gute Nachricht: Praktisch alles, was in einem typischen Betrieb im Einsatz ist, von der Text-KI über die Automatisierung bis zum Sprachassistenten, landet in den beiden untersten Klassen.

Der Zeitplan: Was gilt seit wann?

Seit Februar 2025 sind die wenigen verbotenen Praktiken untersagt, darunter Social Scoring und Emotionserkennung am Arbeitsplatz, außerdem gilt seitdem die Pflicht zur KI-Kompetenz. Seit August 2025 gelten Regeln für die Anbieter der großen KI-Modelle. Seit dem 02.08.2026 sind die Transparenzpflichten scharf: KI-Kontakte und KI-erzeugte Inhalte müssen erkennbar sein. Und die oft zitierten Hochrisiko-Pflichten? Die hat die EU mit der im Juli 2026 in Kraft getretenen Omnibus-Verordnung verbindlich nach hinten verschoben: Sie greifen für sensible Anwendungsbereiche wie Personalauswahl erst ab Dezember 2027, für KI in geregelten Produkten ab August 2028. Falls Ihnen jemand mit Verweis auf August 2026 zu dringenden Compliance-Paketen rät, lohnt ein Abgleich mit diesem aktuellen Zeitplan.

Ihre Pflichten als Betreiber: zwei, und beide sind überschaubar

Erstens die KI-Kompetenz aus Artikel 4: Ihre Mitarbeiter müssen die eingesetzten Werkzeuge sicher bedienen und ihre Grenzen kennen. Das Gesetz verlangt „angemessene Maßnahmen", also eine Schulung oder Einweisung, die zum Betrieb passt und dokumentiert ist. Keine Prüfung, kein Pflicht-Zertifikat, kein benannter KI-Beauftragter. Zweitens die Transparenz aus Artikel 50: Wenn Kunden mit einem KI-Sprachassistenten schreiben oder sprechen, muss das erkennbar sein, ein klarer Hinweis genügt. KI-erzeugte Texte und Bilder müssen als solche erkennbar sein, die technischen Wasserzeichen dafür sind Sache der Modell-Anbieter. Beides zusammen ist für einen Betrieb an einem Nachmittag organisiert, und die Schulung ist ohnehin das, was den Unterschied zwischen teurem Spielzeug und echtem Nutzen ausmacht.

Die Hochrisiko-Falle: Wo Sie genau hinschauen sollten

Ehrlichkeit gehört dazu: Es gibt einen Bereich, in dem der AI Act auch Mittelständler ernsthaft fordert. Sobald KI über Menschen entscheidet oder sie bewertet, gilt die Anwendung als hochriskant. Dazu zählen das Vorsortieren von Bewerbungen, Entscheidungen über Beförderung oder Kündigung, die Bewertung von Kreditwürdigkeit und die Leistungsüberwachung von Beschäftigten. Für solche Systeme gelten ab Dezember 2027 strenge Pflichten, und Emotionserkennung am Arbeitsplatz ist bereits heute verboten, was auch manche „Stimmungsanalyse" in HR-Software betrifft. Meine Empfehlung ist hier eindeutig: Lassen Sie KI Routinearbeit erledigen und Entscheidungen über Menschen bei Menschen. Das ist nicht nur rechtlich der sichere Weg, es ist auch der Weg, mit dem Ihr Team der Technik vertraut.

Wer kontrolliert das, und wie streng?

In Deutschland ist seit Sommer 2026 die Bundesnetzagentur die zentrale Aufsichts- und Anlaufstelle für den AI Act. Ihr erklärter Kurs für die Aufbauphase: Beratung vor Sanktion, mit kostenfreien Anlaufstellen und Testumgebungen gerade für kleinere Unternehmen. Der Bußgeldrahmen existiert, bis 35 Millionen Euro oder 7 Prozent des Weltumsatzes für verbotene Praktiken, doch für kleine und mittlere Unternehmen gilt ausdrücklich der jeweils niedrigere Wert, und Bußgelder sind als letztes Mittel angelegt. Wer sich an die zwei Betreiber-Pflichten hält und keine verbotenen Anwendungen einsetzt, bewegt sich gegenüber dieser Behörde in einem gut beherrschbaren Rahmen. Sie ist ohnehin eher als Hilfsangebot für genau Ihre Unternehmensgröße angelegt denn als Kontrollapparat.

Ihre To-do-Liste in fünf Punkten

• KI-Inventar anlegen: Welche Werkzeuge sind im Einsatz, wofür?
• Risiko grob einordnen: Entscheidet irgendwo KI über Menschen? Dann genau prüfen, besonders bei HR-Software.
• Mitarbeiter schulen und die Einweisung kurz dokumentieren.
• Kennzeichnen: KI-Sprachassistenten und KI-erzeugte Inhalte erkennbar machen.
• Anbieter fragen: Bestätigen lassen, dass die genutzten Werkzeuge keine verbotenen Funktionen enthalten.

Mehr ist es für die meisten Betriebe nicht. Der AI Act belohnt genau das, was ohnehin vernünftig ist: wissen, was im Haus läuft, Menschen ausbilden und ehrlich mit Kunden umgehen.

Dieser Ratgeber ist eine praktische Orientierung, keine Rechtsberatung. Wenn Ihr Betrieb Anwendungen aus dem Hochrisiko-Bereich einsetzt oder plant, gehört eine juristische Prüfung dazu.