8–9 Min. Lesezeit
EU AI Act 2026: Was KMU wirklich wissen müssen
Beim EU AI Act gibt es aktuell zwei Extreme.
Die einen tun so, als dürfte man ohne drei Anwälte bald nicht einmal mehr ChatGPT öffnen.
Die anderen sagen:
„Ach, betrifft uns nicht."
Beides ist zu einfach.
Seit August 2026 gelten weitere Teile der europäischen KI-Verordnung tatsächlich verbindlich.
Für ein normales kleines oder mittleres Unternehmen heißt das aber nicht, dass jetzt ein riesiges Compliance-Projekt gestartet werden muss.
Es heißt vor allem:
Man sollte wissen, welche KI im Unternehmen eingesetzt wird und wofür.
Der EU AI Act ist längst nicht mehr nur Zukunftsmusik
Die Verordnung trat bereits 2024 in Kraft.
Die einzelnen Pflichten gelten allerdings schrittweise.
Seit Februar 2025 gelten unter anderem die Regeln zu verbotenen KI-Praktiken und die Anforderungen rund um KI-Kompetenz.
Seit August 2025 gelten Regelungen für Anbieter allgemeiner KI-Modelle.
Seit August 2026 gelten große weitere Teile der Verordnung sowie bestimmte Transparenzpflichten.
Die besonders umfangreichen Anforderungen an bestimmte Hochrisiko-Systeme wurden 2026 zeitlich verschoben.
Für eigenständige Hochrisiko-Anwendungen aus bestimmten sensiblen Bereichen greifen diese Regeln nun ab Dezember 2027.
Bei KI, die Bestandteil regulierter Produkte ist, reicht der Übergangszeitraum teilweise bis August 2028.
Für ein KMU bedeutet das:
Nicht alles gilt gleichzeitig.
Und nicht jede KI-Anwendung ist Hochrisiko.
Muss jetzt jedes Unternehmen eine KI-Schulung machen?
Artikel 4 verlangt weiterhin, dass Unternehmen Maßnahmen treffen, damit Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, die dafür notwendigen Kenntnisse entwickeln können.
Das bedeutet aber ausdrücklich nicht, dass jeder Mitarbeiter dasselbe Schulungsprogramm durchlaufen muss.
Und es gibt auch kein vorgeschriebenes Zertifikat.
Ein Mitarbeiter, der gelegentlich mit einem Textassistenten arbeitet, braucht anderes Wissen als jemand, der ein KI-System im Recruiting einsetzt.
Das finde ich auch logisch.
KI-Kompetenz bedeutet für mich nicht:
Jeder muss erklären können, wie ein Transformer-Modell technisch funktioniert.
Die Mitarbeiter sollten wissen:
- Welche Systeme dürfen wir verwenden?
- Welche Daten dürfen hinein?
- Wo können Fehler entstehen?
- Wie überprüfe ich Ergebnisse?
- Wann darf ich einer Antwort nicht einfach vertrauen?
- Und wann muss ein Mensch entscheiden?
Das ist im Alltag wahrscheinlich viel wertvoller als ein hübsches Zertifikat an der Wand.
Welche KI gilt als Hochrisiko?
Der AI Act arbeitet risikobasiert.
Besonders hohe Anforderungen gelten für bestimmte Anwendungen, bei denen Entscheidungen erhebliche Auswirkungen auf Menschen haben können.
Dazu gehören beispielsweise bestimmte Anwendungen in:
- Personal und Recruiting,
- Bildung,
- Kreditwürdigkeitsprüfung,
- kritischer Infrastruktur,
- Biometrie,
- Strafverfolgung,
- Migration und Grenzkontrolle.
Das bedeutet nicht, dass jede Anwendung in diesen Bereichen automatisch Hochrisiko ist.
Der konkrete Zweck und die Funktionsweise spielen eine wichtige Rolle.
