EU AI Act für den Mittelstand: Pflichten & Fristen 2026

Was der EU AI Act überhaupt ist

Der EU AI Act, auf Deutsch KI-Verordnung oder kurz KI-VO, ist das erste umfassende KI-Gesetz der Welt. Er ist im August 2024 in Kraft getreten und wird seitdem in Stufen scharf geschaltet, ähnlich wie es die Datenschutz-Grundverordnung vor einigen Jahren war. Anders als die DSGVO regelt er nicht in erster Linie den Umgang mit personenbezogenen Daten, sondern die KI-Systeme selbst: Er unterscheidet danach, wie riskant ein KI-Einsatz für Menschen ist, und knüpft daran unterschiedlich strenge Pflichten. Je höher das Risiko, desto mehr müssen Anbieter und Anwender leisten.

Entscheidend für den Mittelstand ist die Rolle, in der Sie stehen. Die Verordnung unterscheidet vor allem zwischen Anbietern, die ein KI-System entwickeln und auf den Markt bringen, und Betreibern, im Gesetz Deployer genannt, die ein fremdes System im eigenen Betrieb einsetzen. Wer ChatGPT, Microsoft Copilot oder ein Buchhaltungswerkzeug mit KI-Funktion nutzt, ist in aller Regel Betreiber, nicht Anbieter. Das ist eine gute Nachricht, denn die schweren Pflichten treffen zuerst die Anbieter.

Die Risikoklassen einfach erklärt

Der EU AI Act sortiert KI in vier Stufen. Diese Einteilung ist der Schlüssel zur ganzen Verordnung, denn sie entscheidet, welche Pflichten für Sie überhaupt gelten.

• Verbotene KI (unannehmbares Risiko): Ein kleiner Kreis von Anwendungen ist schlicht untersagt, etwa das breite Bewerten von Menschen nach ihrem Sozialverhalten oder manipulative Systeme, die Menschen gezielt ausnutzen. Diese Verbote gelten bereits seit dem 2. Februar 2025. Für den normalen Büroalltag im Mittelstand ist hier fast nie etwas dabei.
• Hochrisiko-KI: Systeme, die über Menschen in sensiblen Bereichen mitentscheiden, etwa im Personalwesen bei der Vorauswahl von Bewerbungen, bei der Kreditvergabe oder in kritischer Infrastruktur. Hier hängt die schwerste Pflichtenlast, und genau diese Stufe steht im Zentrum der aktuellen Fristverschiebung.
• KI mit Transparenzpflicht (begrenztes Risiko): Chatbots, die mit Kunden sprechen, oder KI, die Texte, Bilder und Videos erzeugt. Hier gilt vor allem: Menschen müssen erkennen können, dass sie mit einer Maschine sprechen oder dass ein Inhalt künstlich erzeugt wurde. Das ist die Stufe, die viele Mittelständler tatsächlich berührt.
• Minimales Risiko: Der Großteil des Alltags, vom Spamfilter bis zur Rechtschreibhilfe. Hier gibt es keine besonderen Pflichten aus der Verordnung.

Für die meisten mittelständischen Betriebe, die KI für Büroarbeit, Marketing oder Buchhaltung einsetzen, liegt der Einsatz im Bereich minimales oder begrenztes Risiko. Das heißt nicht, dass keine Pflichten bestehen, aber es heißt, dass Sie kein aufwendiges Konformitätsverfahren durchlaufen müssen, wie es für Hochrisiko-Systeme vorgesehen ist. Prüfen Sie im Zweifel für jedes wichtigere Werkzeug einmal ehrlich, in welche Stufe es fällt. Das ist die halbe Miete.

Was ab dem 2. August 2026 gilt

Der 2. August 2026 markiert die nächste Stufe im Zeitplan der Verordnung. Drei Dinge sind hier für den Mittelstand relevant, und sie werden in der öffentlichen Debatte oft durcheinandergeworfen.

