EU AI Act: Was Ihr Betrieb wirklich tun muss

Um kaum ein Gesetz ranken sich so viele Schauergeschichten wie um die europäische KI-Verordnung. Dabei ist der AI Act für die allermeisten Mittelständler das Gegenteil eines Verbots: Er sortiert KI-Anwendungen nach Risiko und lässt den Alltag bewusst in Ruhe. Die Regeln sind Leitplanken, innerhalb derer Sie sich frei bewegen können. Hier ist der Stand August 2026, in Klartext.

Wen betrifft der AI Act, und in welcher Rolle?

Das Gesetz unterscheidet zwischen Anbietern, die KI-Systeme entwickeln und verkaufen, und Betreibern, die sie nutzen. Ein Mittelständler, der ChatGPT im Büro einsetzt, einen KI-Sprachassistenten für Kundenanfragen betreibt oder seine Rechnungsverarbeitung automatisiert, ist fast immer nur Betreiber, und für Betreiber sind die Pflichten bewusst schlank gehalten. Die aufwendigen Anforderungen wie technische Dokumentation, Konformitätsbewertung und Registrierung treffen die Anbieter der Systeme, nicht deren Nutzer. Dazu sortiert das Gesetz jede Anwendung in eine von vier Risikoklassen: verboten, hochriskant, begrenzt riskant und minimal riskant. Die gute Nachricht: Praktisch alles, was in einem typischen Betrieb im Einsatz ist, von der Text-KI über die Automatisierung bis zum Sprachassistenten, landet in den beiden untersten Klassen.

Der Zeitplan: Was gilt seit wann?

Seit Februar 2025 sind die wenigen verbotenen Praktiken untersagt, darunter Social Scoring und Emotionserkennung am Arbeitsplatz, außerdem gilt seitdem die Pflicht zur KI-Kompetenz. Seit August 2025 gelten Regeln für die Anbieter der großen KI-Modelle. Seit dem 02.08.2026 gelten die Transparenzpflichten für Betreiber: KI-Kontakte müssen erkennbar sein, Deepfakes und ungeprüft veröffentlichte KI-Texte zu Themen von allgemeinem Interesse müssen gekennzeichnet werden. Und die oft zitierten Hochrisiko-Pflichten? Die hat die EU mit der im Juli 2026 in Kraft getretenen Omnibus-Verordnung verbindlich nach hinten verschoben: Sie greifen für sensible Anwendungsbereiche wie Personalauswahl erst ab Dezember 2027, für KI in geregelten Produkten ab August 2028. Dieselbe Verordnung hat Artikel 4 entschärft: Verlangt sind seither Maßnahmen, die die KI-Kompetenz fördern, kein garantiertes Niveau je Mitarbeiter. Falls Ihnen jemand mit Verweis auf August 2026 zu dringenden Compliance-Paketen rät, lohnt ein Abgleich mit diesem aktuellen Zeitplan.

Ihre Pflichten als Betreiber: zwei, und beide sind überschaubar

Erstens die KI-Kompetenz aus Artikel 4: Sie müssen Maßnahmen ergreifen, damit Ihre Mitarbeiter die eingesetzten Werkzeuge sicher bedienen und ihre Grenzen kennen. Seit Juli 2026 steht ausdrücklich im Gesetz, dass Sie kein bestimmtes Niveau je Person garantieren müssen. In der Praxis heißt das eine Schulung oder Einweisung, die zum Betrieb passt. Dokumentieren Sie sie kurz, dann können Sie sie jederzeit belegen. Keine Prüfung, kein Pflicht-Zertifikat, kein benannter KI-Beauftragter. Zweitens die Transparenz aus Artikel 50: Wenn Kunden mit einem KI-Sprachassistenten schreiben oder sprechen, muss das erkennbar sein, ein klarer Hinweis zu Beginn des Gesprächs genügt. Bei KI-erzeugten Inhalten ist die Pflicht enger, als oft behauptet wird. Als Betreiber müssen Sie nur zwei Arten von Inhalten kennzeichnen: erstens Deepfakes, also Bilder, Videos oder Tonaufnahmen, die echte Personen, Gegenstände, Orte, Einrichtungen oder Ereignisse täuschend echt nachbilden oder verändern, zweitens KI-geschriebene Texte, mit denen Sie die Öffentlichkeit über Themen von allgemeinem Interesse informieren, sofern niemand sie redaktionell geprüft hat und die Verantwortung dafür übernimmt. Eine KI-Illustration im Angebot oder ein KI-formulierter Newsletter an Ihre Kunden fallen nicht darunter. Die maschinenlesbaren Wasserzeichen in KI-Inhalten sind Sache der Anbieter der KI-Werkzeuge. Regeln außerhalb des AI Act, etwa die Kennzeichnungsvorgaben von Social-Media-Plattformen für realistische KI-Bilder, bleiben davon unberührt. Beides zusammen ist für einen Betrieb an einem Nachmittag organisiert, und die Schulung ist ohnehin das, was den Unterschied zwischen teurem Spielzeug und echtem Nutzen ausmacht.

