Am 2. August 2026 tritt der EU AI Act für Hochrisiko-KI-Systeme vollständig in Kraft. Wer als Betreiber bis dahin nicht vorbereitet ist, riskiert Bußgelder von bis zu 35 Millionen Euro. EU AI Act Mittelstand – das klingt nach einem Thema für Konzerne mit 50-köpfigen Legal-Teams. Die Realität sieht anders aus: Gerade KMU, die HR-Software mit automatisiertem Bewerber-Scoring, KI-gestützte Bonitätsprüfungen oder ähnliche Systeme einsetzen, stehen unter konkretem Handlungsdruck.
Laut einer Bitkom-Befragung von 2026 haben weniger als 30 Prozent der deutschen Unternehmen mit unter 500 Mitarbeitern eine systematische KI-Compliance-Strategie – obwohl über 40 Prozent bereits KI-Tools im Einsatz haben. Das bedeutet: Der Großteil des Mittelstands ist noch nicht vorbereitet.
Das Gute: Als Betreiber (nicht Entwickler) von KI sind deine Pflichten deutlich überschaubarer als oft befürchtet. Die Zeit bis zum Stichtag reicht – wenn du weißt, was konkret zu tun ist. Dieser Beitrag zeigt dir, welche Systeme betroffen sind, was du als Betreiber schulden wirst und wie ein pragmatischer 4-Phasen-Plan aussieht.
Was der EU AI Act für KMU-Betreiber bedeutet
Der EU AI Act unterscheidet zwei zentrale Rollen: Anbieter (wer ein KI-System entwickelt und auf den Markt bringt) und Betreiber (wer ein fertiges KI-System einsetzt). Der Großteil des Mittelstands fällt in die zweite Kategorie. Du kaufst Software mit KI-Funktionen ein – du entwickelst sie nicht selbst.
Das ist ein entscheidender Unterschied: Als Betreiber trägst du eine deutlich geringere Regulierungslast als ein Anbieter. Trotzdem bist du nicht aus dem Schneider.
Für den Einsatz von Hochrisiko-KI-Systemen als Betreiber gelten ab dem 2. August 2026 folgende Kernpflichten:
- Zweckgebundene Nutzung: Das System darf ausschließlich für den vom Anbieter vorgesehenen Zweck genutzt werden – kein Basteln, kein Erweitern ohne Konformitätsprüfung.
- Menschliche Aufsicht: Entscheidungen über Personen (Bewerber, Kreditnehmer, Mitarbeitende) dürfen nicht vollständig automatisiert getroffen werden. Eine nachweisbare Überprüfungsmöglichkeit durch Menschen muss strukturell vorhanden sein.
- Dokumentation und Protokollierung: Wer das System nutzt, wann, zu welchem Zweck – das muss nachvollziehbar dokumentiert sein.
- Transparenz gegenüber Betroffenen: Personen, über die KI-gestützt entschieden wird, müssen darüber informiert werden, dass KI im Einsatz ist.
- Schulungspflicht: Mitarbeitende, die Hochrisiko-KI bedienen, müssen für den sachgemäßen Einsatz geschult werden (AI Literacy).
- Meldepflicht bei Vorfällen: Schwerwiegende Zwischenfälle oder Fehlfunktionen mit Auswirkungen auf Personen müssen an die zuständige nationale Behörde gemeldet werden.
Wichtig: Wer ein KI-System erheblich modifiziert – etwa durch eigene Trainingsdaten oder deutlich erweiterte Funktionen – kann rechtlich zum Anbieter werden. Das bringt weitaus umfangreichere Pflichten mit sich.
