EU AI Act im Mittelstand: Was Geschäftsführer jetzt wissen und tun müssen

Seit Mitte 2026 hören wir in fast jedem Gespräch dieselbe Frage: Betrifft uns der EU AI Act überhaupt, wir bauen doch keine KI? Die kurze Antwort lautet ja, sobald in Ihrem Betrieb jemand ein KI-Werkzeug beruflich nutzt. Die Verordnung unterscheidet zwischen Anbietern, die KI entwickeln, und Betreibern, die sie einsetzen. Die allermeisten Mittelständler sind Betreiber.

Dieser Beitrag ist der Überblick. Er klärt, ob Sie betroffen sind, welche Fristen gelten, wie Sie Ihre KI einordnen und wie Sie in fünf Schritten beginnen. Für die Einzelheiten verweisen wir auf unsere Beiträge zur KI-Kompetenzpflicht, zur Kennzeichnungspflicht und zur Haftung der Geschäftsführung. Die Angaben haben den Stand 5. Oktober 2026 und sind Rechtsinformation, keine Rechtsberatung.

Sind Sie betroffen?

Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen auf den Markt bringt. Betreiber ist, wer ein System unter eigener Verantwortung einsetzt. Wer ChatGPT, Copilot oder eine KI-Funktion in der Buchhaltungssoftware nutzt, ist Betreiber, auch wenn er nichts davon selbst gebaut hat.

Eine Mindestgröße gibt es nicht. Der Handwerksbetrieb mit acht Leuten ist genauso betroffen wie der Maschinenbauer mit dreihundert. Erfasst sind außerdem Personen, die in Ihrem Auftrag mit KI arbeiten.

Welche Fristen gelten, Stand Oktober 2026

Der AI Act gilt gestaffelt. Mit der Verordnung (EU) 2026/1744, dem sogenannten Digital Omnibus, hat sich zum 27. Juli 2026 einiges verschoben. Das sind die Daten, die für Ihren Betrieb zählen:

• 2. Februar 2025: Die Verbote und die KI-Kompetenzpflicht nach Artikel 4 gelten. Artikel 4 wurde zum 27. Juli 2026 neu gefasst: Sie müssen den Kompetenzaufbau unterstützen, das Können jedes Einzelnen müssen Sie nicht mehr garantieren.
• 2. August 2026: Die Transparenzpflichten nach Artikel 50 gelten und wurden nicht verschoben. Chatbots müssen sich als KI zu erkennen geben, täuschend echte KI-Inhalte sind offenzulegen.
• Anfang Dezember 2026: Für Anbieter generativer KI, deren Systeme vor dem 2. August 2026 in Verkehr gekommen sind, gilt für die maschinenlesbare Markierung nach Artikel 50 Absatz 2 eine Übergangsfrist von vier Monaten. Sie betrifft Ihren Software-Lieferanten, nicht Sie als Betreiber.
• 2. Dezember 2027: Die Pflichten für Hochrisiko-Systeme nach Anhang III gelten, verschoben vom 2. August 2026.
• 2. August 2028: Hochrisiko-KI, die in regulierten Produkten steckt (Anhang I), muss die Anforderungen erfüllen.

Ältere Beiträge im Netz nennen für Hochrisiko-Systeme teils noch den 2. August 2026. Schauen Sie deshalb bei jeder Quelle auf das Veröffentlichungsdatum.

In welche Risikoklasse fällt Ihre KI?

Die Verordnung ordnet KI nach dem Risiko des Einsatzes. Entscheidend ist nicht das Werkzeug, sondern wofür Sie es verwenden. Für einen Mittelständler reichen vier Gruppen:

• Verbotene Praktiken: Sie sind seit Februar 2025 untersagt und spielen im normalen Betriebsalltag selten eine Rolle.
• Hochrisiko: KI in sensiblen Bereichen. In Betrieben begegnet Ihnen am ehesten der Bereich Beschäftigung. Wer Bewerbungen per KI sichtet, bewertet oder vorsortiert, fällt in diese Gruppe. Die Pflichten dafür gelten ab dem 2. Dezember 2027.
• Transparenzpflichten: Chatbots mit Kundenkontakt, KI-Stimmen am Telefon, täuschend echte KI-Bilder und Videos. Hier gilt seit dem 2. August 2026 Artikel 50.
• Alles Übrige: Textentwürfe, Zusammenfassungen, Recherche. Dafür gibt es keine eigenen Pflichten, außer der Kompetenzpflicht aus Artikel 4.

Ein einfacher Test: Fragen Sie nicht, welches Tool Sie nutzen, sondern wofür. Derselbe Assistent ist beim Angebotsentwurf unkritisch und bei der Bewerberauswahl ein Fall für genaues Hinsehen.

Was bei Bußgeldern realistisch ist

Für Artikel 4 selbst gibt es keine eigene Bußgeldnorm. Für die Transparenzpflichten nach Artikel 50 liegt der Rahmen bei bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Für kleine und mittlere Unternehmen gilt der jeweils niedrigere der beiden Werte.

Teuer wird es für Betriebe eher an anderen Stellen: bei einer Datenpanne, wenn die Aufsicht nach Ihren Maßnahmen fragt, beim Schutz Ihres Know-hows, bei Fragen Ihrer Versicherung und im Lieferantenfragebogen großer Kunden. Wer dann etwas Dokumentiertes vorzeigen kann, ist im Vorteil.

