AI Act in der Praxis: Was passiert konkret, wenn Mittelständler die Pflichten ignorieren?

Bußgelder, Haftungsrisiken, Reputationsschäden: Wer den AI Act ignoriert, riskiert mehr als eine Verwarnung. Was realistischerweise auf mittelständische Betriebe zukommt und warum Vorbereitung günstiger ist als Nachsicht.

Stellen Sie sich vor: Es ist ein Dienstagmorgen. Eine E-Mail von der Bundesnetzagentur landet in Ihrem Postfach.

Sie sollen innerhalb von vier Wochen nachweisen, dass Ihre KI-gestützten Systeme den Anforderungen des AI Act entsprechen. Andernfalls droht eine Vor-Ort-Prüfung.

Was tun Sie? Wen rufen Sie an? Welche Unterlagen legen Sie vor?

Wenn Sie diese Fragen nicht sofort beantworten können, befinden Sie sich damit in guter Gesellschaft. Aber Sie sollten das ändern. Denn seit August 2026 gelten die Transparenzpflichten des AI Act, und weitere Pflichten treten stufenweise bis 2028 in Kraft. Solche Szenarien werden zunehmend realistischer.

Wer prüft eigentlich, ob Unternehmen compliant sind?

Der AI Act hat die Durchsetzung auf EU-Ebene und in den einzelnen Mitgliedsstaaten geregelt. In Deutschland sind die genauen Zuständigkeiten noch nicht in allen Bereichen final geklärt, aber mehrere Behörden sind bereits aktiv:

Die Bundesnetzagentur übernimmt für viele Bereiche eine zentrale Rolle als nationale KI-Behörde. Die Bundesbeauftragte für den Datenschutz und Informationsfreiheit ist bei datenschutzrelevanten KI-Systemen zuständig. Weitere Fachbehörden kommen je nach Branche und Anwendungsfall hinzu, etwa die Finanzaufsicht für KI im Finanzbereich oder die Arbeitsschutzbehörden bei KI in der Personalauswahl.

Das bedeutet: Es gibt keine einheitliche „KI-Polizei". Aber es gibt mehrere Behörden, die handeln können und mit zunehmendem Druck aus Brüssel auch handeln werden.

Welche Strafen drohen konkret?

Der AI Act sieht gestaffelte Bußgelder vor, je nach Schwere des Verstoßes:

• Für den Einsatz verbotener KI-Systeme: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes.
• Für Verstöße gegen Pflichten bei Hochrisiko-Systemen (ab Dezember 2027): bis zu 15 Millionen Euro oder 3 % des Jahresumsatzes.
• Für falsche oder irreführende Angaben gegenüber Behörden: bis zu 7,5 Millionen Euro oder 1 % des Jahresumsatzes.

Zur Einordnung: Ein mittelständisches Unternehmen mit 10 Millionen Euro Jahresumsatz riskiert bei fehlender Transparenz oder Dokumentation Bußgelder von bis zu 300.000 Euro (3 % des Umsatzes). Bei schwersten Verstößen, etwa dem Einsatz verbotener KI-Systeme, können es bis zu 700.000 Euro werden. Das ist kein Kleinstbetrag.

Die eigentliche Gefahr für den Mittelstand sind nicht die Millionen-Bußgelder. Es ist der Reputationsschaden, wenn eine Prüfung kommt und Sie nichts vorzeigen können.

Was realistischerweise auf Mittelständler zukommt

Ehrlich gesagt: Niemand erwartet, dass ab morgen Hunderte Betriebe in Niedersachsen mit Bußgeldbescheiden überhäuft werden. Das entspricht nicht der Realität.

Realistisch ist eher folgendes Bild: In den ersten Jahren werden Behörden vor allem auf Beschwerden reagieren. Auf Wettbewerber, die einen Verstoß melden. Auf Mitarbeiter, die sich durch eine KI-gestützte Personalentscheidung ungerecht behandelt fühlen. Auf Kunden, die nicht wussten, dass sie mit KI interagiert haben.

Das macht es nicht weniger wichtig. Es macht es nur anders wichtig.

Wer keine Dokumentation hat, keine Schulungsnachweise vorlegen kann und keinen Verantwortlichen benennen kann, steht bei einer Prüfung schlecht da. Auch wenn die Konsequenz am Ende nur eine Verwarnung ist. Denn eine Verwarnung mit einer Frist zur Nachbesserung bedeutet: Sie müssen es trotzdem umsetzen, nur jetzt unter Druck und ohne Vorlaufzeit.

Die unterschätzten Konsequenzen jenseits von Bußgeldern

Regulatorische Strafen sind nicht die einzige Konsequenz, die Mittelständler im Blick haben sollten.

Reputationsschäden: Wenn bekannt wird, dass ein Unternehmen KI-Systeme ohne Transparenz eingesetzt hat, besonders in der Personalauswahl oder im Kundenservice, kann das nachhaltig das Vertrauen bei Kunden, Bewerbern und Mitarbeitern beschädigen.

Haftungsrisiken: Wenn ein KI-System eine fehlerhafte Entscheidung trifft und Sie können nicht nachweisen, dass Sie das System korrekt und gemäß den Herstelleranweisungen eingesetzt haben, können Sie persönlich in die Haftung genommen werden.

Geschäftsunterbrechung: Im Extremfall kann eine Behörde anordnen, dass Sie ein KI-System bis zur Klärung der Compliance-Fragen nicht mehr einsetzen dürfen. Das kann empfindlich treffen, wenn das System in Ihren Kernprozessen läuft.

Lieferantenbeziehungen: Größere Unternehmen beginnen bereits, AI-Act-Konformität in ihre Lieferantenbewertungen aufzunehmen. Wer hier nicht mithalten kann, verliert Aufträge.

Was das für Ihre Situation bedeutet

Die meisten Mittelstandsbetriebe in Ostfriesland und Niedersachsen setzen keine Hochrisiko-KI im klassischen Sinne ein. Sie entwickeln keine Kreditscoring-Algorithmen, keine autonomen Fahrzeuge, keine biometrischen Erkennungssysteme.

Aber fast alle nutzen Software mit KI-Funktionen. Und fast alle haben noch keine strukturierte Antwort auf die Frage: Welche KI-Systeme setzen wir ein und wie gehen wir damit um?

Das ist der eigentliche Handlungsbedarf. Nicht das große Compliance-Projekt, sondern der erste Schritt.

Wo Sie jetzt anfangen können

Der einfachste Einstieg ist eine Selbsteinschätzung: Was setzen wir ein? Welche Risikokategorie haben diese Systeme? Was müssen wir nachweisen können?

Ich habe eine kostenlose Checkliste mit 10 Fragen entwickelt, die Ihnen in 10 Minuten zeigt, wo Sie heute stehen.

Die Checkliste finden Sie auf ai-officer-mittelstand.de.

Wenn Sie danach wissen möchten, was Ihre Ergebnisse für Ihren konkreten Betrieb bedeuten und was als nächstes zu tun ist: Ich stehe für ein kostenloses 30-minütiges Erstgespräch zur Verfügung.

Vicki Janssen ist externe KI-Beauftragte für Mittelstandsunternehmen in Ostfriesland und Niedersachsen. Als ehemalige Geschäftsführerin, zertifizierter AI Officer (Blackboat/Härting) und mit einem MBA in Digital Transformation kennt sie die Herausforderungen des Mittelstands aus eigener Erfahrung. Dieser Artikel dient der allgemeinen Orientierung und ersetzt keine individuelle Rechtsberatung.