Der EU AI Act für Mittelständler: was tatsächlich betrifft

„Müssen wir uns um den AI Act kümmern?" taucht seit einiger Zeit in Erstgesprächen auf — meist mit der Befürchtung, dass ein Rechnungs-Bot oder ein Kundenservice-Assistent jetzt ein europäisches Zulassungsverfahren durchlaufen muss. Für die meisten Anwendungen im Mittelstand ist das nicht der Fall. Für einige wenige ist es das sehr wohl.

Der EU AI Act (Verordnung (EU) 2024/1689) ist am 1. August 2024 in Kraft getreten und gilt seitdem stufenweise. Dieser Beitrag ordnet ein, was für typische Automatisierungsvorhaben tatsächlich gilt, was ab wann Pflicht wird und wo die Grenze zur Hochrisiko-Anwendung verläuft. Er ersetzt keine Rechtsberatung, sondern die Grundlage, mit der du gezielt in eine Prüfung gehen kannst.

Die kurze Antwort

Der EU AI Act betrifft die meisten Automatisierungen im Mittelstand kaum, weil sie in die Kategorie minimales Risiko fallen — Belege lesen, Anfragen sortieren, interne Wissensdatenbanken. Hier gibt es keine spezifischen Pflichten, aber seit dem 2. Februar 2025 die allgemeine Pflicht, dass Personal, das mit KI-Systemen arbeitet, über ausreichende KI-Kompetenz verfügt (Artikel 4). Setzt du einen Chatbot ein, der direkt mit Kunden spricht, greift zusätzlich eine Transparenzpflicht (Artikel 50): Der Kunde muss erkennen können, dass er mit einer KI kommuniziert. Ernst wird es erst bei Hochrisiko-Anwendungen nach Anhang III — dazu zählt insbesondere der Einsatz von KI in Personalentscheidungen, etwa bei der automatisierten Vorauswahl von Bewerbern. Diese Pflichten gelten größtenteils ab dem 2. August 2026 und bringen Dokumentations-, Aufsichts- und Nachweispflichten mit sich, die für einen typischen Mittelständler ohne rechtliche Begleitung kaum allein zu stemmen sind.

Die vier Risikostufen — und wo die meisten Vorhaben landen

Der AI Act teilt KI-Anwendungen nicht nach Branche ein, sondern nach dem Risiko, das von ihnen für Personen ausgeht:

| Risikostufe | Beispiele | Pflichten | |---|---|---| | Unannehmbares Risiko (verboten) | Social Scoring, manipulative Beeinflussung, bestimmte biometrische Echtzeit-Überwachung | Einsatz verboten | | Hohes Risiko | Automatisierte Bewerberauswahl, Kreditwürdigkeitsprüfung, bestimmte Anwendungen in Bildung und kritischer Infrastruktur | Risikomanagement, menschliche Aufsicht, Dokumentation, Konformitätsbewertung | | Begrenztes Risiko | Chatbots, KI-generierte Inhalte, Emotionserkennung | Transparenzpflicht — Offenlegung, dass KI beteiligt ist | | Minimales Risiko | Belege lesen, Angebote entwerfen, interne Dokumentenablage, Reporting | keine spezifischen Pflichten |

Die überwiegende Mehrheit dessen, was wir in Prozessanalysen sehen — Rechnungen erfassen, Anfragen vorsortieren, Protokolle erstellen, Dashboards befüllen —, landet in der untersten Zeile. Das ist der Grund, warum der AI Act für die meisten Betriebe weniger verändert, als die Schlagzeilen dazu vermuten lassen.

Die Zeitleiste — was ab wann gilt

| Datum | Was gilt | |---|---| | 1. August 2024 | AI Act tritt in Kraft | | 2. Februar 2025 | Verbotene Praktiken untersagt, Pflicht zur KI-Kompetenz (Art. 4) | | 2. August 2025 | Pflichten für Anbieter von KI-Basismodellen (General Purpose AI), Governance-Regeln, Bußgeldvorschriften | | 2. August 2026 | Großteil der Verordnung anwendbar, darunter die Hochrisiko-Pflichten nach Anhang III und die Transparenzpflichten nach Art. 50 | | 2. August 2027 | Hochrisiko-Pflichten für KI als Sicherheitskomponente in bereits regulierten Produkten (z. B. Medizinprodukte, Maschinen) |

Für die Praxis heißt das: Die Pflicht zur KI-Kompetenz gilt bereits. Die Transparenzpflicht für Chatbots und die Hochrisiko-Pflichten für Personalentscheidungen werden ab August 2026 verbindlich — wer heute plant, sollte sie von Anfang an mitdenken statt sie 2026 nachzurüsten.

