EU AI Act für den Mittelstand: Was seit August 2026 gilt
EU AI Act · AI Governance · Mittelstand · Lesezeit 8 Minuten · Stand: September 2026
Der EU AI Act ist seit dem 2. August 2026 grundsätzlich anwendbar. Für die meisten mittelständischen Unternehmen folgt daraus kein sofortiges Großprojekt. Der richtige erste Schritt ist überschaubar: KI-Anwendungen erfassen, Risiken einordnen, Transparenz sicherstellen und Verantwortlichkeiten klären.
Die zentrale Frage lautet nicht: „Müssen wir jetzt alles regulieren?“ Sondern: „Wo setzen wir KI tatsächlich ein – und welche Pflichten sind für genau diese Anwendungen relevant?“
Stand: September 2026. Diese Seite bietet eine erste strategische Orientierung und ersetzt keine Rechtsberatung im Einzelfall.
Das Wichtigste in 30 Sekunden
Frage
Antwort
Was gilt seit dem 2. August 2026?
Der EU AI Act ist grundsätzlich anwendbar. Relevant sind insbesondere Transparenzpflichten, KI-Kompetenz und eine nachvollziehbare Einordnung der eingesetzten KI-Systeme.
Was wurde verschoben?
Die umfassenden Pflichten für eigenständige Hochrisiko-KI-Systeme gemäß Anhang III gelten ab dem 2. Dezember 2027. Für Hochrisiko-KI als Bestandteil regulierter Produkte gemäß Anhang I gelten sie ab dem 2. August 2028.
Was bedeutet das für die meisten Mittelständler?
KI-Inventar, Risikoeinordnung, Transparenzhinweise, Datenschutzprüfung und Kompetenzmaßnahmen sind jetzt die Priorität.
Welche Bußgelder sind relevant?
Für Verstöße gegen Betreiber- und Transparenzpflichten liegt die gesetzliche Höchstgrenze bei bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Für KMU gilt grundsätzlich der niedrigere Betrag.
Wann wird es komplex?
Wenn KI in sensiblen Bereichen wie HR, Bildung, Kredit, Versicherung, kritischer Infrastruktur oder Biometrie eingesetzt wird.
Was gilt jetzt – und was später?
Der EU AI Act gilt stufenweise. Der Digital Omnibus hat die Fristen für umfassende Hochrisiko-Pflichten verschoben. Die bereits geltenden Anforderungen an Transparenz, KI-Kompetenz, Governance und Marktüberwachung bleiben davon unberührt.
Zeitpunkt
Relevanz
Was Unternehmen tun sollten
Seit 2. Februar 2025
Verbotene KI-Praktiken und KI-Kompetenz
Zulässige Tools, verbotene Nutzungen und Regeln für sensible Daten festlegen; Mitarbeitende sensibilisieren und Maßnahmen dokumentieren.
Seit 2. August 2025
Anforderungen an Anbieter von General-Purpose-AI-Modellen
Relevante Anbieterunterlagen, Datenschutzdokumente und Vertragsgrundlagen geordnet vorhalten.
Seit 2. August 2026
Transparenzpflichten, allgemeine Anwendbarkeit und Marktüberwachung
KI-Inventar erstellen, relevante Kundeninteraktionen prüfen, Transparenzhinweise ergänzen und Verantwortlichkeiten festlegen.
Ab 2. Dezember 2027
Umfassende Pflichten für Hochrisiko-KI nach Anhang III
Sensible Anwendungen, etwa in HR, Bildung, Kredit oder Versicherung, frühzeitig als eigenes Projekt strukturieren.
Ab 2. August 2028
Hochrisiko-KI in regulierten Produkten nach Anhang I
AI-Act-Anforderungen in bestehende Produkt-, Sicherheits- und Konformitätsprozesse integrieren.
Seit dem 29. Juli 2026 nimmt die Bundesnetzagentur eine zentrale Rolle bei der deutschen Umsetzung und Marktüberwachung ein. Damit ist der EU AI Act nicht mehr allein ein europäisches Zukunftsthema, sondern Teil der operativen Realität deutscher Unternehmen.
