EU AI Act: Was der Mittelstand jetzt wissen muss

Mit dem EU AI Act (Verordnung (EU) 2024/1689) gibt es erstmals einen einheitlichen Rechtsrahmen für Künstliche Intelligenz in Europa. Die Verordnung ist am 1. August 2024 in Kraft getreten und greift gestaffelt bis 2027. Viele mittelständische Unternehmen fragen sich: Betrifft uns das überhaupt - und wenn ja, was müssen wir tun? Dieser Beitrag gibt einen praxisnahen Überblick. Er ersetzt keine Rechtsberatung, schafft aber Orientierung.

Betrifft der EU AI Act auch den Mittelstand?

Kurz gesagt: ja, sobald Sie KI einsetzen, entwickeln oder in Produkte einbauen. Die Verordnung unterscheidet nicht nach Unternehmensgröße, sondern nach Rolle und Risiko. Relevant ist der Mittelstand vor allem in zwei Rollen:

• Als Betreiber (Deployer): Sie nutzen ein KI-System im eigenen Betrieb, etwa ein Tool zur Bewerberauswahl, zur Bonitätsprüfung oder zur Qualitätskontrolle.
• Als Anbieter (Provider): Sie entwickeln ein KI-System selbst oder lassen es entwickeln und bringen es unter eigenem Namen auf den Markt oder in Betrieb.

Schon der Einkauf einer KI-Lösung bei einem Dienstleister kann Pflichten auslösen - etwa Transparenz gegenüber Mitarbeitenden oder die Sicherstellung, dass das eingekaufte System konform ist.

Die vier Risikoklassen

Der EU AI Act folgt einem risikobasierten Ansatz. Entscheidend ist nicht die Technologie, sondern der Anwendungszweck:

1. Unannehmbares Risiko (verboten): Bestimmte Praktiken sind untersagt, etwa Social Scoring oder manipulative Systeme. Diese Verbote gelten bereits seit dem 2. Februar 2025.
2. Hohes Risiko: KI in sensiblen Bereichen wie Personalauswahl, Kreditwürdigkeit, kritischer Infrastruktur oder als Sicherheitskomponente in Produkten. Hier gelten umfangreiche Pflichten - Risikomanagement, Datenqualität, Dokumentation, menschliche Aufsicht.
3. Begrenztes Risiko: Hier greifen vor allem Transparenzpflichten. Nutzerinnen und Nutzer müssen zum Beispiel erkennen können, dass sie mit einem Chatbot sprechen oder dass ein Inhalt KI-generiert ist.
4. Minimales Risiko: Der Großteil betrieblicher Anwendungen - etwa Prognosemodelle in der Disposition oder Automatisierung der Belegerfassung - fällt hierunter und ist weitgehend frei von zusätzlichen Pflichten.

Für den Mittelstand bedeutet das: Die meisten typischen Anwendungsfälle sind nicht hochriskant. Genau diese Einordnung ist aber der erste, oft unterschätzte Schritt.

Die wichtigsten Fristen im Überblick

• Seit 2. Februar 2025: Verbote für KI mit unannehmbarem Risiko gelten. Ebenfalls seit diesem Datum: die Pflicht zur KI-Kompetenz (AI Literacy) - Unternehmen müssen sicherstellen, dass Mitarbeitende, die mit KI arbeiten, ein angemessenes Grundverständnis haben.
• Seit 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (General-Purpose AI).
• Ab 2. August 2026: Der Großteil der Pflichten für Hochrisiko-Systeme wird wirksam.
• Ab 2. August 2027: Verlängerte Frist für bestimmte Hochrisiko-Systeme, die als Sicherheitskomponente in regulierte Produkte eingebettet sind.

Was Sie jetzt konkret tun sollten

Auch wenn die großen Hochrisiko-Pflichten erst 2026/2027 greifen, lohnt sich der Einstieg jetzt. Drei pragmatische Schritte:

1. KI-Inventar erstellen

Verschaffen Sie sich einen Überblick: Wo im Unternehmen wird bereits KI eingesetzt - auch in eingekauften Tools, Cloud-Diensten oder Office-Erweiterungen? Ein einfaches Inventar ist die Grundlage für jede weitere Bewertung.

2. Anwendungen den Risikoklassen zuordnen

Ordnen Sie jede Anwendung einer Risikoklasse zu. Die meisten werden in „minimal" oder „begrenzt" fallen. Für den Rest klären Sie frühzeitig die Pflichten - das vermeidet böse Überraschungen bei künftigen Projekten.

3. KI-Kompetenz aufbauen

Die AI-Literacy-Pflicht ist bereits aktiv und mit überschaubarem Aufwand erfüllbar: Sensibilisieren Sie Teams, die mit KI arbeiten, für Chancen, Grenzen und Risiken. Das zahlt nicht nur auf Compliance ein, sondern auch auf die Qualität Ihrer KI-Projekte.

Compliance als Wettbewerbsvorteil

Der EU AI Act wird oft als Bürokratie wahrgenommen. In der Praxis ist eine saubere Governance aber ein Verkaufsargument: Kunden, Investoren und Prüfer fragen zunehmend nach nachvollziehbaren, dokumentierten KI-Prozessen. Wer hier strukturiert vorgeht, baut Vertrauen auf - gerade im B2B-Geschäft.

Genau hier setzen wir an: In der KI-Strategie verbinden wir die Priorisierung von Anwendungsfällen mit regulatorischer Einordnung, damit Sie in das richtige Projekt investieren und es von Beginn an konform aufsetzen. Wie das in der Praxis aussieht, zeigen unsere Anwendungsfälle - von der automatisierten Prüfung in der Wirtschaftsprüfung bis zur vorausschauenden Wartung im Maschinenbau.

Fazit

Der EU AI Act betrifft den Mittelstand - aber meist weniger dramatisch als befürchtet. Die wichtigsten Schritte sind ein KI-Inventar, eine Risikoeinordnung und der Aufbau von KI-Kompetenz. Wer jetzt beginnt, ist nicht nur rechtzeitig vorbereitet, sondern verschafft sich auch einen Vorsprung bei Qualität und Vertrauen.

Sie wollen wissen, wo Ihre Anwendungen stehen? Erstgespräch buchen - unverbindlich, in 30 Minuten ordnen wir Ihre KI-Vorhaben ein und zeigen den besten Einstieg.