EU AI Act und KMU — Pflichten, Risikoklassen und ein klarer Fahrplan für den Mittelstand

Der EU AI Act ist seit August 2024 in Kraft und betrifft nicht nur Tech-Konzerne oder KI-Startups. Wenn dein Unternehmen KI-Tools im Marketing, im Kundenservice oder in der Prozessautomatisierung einsetzt, bist du als KMU direkt angesprochen. Die gute Nachricht: Die Verordnung enthält konkrete Erleichterungen für kleine und mittlere Unternehmen, und die meisten typischen KI-Anwendungen im Mittelstand fallen in die unteren Risikoklassen. Die weniger gute Nachricht: Unwissenheit schützt nicht vor Bußgeldern, und die Fristen laufen bereits.

Ich beschäftige mich seit 2019 mit KI-Projekten und habe in über 25 Jahren Unternehmertum gelernt, dass Regulierung zunächst wie eine Bremse wirkt — aber langfristig Vertrauen schafft. Genau das passiert gerade mit dem EU AI Act. Lass uns gemeinsam durchgehen, was konkret auf dein Unternehmen zukommt und wie du das Thema pragmatisch angehst.

Bin ich KI-Anbieter oder KI-Anwender? Die Rollenklärung, die alles entscheidet

Bevor du dich in Risikoklassen und Pflichtenkataloge vertiefst, brauchst du eine einzige Antwort: Welche Rolle spielt dein Unternehmen im Sinne des EU AI Act?

Die Verordnung unterscheidet zwei zentrale Rollen:

• Anbieter (Provider): Du entwickelst ein KI-System selbst oder lässt es unter deinem Namen auf den Markt bringen. Das betrifft auch KMU, die ein Open-Source-Modell von Hugging Face nehmen und so stark anpassen, dass daraus ein eigenständiges Produkt entsteht.
• Betreiber/Anwender (Deployer): Du nutzt ein fertiges KI-System eines Drittanbieters in deinem Geschäftsbetrieb — zum Beispiel Microsoft Copilot, ChatGPT Enterprise, ein KI-gestütztes CRM oder einen Chatbot-Service.

Für die große Mehrheit der KMU im DACH-Raum gilt: Ihr seid Anwender. Und das bedeutet, dass der Compliance-Aufwand deutlich geringer ausfällt, als viele Schlagzeilen vermuten lassen.

Achtung bei Open-Source-Modellen: Wenn du ein frei verfügbares KI-Modell nimmst, es grundlegend modifizierst und unter eigenem Namen einsetzt oder weitergibst, kannst du zum Anbieter werden. Nutzt du es hingegen unverändert intern, bleibst du Anwender. Diese Grenze solltest du kennen, gerade weil viele KMU experimentierfreudig mit Open-Source-Tools arbeiten.

Die vier Risikoklassen des EU AI Act — mit Beispielen aus dem KMU-Alltag

Das Herzstück der KI-Regulierung in Europa ist der risikobasierte Ansatz. Nicht jede KI wird gleich behandelt. Die Verordnung teilt KI-Systeme in vier Stufen ein, und die Pflichten steigen mit dem Risiko.

Unannehmbares Risiko — was komplett verboten ist

Bestimmte KI-Anwendungen sind ab Februar 2025 verboten. Für KMU im klassischen Geschäftsalltag sind diese Verbote in der Regel nicht direkt relevant, aber du solltest sie kennen:

• Soziales Scoring von Personen durch Unternehmen
• Unterschwellige Manipulation, die Schaden verursacht
• Ausnutzung von Schutzbedürftigkeit bestimmter Gruppen
• Biometrische Echtzeit-Fernidentifikation in öffentlichen Räumen (mit engen Ausnahmen für Strafverfolgung)

Falls du keines dieser Systeme einsetzt — und das dürfte auf praktisch alle KMU zutreffen — bist du hier nicht betroffen.

Hochrisiko-Systeme — die strengsten Anforderungen

Hier wird es für einige KMU relevant. Als Hochrisiko gelten KI-Systeme, die in sensiblen Bereichen eingesetzt werden:

• Personalwesen: KI-gestütztes Bewerber-Screening oder automatisiertes Scoring von Kandidaten
• Kreditwürdigkeitsprüfung: Automatisierte Bonitätsbewertung von Kunden
• Bildung: KI-basierte Prüfungsbewertung
• Kritische Infrastruktur: KI-Steuerung in Energie, Wasser, Verkehr

Wenn dein Unternehmen zum Beispiel eine HR-Software mit KI-basiertem Bewerber-Ranking einsetzt, fällt dieses System in die Hochrisiko-Kategorie. Das bedeutet als Anwender: Du musst sicherstellen, dass eine menschliche Aufsicht besteht, Logs aufbewahrt werden und deine Mitarbeitenden im Umgang geschult sind.