„Im Mittelstand ist das Hochrisiko-Problem oft nicht die große KI-Plattform, sondern das HR-Modul in der bestehenden ERP-Software – das läuft seit Jahren, und niemand weiß, dass es unter den AI Act fällt." – Marc Böhler, Gründer infinitask.ai
Welche KI-Systeme im Mittelstand als Hochrisiko gelten
Nicht jedes KI-Tool fällt unter die strengen Hochrisiko-Anforderungen. Ein Chatbot für FAQ-Anfragen, KI-generierte Marketingtexte oder eine automatische Übersetzungsfunktion sind in der Regel minimal riskant. Hochrisiko-Status erlangen Systeme dann, wenn sie in sensiblen Bereichen eigenständig Entscheidungen treffen oder maßgeblich beeinflussen – insbesondere bei Entscheidungen über Personen.
| KI-System | Risikoklasse | Warum |
|---|---|---|
| KI-gestütztes Bewerber-Scoring oder CV-Screening | Hochrisiko | Personalentscheidungen über natürliche Personen |
| Automatisierte Bonitätsbewertung oder Kreditscoring | Hochrisiko | Finanzielle Entscheidungen mit Ausschlusscharakter |
| KI zur Überwachung von Mitarbeiterleistung oder -verhalten | Hochrisiko | Beschäftigungsrelevante Entscheidungen |
| KI-Priorisierung im Krankenhaus oder Pflegeeinrichtung | Hochrisiko | Gesundheitsrelevante Entscheidungen |
| Predictive Maintenance (Maschinenüberwachung) | Minimal | Keine direkten Personenentscheidungen |
| KI-Chatbot für Kundenkommunikation | Minimal / Begrenzt | Kein Entscheidungscharakter über Personen |
| KI-Texterstellung für Marketing | Minimal | Kreative Assistenz, keine autonome Entscheidung |
| KI-gestützte Lieferantenauswahl (ohne Personenbezug) | Begrenzt | Keine direkten Personenentscheidungen |
| Deepfake-Erkennung oder biometrische Systeme | Hochrisiko | Identitätsbezogene Entscheidungen |
Praxishinweis: Viele Hochrisiko-KI-Systeme verstecken sich in bestehender Software. Wer SAP, Workday, DATEV oder andere Enterprise-Plattformen einsetzt und die HR- oder Finance-Module nutzt, sollte beim Anbieter aktiv nachfragen, ob AI-Act-relevante Funktionen enthalten sind und welche Risikoeinstufung gilt.
Eine Einschränkung: Die Klassifizierung einzelner Systeme ist noch nicht in allen Bereichen abschließend gerichtlich festgelegt. Gerade im HR-Bereich laufen auf EU-Ebene aktuell erste Auslegungsverfahren. Im Zweifelsfall gilt: lieber eine Kategorie höher einstufen und entsprechend dokumentieren.
Die Bußgelder – und warum KMU nicht ignorieren darf
Der EU AI Act sieht empfindliche Sanktionen vor. Sie orientieren sich an den DSGVO-Bußgeldern und können je nach Verstoßkategorie erheblich sein.
| Verstoßkategorie | Maximale Geldstrafe |
|---|---|
| Nutzung verbotener KI-Systeme (Artikel 5, z. B. Social Scoring) | 35 Mio. € oder 7 % des weltweiten Jahresumsatzes |
| Verletzung von Hochrisiko-Systempflichten (Artikel 10–15) | 15 Mio. € oder 3 % des weltweiten Jahresumsatzes |
| Falsche Angaben gegenüber Aufsichtsbehörden | 7,5 Mio. € oder 1,5 % des weltweiten Jahresumsatzes |
| KMU-Sonderregel | Der jeweils niedrigere der beiden Werte gilt |
Für ein mittelständisches Unternehmen mit 30 Millionen Euro Umsatz bedeutet das im Worst Case: bis zu 900.000 Euro Bußgeld für Verstöße gegen Hochrisiko-Pflichten. Entscheidend ist auch: Zuständige Aufsichtsbehörden – in Deutschland voraussichtlich die Bundesnetzagentur – können nicht nur Bußgelder verhängen, sondern auch Betriebsverbote für nicht-konforme KI-Systeme aussprechen.
Die gute Nachricht: Der AI Act enthält explizite Erleichterungen für KMU. Kleinere Unternehmen profitieren von vereinfachten Dokumentationsformaten, günstigeren Zugangskonditionen zur Testing-Infrastruktur (Regulatory Sandbox) und einem niedrigschwelligen Compliance-Leitfaden der EU-Kommission. Das bedeutet jedoch nicht, dass die Grundpflichten bei Hochrisiko-Systemen entfallen.
