EU AI Act für den Mittelstand: was wirklich Pflicht ist - und was Panikmache

Kaum ein Regulierungsthema hat in den letzten Jahren so viel Verunsicherung ausgelöst wie der EU AI Act - und kaum eines wird so häufig falsch eingeordnet. Auf der einen Seite die Botschaft "das betrifft nur große Tech-Konzerne", auf der anderen Seite Panikmache, die jedem kleinen Unternehmen mit ChatGPT-Zugang eine Abmahnwelle prophezeit. Beides ist falsch.

Diese Einordnung stammt nicht aus zweiter Hand: René Tzschoppe, Geschäftsführer von AUTIMA, ist EU AI Act Beauftragter mit TÜV Rheinland geprüfter Qualifikation (Prüfzeichen-ID 0217466644, gültig bis 27.07.2029). Was folgt, ist keine Rechtsberatung, sondern eine sachliche Einordnung dessen, was der AI Act für ein normales mittelständisches Unternehmen tatsächlich bedeutet.

Die Grundregel: Risiko entscheidet, nicht Unternehmensgröße

Der AI Act folgt einem risikobasierten Ansatz mit vier Stufen - von verboten bis minimal. Das Missverständnis, das am häufigsten für Verunsicherung sorgt: Viele glauben, die Unternehmensgröße entscheide über die Pflichten. Das stimmt nicht. Es entscheidet, wofür die KI eingesetzt wird.

Der Großteil dessen, was Mittelständler heute an KI nutzen - ChatGPT oder Claude im Team, ein Chatbot auf der Website, KI-Textgeneratoren im Marketing - fällt in die Kategorie minimales oder begrenztes Risiko. Dort greifen deutlich weniger Pflichten als bei Hochrisiko-Anwendungen wie automatisierter Bewerberauswahl oder Kreditwürdigkeitsprüfung.

Das, was wirklich für fast jeden gilt: Artikel 4

Hier liegt der eigentliche Punkt, den viele KMU übersehen. Artikel 4 des AI Act verpflichtet Anbieter und Betreiber von KI-Systemen, ein ausreichendes Maß an KI-Kompetenz bei ihrem Personal sicherzustellen. Betreiber - das ist praktisch jedes Unternehmen, das KI beruflich einsetzt, egal ob eigenes System oder eingekauftes Tool wie ChatGPT im Vertrieb.

Diese Pflicht gilt bereits seit dem 2. Februar 2025 - unabhängig von Risikoklasse und Unternehmensgröße. Es gibt kein festes Zertifikat, das vorgeschrieben ist, und keinen exakten Mindeststandard - die Formulierung ist bewusst flexibel ("nach besten Kräften"). Aber es ist eine echte, nachweisbare Pflicht: Wer KI im Team einsetzt, muss dafür sorgen, dass die Menschen, die damit arbeiten, wissen, was sie tun.

Praktisch heißt das für die meisten Betriebe: eine dokumentierte Schulung oder Einweisung, bevor ein Team produktiv mit einem KI-Tool arbeitet - kein Bürokratie-Monster, aber auch keine Formalität, die man ignorieren kann.

Das, was ab August 2026 dazukommt: Transparenzpflichten

Ab dem 2. August 2026 werden die Transparenzpflichten nach Artikel 50 wirksam. Für den Mittelstand heißt das konkret: Wer einen KI-Chatbot auf der Website betreibt, muss kenntlich machen, dass Nutzer mit einem KI-System interagieren. Wer KI-generierte Bilder, Audio oder Video im Marketing verwendet, muss das offenlegen, sofern es nicht ohnehin offensichtlich ist.

Das ist keine dramatische Hürde - meistens reicht ein klarer Hinweis an der richtigen Stelle. Aber es ist eine Pflicht mit konkretem Datum, nicht eine vage Empfehlung.

Das, was für die allermeisten KMU nicht gilt: die Hochrisiko-Pflichten

Hier liegt der Teil, der am meisten unnötige Sorge auslöst. Die umfangreichen Hochrisiko-Pflichten - Risikomanagementsystem, technische Dokumentation, Konformitätsbewertung - greifen nur, wenn eine KI in einem der acht klar definierten Hochrisiko-Bereiche eingesetzt wird: unter anderem Bewerberauswahl, Kreditwürdigkeitsprüfung, kritische Infrastruktur, Bildung, Strafverfolgung.

Ein Handwerksbetrieb, der KI zur Terminplanung nutzt, eine Steuerkanzlei, die automatisierte E-Mail-Antworten verschickt, ein E-Commerce-Shop mit KI-gestützter Produktbeschreibung - all das fällt in aller Regel nicht in diese Kategorie. Die Ausnahme: Sobald KI Profiling natürlicher Personen vornimmt, also automatisiert Bewertungen oder Einschätzungen über konkrete Menschen erstellt, wird es genauer zu prüfen.

Was der AI Act für KMU sogar erleichtert

Wenig bekannt: Der offizielle KMU-Leitfaden der EU sieht gezielte Erleichterungen vor - vorrangigen und kostenlosen Zugang zu regulatorischen Reallaboren, reduzierte Gebühren bei Konformitätsbewertungen, vereinfachte Dokumentationsformulare für Klein- und Kleinstunternehmen, sowie eine Deckelung von Bußgeldern nach Unternehmensgröße. Der AI Act ist also nicht nur Pflichtenkatalog, er nimmt kleinere Unternehmen an mehreren Stellen bewusst in Schutz.

Die praktische Checkliste für den Mittelstand

• Prüfen, wo im Betrieb KI überhaupt eingesetzt wird - oft ist die Liste länger, als man zuerst denkt, weil einzelne Teams eigenständig Tools eingeführt haben.
• Für jeden Einsatz grob einordnen: minimal/begrenztes Risiko oder einer der acht Hochrisiko-Bereiche?
• Eine dokumentierte KI-Schulung für das Team aufsetzen - Artikel 4 gilt jetzt schon, unabhängig von allem anderen.
• Bei Chatbots und KI-generierten Inhalten im Marketing die Kennzeichnung bis August 2026 vorbereiten.
• Bei echtem Hochrisiko-Verdacht (Bewerberauswahl, Kreditentscheidungen, Profiling) fachlichen Rat einholen, statt selbst zu entscheiden.

Der ehrliche Rat am Ende

Der AI Act ist kein Grund, KI-Projekte zu verschieben oder aus Angst gar nicht erst zu starten - dafür sind die tatsächlichen Pflichten für die meisten Mittelständler zu überschaubar. Er ist aber auch kein Thema, das sich mit "betrifft uns eh nicht" abtun lässt, weil Artikel 4 praktisch jedes Unternehmen mit KI-Einsatz erfasst, unabhängig von Größe oder Branche.

Dieser Beitrag ersetzt keine Rechtsberatung. Bei konkreten Zweifelsfällen, insbesondere im Grenzbereich zu den Hochrisiko-Kategorien, lohnt sich fachkundiger Rat, bevor eine Entscheidung getroffen wird.

Über AUTIMA: Wir bauen KI-Mitarbeiter und automatisierte Prozesse für Unternehmen, die bereits Kunden haben und mit dem eigenen Wachstum an Grenzen stoßen.

Wenn du wissen willst, wo dein Unternehmen beim AI Act tatsächlich steht: im kostenlosen Erstgespräch ordnen wir deinen KI-Einsatz gemeinsam ein - nüchtern, ohne Angstverkauf.