Die Hochrisiko-Falle: Wo Sie genau hinschauen sollten

Ehrlichkeit gehört dazu: Es gibt einen Bereich, in dem der AI Act auch Mittelständler ernsthaft fordert. Sobald KI über Menschen entscheidet oder sie bewertet, gilt die Anwendung als hochriskant. Dazu zählen das Vorsortieren von Bewerbungen, Entscheidungen über Beförderung oder Kündigung, die Bewertung von Kreditwürdigkeit und die Leistungsüberwachung von Beschäftigten. Für solche Systeme gelten ab Dezember 2027 strenge Pflichten, und Emotionserkennung am Arbeitsplatz ist bereits heute verboten, was auch manche „Stimmungsanalyse" in HR-Software betrifft. Und wer außerhalb des Arbeitsplatzes Emotionen oder biometrische Merkmale auswerten lässt, etwa die Stimmung eines Anrufers an der Stimme, muss die Betroffenen darüber informieren. Meine Empfehlung ist hier eindeutig: Lassen Sie KI Routinearbeit erledigen und Entscheidungen über Menschen bei Menschen. Das ist nicht nur rechtlich der sichere Weg, es ist auch der Weg, mit dem Ihr Team der Technik vertraut.

Wer kontrolliert das, und wie streng?

In Deutschland ist seit Sommer 2026 die Bundesnetzagentur die zentrale Aufsichts- und Anlaufstelle für den AI Act. Ihr erklärter Kurs für die Aufbauphase: Beratung vor Sanktion, mit kostenfreien Anlaufstellen und Testumgebungen gerade für kleinere Unternehmen. Der Bußgeldrahmen existiert, bis 35 Millionen Euro oder 7 Prozent des Weltumsatzes für verbotene Praktiken, doch für kleine und mittlere Unternehmen gilt ausdrücklich der jeweils niedrigere Wert, und Bußgelder sind als letztes Mittel angelegt. Wer sich an die zwei Betreiber-Pflichten hält und keine verbotenen Anwendungen einsetzt, bewegt sich gegenüber dieser Behörde in einem gut beherrschbaren Rahmen. Sie ist ohnehin eher als Hilfsangebot für genau Ihre Unternehmensgröße angelegt denn als Kontrollapparat.

Ihre To-do-Liste in fünf Punkten

• KI-Inventar anlegen: Welche Werkzeuge sind im Einsatz, wofür?
• Risiko grob einordnen: Entscheidet irgendwo KI über Menschen? Dann genau prüfen, besonders bei HR-Software.
• Mitarbeiter schulen und die Einweisung kurz dokumentieren.
• Kennzeichnen: KI-Sprachassistenten erkennbar machen, Deepfakes und ungeprüft veröffentlichte KI-Texte zu Themen von allgemeinem Interesse als KI-erzeugt ausweisen.
• Anbieter fragen: Bestätigen lassen, dass die genutzten Werkzeuge keine verbotenen Funktionen enthalten.

Mehr ist es für die meisten Betriebe nicht. Der AI Act belohnt genau das, was ohnehin vernünftig ist: wissen, was im Haus läuft, Menschen ausbilden und ehrlich mit Kunden umgehen.

Dieser Ratgeber ist eine praktische Orientierung, keine Rechtsberatung. Wenn Ihr Betrieb Anwendungen aus dem Hochrisiko-Bereich einsetzt oder plant, gehört eine juristische Prüfung dazu.