Begrenztes Risiko — Transparenzpflichten

Diese Kategorie betrifft viele KMU direkt und ist besonders relevant für Marketing und Kundenkommunikation:

• Chatbots: Kunden müssen wissen, dass sie mit einer KI kommunizieren
• KI-generierte Inhalte: Texte, Bilder und Videos, die von generativer KI erstellt wurden, brauchen eine Kennzeichnung
• Deepfakes: Synthetische Medien müssen als solche erkennbar sein

Konkret heißt das: Wenn du einen KI-Chatbot auf deiner Website einsetzt oder Blogartikel mit KI-Unterstützung erstellst, musst du das transparent machen. Das ist kein Bürokratiemonster — eine klare Kennzeichnung reicht.

Minimales Risiko — wo du fast freie Hand hast

Der Großteil der KI-Anwendungen im KMU-Alltag fällt in diese Kategorie:

• Spam-Filter in der E-Mail
• KI-gestützte Rechtschreibkorrektur
• Produktempfehlungen im Onlineshop
• Automatisierte Terminplanung
• Übersetzungstools

Für diese Systeme gibt es keine besonderen Pflichten aus dem EU AI Act. Freiwillige Verhaltenskodizes werden empfohlen, sind aber nicht verpflichtend.

KI-Grundlagen: Warum der Unterschied zwischen klassischer und generativer KI wichtig ist

Du musst kein Informatiker werden, um den EU AI Act umzusetzen. Aber ein Grundverständnis hilft dir, die eigene KI-Nutzung besser einzuordnen.

Regelbasierte Systeme arbeiten nach festen Wenn-Dann-Logiken. Dein Buchhaltungstool, das automatisch Rechnungen kategorisiert, gehört oft dazu. Diese Systeme fallen häufig gar nicht unter die KI-Definition der Verordnung.

Machine Learning erkennt Muster in Daten und trifft darauf basierend Vorhersagen. Klassisches Beispiel: Kundensegmentierung im CRM oder Betrugserkennung bei Zahlungen.

Generative KI und Large Language Models (LLMs) wie ChatGPT, Claude oder Gemini erzeugen neue Inhalte — Texte, Bilder, Code. Sie basieren auf der sogenannten Transformer-Architektur, vereinfacht gesagt einem System, das gelernt hat, welches Wort oder welcher Inhalt als nächstes am wahrscheinlichsten passt.

Für dich als KMU ist die Unterscheidung deshalb relevant: Generative KI fällt typischerweise unter die Transparenzpflichten (begrenztes Risiko), wenn damit Inhalte für Kunden erstellt werden. Ein internes Analysetool mit klassischem Machine Learning kann dagegen je nach Einsatzbereich ins Hochrisiko rutschen — etwa bei HR-Entscheidungen.

Die Verantwortung für die großen Foundation Models (also die Basismodelle von OpenAI, Google oder Meta) liegt übrigens primär bei den Herstellern selbst. Solange du diese Modelle über offizielle APIs oder Produkte nutzt und nicht grundlegend umbaust, trägst du als KMU nicht die Anbieter-Pflichten.

Erleichterungen für KMU — was das Gesetz tatsächlich vorsieht

Der EU AI Act enthält bewusst Regelungen, die verhindern sollen, dass KMU unter der Bürokratie zusammenbrechen. Das wird in der öffentlichen Diskussion oft übersehen.

Konkrete Vorteile für KMU:

• Reduzierte Bußgelder: Für KMU und Startups gelten bei Verstößen niedrigere Obergrenzen als für Großunternehmen. Die Sanktionen sollen verhältnismäßig sein und werden am Jahresumsatz bemessen, wobei für kleinere Unternehmen der jeweils niedrigere Betrag gilt.
• Vereinfachte Dokumentation: Die Konformitätsbewertung für Hochrisiko-Systeme soll für KMU in vereinfachter Form möglich sein. Details dazu werden aktuell über harmonisierte Normen und Durchführungsrechtsakte konkretisiert.
• Vorrangiger Zugang zu Reallaboren (Regulatory Sandboxes): Die EU-Mitgliedstaaten müssen KI-Reallabore einrichten, in denen Unternehmen ihre KI-Systeme unter regulatorischer Aufsicht testen können. KMU erhalten dabei bevorzugten Zugang.
• Kostenlose Beratung: KMU sollen vorrangig Zugang zu Orientierungshilfen und Beratungsangeboten der nationalen Aufsichtsbehörden erhalten.

