EU AI Act: Was Mittelständler jetzt wissen müssen

Der EU AI Act (Verordnung (EU) 2024/1689) ist seit August 2024 in Kraft und wird stufenweise wirksam. Für viele Mittelständler löst das gemischte Gefühle aus: einerseits Erleichterung, dass es endlich klare Regeln gibt; andererseits Verunsicherung, was das konkret bedeutet.

Dieser Artikel ist die pragmatische Einordnung, kein Rechtsgutachten, sondern eine Übersicht für Geschäftsführer und IT-Verantwortliche, die wissen wollen, was ihnen bevorsteht.

Stand: Juni 2026. Die Fristen für Hochrisiko-Systeme wurden mit dem „Digital Omnibus" verschoben; die formale Verabschiedung läuft noch.

Die kurze Antwort vorab

Wenn Sie ein typischer Mittelständler sind und KI für Standardanwendungen nutzen (etwa für Datenanalyse, Dokumentensuche, Chatbots im Service oder Vertriebsunterstützung), dann sind die meisten Verpflichtungen für Sie überschaubar. Die strengen Auflagen treffen vor allem Anbieter und Nutzer von „Hochrisiko-KI" sowie verbotene Anwendungen.

Die wichtigste Pflicht für nahezu alle Unternehmen: KI-Kompetenz Ihrer Mitarbeiter. Das gilt seit Februar 2025.

Die vier Risikostufen: kurz erklärt

Der AI Act unterteilt KI-Systeme in vier Kategorien:

Verbotene KI-Praktiken: Social Scoring durch Behörden, manipulative Systeme, Echtzeit-Gesichtserkennung im öffentlichen Raum (mit Ausnahmen). Diese Anwendungen sind seit Februar 2025 verboten.

Hochrisiko-KI: KI-Systeme, die in kritischen Bereichen eingesetzt werden, etwa in der Personalauswahl, in der Bonitätsbewertung, in medizinischen Geräten oder im Bildungswesen. Hier gelten umfangreiche Pflichten zu Risikomanagement, Datenqualität, Transparenz und menschlicher Aufsicht. Die ursprüngliche Frist 2. August 2026 wurde 2026 mit dem „Digital Omnibus" verschoben, auf den 2. Dezember 2027 für die meisten Hochrisiko-Systeme (z. B. Personalauswahl, Bonitätsbewertung) und auf den 2. August 2028 für in Produkte eingebettete KI (z. B. Medizingeräte). Maßgeblicher Planungshorizont ist damit Ende 2027. Grund zum Abwarten ist das nicht: Die Bestandsaufnahme Ihrer KI-Systeme sollten Sie jetzt angehen.

Begrenzt riskante KI: Vor allem Chatbots und KI-generierte Inhalte. Hier gelten Transparenzpflichten. Nutzer müssen wissen, dass sie mit einer KI interagieren. Diese Transparenzpflichten greifen ab 2026 (Kennzeichnung KI-generierter Inhalte bis Ende 2026).

Minimales Risiko: Die meisten KI-Anwendungen im Mittelstand fallen hierunter: Spam-Filter, Empfehlungssysteme, einfache Klassifikatoren. Hier gelten keine spezifischen Pflichten aus dem AI Act, aber natürlich weiterhin DSGVO und andere Vorschriften.

Was bedeutet das für typische Anwendungsfälle im Mittelstand?

Wissens-Assistenten und Chatbots im internen Einsatz

Begrenzt riskant. Sie müssen sicherstellen, dass Nutzer wissen, dass sie mit einer KI interagieren. Bei rein internen Anwendungen ist das in der Regel unproblematisch.

Automatisierte Dokumentenprüfung und Klassifikation

In den meisten Fällen minimales Risiko. Wird kritisch, wenn die Klassifikation arbeitsrechtliche Konsequenzen hat (z.B. Mitarbeiterbewertung) oder Zugang zu wesentlichen Leistungen beeinflusst.

Vorhersagemodelle und Forecasting

Minimales Risiko. Wird hochriskant, wenn die Vorhersagen für Personalentscheidungen, Kreditvergabe oder ähnliche Bereiche genutzt werden.

Generative KI für Marketing und Content

Begrenzt riskant. Sie müssen kennzeichnen, wenn Inhalte KI-generiert sind und einen wesentlichen Eindruck von Authentizität vermitteln (insbesondere Deepfakes).

Die Pflicht zur KI-Kompetenz: was Sie jetzt tun müssen

Seit Februar 2025 gilt: Anbieter und Betreiber von KI-Systemen müssen sicherstellen, dass ihre Mitarbeiter, die KI einsetzen oder beaufsichtigen, ein angemessenes Maß an KI-Kompetenz besitzen.

Was das konkret heißt, ist nicht im Detail geregelt. In der Praxis bedeutet es: dokumentierte Schulungen für alle Mitarbeiter, die KI-Systeme nutzen, mit den Themen Funktionsweise, Grenzen, Risiken und Verantwortung.

Genau diese Schulung bieten wir an: Das Nao Training Hub enthält ein Programm zur KI-Kompetenz nach Art. 4, mit Ihren eigenen Regeln und Werkzeugen, Abschlussquiz und Zertifikat als Nachweis je Teilnehmer.

Was Sie als nächstes tun sollten

1. Inventarisierung. Welche KI-Systeme nutzen Sie heute schon? Auch Microsoft Copilot, ChatGPT-Nutzung im Vertrieb oder KI-Funktionen in Standardsoftware zählen.

2. Risikoeinstufung. Klassifizieren Sie jedes System nach den vier Risikostufen.

3. Schulung. Sorgen Sie für dokumentierte KI-Grundlagenschulung Ihrer Mitarbeiter, die KI nutzen. Wie so eine Schulung mit Ihren eigenen Inhalten, Quiz und Zertifikat aussieht, zeigt das Nao Training Hub.

4. Bei Hochrisiko-Systemen: Konsultieren Sie spezialisierte Beratung. Hier reicht dieser Artikel definitiv nicht aus.

Was wir Ihnen anbieten können

Wenn Sie KI-Systeme planen oder bereits einsetzen, ordnen wir im KI-Einstieg und in Entwicklungsprojekten die regulatorischen Fragen früh ein, damit sie in Konzept und Architektur berücksichtigt sind.

Die Schulung zur KI-Kompetenz nach Artikel 4 bieten wir über das Nao Training Hub an: als Selbstlernkurs auf unserer Plattform oder als Live-Training, mit Ihren Inhalten, Abschlussquiz und Zertifikat.

1. Erstgespräch vereinbaren für eine konkrete Einschätzung Ihrer KI-Landschaft.

2. KI-Selbsttest für eine erste Standortbestimmung.