Deine Checkliste bis zum Stichtag 2. August 2026
Die entscheidende Frage für die meisten KMU ist nicht, wie man ein KI-System baut – sondern wie man nachweist, dass man es verantwortungsvoll betreibt. Hier ist ein pragmatischer Stufenplan, der sich realistisch in 1–2 Arbeitstagen umsetzen lässt – sofern kein Hochrisiko-System im Einsatz ist.
Phase 1: Bestandsaufnahme (Wochen 1–2)
- KI-Inventar anlegen: Welche KI-Systeme setzt dein Unternehmen ein? Zähle explizit KI-Funktionen in bestehender Software mit (ERP, CRM, HR-Plattformen, Finance-Tools). Ein einfaches Tabellendokument genügt: System, Anbieter, Einsatzzweck, betroffene Personengruppen.
- Klassifizierung prüfen: Für jedes System: Trifft es Entscheidungen über Personen in kritischen Bereichen (Beschäftigung, Kredit, Gesundheit, Bildung, öffentliche Sicherheit)? → Wenn ja: potenzielles Hochrisiko-System, weiter mit Phase 2.
- Anbieter-Dokumentation einfordern: Dein Software-Anbieter ist verpflichtet, für Hochrisiko-KI-Systeme eine Konformitätserklärung oder technische Dokumentation bereitzustellen. Fordere sie schriftlich an – mit Frist. Das schafft auch einen wichtigen Haftungsschutz für dich als Betreiber.
Phase 2: Risikobewertung und Lückenanalyse (Wochen 3–6)
- Menschliche Aufsicht sicherstellen: Gibt es bei deinen Hochrisiko-Systemen eine strukturierte Möglichkeit zur menschlichen Überprüfung von Entscheidungen? Falls nicht, muss ein dokumentierter Prüfprozess definiert werden – wer prüft was, wann und wie.
- Transparenzpflicht umsetzen: Werden Bewerbende, Mitarbeitende oder Kunden darüber informiert, dass KI bei relevanten Entscheidungen eingesetzt wird? Falls nicht: Datenschutzerklärungen und Prozesse anpassen.
- Dokumentationsstruktur aufbauen: Für jedes Hochrisiko-System ein einfaches Dokument: Wer nutzt das System, für welchen Zweck, mit welchen Kontrollen, wer ist verantwortlich?
Phase 3: Schulung und Richtlinien (Wochen 7–11)
- AI-Literacy-Schulung durchführen: Der AI Act verlangt, dass Mitarbeitende, die Hochrisiko-KI bedienen, für den sachgemäßen Einsatz ausgebildet sind. Für die meisten KMU-Betreiber reicht eine zweistündige interne Einweisung mit dokumentierter Teilnahme als Nachweis.
- Schriftliche Nutzungsrichtlinien erstellen: Für jedes kritische System eine knappe Richtlinie: Wer darf es nutzen? Wofür? Was ist verboten? Wie werden Fehler gemeldet? Zwei Seiten reichen.
- Interne Zuständigkeit benennen: Wer ist in deinem Unternehmen verantwortlich für KI-Compliance? Das muss keine neue Stelle sein – aber es braucht einen Namen und eine schriftliche Beauftragung.
Phase 4: Dokumentation abschließen (Woche 12)
- Abschlussprüfung und Archivierung: KI-Inventar finalisieren, alle Dokumente in einem Ordner ablegen (digital oder physisch), Datum und Unterschrift festhalten. Du hast jetzt ein nachweisbares Compliance-Fundament, das im Prüffall standhält.
Ergebnis für die meisten KMU: Wer nach Phase 1 keinen Hochrisiko-KI-Einsatz identifiziert, ist mit den Schritten 1–3 praktisch fertig. Der reale Aufwand: ein halber bis maximal zwei Arbeitstage für eine strukturierte Dokumentation.
Wer Hochrisiko-KI betreibt, hat mit diesem Plan einen klaren Fahrplan. Offen bleibt dann die Frage, ob die bestehenden Systeme wirklich konform sind – was eine tiefergehende Analyse erfordert.
