EU AI Act für KMU: der Fahrplan ohne Beratungsprojekt
Die EU-KI-Verordnung (EU AI Act) kennt keine Mitarbeiterschwelle: Sie unterscheidet nach Rolle und Risiko, nicht nach Größe. Wer KI-Werkzeuge nur einsetzt, ist Betreiber, und dieser Pflichtenkatalog ist überschaubar. Zum Anbieter mit deutlich mehr Pflichten werden Sie erst, wenn Sie ein System unter eigenem Namen anbieten oder wesentlich verändern — etwa einen Chatbot mit eigenem Branding.
Von Patrick de Kathen, Gründer von KlarComply · Fachlich geprüft am
Sind Sie überhaupt betroffen?
Mit hoher Wahrscheinlichkeit ja — aber vermutlich weniger, als Sie befürchten. Die Verordnung kennt keine Mitarbeiterschwelle; sie unterscheidet nach Rolle und Risiko, nicht nach Größe.
Entscheidend ist Ihre Rolle. Wer KI-Werkzeuge nur einsetzt, ist Betreiber. Für Betreiber ist der Pflichtenkatalog überschaubar. Zum Anbieter mit deutlich mehr Pflichten werden Sie erst, wenn Sie ein System unter eigenem Namen anbieten oder es wesentlich verändern — etwa einen Chatbot mit eigenem Branding auf die Website setzen.
Die Fristen — Stand nach dem Digital Omnibus
Der Digital Omnibus wurde am 29. Juni 2026 endgültig angenommen und ist im Juli 2026 in Kraft getreten. Er ist geltendes Recht, keine Ankündigung.
| Datum | Was gilt |
|---|---|
| 02.02.2025 | Verbotene Praktiken (Art. 5) · KI-Kompetenzpflicht (Art. 4) |
| 02.08.2025 | Pflichten für Allzweck-KI-Modelle, Governance, nationale Sanktionsregeln |
| 02.08.2026 | Transparenzpflichten (Art. 50) · nationale Marktaufsicht nimmt Arbeit auf |
| 02.12.2026 | Art. 50 Abs. 2 auch für Altsysteme · neue Verbotstatbestände |
| 09.12.2026 | Umsetzungsfrist der neuen EU-Produkthaftungsrichtlinie (Software und KI gelten als Produkte) |
| 02.12.2027 | Hochrisiko-Pflichten für eigenständige Systeme — verschoben |
| 02.08.2028 | Hochrisiko-Pflichten für KI in regulierten Produkten — verschoben |
Die Kurzfassung: Wer Hochrisiko-KI baut, hat Zeit gewonnen. Wer KI nur nutzt, ist längst dran.
Was Betreiber konkret tun müssen
- Kompetenz fördern (Art. 4) — Grundschulung für alle, die KI nutzen, dokumentiert
- Transparenz herstellen (Art. 50) — Chatbots kennzeichnen, KI-Bilder kennzeichnen, Freigabeprozess für Texte
- Verbotene Praktiken vermeiden (Art. 5) — für KMU vor allem relevant: Emotionserkennung am Arbeitsplatz ist untersagt
- Übersicht behalten — ein KI-Inventar, ohne das keine der anderen Pflichten erfüllbar ist
Alles Weitere — Konformitätsbewertung, technische Dokumentation, Registrierung — betrifft Anbieter und Hochrisiko-Systeme, also die wenigsten Mittelständler.
Die zwei Fälle, bei denen KMU doch in den Hochrisiko-Bereich geraten
Von den acht Bereichen des Anhangs III sind für den Mittelstand praktisch nur zwei relevant:
- Beschäftigung: alles, was Bewerbungen vorsortiert, Leistung bewertet oder Aufgaben zuweist. Auch wenn am Ende ein Mensch entscheidet — Vorsortierung prägt die Entscheidung vor.
- Kreditwürdigkeit: Werkzeuge, die über Zahlungsziele oder Bonität entscheiden.