Erstens die Pflicht zur KI-Kompetenz nach Artikel 4. Sie besagt, dass Unternehmen dafür sorgen müssen, dass die Menschen, die in ihrem Namen KI einsetzen, ein ausreichendes Verständnis dafür haben. Diese Pflicht gilt rechtlich bereits seit dem 2. Februar 2025. Neu ist, dass die nationalen Aufsichtsbehörden ab dem 2. August 2026 die Instrumente bekommen, um Verstöße auch zu ahnden. Für Sie heißt das praktisch: Wer KI im Betrieb nutzt, sollte die Beschäftigten dafür schulen und das dokumentieren. Wir haben diesen Punkt in einem eigenen Beitrag zur Schulungspflicht ausführlicher behandelt.

Zweitens die Transparenzpflichten nach Artikel 50. Wenn Sie einen Chatbot einsetzen, der mit Kunden spricht, oder mit KI erzeugte Bilder, Texte und Videos veröffentlichen, müssen Sie das kenntlich machen. Ein Kunde darf nicht glauben, mit einem Menschen zu schreiben, wenn eine Maschine antwortet. Diese Pflicht wurde nicht verschoben und greift zum 2. August 2026, für die maschinenlesbare Kennzeichnung bereits bestehender Systeme gibt es eine kurze Übergangsfrist.

Drittens die schärferen Aufsichts- und Durchsetzungsbefugnisse für sogenannte KI-Modelle mit allgemeinem Verwendungszweck, im Fachjargon GPAI. Das betrifft in erster Linie die großen Anbieter der Basismodelle, nicht den Mittelstand, der diese Modelle nur nutzt.

Der Digital Omnibus: Warum sich Fristen gerade verschieben

Hier kommt die jüngste und für viele überraschende Wendung. Die EU-Kommission hat mit dem sogenannten Digital Omnibus ein Vereinfachungspaket auf den Weg gebracht, das mehrere Fristen des EU AI Act nach hinten schiebt. Nach den Angaben der Kommission ist dieses Paket Ende Juli 2026 in Kraft getreten. Der Hintergrund: Viele Regeln, Normen und Leitlinien waren zum ursprünglichen Termin schlicht noch nicht fertig, und aus Wirtschaft und Mitgliedstaaten kam der Ruf nach mehr Zeit und weniger Bürokratie, gerade für kleinere Unternehmen.

Der wichtigste Punkt für die Praxis: Die strengen Pflichten für Hochrisiko-Systeme, die zuvor auf den 2. August 2026 datiert waren, verschieben sich nach den vorliegenden Angaben auf den 2. Dezember 2027. Für Hochrisiko-KI, die in regulierte Produkte eingebaut ist, wurde der Termin noch weiter nach hinten gelegt. Auch bei der KI-Kompetenz nach Artikel 4 wurde nachjustiert: Aus der strengeren Vorgabe, ein bestimmtes Kompetenzniveau sicherzustellen, wird stärker eine Pflicht, den Aufbau von KI-Kompetenz zu fördern, wobei Kommission und Mitgliedstaaten mehr Verantwortung übernehmen. Für Sie bleibt der praktische Rat derselbe: schulen und dokumentieren. Nur der Druck dahinter wird etwas maßvoller austariert.

Ein ehrliches Wort zur Vorsicht: Der Digital Omnibus ist ein junges, politisch verhandeltes Paket, und die Detailregeln sowie ihre genaue Auslegung sind noch in Bewegung. Wir stützen uns hier auf die offiziellen Angaben der EU-Kommission und die Einordnung führender Kanzleien vom Sommer 2026. Wenn Sie eine konkrete Frist für eine Hochrisiko-Anwendung planen, prüfen Sie den jeweils aktuellen Stand, bevor Sie Termine intern verbindlich setzen. Es wäre der falsche Moment, sich auf eine Zahl aus einem älteren Ratgeber zu verlassen.

Was Bußgelder angeht

Der EU AI Act sieht empfindliche Bußgelder vor, gestaffelt nach Schwere des Verstoßes. Die höchste Stufe, für den Einsatz verbotener KI, kann bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Für die meisten anderen Verstöße gegen Betreiber- und Anbieterpflichten liegt der Rahmen bei bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes. Falsche oder unvollständige Angaben gegenüber Behörden können mit bis zu 7,5 Millionen Euro oder 1 Prozent geahndet werden.