Bußgelder: Was ist wirklich relevant?
Die häufig zitierte Höchstsumme von 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes betrifft verbotene KI-Praktiken. Dazu zählen beispielsweise bestimmte Formen manipulativer KI, Social Scoring oder unzulässige Emotionserkennung am Arbeitsplatz.
Für viele mittelständische Unternehmen ist eine andere Kategorie relevanter: Verstöße gegen Betreiberpflichten und Transparenzpflichten – etwa bei nicht transparenten KI-Interaktionen oder fehlender Dokumentation.
Art des Verstoßes
Gesetzliche Höchstgrenze
Regel für KMU und Start-ups
Verbotene KI-Praktiken
Bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes
Grundsätzlich gilt der niedrigere Betrag aus absolutem Höchstwert und Umsatzanteil.
Betreiber-, Transparenz- und andere Pflichten des EU AI Act
Bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes
Grundsätzlich gilt der niedrigere Betrag aus absolutem Höchstwert und Umsatzanteil.
Unrichtige, unvollständige oder irreführende Angaben gegenüber Behörden
Bis zu 7,5 Mio. Euro oder 1 % des weltweiten Jahresumsatzes
Grundsätzlich gilt der niedrigere Betrag aus absolutem Höchstwert und Umsatzanteil.
Die genannten Summen sind gesetzliche Höchstgrenzen, keine automatischen Pauschalstrafen. Für die konkrete Bemessung spielen unter anderem Art, Schwere und Dauer eines Verstoßes, mögliche Schäden, Abhilfemaßnahmen und die Kooperation mit den Behörden eine Rolle.
Für die 3-Prozent-Stufe ergeben sich bei mittelständischen Unternehmen beispielsweise folgende theoretischen Obergrenzen:
Weltweiter Jahresumsatz
3 % des Umsatzes
Theoretische Obergrenze für ein KMU bei der 15-Mio.-/3-%-Stufe
10 Mio. Euro
300.000 Euro
300.000 Euro
50 Mio. Euro
1,5 Mio. Euro
1,5 Mio. Euro
200 Mio. Euro
6 Mio. Euro
6 Mio. Euro
Die richtige Konsequenz lautet nicht: möglichst schnell ein überdimensioniertes Compliance-System kaufen. Sie lautet: KI-Nutzung kennen, nachvollziehbar bewerten und die offensichtlichen Lücken schließen.
Was seit August 2026 zählt
Transparenz bei KI im Kundenkontakt
Wenn Menschen mit einem Chatbot oder Voice Agent interagieren, müssen sie in den einschlägigen Fällen erkennen können, dass sie mit KI kommunizieren. Prüfen Sie daher Bot-Einstiege, Webformulare, automatisierte E-Mails und telefonische KI-Assistenzen.
Eine pragmatische Umsetzung kann mit einem klaren Hinweis beginnen: „Sie sprechen mit unserem KI-Assistenten.“ Wichtig ist außerdem ein verlässlicher Weg zu menschlicher Unterstützung, insbesondere bei komplexen, sensiblen oder strittigen Anliegen.
Umgang mit KI-generierten Inhalten
Bilder, Audio, Video und andere synthetische Inhalte werfen Transparenz- und Kennzeichnungsfragen auf. Unternehmen sollten festlegen:
Welche KI-generierten Inhalte veröffentlicht werden dürfen
Wer die fachliche, rechtliche und kommunikative Freigabe übernimmt
Wann eine Kennzeichnung erforderlich oder angemessen ist
Wie Herkunft, Bearbeitung und Einsatz dokumentiert werden
Für bereits vor August 2026 eingesetzte Systeme gelten in bestimmten Konstellationen Übergangsfristen für maschinenlesbare Kennzeichnung. Die Transparenzpflicht als solche sollte jedoch nicht als Aufschub verstanden werden.