Wenn Sie so etwas einsetzen: dokumentieren, an die Geschäftsführung eskalieren und anwaltlich prüfen lassen. Die Frist Dezember 2027 verschafft Ihnen Zeit, aber die Einstufung sollte jetzt stehen.
Wer kontrolliert, und wie läuft das ab?
Zuständig sind die nationalen Marktüberwachungsbehörden. In Deutschland ist die Bundesnetzagentur vorgesehen, die seit Juli 2025 einen KI-Service-Desk speziell für kleine und mittlere Unternehmen betreibt — inklusive eines kostenlosen interaktiven Kompasses zur Risikoeinstufung.
Realistisch beginnen Behörden nicht mit Bußgeldern, sondern mit einem Auskunftsersuchen und einer Anordnung zur Abhilfe. Wer dann liefern kann, ist durch.
Der Anlass muss kein Amt sein: Es kann auch der Lieferantenfragebogen eines Geschäftskunden sein. Fünf Fragen kehren dort erfahrungsgemäß wieder — nach dem Verzeichnis der KI-Systeme, der internen Richtlinie, dem Schulungsstand, der verantwortlichen Person und dem Einsatz von Hochrisiko-Systemen.
Der Aufwand, ehrlich beziffert
Für ein Unternehmen mit fünfzig Mitarbeitenden, das KI nur nutzt:
- Ersteinrichtung: ein halber bis ein Tag für die verantwortliche Person
- Schulung: etwa 40 bis 50 Minuten pro Mitarbeitendem, einmalig plus jährliche Auffrischung
- Laufend: zwei bis sechs Stunden im Monat für Inventarpflege, Freigaben und Onboarding
Das ist der realistische Rahmen. Wer Ihnen ein sechsstelliges Beratungsprojekt verkaufen will, redet über eine andere Unternehmensgröße.
Häufige Fragen
Gilt die KI-Verordnung auch für kleine Unternehmen?
Ja. Es gibt keine Mitarbeiterschwelle. Die Verordnung unterscheidet nach Rolle und Risiko, nicht nach Größe. Für reine Anwenderunternehmen ist der Pflichtenkatalog allerdings überschaubar.
Was ist der Unterschied zwischen Anbieter und Betreiber?
Betreiber nutzen ein KI-System im beruflichen Kontext — das trifft auf die meisten Unternehmen zu. Anbieter entwickeln ein System oder bringen es unter eigenem Namen auf den Markt. Wer ein zugekauftes System unter eigener Marke anbietet oder wesentlich verändert, wird rechtlich zum Anbieter.
Wurden die Fristen verschoben?
Teilweise. Der Digital Omnibus hat die Hochrisiko-Pflichten auf Dezember 2027 beziehungsweise August 2028 verschoben. Der 2. August 2026 für die Transparenzpflichten und den Start der Marktaufsicht blieb unverändert.
Brauchen wir einen KI-Beauftragten?
Gesetzlich vorgeschrieben ist die Rolle nicht — anders als beim Datenschutzbeauftragten gibt es keine Bestellpflicht. Praktisch ist sie Standard geworden, weil die Pflichten das Unternehmen treffen und ohne benannte Person niemand sie erfüllt.
Wie viel Zeit kostet die Umsetzung?
Für einen Betrieb mit rund fünfzig Mitarbeitenden: ein halber bis ein Tag Ersteinrichtung, etwa 40 bis 50 Minuten Schulung pro Person und laufend zwei bis sechs Stunden im Monat.
Wo steht Ihr Unternehmen?
Der kostenlose Quick-Check geht zehn Punkte durch — KI-Inventar, Schulungsstand, Transparenzpflichten, Zuständigkeiten. In zwei Minuten, ohne Anmeldung, mit ehrlichem Ergebnis und konkreten Lücken.
Quick-Check starten — kostenlosVerordnung (EU) 2024/1689 — amtlicher Volltext
KI-Service-Desk der Bundesnetzagentur (für KMU)
KI-Kompass — interaktive Einstufungshilfe der Bundesnetzagentur
EU-Kommission — Rechtsrahmen für KI