Die Reallabore sind besonders spannend, wenn du als KMU ein eigenes KI-Produkt entwickelst oder testen willst. Du kannst in einem geschützten Rahmen experimentieren, ohne sofort die volle Compliance-Last zu tragen.

EU AI Act und DSGVO — was du zusammendenken solltest

Wenn du bereits DSGVO-Prozesse in deinem Unternehmen etabliert hast, bist du besser vorbereitet, als du vielleicht denkst. Beide Regelwerke haben Berührungspunkte:

• Datenschutz-Folgenabschätzung und KI-Risikobewertung: Wo eine DSGVO-Folgenabschätzung nötig ist (z. B. bei automatisierten Entscheidungen über Personen), wird häufig auch der EU AI Act relevant. Du kannst diese Prozesse zusammenführen.
• Transparenzpflichten: Die DSGVO verlangt bereits heute, dass Betroffene über automatisierte Entscheidungsfindung informiert werden. Der EU AI Act ergänzt das um spezifische KI-Transparenzanforderungen.
• Verantwortlichkeiten: Dein bestehendes Datenschutz-Team oder dein externer Datenschutzbeauftragter kann die KI-Compliance oft mitbetreuen — zumindest für die Anwender-Rolle.

Das heißt nicht, dass beides dasselbe ist. Aber wenn du die DSGVO ernst nimmst, hast du bereits eine Dokumentations- und Prozesskultur, die dir jetzt zugutekommt.

Praxis-Leitfaden: EU AI Act Compliance in 5 Schritten

Jetzt wird es konkret. Du brauchst keine eigene Rechtsabteilung, um die ersten Schritte zu gehen. Hier ist ein pragmatischer Fahrplan, der sich für KMU mit 10 bis 100 Mitarbeitenden umsetzen lässt.

Schritt 1: Bestandsaufnahme der eigenen KI-Nutzung

Erstelle eine einfache Liste aller Tools und Prozesse in deinem Unternehmen, die KI nutzen. Denk dabei an:

• Textgenerierung (ChatGPT, Jasper, interne Copiloten)
• Chatbots auf der Website oder im Kundenservice
• KI-gestützte Anzeigenoptimierung (Google Ads Smart Bidding, Meta Advantage+)
• Automatisierte E-Mail-Personalisierung
• HR-Software mit Bewerber-Scoring
• Buchhaltungs- oder ERP-Systeme mit KI-Funktionen
• Bild- und Videogenerierung für Marketing

Frag aktiv in den Teams nach. Oft nutzen Mitarbeitende KI-Tools auf eigene Initiative — sogenannte Schatten-KI. Genau diese unkontrollierte Nutzung ist ein Risiko, das du jetzt identifizieren kannst.

Schritt 2: Risikoklasse bestimmen

Ordne jedes identifizierte KI-System einer der vier Risikoklassen zu. Für die meisten KMU wird das Ergebnis so aussehen:

• Großteil der Tools: minimales Risiko (keine besonderen Pflichten)
• Marketing-Chatbots und KI-generierte Inhalte: begrenztes Risiko (Transparenzpflicht)
• HR-Screening oder automatisierte Kreditentscheidungen: Hochrisiko (umfassende Pflichten)

Schritt 3: Dokumentation und technische Maßnahmen

Für Tools mit begrenztem Risiko reicht oft eine klare Kennzeichnungsstrategie: Wo wird KI eingesetzt? Wie informierst du Kunden und Mitarbeitende? Halte das schriftlich fest.

Für Hochrisiko-Systeme brauchst du als Anwender:

• Dokumentation der Einsatzbedingungen
• Protokollierung der Systemergebnisse (Logging)
• Nachweis menschlicher Aufsicht
• Schulungsnachweise der nutzenden Mitarbeitenden

Schritt 4: Verantwortlichkeiten im Team klären

Bestimme eine Person, die das Thema KI-Compliance koordiniert. Das muss keine Vollzeitstelle sein — in vielen KMU kann das der oder die Datenschutzbeauftragte, die IT-Leitung oder eine Person aus der Geschäftsführung übernehmen. Wichtig ist, dass jemand den Überblick hat und Ansprechpartner für das Team ist.