Aufsicht und Dokumentationsfähigkeit
Aufsicht bedeutet in der Praxis häufig zunächst Auskunfts- und Dokumentationsfähigkeit. Unternehmen sollten daher in der Lage sein, die wichtigsten Fragen schnell und nachvollziehbar zu beantworten: Welche KI-Systeme werden genutzt? Zu welchem Zweck? Mit welchen Daten? Wer ist verantwortlich? Wie wurde der Einsatz eingeordnet?
Ein geordnetes Inventar und eine dokumentierte Entscheidungslinie sind oft wertvoller als eine umfangreiche Präsentation ohne operative Grundlage.
Der ICAA-Prüfpfad
Nicht jede KI ist hochriskant. Ein strukturierter Prüfpfad verhindert sowohl Überklassifikation als auch gefährliches Wegsehen.
01
1. Fällt der Einsatz unter einen sensiblen Hochrisiko-Bereich?
Prüfen Sie, ob KI für Personalgewinnung, Bewerbervorauswahl, Leistungsbewertung, Bildung, Kreditwürdigkeit, Versicherung, kritische Infrastruktur, Biometrie, Migration, Strafverfolgung oder Justiz eingesetzt wird.
Wenn ja, ist eine vertiefte Bewertung erforderlich. Der Einsatz kann in den Hochrisiko-Bereich fallen; die Anforderungen für Anhang-III-Systeme gelten ab Dezember 2027.
02
2. Ist die KI Bestandteil eines regulierten Produkts?
KI in bestimmten Maschinen, Medizinprodukten, Fahrzeugen oder anderen regulierten Produktkategorien kann unter Anhang I fallen. Hier sollten AI-Act-, Produkt- und Konformitätsprozesse gemeinsam betrachtet werden. Die einschlägigen Anforderungen gelten ab August 2028.
03
3. Interagiert die KI mit Menschen oder erzeugt sie Inhalte?
Chatbots, Voice Agents, KI-generierte Bilder, Audio und Video sowie Anwendungen zur Emotionserkennung oder biometrischen Kategorisierung erfordern eine sorgfältige Transparenzprüfung.
04
4. Werden personenbezogene oder vertrauliche Daten verarbeitet?
Dann ist die DSGVO unmittelbar relevant. Prüfen Sie Datenfluss, Rechtsgrundlage, Auftragsverarbeitung, Speicherort, Anbietervereinbarung, Zugriffskonzepte und technische Schutzmaßnahmen.
05
5. Trifft nichts davon zu?
Typische Produktivitätsanwendungen – etwa Recherche, Zusammenfassungen, Angebotsentwürfe, E-Mail-Unterstützung, Dokumentenklassifikation oder CRM-Anreicherung – sind häufig nicht hochriskant. Sie benötigen trotzdem klare Regeln, Kompetenzmaßnahmen, Tool-Freigaben und eine dokumentierte Verantwortlichkeit.
KI-Inventar: Der erste belastbare Schritt
Die häufigste Fehleinschätzung lautet: „Wir nutzen doch kaum KI.“ In der Praxis steckt KI oft bereits in Standardsoftware, einzelnen Teams oder persönlichen Arbeitsabläufen.
Ein gutes KI-Inventar erfasst pro Anwendung:
System oder Anbieter
Geschäftszweck und Einsatzbereich
Fachbereich und verantwortliche Person
Datenarten und betroffene Personengruppen
KI-Rolle: Assistenz, Empfehlung, Automatisierung oder Entscheidung
Kundenkontakt oder interner Einsatz
Risikoeinordnung und nächste Maßnahme
Berücksichtigen Sie ausdrücklich auch Schatten-KI: nicht zentral beschaffte Tools, private Accounts, aktivierte Copilots und versteckte KI-Funktionen in CRM-, ERP-, HR- oder Marketing-Software.
Das Inventar ist keine bürokratische Übung. Es ist die Grundlage für sichere Entscheidungen, sinnvolle Investitionen und nachvollziehbare Governance.
