AI Act 2026: Was mittelständische Betriebe jetzt wissen müssen

Seit August 2026 gilt der europäische AI Act. Viele Betriebe sind unsicher, was das für sie bedeutet. Hier bekommen Sie einen klaren Überblick: Was ist Pflicht, was ist Kür, und wo fangen Sie am besten an.

Worum geht es beim AI Act?

Der AI Act ist die weltweit erste umfassende Regulierung für Künstliche Intelligenz. Die EU hat damit einen Rahmen geschaffen, der festlegt, welche KI-Systeme erlaubt sind, welche Auflagen sie erfüllen müssen und welche komplett verboten werden.

Für den Mittelstand bedeutet das: Wenn Sie KI einsetzen oder planen, KI einzusetzen, müssen Sie wissen, in welche Risikokategorie Ihre Anwendungen fallen. Davon hängt ab, welche Pflichten Sie haben.

Die vier Risikostufen im Überblick

Der AI Act teilt KI-Systeme in vier Kategorien ein:

1. Verbotene KI-Systeme: Social Scoring, manipulative Systeme, biometrische Echtzeit-Überwachung im öffentlichen Raum. Für die meisten Mittelständler nicht relevant.
2. Hochrisiko-KI: Systeme, die in kritischen Bereichen eingesetzt werden, zum Beispiel Personalauswahl, Kreditwürdigkeitsprüfung oder Sicherheitskomponenten. Hier gelten strenge Dokumentations- und Überwachungspflichten.
3. Begrenztes Risiko: Chatbots, Deepfakes, Empfehlungssysteme. Hier gilt vor allem eine Transparenzpflicht: Nutzer müssen wissen, dass sie mit einer KI interagieren.
4. Minimales Risiko: Spam-Filter, KI-gestützte Rechtschreibprüfung, einfache Automatisierungen. Keine besonderen Auflagen.

Was heißt das konkret für Ihren Betrieb?

Die meisten mittelständischen Betriebe nutzen KI aktuell im Bereich "begrenztes" oder "minimales" Risiko. Typische Beispiele:

• ChatGPT oder ähnliche Assistenten für Texterstellung
• KI-gestützte Buchhaltungs- oder ERP-Software
• Automatische Bildbearbeitung oder Übersetzung
• Chatbots auf der Firmenwebsite

Auch wenn diese Anwendungen in die niedrigeren Risikostufen fallen: Sie müssen dokumentieren, welche KI-Systeme Sie einsetzen, und sicherstellen, dass die Transparenzpflichten eingehalten werden.

Die meisten Betriebe unterschätzen nicht die Technologie, sondern den Dokumentationsaufwand. Ein KI-Verzeichnis anzulegen klingt trivial, bis man es wirklich macht.

Die fünf wichtigsten Pflichten auf einen Blick

1. KI-Inventar erstellen: Welche KI-Systeme setzen Sie ein? Wo? Wofür? Ein vollständiges Verzeichnis ist die Grundlage für alles Weitere.
2. Risikobewertung durchführen: Für jedes System prüfen: Welche Risikostufe? Welche Pflichten leiten sich daraus ab?
3. Transparenz sicherstellen: Nutzer und Betroffene müssen wissen, wann sie mit KI interagieren. Das betrifft auch Ihre Mitarbeiter.
4. Dokumentation aufbauen: Technische Dokumentation, Zweckbestimmung, Verantwortlichkeiten. Je höher das Risiko, desto umfangreicher die Anforderungen.
5. Zuständigkeit klären: Wer ist in Ihrem Unternehmen für KI-Compliance verantwortlich? Diese Rolle muss klar definiert sein.

Wo fangen Sie an?

Meine Empfehlung für den Einstieg:

1. Machen Sie den Quickcheck: In fünf Minuten erfahren Sie, wo Ihr Betrieb aktuell steht. Zum kostenlosen Quickcheck →
2. Erstellen Sie ein KI-Inventar: Listen Sie alle Tools und Systeme auf, die in Ihrem Betrieb KI nutzen. Vergessen Sie dabei nicht die "unsichtbare KI" in bestehender Software.
3. Holen Sie sich Unterstützung: Genau wie beim Datenschutz lohnt sich ein externer Experte, der den Überblick behält und Sie durch den Prozess begleitet.

Fazit

Der AI Act ist kein Grund zur Panik, aber auch kein Thema, das Sie auf die lange Bank schieben sollten. Die Regulierung ist da, die Fristen laufen, und die Bußgelder bei Verstößen sind empfindlich (bis zu 35 Millionen Euro oder 7 % des Jahresumsatzes).

Die gute Nachricht: Für die meisten mittelständischen Betriebe ist der Aufwand überschaubar, wenn man strukturiert vorgeht. Und genau dabei helfe ich Ihnen.