Diese Zahlen wirken bedrohlich, sind aber für den typischen Mittelständler einzuordnen. Erstens sind es Höchstgrenzen, keine Regelbeträge, und sie zielen auf grobe, vorsätzliche Verstöße. Zweitens gibt es eine ausdrückliche Regelung für kleine und mittlere Unternehmen: Für sie gilt bei jeder Bußgeldstufe der jeweils niedrigere der beiden Werte als Deckel, also der kleinere von Festbetrag und Umsatzprozentsatz. Das ist ein bewusster Schutz vor existenzbedrohenden Strafen für kleinere Betriebe. Ein pauschaler Freibrief ist es aber nicht: Auch der Mittelstand muss die für ihn geltenden Pflichten erfüllen.

Was Sie als Mittelständler jetzt konkret tun sollten

Man kann die ganze Verordnung auf eine überschaubare Zahl praktischer Schritte herunterbrechen. Nichts davon braucht ein IT-Großprojekt. Das meiste ist an einem Nachmittag begonnen und in wenigen Wochen erledigt.

• Verschaffen Sie sich einen Überblick, welche KI-Werkzeuge im Betrieb tatsächlich im Einsatz sind, auch die inoffiziellen. Erfahrungsgemäß nutzen Mitarbeitende KI längst über private Konten, ohne dass die Geschäftsführung davon weiß. Diese Schatten-KI ans Licht zu holen ist der erste und wichtigste Schritt.
• Ordnen Sie für jedes wichtige Werkzeug die Risikoklasse zu. In den allermeisten Fällen landen Sie bei minimalem oder begrenztem Risiko. Nur wenn eine KI über Menschen mitentscheidet, etwa bei Bewerbungen oder Krediten, wird es zur Hochrisiko-Frage, die Sie ernst nehmen sollten.
• Erfüllen Sie die Transparenzpflicht: Kennzeichnen Sie Kunden-Chatbots als KI und weisen Sie auf mit KI erzeugte Inhalte hin, wo es die Verordnung verlangt.
• Bauen Sie KI-Kompetenz auf. Schulen Sie die Menschen, die KI nutzen, in Grundlagen, Grenzen und Risiken der Werkzeuge, und halten Sie fest, wer wann geschult wurde. Das erfüllt Artikel 4 und senkt zugleich das Risiko peinlicher Fehler.
• Schreiben Sie eine kurze KI-Richtlinie, die festlegt, welche Werkzeuge freigegeben sind, welche Daten hinein dürfen und wer verantwortlich ist. Sie schlägt die Brücke zwischen dem AI Act und dem Datenschutz und ist das wirksamste einzelne Dokument, das Sie erstellen können.
• Dokumentieren Sie Ihre Entscheidungen. Wer nachweisen kann, dass er sich mit dem Thema befasst, Regeln aufgestellt und geschult hat, steht im Ernstfall deutlich besser da als jemand, der gar nichts vorweisen kann.

Fazit

Der EU AI Act ist für den Mittelstand kein Grund zur Panik, aber auch keiner zum Wegsehen. Die wirklich schweren Pflichten treffen Hochrisiko-Anwendungen, die in den meisten Betrieben gar nicht vorkommen, und selbst deren Fristen haben sich mit dem Digital Omnibus in Richtung Ende 2027 verschoben. Was bleibt, ist überschaubar und ohnehin sinnvoll: wissen, welche KI im Haus ist, die Menschen schulen, offen mit KI-Inhalten umgehen und das Ganze in einer schlanken Richtlinie festhalten.

Wer diese Grundlagen legt, ist nicht nur regelkonform, sondern nutzt KI auch souveräner. Genau das ist der Punkt: Compliance und ein vernünftiger KI-Einsatz zeigen in dieselbe Richtung. Ein guter nächster Schritt ist die KI-Richtlinie, die Sie mit dem Generator auf dieser Seite in wenigen Minuten erstellen können. Und für die Frage, was Ihre Mitarbeiter beim Einsatz von ChatGPT und Co. datenschutzkonform dürfen, lohnt der Blick in unseren Leitfaden dazu.

Und noch einmal, weil es wichtig ist: Dieser Beitrag ersetzt keine Rechtsberatung. Der Rechtsrahmen um den EU AI Act ist gerade in Bewegung. Nutzen Sie diesen Text, um vorbereitet in das Gespräch mit einer Fachanwältin oder Ihrem Datenschutzbeauftragten zu gehen, und prüfen Sie konkrete Fristen am jeweils aktuellen Stand.