DSGVO und EU AI Act: Zwei Aufgaben, ein Gesamtbild
Der EU AI Act und die DSGVO überschneiden sich, sind aber nicht identisch. Der EU AI Act fragt unter anderem nach Risiko, Transparenz, menschlicher Aufsicht und Governance. Die DSGVO fokussiert auf die Verarbeitung personenbezogener Daten.
Die entscheidende Praxisfrage lautet häufig: Wo laufen unsere Daten – und wer kann darauf zugreifen?
Prüfen Sie insbesondere:
Werden Kunden-, Beschäftigten-, Vertrags- oder Gesundheitsdaten in KI-Tools eingegeben?
Werden Daten außerhalb der EU verarbeitet oder gespeichert?
Können Anbieter Eingaben zur Verbesserung ihrer Modelle verwenden?
Sind Verträge zur Auftragsverarbeitung und technische Einstellungen geprüft?
Werden KI-Ergebnisse durch Menschen validiert, bevor sie externe oder folgenreiche Entscheidungen beeinflussen?
Eine rechtssichere KI-Strategie entsteht nicht durch Papier allein. Sie zeigt sich in Datenarchitektur, Tool-Auswahl, Freigaben, Prozessen und gelebter Verantwortung.
KI-Kompetenz: Was Unternehmen nachweisen sollten
Seit Februar 2025 sollen Anbieter und Betreiber angemessene Maßnahmen zur KI-Kompetenz ihrer Beschäftigten treffen. Das bedeutet nicht, dass jede Mitarbeiterin und jeder Mitarbeiter eine formale Zertifizierung benötigt. Es bedeutet jedoch, dass Unternehmen nachvollziehbar organisieren müssen, wie ihre Teams KI verantwortungsvoll einsetzen.
Ein praxistauglicher Mindeststandard:
Eine kurze, verständliche KI-Policy
Eine Liste erlaubter Tools und klar definierter No-Go-Daten
Schulungen, die sich an konkreten Rollen und Anwendungen orientieren
Eine benannte Kontaktstelle für KI-Fragen, Risiken und neue Anwendungsfälle
Ein Nachweis darüber, wer wann welche Kompetenzmaßnahme erhalten hat
Ein Freigabeprozess für neue, sensible oder kundennahe KI-Anwendungen
Das Ziel ist nicht, jede Person zur KI-Expertin oder zum KI-Experten zu machen. Das Ziel ist, dass Mitarbeitende wissen, was sie verwenden dürfen, was sie nicht eingeben dürfen, wann menschliche Prüfung notwendig ist und an wen sie sich bei Unsicherheit wenden.
Was nicht oder nur eingeschränkt unter den EU AI Act fällt
Der EU AI Act gilt nicht für jede Form von KI-Nutzung. Ausnahmen betreffen insbesondere:
KI-Systeme, die ausschließlich für militärische, verteidigungsbezogene oder nationale Sicherheitszwecke entwickelt oder eingesetzt werden
KI-Systeme und Modelle, die ausschließlich für wissenschaftliche Forschung und Entwicklung genutzt werden
Forschungs-, Test- und Entwicklungsaktivitäten vor der Bereitstellung oder Inbetriebnahme eines KI-Systems; für Tests unter realen Bedingungen können gesonderte Anforderungen gelten
Rein persönliche und nicht berufliche KI-Nutzung durch Privatpersonen
Bestimmte frei und Open Source lizenzierte KI-Systeme
Wichtig: Die Open-Source-Ausnahme ist kein Freifahrtschein. Sie gilt nicht pauschal, insbesondere nicht für verbotene KI-Praktiken, Hochrisiko-KI oder relevante Transparenzpflichten. Auch eine ausschließlich interne, kostenlose oder selbst gehostete KI-Anwendung ist nicht automatisch ausgenommen.
