| 5 Min. Lesezeit

EU AI Act für KMU: Was Geschäftsführer im DACH-Raum 2026 wissen müssen

ai-governance eu-ai-act compliance

Der EU AI Act ist seit August 2024 in Kraft, aber er wird gestaffelt anwendbar. Daraus entsteht ein Missverständnis, das mir in Gesprächen mit Geschäftsführern oft begegnet: “2026 ist noch weit weg.” Das stimmt nicht. Zwei Pflichten gelten bereits seit Februar 2025, und eine davon betrifft praktisch jeden Betrieb, der KI nutzt.

Sortieren wir das.

Die Zeitachse

Der AI Act greift nicht auf einen Schlag, sondern in Stufen:

  • August 2024: Verordnung tritt in Kraft.
  • Februar 2025: Verbotene Praktiken (Art. 5) und die KI-Kompetenzpflicht (Art. 4) gelten.
  • August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI), Governance-Strukturen, Sanktionsregeln.
  • August 2026: Der Großteil der Pflichten, inklusive der Anforderungen an Hochrisiko-Systeme nach Anhang III.
  • August 2027: Hochrisiko-Systeme, die unter bestehende Produktsicherheitsvorschriften fallen (Anhang I).

Für die meisten KMU zählen zwei Daten: Februar 2025 (bereits vorbei) und August 2026.

Wer ist betroffen?

Der AI Act unterscheidet zwischen Anbietern, die KI-Systeme entwickeln oder in Verkehr bringen, und Betreibern, die sie einsetzen. Die meisten KMU sind Betreiber. Sie bauen keine eigenen Modelle, sie nutzen Werkzeuge: ein KI-gestütztes CRM, eine automatische Rechnungsverarbeitung, einen Chatbot im Kundenservice. Als Betreiber haben Sie weniger Pflichten als ein Anbieter, aber nicht keine.

Was schon gilt: Art. 4 und die Verbote

Das ist der Punkt, den fast alle übersehen. Seit Februar 2025 sind zwei Dinge scharf.

Erstens die verbotenen Praktiken nach Art. 5: Social Scoring, unterschwellige Manipulation, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum. Für normale KMU im Tagesgeschäft selten relevant, aber gut zu wissen, dass diese Linie nicht verhandelbar ist.

Zweitens, und das betrifft Sie mit hoher Wahrscheinlichkeit, die KI-Kompetenzpflicht nach Art. 4. Wer KI im Betrieb einsetzt, muss sicherstellen, dass die damit befassten Mitarbeiter über ausreichende KI-Kompetenz verfügen, angemessen zu ihrer Aufgabe und zum Einsatzkontext. Es gibt keine Zertifikatspflicht und kein vorgeschriebenes Formular. Aber es ist eine Bringschuld: eine nachvollziehbare Einweisung, klare Nutzungsregeln, dokumentiertes Grundverständnis. Wer ChatGPT, Copilot oder ein vergleichbares Werkzeug im Unternehmen nutzt und dazu nichts geregelt hat, ist hier formal bereits im Verzug.

Die Risikoklassen

Der AI Act arbeitet mit vier Stufen:

  • Verbotene Praktiken: siehe oben. Für KMU im Normalfall irrelevant.
  • Hohes Risiko: KI in Beschäftigung (Personalauswahl, Leistungsbewertung), Kreditwürdigkeit, Bildung, kritischer Infrastruktur. Hier liegt der eigentliche Handlungsbedarf, falls er Sie trifft.
  • Begrenztes Risiko: Transparenzpflichten. Ein Chatbot muss als KI erkennbar sein, KI-generierte Inhalte müssen gekennzeichnet werden.
  • Minimales Risiko: alles andere. Keine besonderen Pflichten über Art. 4 hinaus.

Die ehrliche Einordnung: Die Mehrheit der KMU-Anwendungen landet bei begrenztem oder minimalem Risiko. Hochrisiko wird dort relevant, wo KI über Menschen mitentscheidet, allen voran in der Personalauswahl.

Drei Schritte für 2026

1. Inventur

Erstellen Sie eine Liste aller KI-gestützten Werkzeuge im Unternehmen. Nicht nur die offensichtlichen wie ChatGPT-Integrationen, sondern auch eingebettete KI: Vorschläge im ERP, Filter in der E-Mail-Lösung, Bilderkennung in der Qualitätskontrolle. Pro System: Wer ist Anbieter, welche Daten gehen rein, welche Entscheidungen kommen raus, sind Menschen betroffen?

2. Risikobewertung

Ordnen Sie jedes System einer Klasse zu. Die entscheidende Frage: Setzen Sie KI in der Personalauswahl, der Kreditvergabe oder in sicherheitskritischen Prozessen ein? Wenn ja, gelten die Hochrisiko-Anforderungen (Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht, Robustheit). Wenn nein, beschränken sich Ihre Pflichten im Wesentlichen auf Transparenz und Art. 4.

3. Dokumentation und Verantwortung

Halten Sie fest, welche Systeme Sie einsetzen, wer intern zuständig ist und welche Nutzungsregeln gelten. Das ist kein Selbstzweck. Wenn ein System eine fehlerhafte Entscheidung trifft, wollen Sie wissen, wer zuständig ist und welcher Prozess greift.

Die Erleichterungen, die kaum jemand nennt

Der AI Act erwähnt KMU bewusst Dutzende Male und entlastet sie gezielt (u.a. Art. 62):

  • Vorrangiger, kostenfreier Zugang zu regulatorischen Sandboxes (geschützte Testumgebungen).
  • Reduzierte Gebühren bei Konformitätsbewertungen.
  • Vereinfachte technische Dokumentation; die EU-Kommission stellt dafür Vorlagen bereit.
  • Bei Bußgeldern greift für KMU die jeweils niedrigere der vorgesehenen Obergrenzen. Verhältnismäßigkeit ist eingebaut.

In Österreich gibt es konkrete Anlaufstellen: die KI-Servicestelle der RTR als Info-Hub (samt AI-Act-Chatbot) und der KI-Leitfaden der WKO. Beides kostenlos, beides auf KMU zugeschnitten.

Was Sie nicht tun müssen

  • Eigene KI-Modelle zertifizieren lassen. Sie sind Betreiber, nicht Anbieter. Die Zertifizierung ist Sache des Anbieters.
  • Jede Automatisierung als KI deklarieren. Regelbasierte Logik fällt in der Regel nicht unter die KI-Definition des AI Act.
  • Sofort einen KI-Beauftragten einstellen. Eine benannte verantwortliche Person genügt vorerst.

Womit Sie anfangen

Zwei Dinge, beide diese Woche machbar. Erstens: prüfen, ob Sie Art. 4 erfüllen. Nutzt Ihr Team KI, und gibt es dazu eine nachvollziehbare Einweisung und Nutzungsregeln? Falls nein, ist das die erste Lücke. Zweitens: mit der Inventur beginnen. Eine Tabelle mit den Spalten System, Anbieter, Einsatzzweck, betroffene Personen, Risikokategorie reicht für den Start. Auf dieser Basis lässt sich entscheiden, ob Sie externe Beratung brauchen oder ob der Handlungsbedarf kleiner ist als befürchtet.

Transparenz: Dieser Beitrag entstand mit KI-Unterstützung. Ich habe ihn geprüft und verantworte den Inhalt. Mehr dazu unter KI-Transparenz.