Wissen · Stand 2026-09-07
EU AI Act: Welche Pflichten gelten für KMU?
Die Fristen im Überblick
Die Verordnung tritt gestaffelt in Kraft. Für die Praxis eines Mittelständers zählen vier Daten:
| Seit | Pflicht |
|---|---|
| 02.02.2025 | Verbotene Praktiken (z. B. Social Scoring) und Artikel 4: KI-Kompetenz-Pflicht für alle Unternehmen, die KI einsetzen |
| 02.08.2025 | Pflichten für Anbieter großer KI-Modelle (GPAI), Governance- und Sanktionsregeln |
| 02.08.2026 | Allgemeine Anwendbarkeit: u. a. Transparenzpflichten (Artikel 50) - KI-Chatbots kennzeichnen, Deepfakes offenlegen |
| 02.08.2027 | Hochrisiko-Pflichten für KI in regulierten Produkten |
Was das für ein typisches KMU konkret heißt
Die meisten Mittelständler betreiben KI der Klassen "begrenztes" oder "minimales Risiko": Chatbots, Assistenzsysteme, generative Werkzeuge. Dafür gilt: Kennzeichnen Sie KI-Interaktion (der Nutzer muss erkennen können, dass er mit einer Maschine spricht), und sorgen Sie für dokumentierte KI-Kompetenz im Team. Das war es in vielen Fällen schon - Panik ist ein schlechter Berater.
Ernst wird es bei Hochrisiko-Anwendungen nach Anhang III: KI in der Personalauswahl, bei Kreditentscheidungen, in kritischer Infrastruktur. Dann kommen Risikomanagement, Datenqualitäts- und Dokumentationspflichten sowie menschliche Aufsicht dazu. Der erste Schritt jeder Compliance-Arbeit ist deshalb die Einordnung: Welche Ihrer Systeme fallen in welche Klasse?
Die Bußgelder sind empfindlich: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. € oder 3 % bei anderen Verstößen. Relevanter für den Alltag ist aber die Haftungsfrage: Wer im Schadensfall keine dokumentierte Kompetenz und keine Leitlinie vorweisen kann, steht schlecht da.
Der pragmatische Fahrplan
Erstens: KI-Inventur - welche Systeme sind im Einsatz, auch die inoffiziellen? Zweitens: Risikoklassen zuordnen und daraus die tatsächlichen Pflichten ableiten. Drittens: Artikel-4-Nachweis herstellen - eine strukturierte, dokumentierte Schulung mit Zertifikat (AZAV-konform sogar förderfähig). Viertens: KI-Leitlinie und, wo nötig, Datenschutz-Folgenabschätzung. Fünftens: das Ganze jährlich prüfen, denn die Rechtslage bewegt sich - aktuell diskutiert die EU im "Digital Omnibus" über Anpassungen einzelner Fristen.
Häufige Fragen
Gilt der EU AI Act auch, wenn wir nur ChatGPT nutzen?
Ja. Auch reine Anwender müssen seit 02/2025 für KI-Kompetenz im Team sorgen (Artikel 4). Die weitergehenden Anbieter-Pflichten treffen Sie als Nutzer dagegen nicht.
Müssen wir unseren Website-Chatbot kennzeichnen?
Ja - seit dem 02.08.2026 verlangt Artikel 50, dass Nutzer erkennen können, wenn sie mit einer KI interagieren, sofern es nicht offensichtlich ist. Ein Satz im Chat-Fenster genügt in der Regel.
Brauchen wir dafür einen Anwalt?
Für die Einordnung und die organisatorische Umsetzung (Schulung, Leitlinie, Governance) nicht zwingend - das ist technisch-organisatorische Arbeit. Verbindliche Rechtsfragen, etwa bei Hochrisiko-Systemen, gehören zu einer spezialisierten Kanzlei.
Weiterlesen
KI-COMPLIANCE: unsere Leistungen →Artikel-4-Schulungen (förderfähig) →Förder-Check starten →
Sachliche Zusammenfassung, Stand 09/2026 - ersetzt keine Rechtsberatung. Fristen können sich durch laufende EU-Gesetzgebung verschieben.