In fünf Schritten starten

1. KI-Inventur machen

Schreiben Sie auf, welche KI-Werkzeuge im Haus laufen, wer sie nutzt, wofür und wo ein Kunde damit in Berührung kommt. Das dauert für einen Betrieb mit klaren Zuständigkeiten nicht lange und ist die Grundlage für alles Weitere.

2. Jeden Eintrag einordnen

Ordnen Sie jedes Werkzeug einer der vier Gruppen zu und halten Sie fest, ob Sie Anbieter oder Betreiber sind. Bei zugekaufter Software sind Sie fast immer Betreiber.

3. Eine kurze Nutzungsrichtlinie schreiben

Sie legt fest, welche Werkzeuge erlaubt sind, welche Daten hineindürfen, wer freigibt und wohin ein Vorfall gemeldet wird. Der Datenschutz gehört dazu. Wie das geht, steht in unserem Ratgeber DSGVO-konform mit KI arbeiten.

4. Einen Verantwortlichen benennen

Ein Name, nicht ein Gremium. Diese Person pflegt Inventur und Richtlinie und ist Ansprechpartner, wenn jemand ein neues Werkzeug einsetzen möchte.

5. Mitarbeiter schulen und dokumentieren

Artikel 4 verlangt, dass Sie den Kompetenzaufbau unterstützen. Im Streitfall zählt, ob Sie das belegen können. Dazu gehören eine Teilnahmebestätigung je Person, ein Schulungsplan und eine Kenntnisnahme der Richtlinie durch jeden Mitarbeiter.

Wer das nicht selbst bauen möchte: Mit dem KI-Nachweis bekommen Sie einen Videokurs für Ihr Team, eine Teilnahmebestätigung je Person und ausfüllfertige Vorlagen für Richtlinie, Inventar, Schulungsplan und Kenntnisnahme. Wir sagen dazu offen, was er nicht ist: kein staatlich anerkannter Abschluss und keine Rechtsberatung. Selbst bauen geht auch, wir haben diese Fleißarbeit einmal komplett gemacht.

Förderung für die Beratung

Wer die Grundlage gemeinsam mit uns aufbauen möchte, kann die Beratung fördern lassen: Noch in 2026 sind über die BAFA-Beratungsförderung bis zu 3.500 € (z. B. in NRW) bzw. 5.600 € (höher geförderte Regionen und neue Bundesländer) Zuschuss möglich, verteilt auf zwei geförderte Beratungen, je bis zu 1.750 € bzw. 2.800 €. Der Antrag muss vor Beratungsbeginn vorliegen. Alles Weitere steht auf der Seite zur BAFA-Förderung.

Der AI Act verlangt keine Perfektion. Er verlangt, dass Sie wissen, wo KI in Ihrem Betrieb läuft, und das belegen können.

Aus mehr als 100 BOOSTER-Analysen wissen wir: Die Technik ist selten das Problem, der Hebel liegt bei den Menschen, die sie nutzen sollen. Wir entscheiden dabei immer mit und ohne KI, nicht jeder Ablauf braucht sie. Wie wir das in Ihrem Betrieb angehen, zeigen wir Ihnen in der BOOSTER-Analyse. Die Leistung dahinter finden Sie unter KI-Beratung für den Mittelstand.

Häufige Fragen

Gilt der EU AI Act für uns, wenn wir nur ChatGPT oder Copilot nutzen?

Ja. Die Verordnung unterscheidet zwischen Anbietern, die KI entwickeln, und Betreibern, die ein System unter eigener Verantwortung einsetzen. Wer ChatGPT, Copilot oder eine KI-Funktion in der Büro- oder Buchhaltungssoftware beruflich nutzt, ist Betreiber. Eine Mindestgröße gibt es nicht.

Welche Fristen gelten jetzt, und was wurde verschoben?

Die Kompetenzpflicht nach Artikel 4 und die Verbote gelten seit dem 2. Februar 2025, die Transparenzpflichten nach Artikel 50 seit dem 2. August 2026. Verschoben wurden die Pflichten für Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027. Für Hochrisiko-KI in regulierten Produkten nach Anhang I nennen die Quellen den 2. August 2028.

In welche Risikoklasse fällt unsere KI?

Das entscheidet der Einsatzzweck, nicht das Werkzeug. Derselbe Assistent ist beim Entwurf eines Angebots unkritisch. Sortiert er Bewerbungen vor, gehört der Einsatz in den Bereich Beschäftigung und gilt als Hochrisiko. Chatbots mit Kundenkontakt fallen unter die Transparenzpflichten.

Was müssen wir bei Schulung und KI-Kompetenz nachweisen?

Artikel 4 wurde zum 27. Juli 2026 neu gefasst. Sie müssen den Kompetenzaufbau Ihrer Mitarbeiter unterstützen, das Können jedes Einzelnen müssen Sie nicht mehr garantieren. Beurteilt wird, ob Sie belegen können, was Sie getan haben: Nutzungsrichtlinie, KI-Inventar, Schulungsplan, Teilnahmebestätigungen und eine Kenntnisnahme der Mitarbeiter.

Wie fangen wir am besten an?

Mit einer Liste aller KI-Werkzeuge im Haus, mit Nutzer, Zweck und Kundenkontakt. Danach ordnen Sie jeden Eintrag ein, schreiben eine kurze Nutzungsrichtlinie, benennen einen Verantwortlichen und schulen Ihre Leute mit Dokumentation. Für einen Betrieb mit klarer Zuständigkeit ist das ein überschaubarer Aufwand.