EU AI Act im Mittelstand: Diese Pflichten gelten jetzt für Unternehmen

Der EU AI Act ist die weltweit erste umfassende Regulierung für Künstliche Intelligenz. Anders als viele glauben, tritt er nicht an einem einzigen Stichtag vollständig in Kraft, sondern in mehreren Stufen zwischen 2025 und 2028. Genau diese Staffelung sorgt für Verwirrung im Mittelstand. Wer im Netz nach dem Thema sucht, findet vor allem globale Einordnungen für Konzerne und Gesetzestext-Analysen für Juristen, aber selten eine klare Antwort auf die Frage: Was bedeutet das konkret für ein Unternehmen mit 30, 80 oder 200 Mitarbeitenden?

Dieser Artikel ordnet die aktuelle Rechtslage ein und zeigt, welche Pflichten heute schon greifen, welche noch verschoben sind und wo aus unserer Sicht als IT-Sicherheitsdienstleister die eigentlichen Risiken liegen.

Was der EU AI Act für Unternehmen bedeutet

Der EU AI Act verfolgt einen risikobasierten Ansatz. Statt jede KI-Anwendung gleich zu behandeln, unterscheidet die Verordnung zwischen vier Risikoklassen: verbotene Praktiken, Hochrisiko-Systeme, Systeme mit begrenztem Risiko und Systeme mit minimalem Risiko. Je größer das Risiko für Grundrechte und Sicherheit von Menschen, desto strenger die Auflagen.

Für die meisten Mittelständler ist das entscheidend, weil nicht jede KI-Nutzung reguliert wird. Ein Team, das ChatGPT für Textentwürfe nutzt, unterliegt anderen Regeln als ein Unternehmen, das KI zur automatisierten Bewerbervorauswahl einsetzt. Genau diese zweite Kategorie, KI-Systeme, die über Menschen entscheiden oder solche Entscheidungen vorbereiten, zählt zu den Hochrisiko-Anwendungen nach Anhang III der Verordnung (also KI-Systemen mit den strengsten Auflagen, weil sie direkten Einfluss auf wichtige Entscheidungen über Menschen haben).

Wichtig zu verstehen: Der EU AI Act gilt unabhängig davon, ob Ihr Unternehmen KI selbst entwickelt oder nur fertige Tools einsetzt. Wer ein KI-System im eigenen Betrieb nutzt, gilt rechtlich als Betreiber (also als Nutzer eines fertigen Systems, im Unterschied zum Anbieter, der es entwickelt hat) und trägt eigene Pflichten, auch wenn die Software von einem externen Anbieter stammt.

Die Verordnung unterscheidet außerdem zwischen zwei technischen Kategorien von Hochrisiko-Systemen, die in der öffentlichen Diskussion häufig durcheinandergeworfen werden. Anhang III erfasst eigenständige KI-Anwendungen, etwa Software zur Bewerbervorauswahl oder Kreditwürdigkeitsprüfung, die für sich allein stehen. Anhang I erfasst KI, die als Sicherheitskomponente in ein bestehendes Produkt eingebaut ist, etwa in eine Maschinensteuerung oder ein Medizingerät. Für die meisten mittelständischen Dienstleistungs- und Handelsunternehmen ist vor allem Anhang III relevant, für produzierende Betriebe mit eigenen technischen Produkten zusätzlich Anhang I.

Diese Fristen gelten wirklich

Die Verwirrung um den EU AI Act entsteht vor allem durch seinen gestaffelten Zeitplan. Vier Daten sind für den Mittelstand relevant, und sie liegen deutlich weiter auseinander, als viele Beiträge im Netz suggerieren.

Die Frist für die Hochrisiko-Pflichten nach Anhang III wurde im Juni 2026 gegenüber dem ursprünglichen Zeitplan nach hinten verschoben. Verschoben ist dabei nur das Datum, nicht die inhaltliche Pflicht selbst.

Eine Ausnahme innerhalb der Transparenzpflichten betrifft die Kennzeichnung KI-generierter Inhalte (Artikel 50 Absatz 2): Für Systeme, die bereits vor dem 2. August 2026 im Einsatz waren, gilt hierfür eine Übergangsfrist bis zum 2. Dezember 2026. Die Chatbot-Offenlegungspflicht selbst kennt diese Ausnahme nicht und gilt uneingeschränkt seit August 2026.

Für die praktische Planung im Mittelstand heißt das: Die Transparenzpflicht für Chatbots ist bereits Pflicht. Die Kompetenzpflicht für Mitarbeitende ebenfalls. Die schärferen Hochrisiko-Auflagen liegen noch vor Ihnen, aber die Zeit bis dahin sollte für die Vorbereitung genutzt werden, nicht verstreichen gelassen.

Was zählt als Hochrisiko-KI? Drei Beispiele aus der Praxis

Die abstrakte Definition aus der Verordnung hilft im Alltag wenig. Drei Beispiele aus dem Mittelstand zeigen, wo die Grenze in der Praxis verläuft.

