EU AI Act für den Mittelstand – was jetzt zählt
Ein pragmatischer Leitfaden zu den EU-KI-Regeln für kleine und mittelständische Unternehmen.
Kernzahlen
- Inkrafttreten
- 01.08.2024 (Übergangsphasen bis 2027)
- Wichtigste Fristen
- 02.02.2025 (verbotene Praktiken), 02.08.2026 (Hochrisiko-Systeme)
- Zuständig in DE
- BNetzA, BaFin, BfDI (koordiniert)
- Bußgeldrahmen
- bis 35 Mio. € oder 7 % Weltumsatz
Der EU AI Act in einem Absatz
Der EU AI Act (offiziell: Verordnung (EU) 2024/1689) ist die erste umfassende KI-Regulierung weltweit. Sie klassifiziert KI-Systeme nach Risikoklassen: verboten, hochrisikobehaftet, mit Transparenzpflichten, minimal reguliert. Für den Mittelstand ist meist die Frage entscheidend, ob eingesetzte Werkzeuge in eine der oberen zwei Kategorien fallen.
Was für kleine Unternehmen wirklich zählt
Für die überwiegende Mehrheit kleiner Unternehmen ist die praktische Auswirkung überschaubar. Standardnutzung von ChatGPT, Claude oder Copilot für E-Mails, Angebote, Texte oder Recherche fällt in der Regel in die niedrig regulierte oder transparenzpflichtige Kategorie.
Was Sie tun sollten: eine kurze Übersicht Ihrer eingesetzten KI-Werkzeuge, Nutzungsrichtlinien für Ihre Mitarbeiter, klare Regeln für sensible Daten. Das ist keine Raketenwissenschaft, aber es sollte einmal sauber gemacht sein.
Wann Sie besonders aufpassen sollten
Personalauswahl mit KI (Lebenslauf-Screening, Assessment-Bewertung): fällt schnell in den Hochrisiko-Bereich. Hier gelten strenge Dokumentations- und Prüfpflichten.
Kreditbewertung oder Bonitätsscoring mit KI: ebenfalls Hochrisiko. Für viele Selbstständige und Mittelständler eher ein Randthema, für Banken und Fintechs zentral.
Emotionserkennung, biometrische Kategorisierung, Predictive Policing: verboten oder stark reglementiert – für die meisten Mittelständler nicht relevant.
Alles, was mit medizinischer Diagnostik, Bildungsentscheidungen oder öffentlicher Sicherheit zu tun hat, verdient eine gezielte rechtliche Prüfung.
Was Sie konkret dokumentieren sollten
Welche KI-Werkzeuge in Ihrem Unternehmen offiziell eingesetzt werden.
Welche Daten in diese Werkzeuge fließen dürfen – und welche nicht.
Wer Zugriff auf welches Werkzeug hat.
Wie Sie KI-generierte Inhalte prüfen, bevor sie den Betrieb verlassen (Vier-Augen-Prinzip bei Kundenkommunikation).
Wie Sie mit Mitarbeitern kommunizieren, dass bestimmte Bereiche KI-frei bleiben (z. B. Personalgespräche).
Der Elefant im Raum: Shadow AI
Die häufigste Compliance-Baustelle im Mittelstand ist nicht der offizielle Einsatz, sondern die inoffizielle Nutzung. Wenn drei Mitarbeiter ihre private ChatGPT-Version nutzen und Kundendaten hineinkopieren, ist das eine reale DSGVO- und AI-Act-Baustelle – auch wenn niemand das bewusst getan hat.
Ein KBS KI-Audit deckt Shadow AI in einem Vormittag auf und liefert einen konkreten Aktionsplan. Meist ist die Lösung nicht ‚KI verbieten‘, sondern ‚eine offizielle, sichere Alternative anbieten und klare Regeln kommunizieren‘.
Der Zusammenhang mit der DSGVO
Der EU AI Act ersetzt die DSGVO nicht, er ergänzt sie. In der Praxis überschneiden sich die Themen: wo personenbezogene Daten verarbeitet werden, gelten beide Regime. Wer seine DSGVO-Hausaufgaben gemacht hat, hat auch für den AI Act eine solide Grundlage.
Wie KBS Sie beim AI Act unterstützt
Für kleine Unternehmen genügt oft ein KBS KI-Check mit Compliance-Fokus. Für mittelständische und größere Setups liefert KBS Business ein vollständiges Audit, Betriebsvereinbarungs-Entwürfe und die Schulung Ihrer KI-Verantwortlichen – abgestimmt auf Ihre Branche.
Autor
Fynn Schulz
Gründer von KBS. Führt das Webdesign-Studio Fylu Marketing in Saarlouis, entwickelt die SaaS Taskey für Gebäudereiniger und nutzt KI täglich über zehn Stunden.
Häufige Fragen
Muss ich als Einzelunternehmer den AI Act beachten?
Ja, aber der praktische Aufwand ist meist minimal. Solange Sie Standard-KI-Werkzeuge für nicht-kritische Aufgaben nutzen, reicht eine klare interne Regelung darüber, welche Kundendaten Sie nicht in KI-Systeme eingeben.
Wer prüft die Einhaltung des AI Act?
In Deutschland koordinieren mehrere Behörden. Für die meisten Mittelständler ist zunächst die BNetzA (Bundesnetzagentur) die zentrale Kontaktstelle. Bei personenbezogenen Daten bleiben die Landesdatenschutzbehörden zuständig.
Ab wann greifen die Bußgelder?
Die höchsten Bußgeldrahmen gelten für verbotene Praktiken – hier bereits seit Anfang 2025. Für Hochrisiko-Systeme greifen die Sanktionen ab 2. August 2026 vollständig. Für Standard-Nutzung im Mittelstand liegt der praktische Fokus derzeit auf Dokumentation und Transparenz.