Was für die meisten Mittelständler das eigentliche To-do ist

Drei Punkte betreffen praktisch jeden Betrieb, der KI einsetzt, unabhängig von der Risikostufe:

KI-Kompetenz im Team. Wer mit KI-Systemen arbeitet oder deren Ergebnisse prüft, sollte grundlegend verstehen, wie das System funktioniert, wo seine Grenzen liegen und wann eine Ausgabe zu hinterfragen ist. Das ist keine Schulungspflicht mit Zertifikat, aber eine Pflicht, die im Zweifel dokumentierbar sein sollte.

Transparenz bei Kundenkontakt. Ein Chatbot, ein automatisierter Anruf-Assistent oder eine KI-generierte Antwort im Kundenservice muss als solche erkennbar sein. Das lässt sich meist mit einem Satz im Chat-Fenster oder in der Anrufansage lösen und ist der am leichtesten zu erfüllende Punkt der ganzen Verordnung.

Dokumentation der eingesetzten Systeme. Eine einfache Übersicht — welches System, wofür, mit welchen Daten, seit wann — kostet wenig Aufwand und ist die Grundlage jeder späteren Einstufung. Ohne sie lässt sich im Streitfall kaum belegen, dass ein System korrekt eingeordnet wurde.

Wo es ernst wird: Hochrisiko nach Anhang III

Der AI Act zählt in Anhang III konkrete Anwendungsbereiche auf, die als hochriskant gelten — darunter Beschäftigung, Personalmanagement und der Zugang zu Selbstständigkeit. Konkret erfasst das unter anderem die automatisierte Vorauswahl oder Bewertung von Bewerbern, Entscheidungen über Beförderung oder Kündigung und die automatisierte Überwachung der Leistung von Beschäftigten. Wer ein solches System einsetzt, muss ab August 2026 unter anderem ein Risikomanagementsystem betreiben, für menschliche Aufsicht sorgen, technische Dokumentation führen und die Genauigkeit sowie Robustheit des Systems nachweisen können.

Das ist die Stelle, an der wir von einer vollautomatisierten Lösung abraten. Ein System, das Bewerbungen liest, zusammenfasst und eine Einschätzung liefert, ist unproblematisch, solange die Entscheidung über Einladung oder Absage bei einer Person bleibt. Sobald die KI die Entscheidung ohne menschliche Prüfung trifft, ist sie eine Hochrisiko-Anwendung mit vollem Pflichtenkatalog — ein Aufwand, der für die meisten Mittelständler in keinem Verhältnis zum Nutzen steht. Wie diese Grenze konkret in einem Bewerbungsprozess gezogen wird, ordnen wir in einem eigenen Beitrag ein.

Bei Verstößen gegen verbotene Praktiken drohen Bußgelder bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, bei anderen Pflichtverletzungen bis zu 15 Millionen Euro oder 3 Prozent (Artikel 99 der Verordnung). Die tatsächliche Höhe im Einzelfall setzt die zuständige Marktüberwachungsbehörde fest — das ist keine Zahl, die wir für einen konkreten Fall vorhersagen können.

Ein Beispiel aus der Praxis

Bei einer Prozessanalyse in einem Personaldienstleistungsunternehmen sollte ursprünglich eine KI eingehende Kandidatenprofile automatisch bewerten und die schwächsten direkt absagen. Nach Einordnung der Anwendung als Hochrisiko-Fall wurde der Ablauf geändert: Die KI erstellt eine strukturierte Zusammenfassung und eine Einschätzung der Passung, die Entscheidung über Absage oder nächsten Schritt trifft weiterhin eine Person im Team. Der Zeitgewinn blieb fast vollständig erhalten, die Pflichten aus Anhang III entfielen, weil keine automatisierte Entscheidung mehr vorlag.

Was jetzt zu tun ist

Für die meisten Betriebe reichen drei Schritte: die eingesetzten oder geplanten KI-Anwendungen auflisten, jede davon einer Risikostufe zuordnen, und bei allem, was in Richtung Personalentscheidung, Kreditvergabe oder vergleichbar sensible Bereiche geht, vor dem Bau eine rechtliche Einschätzung einholen. Für alles andere ändert sich operativ wenig — die Dokumentationspflicht und die Transparenzpflicht bei Chatbots lassen sich mit überschaubarem Aufwand erfüllen.

Der nächste Schritt

Ob eine geplante Automatisierung in eurem Betrieb in den Bereich minimales oder hohes Risiko fällt, lässt sich selten pauschal beantworten — das hängt am konkreten Ablauf und den betroffenen Daten. Genau diese Einordnung ist Teil einer Prozessanalyse. Wie eine rechtliche Ersteinschätzung bei uns abläuft und was sie leisten kann, steht auf der Seite KI-Beratung sowie im Beitrag DSGVO und KI: was im Unternehmen erlaubt ist, der die datenschutzrechtliche Seite derselben Vorhaben behandelt.