EU AI Act: Definition, Pflichten und Fristen für KMU

Der EU AI Act (KI-Verordnung, Verordnung (EU) 2024/1689) ist das weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Er teilt KI-Systeme nach ihrem Risiko in vier Klassen ein und knüpft daran abgestufte Pflichten – vom vollständigen Verbot bis zu einfachen Transparenzregeln. Auch KMU sind betroffen, sobald sie KI-Werkzeuge wie Chatbots, Copilot oder Bildgeneratoren einsetzen: Es gelten unter anderem eine Schulungspflicht für Mitarbeitende und ab August 2026 Kennzeichnungspflichten für KI-Inhalte. Dieser Artikel erklärt die Risikoklassen, den aktuellen Zeitplan und die konkreten Aufgaben für kleine und mittlere Unternehmen.

Kaum ein Regelwerk hat die IT-Welt zuletzt so beschäftigt wie der EU AI Act. Die Verordnung ist seit August 2024 in Kraft und wird stufenweise wirksam – die nächste wichtige Etappe folgt am 2. August 2026. Gleichzeitig hat die EU-Kommission mit dem sogenannten Digital Omnibus Ende 2025 einige Fristen entschärft, was für zusätzliche Verwirrung sorgt. Für Entscheider stellt sich deshalb weniger die Frage, ob der AI Act sie betrifft, sondern welche Pflichten wann konkret gelten – und welche nicht.

‍

Was ist der EU AI Act? Die Definition

Der EU AI Act – offiziell "Verordnung über künstliche Intelligenz", häufig auch KI-Verordnung genannt – ist eine EU-Verordnung, die den Einsatz von KI-Systemen im europäischen Binnenmarkt regelt. Als Verordnung gilt sie unmittelbar in allen Mitgliedstaaten, ohne dass nationale Gesetze nötig wären. Ziel ist ein doppelter Spagat: Grundrechte, Sicherheit und Verbraucher schützen, ohne Innovation auszubremsen.

Der Kern des Gesetzes ist ein risikobasierter Ansatz: Nicht die Technologie an sich wird reguliert, sondern ihr Einsatzzweck. Ein KI-System zur Rechtschreibprüfung unterliegt praktisch keinen Auflagen, dasselbe technische Verfahren in der Bewerberauswahl dagegen strengen Anforderungen.

Wichtig ist die Unterscheidung der Rollen: Anbieter (Provider) entwickeln KI-Systeme und tragen die Hauptlast der Pflichten. Betreiber (Deployer) setzen KI-Systeme lediglich ein – das ist die Rolle, in der sich die meisten KMU wiederfinden. Wer etwa Microsoft 365 Copilot oder einen zugekauften Chatbot nutzt, ist Betreiber und hat deutlich schlankere Pflichten als der Hersteller.

Abgrenzung zu DSGVO und NIS2

In der Praxis greifen die Regelwerke ineinander: Wer KI einführt, muss meist AI Act und DSGVO gemeinsam betrachten – etwa bei einem Chatbot, der Kundendaten verarbeitet. Einen Überblick über die parallel laufende NIS2-Richtlinie finden Sie in unserem Blog.

‍

Die vier Risikoklassen des EU AI Act

Zusätzlich enthält der AI Act eigene Regeln für Modelle mit allgemeinem Verwendungszweck (General Purpose AI, GPAI) – also die großen Sprachmodelle (LLMs) hinter Werkzeugen wie ChatGPT, Claude oder Copilot. Diese Pflichten treffen die Modellanbieter, nicht die nutzenden Unternehmen.

‍

Zeitplan: Welche Fristen gelten – Stand Juli 2026

Der AI Act trat am 1. August 2024 in Kraft und wird gestaffelt anwendbar. Ende 2025 hat die EU-Kommission mit dem Digital-Omnibus-Paket mehrere Fristen für Hochrisiko-Systeme nach hinten verschoben. Der aktuelle Stand:

Für die meisten KMU ist damit der 2. August 2026 das entscheidende Datum: Ab dann müssen Chatbots als solche erkennbar sein und veröffentlichte KI-generierte Inhalte gekennzeichnet werden. Die verschobenen Hochrisiko-Pflichten betreffen vor allem Anbieter und Unternehmen, die KI in sensiblen Bereichen wie Personalauswahl einsetzen.

‍

Welche Pflichten gelten konkret für KMU?

Die gute Nachricht zuerst: Wer KI-Standardwerkzeuge im Büroalltag nutzt, betreibt in aller Regel keine Hochrisiko-Systeme. Vier Pflichtenbereiche sollten Entscheider dennoch kennen.

