Was der EU AI Act für KMU bedeutet (und was Sie ignorieren können)

Aktualisiert am 4. Oktober 2026. Mit dem Digital Omnibus zur KI wurden im Juli 2026 die Regeln für Hochrisiko-KI verschoben und die Pflicht zur KI-Kompetenz gelockert. Dieser Artikel wurde entsprechend angepasst und um die Inhalte einer KI-Richtlinie ergänzt.

Was der EU AI Act ist

Der EU AI Act (die KI-Verordnung der EU) ist das weltweit erste umfassende Gesetz, das den Einsatz künstlicher Intelligenz regelt. Das Gesetz wurde 2024 verabschiedet und tritt schrittweise in Kraft. Die verbotenen Praktiken und die Pflicht zur KI-Kompetenz gelten seit Februar 2025, die meisten übrigen Regeln, darunter die Transparenzpflichten, seit dem 2. August 2026. Die Regeln für KI-Systeme mit hohem Risiko wurden mit dem Digital Omnibus zur KI verschoben: bis zum 2. Dezember 2027 für Anwendungen wie Personalgewinnung und Kreditwürdigkeitsprüfung und bis zum 2. August 2028 für KI, die in Produkte eingebaut ist.

Für große Tech-Unternehmen, die KI-Modelle entwickeln, sind die Auswirkungen enorm. Für KMU, die KI als Werkzeug in ihrem Geschäftsbetrieb nutzen, ist das Bild differenzierter.

Was für Sie als KMU-Unternehmer relevant ist

Der AI Act arbeitet mit einer Risikoklassifizierung. KI-Systeme werden in vier Kategorien eingeteilt: unannehmbares Risiko (verboten), hohes Risiko (strenge Anforderungen), begrenztes Risiko (Transparenzpflichten) und minimales Risiko (keine zusätzlichen Anforderungen).

Die meisten KI-Anwendungen, die KMU nutzen, fallen in die Kategorie minimales oder begrenztes Risiko. Denken Sie an KI für die E-Mail-Bearbeitung, Content-Erstellung, Datenanalyse, Unterstützung im Kundenservice und Prozessorchestrierung. Dafür gelten keine schweren Compliance-Anforderungen.

Transparenzpflicht: Seit dem 2. August 2026 müssen Menschen wissen, dass sie mit einem KI-System kommunizieren, sofern das nicht offensichtlich ist. Formal liegt diese Pflicht beim Anbieter des Systems, aber wenn Sie einen Chatbot unter Ihrem eigenen Namen bauen lassen, sind Sie das oft selbst. In der Praxis heißt das: Wenn Sie einen KI-Chatbot auf Ihrer Website haben, weisen Sie darauf hin, dass es sich um eine KI handelt. Und wenn Sie realistische Bilder, Videos oder Audioinhalte veröffentlichen, die mit KI erstellt oder bearbeitet wurden und echt wirken, kennzeichnen Sie auch das.

Hohes Risiko gilt speziell für: KI in der Personalgewinnung und -auswahl, bei der Kreditwürdigkeitsprüfung, beim Zugang zu wesentlichen Dienstleistungen und in bestimmten behördlichen Prozessen. Wenn Sie KI nutzen, um Bewerbungen zu screenen oder Entscheidungen über die Kreditwürdigkeit zu treffen, gelten für Sie ab dem 2. Dezember 2027 strengere Regeln. Die meisten KMU tun das nicht.

Was Sie ignorieren können

Der weitaus größte Teil des AI Act ist für Entwickler von KI-Modellen und für Organisationen geschrieben, die KI für Hochrisiko-Anwendungen einsetzen. Wenn Sie als Unternehmer KI nutzen, um Ihre Geschäftsprozesse zu verbessern, müssen Sie sich keine Gedanken über das Training von Foundation Models, Konformitätsbewertungen für KI-Systeme oder umfangreiche technische Dokumentation machen.

