EU AI Act: Was gilt für den Mittelstand und ab wann?

Der EU AI Act, formal die Verordnung (EU) 2024/1689, ist am 01.08.2024 in Kraft getreten und wird stufenweise wirksam. Verbotene KI-Praktiken sind seit dem 02.02.2025 untersagt, die Hochrisiko-Pflichten für typische Mittelstands-Anwendungen wie Bewerber-Screening greifen nach der Verschiebung durch den Digital-Omnibus erst ab dem 02.12.2027.

Die Verordnung wird in Deutschland auch als KI-Verordnung bezeichnet. Sie gilt für Softwarehersteller ebenso wie für Betriebe, die KI-Produkte lediglich einsetzen und als sogenannte Betreiber Pflichten haben. Für Betriebe kommt es auf die eigene Rolle, die Risikoklasse der genutzten Anwendungen, die geänderten Termine und die Bußgeldhöhe an.

Hinweis: Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall. Einige Angaben zum Omnibus stützen sich auf Berichte Dritter, nicht auf den Verordnungstext selbst. Sie sind im Text gekennzeichnet. Vor verbindlichen Entscheidungen sollten die Daten im Amtsblatt der EU gegengeprüft werden.

Was der AI Act ist und für wen er gilt

Die KI-Verordnung wurde am 12.07.2024 im Amtsblatt der EU veröffentlicht und trat am 01.08.2024 in Kraft (Quelle: ai-act-law.eu, Stand 10/2026). Der Ansatz ist risikobasiert: Je höher das Risiko eines KI-Systems, desto strenger die Anforderungen.

Entscheidend für die Pflichten im Betrieb ist die Rolle, die ein Unternehmen im Umgang mit einem KI-System einnimmt:

• Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen auf den Markt oder in Betrieb. Sie tragen den Großteil der Pflichten, etwa Dokumentation und Konformitätsbewertung bei Hochrisiko-Systemen.
• Betreiber setzen ein KI-System in eigener Verantwortung beruflich ein. Der Mittelständler mit einem zugekauften Bewerbermanagement-Tool oder einem Chatbot auf der Website ist Betreiber. Auch Betreiber haben Pflichten, sie fallen aber geringer aus als die der Anbieter.
• Drittstaaten-Unternehmen können ebenfalls erfasst sein. Die genauen Voraussetzungen sind im Verordnungstext nachzulesen.

Die Rolle kann wechseln. Wer ein fremdes Modell unter eigenem Namen als Produkt anbietet oder ein vorhandenes System wesentlich verändert, kann vom Betreiber zum Anbieter werden. Bei der Auswahl von KI-Dienstleistern lohnt daher ein Blick in den Vertrag: Wer ist Anbieter im Sinne der Verordnung, und wer liefert die erforderliche Dokumentation?

Die Frage, ob der AI Act auch für Unternehmen gilt, die KI nur einsetzen, lässt sich damit klar beantworten: Ja, Betreiber sind erfasst.

Die vier Risikoklassen mit Mittelstandsbeispielen

Die Verordnung unterscheidet vier Stufen. Die folgende Zuordnung ist eine praxisnahe Einordnung typischer Anwendungen. Im Zweifel entscheidet der Wortlaut der Verordnung samt Anhängen im konkreten Fall.

Für den Mittelstand sind vor allem drei Konstellationen relevant. Erstens: Ein Chatbot im Kundenservice unterliegt den Transparenzpflichten nach Art. 50, Nutzer müssen erkennen können, dass sie mit einer Maschine sprechen. Zweitens: KI im Personalwesen, etwa bei der Vorauswahl von Bewerbungen, gehört zu den Hochrisiko-Systemen nach Anhang III. Gleiches gilt für Kreditscoring und Anwendungen im Bildungsbereich. Drittens: Wer mit KI Texte oder Bilder erstellt und veröffentlicht, muss je nach Fall auf die KI-Herkunft hinweisen. Ein Spamfilter oder eine einfache Rechtschreibprüfung fällt dagegen in die Klasse mit minimalem Risiko.

Was der Digital-Omnibus geändert hat

Die Verordnung (EU) 2026/1744, der Digital-Omnibus zur KI, wurde am 08.07.2026 erlassen, am 24.07.2026 im Amtsblatt veröffentlicht und ist seit dem 27.07.2026 in Kraft (Quelle: EU-Kommission, Stand 09/2026). Sie verschiebt vor allem die Fristen für Hochrisiko-Systeme.

