EU AI Act: Ab August 2026 kontrolliert – was Inhaber jetzt prüfen müssen
Viele Inhaber wissen nicht, ob Artikel 4 sie betrifft – und was konkret zu tun ist.
Vielleicht nutzt jemand in deinem Team gerade in diesem Moment ChatGPT, um eine E-Mail zu formulieren. Oder Microsoft Copilot hilft beim Erstellen einer Präsentation. Klingt nach ganz normalem Arbeitsalltag im Jahr 2026 – ist es auch. Was viele Inhaber mittelständischer Unternehmen aber nicht wissen: Genau in diesem Moment greift eine gesetzliche Pflicht, die seit über einem Jahr gilt, aber kaum jemand umgesetzt hat.
Die Rede ist von Artikel 4 des EU AI Acts. Er verpflichtet dich dazu, dafür zu sorgen, dass dein Team im Umgang mit KI-Systemen ausreichend kompetent ist – und das nachweisbar zu dokumentieren. Klingt nach einer weiteren bürokratischen Fußnote in einem ohnehin schon unübersichtlichen Regulierungsdschungel aus DSGVO, EU AI Act und Nachhaltigkeitspflichten? Verständlich, wenn du das denkst. Aber genau diese Erschöpfung ist gefährlich: Denn ab August 2026 wird kontrolliert, und Unwissenheit schützt nicht vor Bußgeldern.
Was Artikel 4 wirklich von dir verlangt
Artikel 4 der Verordnung (EU) 2024/1689 ist seit dem 2. Februar 2025 in Kraft. Er richtet sich an alle „Betreiber“ von KI-Systemen – und das bist du bereits, sobald in deinem Unternehmen ein KI-Tool im beruflichen Kontext eingesetzt wird. Es spielt keine Rolle, ob du das System selbst entwickelt hast oder nur nutzt.
Entscheidend: Es gibt keine Ausnahme für kleine und mittlere Unternehmen, keine Mindestgröße und keine Beschränkung auf sogenannte Hochrisiko-Systeme. Auch der ganz normale Einsatz von ChatGPT oder Copilot reicht aus, um die Pflicht auszulösen.
Wer ChatGPT beruflich nutzt, ist Betreiber im Sinne des EU AI Acts – ohne Ausnahme.
Konkret verlangt das Gesetz von dir:
- Maßnahmen, die sicherstellen, dass deine Mitarbeitenden ausreichend KI-kompetent sind
- Eine Dokumentation dieser Maßnahmen, die im Fall einer Kontrolle vorgelegt werden kann
- Keine Zertifizierung, kein Pflichttest, kein eigener KI-Beauftragter – aber ein klarer Nachweis, dass dein Unternehmen aktiv gehandelt hat
Wichtig dabei: Die Anforderungen sind rollenspezifisch. Nicht jeder im Team braucht dasselbe Wissen, aber jeder muss angemessen informiert sein – abgestimmt auf seine Aufgabe und den Risikograd der genutzten Systeme.
Die Lücke zwischen Nutzung und Umsetzung
Die Zahlen zeigen, wie groß die Kluft zwischen KI-Einsatz und Pflichterfüllung tatsächlich ist. Die Bitkom KI-Studie 2026 liefert dazu ernüchternde Werte, die sich so zusammenfassen lassen:
| Kennzahl | Anteil der Unternehmen |
|---|---|
| Setzen bereits ChatGPT, Copilot & Co. ein | 56 % |
| Haben KI-Schulungen aufgesetzt | 27 % |
| Haben KEIN dokumentiertes KI-Inventar | 85 % |
Mehr als doppelt so viele Unternehmen nutzen KI-Tools, wie bisher Schulungen eingeführt haben. Und der Großteil weiß nicht einmal vollständig, welche KI-Systeme überhaupt im Einsatz sind. Genau das macht es so schwer, die geforderte Dokumentation überhaupt zu erstellen – man kann schließlich nur belegen, was man kennt.
Bußgelder, die wehtun
Wer die Pflicht ignoriert, riskiert empfindliche Strafen. Bei Verstößen drohen Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes – wobei für KMU und Startups jeweils der niedrigere Wert gilt. Das ist zwar weniger als die 35-Millionen- beziehungsweise 7-Prozent-Grenze, die für schwerere Verstöße gegen andere Artikel des EU AI Acts gilt. Trotzdem: Ein sechs- bis siebenstelliger Betrag kann für einen Mittelständler existenzbedrohend sein.
Ein Wort zum „Digitalen Omnibus“
Wer sich zuletzt mit dem Thema beschäftigt hat, ist vielleicht über den sogenannten Digitalen Omnibus gestolpert. Diese politische Einigung von Mai 2026 könnte einzelne Anforderungen des EU AI Acts für kleinere Unternehmen künftig vereinfachen. Wichtig zu wissen: Es handelt sich bislang nur um eine politische Einigung, nicht um geltendes Recht. Artikel 4 gilt nach aktuellem Rechtsstand vollständig und unverändert weiter – wer jetzt abwartet, verschiebt lediglich sein Risiko.
Dokumentation fertig, Pflicht erfüllt – der Alltag läuft weiter, ohne neuen Aufwand.
