Der AI Act der Europäischen Union ist seit August 2024 in Kraft und wird seitdem stufenweise scharf geschaltet: Die Verbote bestimmter Praktiken gelten seit Februar 2025, die Pflichten für Anbieter großer Basismodelle seit August 2025 — und seit dem 2. August 2026 der Kern des Gesetzes, die Anforderungen an Hochrisiko-Systeme. Zeit für eine nüchterne Einordnung, was davon ein kleines oder mittleres Unternehmen tatsächlich betrifft.
Das Prinzip: Risiko statt Technologie
Der AI Act reguliert nicht „die KI“, sondern Anwendungsfälle, nach Risiko gestaffelt:
- Verboten sind wenige, klar umrissene Praktiken — etwa Social Scoring oder manipulative Systeme, die Schwächen von Personen ausnutzen.
- Hochrisiko sind Anwendungen mit erheblicher Wirkung auf Menschen: KI in der Personalauswahl, bei der Kreditvergabe, in kritischer Infrastruktur, in Medizinprodukten. Hier gelten seit August 2026 umfangreiche Pflichten zu Risikomanagement, Datenqualität, Dokumentation und menschlicher Aufsicht.
- Transparenzpflichtig sind Systeme, mit denen Menschen interagieren: Ein Chatbot muss sich als solcher zu erkennen geben, künstlich erzeugte Bilder und Stimmen müssen gekennzeichnet sein.
- Minimales Risiko — der gesamte Rest, und das ist die große Mehrheit: Textentwürfe, Zusammenfassungen, Übersetzungen, interne Assistenten. Dafür schreibt der AI Act im Wesentlichen nichts Neues vor.
Die gute Nachricht für die meisten KMU steht in der letzten Zeile. Wer KI als Schreib- und Rechercheassistenten nutzt, betreibt kein Hochrisiko-System.
Was trotzdem jedes Unternehmen betrifft
KI-Kompetenz. Artikel 4 verlangt seit Februar 2025, dass Beschäftigte, die mit KI-Systemen arbeiten, über ausreichende Kompetenz verfügen. Eine dokumentierte interne Schulung und eine klare Nutzungsrichtlinie decken das für typische Büro-Anwendungen ab — beides sollte es aus Datenschutzgründen ohnehin geben.
Die Betreiberrolle. Auch wer KI nur einkauft statt entwickelt, hat als Betreiber Pflichten, sobald ein Hochrisiko-Fall vorliegt. Der kritische Moment ist unscheinbar: Ein Werkzeug, das Bewerbungen „vorsortiert“, klingt nach Komfortfunktion — es ist ein Hochrisiko-Anwendungsfall. Vor der Einführung neuer Werkzeuge gehört deshalb die Frage in den Prozess: Fällt das in Anhang III?
Kennzeichnung. Wer Kunden einen Chatbot anbietet oder KI-generierte Bilder veröffentlicht, muss das transparent machen. Das ist wenig Aufwand — vergessen wird es trotzdem oft.
Die souveräne Pointe
Fast alle Pflichten des AI Act laufen auf dasselbe hinaus: wissen, was man einsetzt, und es belegen können. Genau daran scheitert es, wenn KI als Wildwuchs über kostenlose Browser-Konten ins Unternehmen gekommen ist — niemand weiß, wer was womit verarbeitet.
Ein selbst betriebenes System dreht das Verhältnis um. Wer Modell, Index und Protokolle im eigenen Haus hat, kann jede Frage nach Datenfluss, Zugriff und Verarbeitungszweck aus eigener Anschauung beantworten, statt auf die Zusicherungen eines Anbieters zu verweisen. Compliance wird dann kein Anlass für Papierstapel, sondern ein Nebeneffekt geordneter Infrastruktur.
Mein Rat: keine Panik vor Bußgeldern, aber eine ehrliche Inventur. Welche KI ist im Haus, auf welcher Vertragsgrundlage, mit welchen Daten? Wer diese drei Fragen beantworten kann, hat den größten Teil des Wegs bereits hinter sich.