Für eigenständige Hochrisiko-Systeme nach Anhang III, dazu zählen Recruiting und Kreditscoring, gelten die Pflichten erst ab dem 02.12.2027 statt ab dem 02.08.2026. Rechnerisch sind das 16 Monate Aufschub: 12 Monate bis August 2027 plus 4 Monate bis Dezember 2027. Für KI in regulierten Produkten nach Anhang I, etwa Maschinen oder Medizinprodukte, gelten die Pflichten ab dem 02.08.2028 statt ab dem 02.08.2027. Beide Daten stützen sich auf Berichte Dritter, der Verordnungstext selbst wurde hier nicht herangezogen.

Wichtig ist die Unterscheidung. Ältere Ratgeber mit Stand vor Juli 2026 nennen für Hochrisiko-Systeme noch den 02.08.2026. Auch die pauschale Angabe „Dezember 2027 bis August 2028“ ist unvollständig: Anhang III ist am 02.12.2027 fällig, Anhang I am 02.08.2028.

Terminübersicht

Was heute schon gilt: Verbote, KI-Kompetenz, Transparenz

Verbotene Praktiken

Die Verbote nach Art. 5 gelten seit dem 02.02.2025. Die durch den Omnibus 2026 neu eingeführten Verbote greifen ab dem 02.12.2026 (Quelle: ai-act-law.eu, Stand 10/2026). Für die meisten Mittelständler ist die Gefahr gering, ein verbotenes System versehentlich einzusetzen. Dennoch sollte bei jedem zugekauften Tool geklärt werden, was es tatsächlich tut.

Ein verbreiteter Irrtum betrifft die biometrische Echtzeit-Identifikation. Sie wird häufig pauschal als verboten dargestellt. Art. 5 enthält jedoch eng gefasste Ausnahmen für die Strafverfolgung. Für Betriebe ohne Strafverfolgungsauftrag ist das praktisch ohne Belang, die Pauschalaussage ist trotzdem ungenau.

KI-Kompetenz nach Art. 4

Die Pflicht zur KI-Kompetenz galt ursprünglich seit dem 02.02.2025. Durch den Omnibus wurde Art. 4 neu gefasst: Nach Angaben von skill-sprinters (Stand 07/2026) geht es nun um Maßnahmen zur Förderung der KI-Kompetenz und nicht mehr um ein vorgeschriebenes Kompetenzniveau. Für Betriebe bedeutet das: Schulungen und interne Leitlinien bleiben sinnvoll, die starre Nachweispflicht ist dagegen gelockert. Wer KI im Betrieb breit einsetzt, sollte Verantwortlichkeiten und Einweisungen trotzdem dokumentieren.

Transparenz nach Art. 50

Die Transparenzpflichten nach Art. 50 gelten ab dem 02.08.2026. Die Kennzeichnung maschinenlesbarer KI-Inhalte nach Art. 50 Abs. 2 wurde auf den 02.12.2026 verschoben (laut ki-compliance-kit.de und skill-sprinters.de, Stand 07/2026). Die Aussage mancher Übersichten, im August 2026 seien Transparenzregeln und Kennzeichnung gleichermaßen wirksam geworden, trifft nach diesen Quellen nicht zu. Praktisch heißt das: Chatbots sollten spätestens jetzt als solche erkennbar sein, die technische Kennzeichnung erzeugter Inhalte folgt im Dezember.

Bußgelder: Rahmen und Rechenbeispiele für KMU

Der Bußgeldrahmen ergibt sich aus Art. 99 der Verordnung (Quelle: Textwiedergabe datenschutz-grundverordnung.eu):

Maßgeblich ist der weltweite Vorjahresumsatz. Grundsätzlich gilt der höhere der beiden Beträge. Für kleine und mittlere Unternehmen einschließlich Start-ups kehrt Art. 99 Abs. 6 das um: Hier gilt jeweils der niedrigere Wert.

Ein häufiger Irrtum in Ratgebern ist, 35 Mio. € oder 7 % als Standardbußgeld darzustellen. Dieser Rahmen gilt nur für Verstöße gegen die Verbote nach Art. 5. Bei Transparenzpflichten nach Art. 50 und den Hochrisiko-Pflichten liegt der Rahmen bei 15 Mio. € oder 3 %.