Die häufigsten Irrtümer – und was wirklich stimmt
Gerade weil das Thema komplex wirkt, halten sich hartnäckige Missverständnisse. Die wichtigsten im Überblick:
- „Artikel 4 gilt nur für Hochrisiko-KI.“ Falsch. Die Pflicht gilt für alle Betreiber von KI-Systemen, unabhängig von der Risikokategorie – auch einfache Textgenerierungs-Tools zählen dazu.
- „ChatGPT ist doch nur ein Tool, kein KI-System.“ Jedes Sprachmodell, egal ob selbst lizenziert oder als Browser-Tool genutzt, gilt als KI-System im Sinne des Gesetzes, sobald es beruflich eingesetzt wird.
- „Wir haben keine IT-Abteilung, das betrifft uns nicht.“ Betroffen ist jedes Unternehmen, das KI-Systeme nutzt – eine eigene IT-Abteilung ist keine Voraussetzung.
- „Ein einmaliger Workshop reicht.“ Verlangt wird eine dokumentierte, rollenspezifische Maßnahme, kein einmaliges Pauschalformat für alle.
- „Wir wissen gar nicht, welche Tools unser Team nutzt.“ Genau das ist das verbreitetste Problem – und der Grund, warum ein Audit oft der sinnvollste erste Schritt ist.
Wie sich die Pflicht ohne neuen Aufwand erfüllen lässt
Genau hier setzt der pragmatische Gedanke an, den viele Inhaber bislang übersehen: Die Einführung eines KI-Systems – ob Prozessautomatisierung, ein Voice-Agent oder KI-gestützte Abläufe – lässt sich von Anfang an so gestalten, dass Team-Einführung und Begleitung strukturiert dokumentiert werden. Diese Dokumentation deckt die Anforderungen nach Artikel 4 automatisch mit ab.
Das bedeutet: Wer eine KI-Lösung „Done-4-You“ einführen lässt, muss die Compliance nicht separat organisieren. Sie entsteht als Nebeneffekt eines gut begleiteten Einführungsprozesses – nicht als eigenständiges Compliance-Paket, das obendrauf verkauft wird.
Für Unternehmen, die bereits KI-Systeme im Einsatz haben, ohne genau zu wissen, wo sie stehen, empfiehlt sich ein anderer Einstieg: ein AI Security Audit. Ein solcher Audit klärt, welche KI-Systeme überhaupt genutzt werden, ob die Artikel-4-Pflicht bisher erfüllt wurde und ob die Systeme verlässlich sowie DSGVO-konform arbeiten. Anbieter wie KINAQ Solutions haben sich auf genau diese Kombination aus operativer KI-Einführung und Compliance-Dokumentation spezialisiert – mit dem Anspruch, KI-Automatisierung für den Mittelstand zu liefern, die sich rechnet.
Fazit: Handeln schlägt Abwarten
Die Fakten lassen sich nicht wegdiskutieren: Artikel 4 gilt seit Februar 2025, betrifft praktisch jedes Unternehmen, das KI-Tools nutzt, und wird ab August 2026 aktiv kontrolliert. Wer bislang nichts unternommen hat, befindet sich nicht in einer Grauzone, sondern in einem bestehenden Compliance-Rückstand.
Die gute Nachricht: Die Pflicht lässt sich ohne großen bürokratischen Zusatzaufwand erfüllen, wenn du sie in bestehende oder geplante KI-Einführungen integrierst. Der erste sinnvolle Schritt ist simpel – verschaffe dir Klarheit darüber, welche KI-Systeme in deinem Unternehmen überhaupt im Einsatz sind. Nimm dir dafür in den nächsten Tagen bewusst Zeit, frage in deinem Team nach und dokumentiere den aktuellen Stand. Das ist die Basis für alles Weitere – und ein unverbindliches Erstgespräch kann dir dabei helfen, deine individuelle Situation realistisch einzuschätzen.
Betrifft Artikel 4 auch kleine Betriebe mit nur wenigen Mitarbeitenden?
Ja. Es gibt keine Mindestgröße und keine Ausnahme für kleine oder mittlere Unternehmen – entscheidend ist allein, ob im Betrieb ein KI-System eingesetzt wird.
Reicht es, wenn nur die Geschäftsführung KI-kompetent ist?
Nein. Die Pflicht bezieht sich auf alle Mitarbeitenden und weiteren Personen, die im Auftrag des Unternehmens KI-Systeme einsetzen, abgestimmt auf ihre jeweilige Rolle.
Brauchen wir eine offizielle Zertifizierung?
Nein, eine Zertifizierung ist nicht vorgeschrieben. Verpflichtend ist jedoch der dokumentierte Nachweis, dass angemessene Maßnahmen zur Förderung der KI-Kompetenz ergriffen wurden.
Was passiert, wenn wir bis August 2026 nichts unternehmen?
Ab dem 2. August 2026 können nationale Marktaufsichtsbehörden Verstöße kontrollieren und ahnden, mit Bußgeldern von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes.
Verändert der Digitale Omnibus die aktuelle Rechtslage?
Noch nicht. Es handelt sich bislang um eine politische Einigung, kein geltendes Recht. Artikel 4 gilt nach aktuellem Stand unverändert und muss entsprechend umgesetzt werden.