Das heißt nicht, dass Sie unvorsichtig sein sollten. Aber die Pflichten, die direkt für Sie gelten, sind überschaubar und oft schon durch gesunden Menschenverstand und die bestehende DSGVO-Compliance abgedeckt.

Was Sie tun sollten

Vier konkrete Maßnahmen, die für jedes KMU relevant sind. Erstens: Wissen Sie, welche KI-Tools Sie nutzen und wofür. Erstellen Sie eine einfache Übersicht. Das kostet eine Stunde und verschafft Ihnen Kontrolle. Zweitens: Sorgen Sie dafür, dass Ihre Mitarbeitenden wissen, wie sie sinnvoll mit diesen Tools arbeiten. Das ist die Pflicht zur KI-Kompetenz aus Artikel 4, die seit Juli 2026 weniger streng ist, aber weiterhin gilt. Drittens: Sorgen Sie dafür, dass Kunden wissen, wann sie mit KI kommunizieren. Transparenz ist Pflicht und stärkt zudem das Vertrauen. Viertens: Prüfen Sie bei Ihren KI-Anbietern, ob sie DSGVO-konform sind, wo Ihre Daten verarbeitet werden und ob sie für das Modelltraining verwendet werden. Das ist eine DSGVO-Pflicht, die Sie ohnehin schon haben.

Woraus besteht eine KI-Richtlinie?

Eine gute KI-Richtlinie für ein KMU passt auf zwei DIN-A4-Seiten und beantwortet sieben Fragen. Sie ist kein juristisches Dokument, sondern eine Arbeitsvereinbarung, die Ihre Mitarbeitenden wirklich lesen.

• Zweck und Geltungsbereich: wofür Sie KI einsetzen und für wen die Richtlinie gilt (auch für Freelancer und Praktikanten).
• Erlaubte Tools: welche KI-Tools genutzt werden dürfen, mit einem geschäftlichen statt einem privaten Konto.
• Daten: welche Daten nie in ein KI-Tool gehören, etwa persönliche Identifikationsnummern (in den Niederlanden die BSN), Gesundheitsdaten und vertrauliche Kundenakten, und wann nur anonymisierte Daten erlaubt sind.
• Menschliche Kontrolle: welcher Output immer von einem Menschen geprüft wird, bevor er an einen Kunden geht.
• Transparenz: wann Sie Kunden mitteilen, dass sie es mit KI zu tun haben, etwa bei einem Chatbot oder KI-generierten Bildern.
• KI-Kompetenz: welche Erklärung oder Schulung jede Rolle erhält und wo Sie das festhalten (Artikel 4 AI Act).
• Verantwortung und Evaluierung: wer das Register der KI-Tools pflegt, wer Fragen beantwortet und wie oft Sie die Richtlinie überprüfen.

Beginnen Sie mit den Tools, die bereits im Einsatz sind, und den Daten, die durch sie fließen. Eine Richtlinie, die daran anknüpft, wie Ihr Team heute arbeitet, wird eingehalten; eine Richtlinie, die alles verbietet, wird umgangen. In einem KI-Audit liefern wir das Register und die Grundlage für diese Richtlinie mit. Wie Sie dabei Schritt für Schritt vorgehen, lesen Sie unter KI-Richtlinie erstellen.

Worauf Innoworks achtet

Bei allem, was wir bauen, sorgen wir dafür, dass es sowohl der DSGVO als auch dem AI Act entspricht. Daten werden, wo möglich, in niederländischen Rechenzentren verarbeitet, wir arbeiten modellagnostisch, damit kein Vendor-Lock-in entsteht, und wir bauen immer mit dem Menschen im Prozess: Die KI berät, der Mensch entscheidet.

Das ist kein Compliance-Häkchen. So sollte KI unserer Überzeugung nach funktionieren: transparent, zuverlässig und unter der Kontrolle des Unternehmers.