Rechenbeispiel 1: Transparenzverstoß

Ein KMU mit 20 Mio. € Jahresumsatz verstößt gegen Art. 50. Der Rahmen beträgt 15 Mio. € oder 3 % des Umsatzes. 3 % von 20 Mio. € sind 0,6 Mio. €. Da für KMU der niedrigere Wert gilt, liegt die Obergrenze bei 600.000 €. Für ein Großunternehmen gälte dagegen der höhere der beiden Werte. Bei 20 Mio. € Umsatz wären das ebenfalls 15 Mio. €, bei höheren Umsätzen entsprechend mehr.

Rechenbeispiel 2: verbotene Praktik

Ein KMU mit 5 Mio. € Umsatz setzt eine verbotene KI-Praktik ein. Der Rahmen lautet 35 Mio. € oder 7 %. 7 % von 5 Mio. € sind 0,35 Mio. €. Die Obergrenze liegt damit bei 350.000 €.

Beide Ergebnisse sind Höchstrahmen, keine erwartbaren Regelbeträge. Die tatsächliche Höhe richtet sich nach Schwere, Dauer und Umständen des Verstoßes. Für einen Mittelständler mit 5 Mio. € Umsatz kann aber auch die Obergrenze von 350.000 € existenzbedrohend sein.

Aufsicht: AI Office und nationale Behörden

Die Aufsicht ist zweigeteilt. Das europäische KI-Büro (AI Office) bei der EU-Kommission beschäftigt über 125 Mitarbeitende und kann bei KI-Modellen mit allgemeinem Verwendungszweck (GPAI) Bußgelder direkt verhängen. Für alle übrigen KI-Systeme sind nationale Marktüberwachungsbehörden zuständig (Quelle: EU-Kommission, Stand 09/2026).

Für Mittelständler heißt das: Bei GPAI-Modellen überwacht das AI Office die Anbieter. Für Betriebe, die ein KI-System einsetzen, sind in der Regel die nationalen Marktüberwachungsbehörden zuständig. Die Kommission unterstützt KMU außerdem mit der Apply AI Strategy vom Oktober 2025, die besonders auf die KI-Einführung in kleinen und mittleren Unternehmen zielt, und mit dem AI Pact als freiwilliger Vorbereitungsplattform.

Die „KI-Leitlinien“ der Kommission sind keine Gesetze. Welche Begriffe und Pflichten sie im Einzelnen konkretisieren, sollte im Zweifel direkt bei der Kommission nachgelesen werden.

Checkliste: Die nächsten 6 Monate im Betrieb

Ausgehend vom Stand Oktober 2026 bietet sich diese Reihenfolge an:

1. KI-Inventur: Alle im Betrieb genutzten KI-Anwendungen erfassen, auch solche, die in Standardsoftware eingebaut sind. Je Anwendung festhalten: Zweck, Hersteller, betroffene Personen.
2. Rolle klären: Pro Anwendung bestimmen, ob der Betrieb nur Betreiber ist oder durch Anpassung oder Vermarktung zum Anbieter wird.
3. Risikoklasse zuordnen: Prüfen, ob eine Anwendung unter Anhang III fällt (Personalwesen, Kreditwürdigkeit, Bildung). Wenn ja, bleibt Zeit bis zum 02.12.2027, die Vorbereitung sollte aber jetzt beginnen.
4. Verbote ausschließen: Sicherstellen, dass keine verbotene Praktik im Einsatz ist. Die neuen Verbote gelten ab 02.12.2026.
5. Chatbots kennzeichnen: Kundenkontakt mit KI muss als solcher erkennbar sein (Art. 50, laut Berichten Dritter seit 02.08.2026).
6. Kennzeichnung erzeugter Inhalte vorbereiten: Für Texte, Bilder und Audio aus generativer KI die Regelung nach Art. 50 Abs. 2 ab 02.12.2026 einplanen.
7. Schulung dokumentieren: Einweisungen zur KI-Nutzung festhalten, auch wenn Art. 4 nach dem Omnibus abgeschwächt ist.
8. Verträge prüfen: Bei Lieferanten nachfragen, ob sie als Anbieter die nötigen Unterlagen für die Hochrisiko-Pflichten bereitstellen.