Gerade deshalb sollte beispielsweise im HR-Bereich genauer hingeschaut werden.
Ein System, das Stellenanzeigen sprachlich verbessert, ist etwas anderes als ein System, das Bewerber bewertet oder aussortiert.
Transparenz wird wichtiger
Seit August 2026 gelten auch zusätzliche Transparenzanforderungen.
Menschen sollen zum Beispiel in bestimmten Fällen erkennen können, wenn sie direkt mit einem KI-System interagieren.
Auch für bestimmte künstlich erzeugte oder manipulierte Inhalte gelten Kennzeichnungsregeln.
Das bedeutet nicht, dass ab sofort jeder Text, bei dem ChatGPT beim Formulieren geholfen hat, mit einem riesigen „KI erstellt"-Stempel versehen werden muss.
Auch hier kommt es auf den konkreten Fall an.
Besondere Regeln betreffen unter anderem Deepfakes und bestimmte Veröffentlichungen zu Themen von öffentlichem Interesse.
Was würde ich als KMU jetzt konkret machen?
Keine 80-seitige Richtlinie.
Ich würde mit einer einfachen Bestandsaufnahme beginnen.
1. Welche KI wird überhaupt genutzt?
ChatGPT? Copilot? Claude? KI-Funktionen im CRM? Bewerbungssoftware? Meeting-Aufzeichnungen? Bildgeneratoren?
Manchmal ist mehr KI im Unternehmen im Einsatz, als die Geschäftsführung denkt.
2. Welche Daten gehen hinein?
Öffentliche Daten sind etwas anderes als:
- Kundendaten,
- Personaldaten,
- Gesundheitsinformationen,
- Verträge,
- interne Kalkulationen.
3. Wofür wird das Ergebnis verwendet?
Ideen sammeln ist etwas anderes als Menschen bewerten.
Je größer die Auswirkung einer Entscheidung, desto genauer sollte hingeschaut werden.
4. Gibt es ein paar klare Regeln?
Welche Systeme sind freigegeben? Welche Daten dürfen verarbeitet werden? Welche Ergebnisse müssen kontrolliert werden? Wer entscheidet bei Unsicherheit?
Das muss kein juristischer Roman sein.
Eine verständliche Seite kann besser funktionieren als ein Handbuch, das niemand liest.
5. Wissen die Mitarbeiter, warum diese Regeln existieren?
Damit sind wir wieder bei KI-Kompetenz.
Ein Verbot ohne Erklärung funktioniert meistens ungefähr so gut wie „Bitte diese Schaltfläche auf keinen Fall drücken".
Irgendwann drückt jemand.
Mein Fazit
Der EU AI Act ist relevant.
Aber er ist kein Grund, KI im Unternehmen panisch abzuschalten.
Die sinnvollste Vorbereitung ist überraschend bodenständig:
- Wissen, welche Systeme eingesetzt werden.
- Wissen, welche Daten verarbeitet werden.
- Den Zweck und das Risiko verstehen.
- Klare Regeln festlegen.
- Mitarbeiter vernünftig schulen.
- Und bei Anwendungen mit größerer Auswirkung genauer prüfen.
Das ist keine spektakuläre KI-Strategie.
Aber ziemlich wahrscheinlich die vernünftigere.
Mein Rat für den Anfang: Keine 80-seitige KI-Richtlinie schreiben. Erst einmal sauber erfassen, welche Systeme tatsächlich verwendet werden, welche Daten hineingehen und wofür die Ergebnisse genutzt werden. Mehr über meinen Ansatz bei Digitalisierung und Automatisierung.
Wenn du weiterdenken willst
Monika Egglseder
Ich beschäftige mich mit Prozessen, Digitalisierung und Business Automation für kleine und mittlere Unternehmen. Dabei interessiert mich weniger, was technisch alles möglich ist, sondern was im Arbeitsalltag tatsächlich etwas besser macht.
Prozesse. Einfach. Machen.