KI-Kompetenz sicherstellen (Artikel 4)

Bereits seit Februar 2025 müssen Unternehmen sicherstellen, dass Mitarbeitende, die mit KI arbeiten, über ausreichende KI-Kompetenz verfügen. Eine bestimmte Form ist nicht vorgeschrieben – in der Praxis genügen dokumentierte Schulungen: Wer wurde wann zu welchem Thema geschult? Der Umfang sollte zur Nutzung passen: Ein Team, das täglich mit generativer KI arbeitet, braucht mehr als eine Einmalunterweisung.

Transparenz bei Chatbots und KI-Inhalten (Artikel 50)

Ab dem 2. August 2026 gilt: Interagieren Menschen mit einem KI-System, müssen sie das erkennen können – ein deutlicher Hinweis im Chatfenster reicht. Veröffentlichte KI-generierte oder KI-manipulierte Inhalte (Texte, Bilder, Videos) müssen als solche gekennzeichnet werden, insbesondere bei täuschend echten Darstellungen (Deepfakes).

Verbotene Praktiken vermeiden

Emotionserkennung am Arbeitsplatz, Social Scoring oder manipulative KI-Systeme sind seit Februar 2025 verboten. Für typische Büro-KI ist das selten relevant, sollte aber bei der Auswahl neuer Werkzeuge geprüft werden – etwa bei Software, die Mitarbeiterverhalten analysiert.

Hochrisiko-Check bei sensiblen Einsatzfeldern

Wer KI in Bewerbungsverfahren, Leistungsbewertung, Kreditentscheidungen oder ähnlich sensiblen Feldern einsetzen will, sollte frühzeitig prüfen, ob ein Hochrisiko-System vorliegt. Dann kommen ab Dezember 2027 umfangreiche Betreiberpflichten hinzu: menschliche Aufsicht, Schulung, Protokollierung und Mitwirkung an der Dokumentation.

‍

Praktische Beispiele: Der AI Act im KMU-Alltag

Beispiel 1: Website-Chatbot im Handwerksbetrieb

Ein Sanitärbetrieb mit 25 Mitarbeitenden betreibt einen KI-Chatbot für Terminanfragen. Pflicht ab August 2026: ein sichtbarer Hinweis wie "Sie chatten mit einem KI-Assistenten". Aufwand: wenige Minuten. Zusätzlich dokumentiert der Betrieb eine zweistündige Team-Schulung zur Chatbot-Nutzung – damit ist auch Artikel 4 abgedeckt.

Beispiel 2: KI-generierte Marketing-Inhalte

Eine Agentur erstellt Social-Media-Grafiken mit Bildgeneratoren. Fotorealistische KI-Bilder, die echte Situationen darstellen könnten, werden ab August 2026 gekennzeichnet ("KI-generiert"). Für erkennbar illustrative Grafiken gelten geringere Anforderungen. Die Agentur ergänzt ihre Freigabeprozesse um einen Kennzeichnungs-Check – Aufwand: ein zusätzlicher Schritt im bestehenden Workflow.

Beispiel 3: KI-gestützte Bewerbervorauswahl

Ein Logistikunternehmen mit 180 Mitarbeitenden erwägt eine Software, die Bewerbungen automatisch bewertet. Das ist ein Hochrisiko-Einsatz nach Anhang III. Das Unternehmen plant deshalb mit Vorlauf: Anbieterauswahl mit AI-Act-Konformitätszusagen, menschliche Letztentscheidung im Prozess, Schulung der HR-Mitarbeitenden – rechtzeitig vor der Frist im Dezember 2027.

‍

Bußgelder: Was bei Verstößen droht

Für KMU gilt eine wichtige Erleichterung: Bei ihnen greift jeweils der niedrigere der beiden Beträge als Obergrenze. Die Höhe richtet sich zudem nach Schwere, Dauer und Kooperationsbereitschaft – wer dokumentiert und nachbessert, steht deutlich besser da.

‍

Best Practices: So bereiten sich KMU vor

1. KI-Inventar erstellen. Erfassen Sie in einer einfachen Übersicht, welche KI-Werkzeuge im Unternehmen genutzt werden, wofür und mit welchen Daten. Ohne dieses Inventar lässt sich keine Pflicht sauber zuordnen – mit ihm sind die meisten KMU in wenigen Stunden auskunftsfähig.

2. Schulungen durchführen und dokumentieren. Decken Sie die KI-Kompetenzpflicht mit praxisnahen Schulungen ab: Grundlagen, Chancen, Risiken, interne Regeln. Halten Sie Datum, Inhalte und Teilnehmende schriftlich fest.

3. Kennzeichnung frühzeitig umsetzen. Warten Sie nicht bis August 2026: Chatbot-Hinweise und Kennzeichnungsroutinen für KI-Inhalte lassen sich mit minimalem Aufwand sofort einführen und schaffen zusätzlich Vertrauen bei Kunden.