Die Entscheidungsfrage für Geschäftsführer lässt sich auf zwei Punkte verdichten. Erstens: Wird KI nur eingesetzt oder selbst entwickelt und vertrieben? Zweitens: Betrifft die Anwendung Personal, Kredit oder Bildung? Wer beides mit „nein“ beantworten kann, hat überwiegend Transparenz- und Kompetenzthemen zu erledigen. Wer „ja“ sagt, muss ab Ende 2027 mit dem vollen Pflichtenkatalog rechnen.

Häufige Fehler

• Alte Fristen im Kopf: Der 02.08.2026 als Starttermin für Hochrisiko-Pflichten ist seit dem Omnibus überholt.
• Bußgelder verwechseln: 35 Mio. € oder 7 % gelten nur bei Verboten, nicht für jeden Verstoß.
• KMU-Privileg übersehen: Bei kleinen und mittleren Unternehmen gilt der niedrigere, nicht der höhere Betrag.
• Betreiberrolle unterschätzen: Wer KI nur zukauft, ist trotzdem erfasst.
• Begriffe vermischen: Die „30-%-Regel für KI“ ist im AI Act nicht belegt. Der Begriff stammt vermutlich aus einem anderen Kontext und sollte nicht als Rechtsnorm des AI Act behandelt werden.

Häufige Fragen

Was ist der EU AI Act?

Die erste umfassende EU-Regulierung für KI, Verordnung (EU) 2024/1689. Sie ist seit dem 01.08.2024 in Kraft und ordnet KI-Systeme nach Risikoklassen mit abgestuften Pflichten.

Welche wichtigen Änderungen gibt es 2026?

Die Verordnung (EU) 2026/1744 verschiebt die Hochrisiko-Fristen auf den 02.12.2027 (Anhang III) und den 02.08.2028 (Anhang I), verlegt die Kennzeichnungspflicht nach Art. 50 Abs. 2 auf den 02.12.2026, fasst Art. 4 neu und ergänzt neue Verbote ab 02.12.2026.

Was ist die „30-%-Regel“ für KI?

Im AI Act ist keine solche Regel belegt. Wer den Begriff in Ratgebern findet, sollte die Quelle prüfen.

Wo sitzt das EU AI Office?

Das AI Office ist das europäische KI-Büro der EU-Kommission und beschäftigt über 125 Mitarbeitende. Bei GPAI-Modellen kann es Bußgelder direkt verhängen. Einen Dienstort nennt die Kommissionsseite nicht.

Gilt der AI Act auch für Unternehmen, die KI nur einsetzen?

Ja. Als Betreiber haben sie eigene, geringere Pflichten, etwa bei Transparenz und beim Einsatz von Hochrisiko-Systemen.

Fazit

Für den Mittelstand ist der AI Act in den nächsten Monaten vor allem ein Transparenz- und Organisationsthema. Zuerst sollte eine Bestandsaufnahme aller KI-Anwendungen stehen, danach die Zuordnung von Rolle und Risikoklasse. Chatbots müssen bereits als solche erkennbar sein, generierte Inhalte müssen laut Berichten Dritter ab Dezember 2026 maschinenlesbar gekennzeichnet sein. Wer Recruiting- oder Scoring-Software einsetzt, nutzt die Frist bis 02.12.2027 für die Abstimmung mit dem Anbieter, statt sie verstreichen zu lassen. Die Bußgeldobergrenzen sind für KMU niedriger als in der öffentlichen Debatte oft dargestellt, aber nicht zu vernachlässigen.

Quellen

• ai-act-law.eu · KI-Verordnung (Text-Website) · Abruf 10/2026 · https://ai-act-law.eu/de/
• EU-Kommission · European AI Office · Abruf 09/2026 · https://digital-strategy.ec.europa.eu/en/policies/ai-office
• datenschutz-grundverordnung.eu · Verordnung (EU) 2024/1689, Art. 99 Sanktionen · Abruf 10/2026 · https://datenschutz-grundverordnung.eu/ai-act/artikel-99-sanktionen/
• ki-compliance-kit.de · Digital-Omnibus AI Act, Stand Mai 2026 · Abruf 07/2026 · https://ki-compliance-kit.de/blog/digital-omnibus-ai-act-stand-mai-2026
• skill-sprinters.de · EU AI Act Digital Omnibus, Hochrisiko-Fristen verschoben · Abruf 07/2026 · https://skill-sprinters.de/blog/compliance/eu-ai-act-digital-omnibus-deal-mai-2026-hochrisiko-fristen-verschoben/