Für die meisten KI-Anwendungen im Mittelstand sind diese Ausnahmen daher nicht entscheidend. Maßgeblich bleiben Zweck, Einsatzkontext, Rolle des Unternehmens, mögliche Auswirkungen auf Menschen sowie die Verarbeitung personenbezogener Daten.
Fünf Fehler, die Sie jetzt vermeiden sollten
01
KI als Hochrisiko einstufen, nur weil sie wichtig ist
Geschäftskritisch bedeutet nicht automatisch hochriskant im Sinn des EU AI Act. Entscheidend bleibt der gesetzlich definierte Einsatzbereich. Eine saubere Einordnung verhindert unnötige Projekte und Kosten.
02
Sensible HR- oder Scoring-Anwendungen unterschätzen
Ein System wird nicht automatisch unkritisch, nur weil es „lediglich unterstützt“. Wenn KI Entscheidungen über Bewerber:innen, Beschäftigte, Kreditwürdigkeit oder Versicherungsleistungen beeinflusst, ist eine vertiefte Prüfung unverzichtbar.
03
Schatten-KI ignorieren
Nicht freigegebene Tools verschwinden nicht durch Verbote. Ohne zugelassene Alternativen, verständliche Regeln und Schulung verlagert sich KI-Nutzung in private Accounts und nicht dokumentierte Prozesse.
04
DSGVO und EU AI Act vermischen
Beide Themen gehören zusammen, aber nicht in denselben Prüfschritt. Datenschutzfragen müssen sofort beantwortet werden; Hochrisiko-Anforderungen folgen einem eigenen Zeitplan und einer eigenen Logik.
05
Bis 2027 warten
Die Verschiebung der Hochrisiko-Pflichten ist ein Zeitfenster für Vorbereitung, nicht für Stillstand. Transparenz, Kompetenz, Datenschutz und Dokumentation sind bereits heute relevant.
Ihr 90-Tage-Plan
Tage 1–30: Transparenz schaffen
Erfassen Sie alle bekannten KI-Anwendungen und KI-Funktionen. Binden Sie Geschäftsführung, IT, Datenschutz, HR, Vertrieb, Marketing, Produktion und relevante Fachbereiche ein.
Tage 31–60: Risiken einordnen
Bewerten Sie Einsatzfeld, Datenarten, betroffene Personengruppen, Automatisierungsgrad, Kundenkontakt und mögliche Auswirkungen. Markieren Sie sensible oder potenziell hochriskante Anwendungen.
Tage 61–90: Governance verankern
Setzen Sie die wichtigsten Maßnahmen um:
Transparenzhinweise
Tool-Freigaben
KI-Policy
Schulungen
Verantwortlichkeiten
Dokumentation
Roadmap für vertiefte Prüfungen
So schaffen Sie eine belastbare Grundlage – sowohl für sichere Innovation als auch für nachvollziehbare Auskünfte gegenüber Kund:innen, Auditor:innen oder Behörden.
Wie ICAA unterstützt
ICAA begleitet Unternehmen dabei, KI nicht nur regelkonform, sondern strategisch sinnvoll und verantwortungsvoll zu verankern. Unser Ansatz verbindet AI Governance, Technologieverständnis, Führung, Kultur und konkrete Umsetzung.
Im EU AI Act Quick Check schaffen wir eine belastbare Entscheidungsgrundlage:
Welche KI-Anwendungen und KI-Funktionen sind tatsächlich im Einsatz?
Welche Themen sind sofort relevant – und welche können geplant werden?
Wo bestehen Transparenz-, Datenschutz- oder Governance-Lücken?
Welche Anwendungen verdienen eine vertiefte Hochrisiko-Prüfung?
Welche Maßnahmen sind in den nächsten 90 Tagen verhältnismäßig und wirksam?
Stand: September 2026. Diese Seite dient der allgemeinen Information und strategischen Orientierung. Sie stellt keine Rechtsberatung dar. Für eine verbindliche rechtliche Bewertung einzelner Anwendungsfälle empfehlen wir die Einbindung spezialisierter Rechts- und Datenschutzexpert:innen.
