Worum es geht — und wen es betrifft
Der EU AI Act ist die erste umfassende KI-Regulierung weltweit. Er ist im August 2024 in Kraft getreten und wird seitdem stufenweise anwendbar. Entscheidend für den Mittelstand: Der AI Act betrifft nicht nur Unternehmen, die KI entwickeln, sondern ausdrücklich auch solche, die KI einsetzen — im Gesetz Betreiber genannt. Wer also ein KI-System im Recruiting, in der Kreditvergabe oder in der Produktionsüberwachung nutzt, fällt in den Anwendungsbereich, selbst wenn das System vollständig zugekauft wurde. Das ist der Punkt, der in vielen Unternehmen noch unterschätzt wird.
Die vier Risikoklassen in der Praxis
Der AI Act reguliert nicht Technologie, sondern Anwendungsfälle. Verbotene Praktiken wie Social Scoring oder manipulative Systeme sind seit Februar 2025 untersagt. Hochrisiko-Systeme — dazu zählen unter anderem Personalauswahl, Bonitätsbewertung, kritische Infrastruktur und bestimmte Sicherheitskomponenten — unterliegen umfassenden Pflichten: Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht. Systeme mit begrenztem Risiko, etwa Chatbots oder generierte Inhalte, treffen vor allem Transparenzpflichten: Nutzer müssen erkennen können, dass sie mit einer KI interagieren beziehungsweise dass Inhalte KI-generiert sind. Alles Übrige gilt als minimales Risiko und bleibt weitgehend unreguliert — das ist in der Praxis die große Mehrheit betrieblicher Anwendungen.
Der Zeitplan — und wo wir heute stehen
Die Stufen sind klar getaktet: Februar 2025 brachte die Verbote sowie die Pflicht zur KI-Kompetenz, August 2025 die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck. Seit dem 2. August 2026 gelten die Kernpflichten für Hochrisiko-Systeme nach Anhang III sowie die Transparenzanforderungen. Für Hochrisiko-KI, die als Sicherheitsbauteil in bereits regulierte Produkte eingebettet ist, läuft die Frist bis August 2027. Für Mittelständler heißt das: Die Übergangszeit ist für die meisten relevanten Fälle vorbei. Wer heute ein einschlägiges System betreibt, sollte den Status kennen.
Die Pflicht, die fast alle betrifft: KI-Kompetenz
Eine Anforderung wird regelmäßig übersehen, obwohl sie praktisch jedes Unternehmen mit KI-Einsatz trifft: Artikel 4 verlangt, dass Personal, das KI-Systeme betreibt oder nutzt, über ausreichende KI-Kompetenz verfügt. Gemeint ist kein Zertifikat, sondern ein angemessenes Verständnis von Funktionsweise, Grenzen und Risiken der eingesetzten Systeme. Konkret bedeutet das: dokumentierte Schulungen, klare interne Nutzungsrichtlinien und benannte Verantwortliche. Das ist mit überschaubarem Aufwand umsetzbar — aber es muss nachweisbar sein.
Was Sie in den nächsten Wochen tun sollten
Der pragmatische Einstieg besteht aus vier Schritten. Erstens: ein Inventar aller eingesetzten KI-Systeme erstellen — einschließlich der Werkzeuge, die Fachabteilungen eigenständig eingeführt haben, denn genau dort liegt meist der blinde Fleck. Zweitens: jedes System einer Risikoklasse zuordnen; die Mehrheit wird in die Kategorie minimales Risiko fallen, und diese Einordnung sollte dokumentiert sein. Drittens: für Systeme mit begrenztem Risiko die Transparenzhinweise ergänzen, was oft nur eine Textzeile in der Benutzeroberfläche erfordert. Viertens: Schulung und Nutzungsrichtlinie aufsetzen, um Artikel 4 zu erfüllen. Für die überwiegende Zahl mittelständischer Unternehmen ist das der gesamte Aufwand.
Compliance als Vorteil statt als Bremse
In unseren Projekten mit deutschen Unternehmen zeigt sich ein wiederkehrendes Muster: Wer den AI Act früh strukturiert angeht, baut am Ende bessere Systeme. Die geforderten Elemente — dokumentierte Datenherkunft, definierte Genauigkeitsziele, Protokollierung, menschliche Kontrollpunkte — sind exakt die Eigenschaften, die ein KI-System auch technisch robust und auditierbar machen. Sie sind kein zusätzlicher bürokratischer Aufwand, sondern gute Ingenieurspraxis mit rechtlicher Rückendeckung. Unternehmen, die das verinnerlicht haben, können ihre Systeme gegenüber Kunden und Prüfern belastbar erklären — ein Argument, das im B2B-Vertrieb zunehmend zählt.
Hinweis und nächster Schritt
Dieser Beitrag gibt einen praxisorientierten Überblick und ersetzt keine Rechtsberatung; für die verbindliche Einordnung Ihrer konkreten Systeme sollten Sie juristischen Rat einholen. Was wir beisteuern können, ist die technische Seite: die Einordnung Ihrer bestehenden KI-Anwendungen, die Umsetzung von Protokollierung, Transparenzhinweisen und menschlichen Kontrollpunkten sowie der Aufbau neuer Systeme, die diese Anforderungen von Beginn an erfüllen. Wenn Sie unsicher sind, wo Ihr Unternehmen steht, sprechen Sie uns an — ein erstes Gespräch kostet Sie nichts außer einer halben Stunde.