Der entscheidende Unterschied liegt fast immer darin, ob am Ende ein Mensch die eigentliche Entscheidung trifft oder ob die KI diese Entscheidung faktisch schon vorwegnimmt.

Warum KI-Agenten das Risiko verschärfen

Der stärkste technologische Trend 2026 sind KI-Agenten, Systeme, die eigenständig Aufgaben planen und ausführen, ohne dass ein Mensch jeden einzelnen Schritt freigibt. Im Mittelstand tauchen sie zunehmend in der automatisierten Angebotserstellung, in der Buchhaltung oder in der Steuerung von Lieferketten auf.

Aus regulatorischer Sicht sind Agenten deshalb heikel, weil sie oft genau die Grenze zwischen einfacher Automatisierung und Hochrisiko-Anwendung verwischen. Ein Agent, der selbstständig Rechnungen freigibt oder Personalentscheidungen vorbereitet, bewegt sich schnell in den Bereich, den der AI Act als Hochrisiko einstuft, auch wenn das ursprüngliche Tool dafür nicht gedacht war.

Aus Sicherheitssicht kommt ein zweites Problem hinzu. Ein Agent mit Zugriff auf mehrere Systeme ist ein neuer, oft schlecht abgesicherter Angriffspunkt. Wer einem KI-Agenten Zugang zu Kundendaten, E-Mail-Postfächern oder Finanzsystemen gibt, muss sich fragen, wie dieser Zugriff geschützt, protokolliert und begrenzt wird. In der Praxis fehlt genau diese Absicherung häufig, weil KI-Agenten oft von Fachabteilungen eingeführt werden, ohne dass die IT-Sicherheit von Anfang an eingebunden ist. Wer den Einsatz von KI-Agenten im eigenen Unternehmen plant, sollte Zugriffsrechte und Protokollierung deshalb von Beginn an mitdenken, nicht nachträglich.

Shadow AI: das Risiko, das niemand dokumentiert

Während Unternehmen noch über offizielle KI-Strategien diskutieren, nutzen ihre Mitarbeitenden längst private Accounts bei ChatGPT, Copilot oder anderen Diensten, um sich die Arbeit zu erleichtern. Diese unkontrollierte Nutzung wird als Shadow AI bezeichnet, in Anlehnung an die bekannte Schatten-IT.

Das Problem dabei ist selten der Einsatz von KI an sich, sondern die fehlende Kontrolle darüber, welche Daten dabei das Unternehmen verlassen. Ein Vertriebsmitarbeiter, der eine Kundenliste in ein KI-Tool kopiert, um eine E-Mail zu formulieren, hat möglicherweise gerade personenbezogene Daten an einen externen Anbieter übertragen, ohne dass eine Datenschutz-Folgenabschätzung stattgefunden hat oder die IT-Abteilung überhaupt davon weiß.

Für den EU AI Act ist Shadow AI zusätzlich relevant, weil die KI-Kompetenzpflicht nach Artikel 4 nicht zwischen offiziell eingeführten Tools und privater Nutzung unterscheidet. Wer als Unternehmen die Augen davor verschließt, dass Mitarbeitende KI im Arbeitsalltag nutzen, verletzt die Kompetenzpflicht faktisch trotzdem, weil niemand geschult wurde. Ein erster, pragmatischer Schritt ist ein IT-Sicherheitscheck, der auch die tatsächlich im Unternehmen genutzten KI-Tools erfasst, nicht nur die offiziell freigegebenen.

Was Sie jetzt konkret tun sollten

Die gute Nachricht: Die notwendigen Schritte sind überschaubar und lassen sich ohne große IT-Abteilung umsetzen.

Wer bei der Einordnung unsicher ist oder die eigene KI-Nutzung strukturiert aufarbeiten möchte, findet in einer unabhängigen KI-Beratung einen praktikablen Einstieg, der sich an der tatsächlichen Unternehmensgröße orientiert, nicht an Konzern-Blaupausen.

Fazit

Der EU AI Act ist für den Mittelstand kein abstraktes Zukunftsthema mehr, sondern in Teilen bereits geltendes Recht. Wer heute einen Chatbot ohne Kennzeichnung betreibt oder Mitarbeitende ohne jede Schulung mit KI arbeiten lässt, bewegt sich schon jetzt außerhalb der aktuellen Vorgaben. Gleichzeitig ist der Aufwand für die ersten Schritte überschaubar, solange man frühzeitig anfängt statt auf die nächste Frist zu warten.

Wer wissen möchte, wo das eigene Unternehmen aktuell steht, kann das im Rahmen einer KI-Beratung klären, ohne dafür bereits eine fertige KI-Strategie mitbringen zu müssen.

Weiterführende Quellen

Für alle, die tiefer einsteigen möchten, sind das die relevanten offiziellen Anlaufstellen zum EU AI Act:

• Offizieller Verordnungstext (EUR-Lex) – die vollständige Verordnung (EU) 2024/1689 im Wortlaut
• Regulatory Framework for AI (Europäische Kommission) – offizieller Überblick zum Umsetzungsstand
• Enforcement of the AI Act (AI Office) – Zuständigkeiten und Durchsetzung auf EU- und nationaler Ebene