4. KI-Richtlinie einführen. Eine kurze interne Richtlinie regelt, welche Werkzeuge erlaubt sind, welche Daten eingegeben werden dürfen und wer Ergebnisse prüft. Das verbindet AI-Act-, DSGVO- und Sicherheitsanforderungen in einem Dokument – ein Baustein guter IT-Governance.

5. Sensible Einsatzfelder gesondert prüfen. Vor jedem KI-Einsatz in Personal-, Finanz- oder Gesundheitsprozessen: Hochrisiko-Prüfung durchführen und die Ergebnisse dokumentieren. Bei Unsicherheit rechtliche Beratung einholen – die Investition ist klein im Vergleich zum Risiko.

‍

Häufige Fragen rund um den EU AI Act

Was ist der EU AI Act einfach erklärt?

Der EU AI Act ist das KI-Gesetz der Europäischen Union. Er sortiert KI-Systeme nach ihrem Risiko: Gefährliche Anwendungen wie Social Scoring sind verboten, riskante Anwendungen wie Bewerbungs-KI streng reguliert, alltägliche Werkzeuge wie Chatbots müssen lediglich gekennzeichnet werden. Je höher das Risiko für Menschen, desto strenger die Auflagen.

Gilt der EU AI Act auch für kleine Unternehmen?

Ja – die Pflichten hängen vom Einsatz ab, nicht von der Unternehmensgröße. Für die meisten KMU bleibt der Aufwand jedoch überschaubar: Schulungen dokumentieren, Chatbots und KI-Inhalte kennzeichnen, verbotene Praktiken vermeiden. Umfangreiche Pflichten entstehen erst beim Einsatz von Hochrisiko-Systemen, etwa in der Personalauswahl. Bei Bußgeldern profitieren KMU zudem von reduzierten Obergrenzen.

Was ändert sich am 2. August 2026?

Ab diesem Datum gelten die Transparenzpflichten des Artikels 50: Chatbots müssen als KI erkennbar sein, veröffentlichte KI-generierte Inhalte müssen gekennzeichnet werden. Außerdem wird ein Großteil der übrigen Vorschriften anwendbar. Die ursprünglich ebenfalls für August 2026 geplanten Pflichten für Hochrisiko-Systeme wurden durch den Digital Omnibus auf Dezember 2027 (Anhang III) beziehungsweise August 2028 (Anhang I) verschoben.

Darf ich ChatGPT, Copilot und ähnliche Werkzeuge weiter nutzen?

Ja. Der EU AI Act verbietet die Nutzung gängiger KI-Assistenten nicht. Die Pflichten der Modellanbieter erfüllen OpenAI, Microsoft, Anthropic und Co. selbst. Als Unternehmen müssen Sie vor allem für geschulte Mitarbeitende sorgen, veröffentlichte KI-Inhalte kennzeichnen und intern regeln, welche Daten in die Werkzeuge eingegeben werden dürfen – Letzteres vor allem aus Datenschutzgründen.

Wer kontrolliert die Einhaltung des EU AI Act?

Die Aufsicht teilen sich nationale Marktüberwachungsbehörden und das europäische AI Office, das insbesondere für GPAI-Modelle zuständig ist. In Deutschland ist die Bundesnetzagentur als zentrale KI-Aufsichtsbehörde vorgesehen. Für KMU heißt das praktisch: Im Fall einer Prüfung zählen Dokumentation und nachvollziehbare Prozesse – genau die Punkte, die sich mit geringem Aufwand vorbereiten lassen.

‍

Fazit

Der EU AI Act ist weniger Schreckgespenst als Ordnungsrahmen: Er verbietet wenige, klar umrissene Praktiken, reguliert sensible Einsatzfelder streng und belässt es für den KI-Alltag der meisten KMU bei Transparenz- und Schulungspflichten. Mit dem Digital Omnibus hat die EU zudem die anspruchsvollsten Fristen entzerrt – die Kernpflichten für Betreiber gelten aber ab dem 2. August 2026 unverändert.

Entscheider sollten die verbleibende Zeit nutzen: KI-Inventar aufbauen, Schulungen dokumentieren, Kennzeichnung einführen und sensible Einsatzfelder prüfen. Wer das erledigt hat, kann KI-Werkzeuge rechtssicher und gelassen produktiv einsetzen.

Die computech GmbH unterstützt mittelständische Unternehmen dabei, KI-Werkzeuge wie Microsoft 365 Copilot rechtskonform und sicher einzuführen – von der internen KI-Richtlinie über Schulungen bis zur technischen Umsetzung.