EU AI Act für KMU

Was ist der EU AI Act?

Der EU AI Act (Verordnung (EU) 2024/1689) ist das weltweit erste umfassende KI-Gesetz. Er ist seit August 2024 in Kraft und wird seitdem gestaffelt anwendbar – nicht alles auf einmal. Sein Grundprinzip: Je höher das Risiko einer KI-Anwendung, desto strenger die Pflichten. Die meisten KMU bewegen sich dabei in den unteren beiden Risikostufen, wo die Anforderungen gering bis überschaubar sind.

Wichtig ist die Rolle, in der ihr steht: Wer KI nur einkauft und nutzt (etwa ein Tool wie Claude oder einen Chatbot), ist „Betreiber“ – mit deutlich weniger Pflichten als die „Anbieter“, die die Modelle selbst bauen. Für den typischen Mittelständler geht es also nicht um Modell-Entwicklung, sondern um den verantwortungsvollen Einsatz.

Der Zeitplan: Was gilt schon, was kommt

Das sind die Stichtage, die für euch relevant sind:

1. Feb 2025
   Verbote + KI-Kompetenz ✅Verbotene Praktiken (Art. 5) und die Pflicht, für ausreichende KI-Kompetenz des Personals zu sorgen (Art. 4).
2. Aug 2025
   Regeln für KI-Modelle ✅Pflichten für Allzweck-KI-Anbieter (GPAI) wie Anthropic, OpenAI oder Google.
3. Aug 2026
   Transparenzpflichten ✅ (jetzt aktiv)Kennzeichnung von KI-Inhalten, Chatbot-Offenlegung, Deepfakes (Art. 50) – durchsetzbar. Plus volles Sanktionsregime und nationale Behörden.
4. Dez 2027
   Hochrisiko-PflichtenDie strengen Regeln für Hochrisiko-KI (Annex III) – vom August 2026 verschoben durch den „Digital Omnibus“.
5. Aug 2028
   KI in ProduktenHochrisiko-KI, die in regulierte Produkte eingebettet ist (Annex I).

Die vier Risikostufen – wo steht euer Unternehmen?

Der AI Act sortiert jede KI-Anwendung in eine von vier Stufen. Als Orientierung:

Die gute Nachricht für den Mittelstand: Der Großteil des KMU-Alltags – KI für Marketing-Texte, Recherche, Bildbearbeitung, Kundenservice-Chatbots – landet in „begrenzt“ oder „minimal“. Hochrisiko wird es erst dort, wo KI über Menschen entscheidet: Einstellung, Kreditvergabe, Prüfungsbewertung. Nutzt ihr KI so? Dann lohnt ein genauer Blick – sonst nicht.

Was für die meisten KMU zählt: Transparenz (Artikel 50)

Das ist die Pflicht, die seit August 2026 wirklich greift und fast jedes Unternehmen betrifft, das KI sichtbar einsetzt: KI-Chats müssen sich zu erkennen geben, KI-generierte Bilder und Texte müssen gekennzeichnet werden, Deepfakes sowieso. In Deutschland kommt ein handfestes Abmahnrisiko über das Wettbewerbsrecht hinzu.

Das haben wir in einem eigenen Beitrag ausführlich aufgeschlüsselt – inklusive der Frage, warum Claude jetzt ein Wasserzeichen bekommt und einer 5-Punkte-Checkliste: KI-Kennzeichnungspflicht & Claude-Wasserzeichen – einfach erklärt.

Die unterschätzte Pflicht: KI-Kompetenz (Artikel 4)

Schon seit Februar 2025 gilt: Wer KI im Unternehmen einsetzt, muss dafür sorgen, dass die Mitarbeitenden über ausreichende KI-Kompetenz verfügen – also verstehen, was die Tools können, wo ihre Grenzen liegen und wie man Ergebnisse kritisch prüft. Das ist keine Formalie, sondern der Punkt, an dem KI im Alltag tatsächlich sicher und produktiv wird.

Für KMU heißt das konkret: eine kurze, dokumentierte Schulung und ein paar interne Leitplanken reichen meist aus. Genau hier setzen wir mit unseren Workshops an – verständlich, an euren echten Tools, ohne Uni-Vorlesung.

Bußgelder & Abmahnrisiko

• Verbotene Praktiken: bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes.
• Verstöße gegen Transparenz-, Hochrisiko- oder GPAI-Pflichten: bis 15 Mio. € oder 3 %.
• Falsche Angaben an Behörden: bis 7,5 Mio. € oder 1,5 %.

Für KMU gilt: Es greift jeweils der kleinere Betrag, und die Aufsicht soll verhältnismäßig handeln. Realistischer als ein EU-Bußgeld ist für deutsche Unternehmen ohnehin die wettbewerbsrechtliche Abmahnung bei unmarkierten KI-Inhalten – das Muster kennt ihr von der Google-Fonts-Welle.

Erleichterungen speziell für KMU

Der AI Act nimmt kleine Unternehmen ausdrücklich in Schutz. Ihr habt Anspruch auf vereinfachte technische Dokumentation, bevorzugten Zugang zu regulatorischen Sandkästen (Testumgebungen mit Behörden-Begleitung) und verhältnismäßige, gedeckelte Bußgelder. Der Gesetzgeber will KMU nicht erdrücken – er will, dass ihr KI verantwortungsvoll nutzt. Panik ist der falsche Reflex; ein strukturierter Erst-Check der richtige.

Tiefer einsteigen

Die Detail-Artikel zu den einzelnen Themen – wir bauen die Reihe laufend aus: