Der EU AI Act ist die erste umfassende KI-Regulierung der Welt, und er betrifft nicht nur Technologiekonzerne. Wer als Unternehmen KI-Systeme einsetzt, etwa einen Chatbot, eine automatisierte Bewerbervorauswahl oder SAP-Funktionen mit KI-Unterstützung, fällt in der Regel in den Anwendungsbereich. Dieser Beitrag zeigt, was der EU AI Act für Unternehmen im Mittelstand konkret bedeutet und welche Schritte jetzt sinnvoll sind.
Was ist der EU AI Act?
Die Verordnung (EU) 2024/1689 ist am 1. August 2024 in Kraft getreten und gilt als unmittelbar geltendes Recht in allen Mitgliedstaaten. Sie verfolgt einen risikobasierten Ansatz: Je größer das Risiko eines KI-Systems für Gesundheit, Sicherheit oder Grundrechte, desto strenger sind die Anforderungen. Die Pflichten werden stufenweise wirksam, einzelne Fristen sind bereits verstrichen.
Wichtig für den Mittelstand: Der AI Act unterscheidet zwischen Anbietern, die KI-Systeme entwickeln oder unter eigenem Namen in Verkehr bringen, und Betreibern, die KI-Systeme in ihrem Unternehmen einsetzen. Die meisten mittelständischen Unternehmen sind Betreiber.
Die vier Risikoklassen im Überblick
- Unannehmbares Risiko: Verboten sind unter anderem Social Scoring und manipulative Techniken, die Menschen erheblich schädigen können. Diese Verbote gelten seit Februar 2025.
- Hohes Risiko: Dazu zählen etwa KI-Systeme im Personalwesen (Recruiting, Leistungsbewertung), in der Kreditwürdigkeitsprüfung oder als Sicherheitskomponente in regulierten Produkten. Hier gelten umfangreiche Pflichten zu Risikomanagement, Datenqualität, Dokumentation und menschlicher Aufsicht.
- Begrenztes Risiko: Es gelten Transparenzpflichten, zum Beispiel müssen Nutzer erkennen können, dass sie mit einem Chatbot interagieren, und KI-generierte Inhalte sind entsprechend zu kennzeichnen.
- Minimales Risiko: Für die meisten Anwendungen, etwa Spamfilter oder einfache Prognosemodelle, gibt es keine spezifischen Auflagen.
Welche Pflichten gelten schon jetzt?
Bereits seit dem 2. Februar 2025 verlangt Artikel 4 des AI Act KI-Kompetenz: Unternehmen müssen sicherstellen, dass Mitarbeitende, die mit KI-Systemen arbeiten, über ausreichende Kenntnisse verfügen. Das betrifft auch den Einsatz allgemein verfügbarer Tools. Seit August 2025 gelten zudem Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck; hier liegen die Pflichten vor allem bei den Modellanbietern.
Die Anforderungen an Hochrisiko-Systeme werden nach dem ursprünglichen Zeitplan ab August 2026 bzw. August 2027 (für in regulierte Produkte eingebettete Systeme) wirksam. Die EU-Kommission hat Anpassungen und Verschiebungen vorgeschlagen. Prüfen Sie deshalb den aktuellen Stand der Gesetzgebung, bevor Sie Ihre Planung festschreiben.
Was Betreiber von KI-Systemen beachten müssen
Setzen Sie ein Hochrisiko-System ein, gehören zu Ihren Betreiberpflichten unter anderem: das System gemäß der Gebrauchsanweisung zu nutzen, menschliche Aufsicht durch qualifizierte Personen sicherzustellen, Eingabedaten im Rahmen Ihrer Kontrolle auf Eignung zu prüfen, den Betrieb zu überwachen und Protokolle aufzubewahren. Beschäftigte und Betriebsräte sind vor dem Einsatz am Arbeitsplatz zu informieren.
Verstöße können teuer werden: Bei verbotenen Praktiken drohen Bußgelder bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, bei sonstigen Verstößen bis zu 15 Millionen Euro oder 3 Prozent. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge.
EU AI Act im SAP-Umfeld
Auch SAP-Landschaften sind betroffen. Funktionen wie KI-gestützte Belegerkennung, Prognosen oder Assistenten bringen KI in Kernprozesse. Dabei stellt sich die Frage, ob Sie Betreiber eines Hochrisiko-Systems werden, etwa wenn KI Bewerber bewertet oder Entscheidungen über Beschäftigte beeinflusst. Erfassen Sie daher auch die in Ihren Standardsystemen eingebetteten KI-Funktionen und lassen Sie sich die Einstufung vom Hersteller bestätigen. Wie KI-Projekte strukturiert und mit klarer Verantwortung aufgesetzt werden, zeigen wir in unserem Angebot KI by W+W.
Typische Praxisfälle im Mittelstand
Viele Unternehmen unterschätzen, wie schnell sie mit dem AI Act in Berührung kommen. Drei Beispiele zeigen, worauf es ankommt:
Chatbot im Kundenservice: Hier gilt in erster Linie die Transparenzpflicht. Kunden müssen erkennen können, dass sie mit einer KI sprechen. Zusätzlich sind Datenschutz und der Umgang mit personenbezogenen Daten zu klären.
KI im Recruiting: Werkzeuge, die Lebensläufe filtern oder Bewerber bewerten, gelten als Hochrisiko-Anwendungen. Betreiber müssen menschliche Aufsicht sicherstellen, die Ergebnisse nachvollziehbar halten und Betroffene informieren.
Qualitätsprüfung in der Produktion: Bildbasierte Prüfsysteme sind je nach Einsatz oft nicht hochriskant. Wird die KI jedoch als Sicherheitskomponente in einem regulierten Produkt eingesetzt, etwa in der Medizintechnik, greifen strengere Vorgaben.
Wo Unternehmen häufig Fehler machen
In der Praxis sehen wir immer wieder dieselben Muster: KI-Werkzeuge werden von Fachabteilungen ohne Abstimmung eingeführt (sogenannte Schatten-KI), es fehlt ein zentrales Inventar, und Verantwortlichkeiten zwischen IT, Datenschutz, Recht und Fachbereich sind ungeklärt. Wer diese drei Punkte früh adressiert, hat den größten Teil der Vorbereitung bereits erledigt.
AI Act, DSGVO und Governance zusammendenken
Der AI Act ersetzt die Datenschutz-Grundverordnung nicht, er ergänzt sie. Verarbeitet ein KI-System personenbezogene Daten, gelten beide Regelwerke parallel. Sinnvoll ist deshalb ein gemeinsamer Freigabeprozess: Bevor ein neues KI-System produktiv geht, werden Zweck, Datenquellen, Risikoklasse, Datenschutzfolgen und Verantwortlichkeiten in einem schlanken Verfahren geprüft und dokumentiert. Das schafft Revisionssicherheit und verhindert, dass Projekte kurz vor dem Start an Compliance-Fragen scheitern.
Gerade im Mittelstand zahlt sich ein pragmatischer Ansatz aus. Statt umfangreicher Regelwerke genügt oft eine kurze KI-Richtlinie, ein gepflegtes Register und ein klar benannter Ansprechpartner. Entscheidend ist, dass die Regeln im Alltag gelebt werden und nicht in der Schublade landen.
In fünf Schritten zur AI-Act-Readiness
- KI-Inventar erstellen: Welche KI-Systeme und KI-Funktionen werden im Unternehmen genutzt, auch als Teil von Software und Cloud-Diensten?
- Rollen klären: Sind Sie Anbieter, Betreiber oder beides?
- Risiko einstufen: Ordnen Sie jedes System einer Risikoklasse zu und dokumentieren Sie die Begründung.
- KI-Kompetenz aufbauen: Schulen Sie Mitarbeitende rollenbezogen und halten Sie die Maßnahmen nachweisbar fest.
- Governance festlegen: Benennen Sie Verantwortliche, definieren Sie Freigabeprozesse und stimmen Sie sich mit Datenschutz und Betriebsrat ab.
Häufige Fragen zum EU AI Act
Gilt der AI Act auch für kleine Unternehmen? Ja. Es gibt Erleichterungen bei Bußgeldern und Dokumentation für kleine und mittlere Unternehmen, der Anwendungsbereich ist jedoch unabhängig von der Unternehmensgröße.
Gilt er auch, wenn wir nur fertige Tools zukaufen? Ja. Als Betreiber tragen Sie eigene Pflichten, etwa zur KI-Kompetenz, zu Transparenz und bei Hochrisiko-Systemen zur menschlichen Aufsicht und Protokollierung.
Wann sollten wir anfangen? Idealerweise sofort mit dem Inventar und der Schulung der Mitarbeitenden. Beides ist unabhängig von möglichen Fristverschiebungen sinnvoll und bildet die Basis für jede weitere Maßnahme.
Fazit
Der EU AI Act ist für den Mittelstand beherrschbar, wenn Sie früh Transparenz schaffen. Ein sauberes KI-Inventar, klare Rollen und nachweisbare KI-Kompetenz sind der Kern. Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung; die rechtliche Bewertung im Einzelfall sollte mit Ihrer Rechtsabteilung oder einer Kanzlei erfolgen.
Sie möchten wissen, wo Ihr Unternehmen steht? Sprechen Sie mit uns – wir unterstützen Sie bei Einordnung und Umsetzung Ihrer KI-Vorhaben.