Schritt 5: Laufendes Monitoring einrichten

KI-Compliance ist kein einmaliges Projekt. Richte einen einfachen Prozess ein:

• Vierteljährliche Überprüfung der KI-Tool-Liste (neue Tools? abgeschaffte Tools?)
• Regelmäßige Prüfung, ob sich Risikoklassen durch Updates oder veränderte Einsatzbereiche geändert haben
• Kurze Team-Updates zu neuen regulatorischen Entwicklungen

Der geschätzte Aufwand für ein KMU mit 30 bis 50 Mitarbeitenden: Die initiale Bestandsaufnahme und Dokumentation kostet erfahrungsgemäß zwei bis fünf Arbeitstage, verteilt auf die beteiligten Personen. Das laufende Monitoring lässt sich in bestehende Quartals-Reviews integrieren.

Vertrauen in KI aufbauen — warum das ein echtes Business-Thema ist

Im DACH-Raum sind Kunden und Geschäftspartner bei Datenschutz und Technologie besonders sensibel. Das ist kein Hindernis, sondern eine Chance.

Unternehmen, die transparent kommunizieren, wo und wie sie KI einsetzen, schaffen Vertrauen. Und Vertrauen ist im B2B wie im B2C ein handfester Wettbewerbsvorteil — gerade gegenüber Anbietern, die das Thema ignorieren oder verschweigen.

Konkret kannst du:

• Auf deiner Website eine kurze KI-Transparenzseite einrichten, die erklärt, welche KI-Tools du nutzt und wie du mit Kundendaten umgehst
• KI-generierte Inhalte klar kennzeichnen — nicht weil du musst (obwohl du das bei bestimmten Inhalten tatsächlich musst), sondern weil es Glaubwürdigkeit schafft
• Gegenüber Mitarbeitenden offen kommunizieren, welche KI-Tools im Unternehmen erlaubt sind und welche Regeln gelten

Das kostet nichts und positioniert dich als verantwortungsvolles Unternehmen. In Kundengesprächen merke ich immer wieder: Wer das Thema proaktiv anspricht, gewinnt Sympathiepunkte.

Zeitplan und Fristen — bis wann du handeln musst

Der EU AI Act ist am 1. August 2024 in Kraft getreten. Die Pflichten greifen gestaffelt:

• Februar 2025 (6 Monate nach Inkrafttreten): Verbote für KI-Systeme mit unannehmbarem Risiko gelten
• August 2025 (12 Monate): Regeln für Allzweck-KI-Modelle (GPAI) und Governance-Strukturen greifen
• August 2026 (24 Monate): Der Großteil der Verordnung wird anwendbar, einschließlich der Pflichten für Hochrisiko-Systeme und der Transparenzanforderungen
• August 2027 (36 Monate): Bestimmte Hochrisiko-Systeme, die bereits als Sicherheitskomponenten reguliert sind (z. B. in Medizinprodukten, Maschinen, Fahrzeugen), unterliegen den erweiterten Anforderungen

Für die meisten KMU ist August 2026 der entscheidende Stichtag. Bis dahin solltest du die Bestandsaufnahme abgeschlossen, Risikoklassen zugeordnet und die nötigen Transparenz- und Dokumentationsmaßnahmen umgesetzt haben.

DACH-Besonderheiten: Was du beachten solltest

In Deutschland wird aktuell die nationale Aufsichtsstruktur aufgebaut. Welche Behörde konkret zuständig sein wird — ob BNetzA, BaFin oder eine neue Stelle — wird sich in den kommenden Monaten klären. In Österreich und der Schweiz gelten eigene Rahmenbedingungen: Die Schweiz als Nicht-EU-Staat ist nicht direkt an den EU AI Act gebunden, aber Schweizer Unternehmen, die KI-Systeme in der EU anbieten oder nutzen, fallen unter die Verordnung. Die extraterritoriale Wirkung funktioniert ähnlich wie bei der DSGVO.

KI-Regulierung als Chance für den Mittelstand

Der EU AI Act ist kein Grund zur Panik, sondern ein Rahmen, der Vertrauen in KI-Technologien stärken soll. Gerade für KMU, die nah an ihren Kunden arbeiten und auf langfristige Beziehungen setzen, ist das eine gute Entwicklung.

Die meisten Pflichten, die für typische KMU-Anwendungen gelten, sind überschaubar — vor allem, wenn du bereits mit der DSGVO vernünftig umgehst. Die Bestandsaufnahme der eigenen KI-Nutzung ist der wichtigste erste Schritt, und den kannst du heute starten.

Wer sich jetzt vorbereitet, vermeidet nicht nur Bußgelder, sondern positioniert sich als vertrauenswürdiger Partner in einem Markt, in dem KI-Transparenz zunehmend zum Entscheidungskriterium wird. Langfristig denken statt kurzfristig reagieren — das war schon immer der bessere Ansatz im Unternehmertum.