EU AI Act für KMU verständlich erklärt
Von Volker Schön, KI-Manager (AZAV) · 1. November 2026 · 4 Min. LesezeitDer EU AI Act klingt nach Großkonzern und Rechtsabteilung. Betrifft aber fast jedes Unternehmen, das ChatGPT oder Copilot nutzt. Die gute Nachricht: Für die meisten KMU ist der Aufwand überschaubar.
Seit dem 2. Februar 2025 müssen Unternehmen, die KI einsetzen, die KI-Kompetenz ihrer Mitarbeitenden fördern. Seit dem 2. August 2026 gelten Transparenzpflichten, zum Beispiel für Chatbots und Deepfakes. Die strengen Regeln für Hochrisiko-KI kommen erst ab Dezember 2027 und August 2028. Für die meisten KMU heißt das: schulen, dokumentieren, kennzeichnen.
Was ist der EU AI Act?
Der EU AI Act ist die europäische KI-Verordnung. Er gilt direkt in allen EU-Staaten, ohne dass Deutschland ein eigenes Gesetz braucht. Die Verordnung sortiert KI nach Risiko. Je höher das Risiko für Menschen, desto strenger die Regeln.
Für das typische Büro mit ChatGPT, Copilot oder einem Übersetzungstool gilt: geringes Risiko. Aber nicht null Pflichten.
Was gilt seit wann?
| Seit / ab | Was gilt | Betrifft KMU? |
|---|---|---|
| 2. Februar 2025 | Verbotene KI-Praktiken, zum Beispiel Social Scoring. Pflicht zur KI-Kompetenz der Mitarbeitenden (Artikel 4). | Ja, jedes Unternehmen, das KI einsetzt |
| 2. August 2025 | Pflichten für Anbieter großer KI-Modelle wie GPT oder Gemini | Nein, das betrifft die Hersteller |
| 2. August 2026 | Transparenzpflichten (Artikel 50): Chatbots müssen als KI erkennbar sein, Deepfakes gekennzeichnet werden | Ja, wenn Sie solche Systeme nach außen einsetzen |
| 2. Dezember 2027 | Hochrisiko-KI nach Anhang III, zum Beispiel KI bei Bewerberauswahl oder Kreditvergabe | Nur bei solchen Einsatzzwecken |
| 2. August 2028 | Hochrisiko-KI in regulierten Produkten wie Maschinen oder Medizinprodukten | Nur für Hersteller solcher Produkte |
Die beiden Hochrisiko-Termine wurden durch das EU-Paket „Digital Omnibus“ nach hinten verschoben. Ursprünglich sollten sie schon im August 2026 und August 2027 gelten.
Die Schulungspflicht: Was Artikel 4 bedeutet
Artikel 4 ist der Teil, den die meisten KMU unterschätzen. Er gilt bereits seit Februar 2025. Wer KI im Betrieb nutzt, muss die Mitarbeitenden befähigen, sie sachkundig einzusetzen. Wie das aussieht, schreibt die Verordnung nicht vor. Eine Schulung, eine kurze interne Richtlinie und ein Nachweis darüber sind ein guter Anfang.
Wichtig: Es gibt keine Untergrenze. Auch ein Betrieb mit zehn Leuten, in dem zwei regelmäßig ChatGPT nutzen, ist gemeint.
Drei Schritte, die KMU jetzt tun sollten
- Bestandsaufnahme: Welche KI-Werkzeuge werden im Unternehmen genutzt, offiziell und inoffiziell? Eine einfache Liste reicht.
- Schulen und dokumentieren: Mitarbeitende, die KI nutzen, bekommen eine Einführung in Möglichkeiten, Grenzen und Datenschutz. Teilnahme und Inhalte kurz festhalten.
- Spielregeln festlegen: Welche Daten dürfen in welche Tools? Wer prüft KI-Ergebnisse, bevor sie rausgehen? Eine Seite Richtlinie genügt für den Anfang.
Wer zusätzlich einen Chatbot auf der Website betreibt, muss klar machen, dass dort eine KI antwortet.
Was droht bei Verstößen?
Die Bußgelder im AI Act sind hoch angesetzt. Für kleine und mittlere Unternehmen gilt aber jeweils der niedrigere der möglichen Höchstbeträge. Realistischer als ein Bußgeld ist für die meisten KMU ein anderes Risiko: Mitarbeitende, die Kundendaten unbedacht in frei verfügbare KI-Tools kopieren. Genau dagegen hilft die Schulung.
Fragen dazu?
Schreiben Sie mir eine E-Mail oder vernetzen Sie sich auf LinkedIn.
Quellen: Verordnung (EU) 2024/1689 (KI-Verordnung) · IHK Bonn zur KI-Kompetenz · Haufe zum Digital Omnibus · Übersicht der Fristen