EU AI Act — KI-Omnibus Mai 2026
Was Mittelstandsbetriebe jetzt tun müssen
Der EU AI Act ist seit August 2024 in Kraft. Der KI-Omnibus vom Mai 2026 hat die Hochrisiko-Frist auf Dezember 2027 verschoben. Die Schulungspflicht und die Kennzeichnungspflicht für KI-Inhalte gelten trotzdem.
Das gilt nicht nur für KI-Hersteller. Wer ChatGPT, Copilot oder KI-gestützte Software nutzt, ist Betreiber im Sinne des Gesetzes. Und hat Pflichten.
Kostenlosen KI-Check starten→In 10 Minuten sehen Sie, welche Pflichten für Ihren Betrieb gelten. Kostenlos, keine Registrierung.
Betroffenheit
Betrifft das wirklich unseren Betrieb?
Ja, wenn Sie eines dieser Systeme einsetzen:
- →ChatGPT, Claude oder ähnliche Sprachmodelle
- →Microsoft Copilot in Word, Outlook oder Teams
- →KI-gestützte Kalkulationssoftware
- →Automatisierte Entscheidungssysteme in Produktion oder Einkauf
- →Bilderkennungs- oder Qualitätsprüfsysteme
Sie sind unsicher, welche Ihrer Systeme betroffen sind? Das Self-Assessment gibt Ihnen eine erste Einschätzung in 10 Minuten.
Pflichten
Die fünf Pflichten, die Sie kennen müssen
Der EU AI Act definiert konkrete Anforderungen für Betreiber von KI-Systemen. Das sind die fünf wichtigsten.
KI-Inventar
Sie müssen dokumentieren, welche KI-Systeme Sie einsetzen. ChatGPT, Copilot, KI-gestützte Buchhaltung oder Produktionsplanung: alles gehört ins Inventar.
Risikoklassifizierung
Jedes System wird einer Risikoklasse zugeordnet. Hochrisiko-Systeme unterliegen strengeren Auflagen. Die meisten Systeme im Mittelstand fallen in die niedrigen Kategorien.
Nutzungsrichtlinie
Sie brauchen eine interne Richtlinie, die regelt, wie Mitarbeitende KI-Systeme einsetzen dürfen. Das ist keine Empfehlung. Es ist Pflicht.
Schulungsnachweis
Seit Februar 2025 gilt die KI-Grundkompetenzpflicht. Mitarbeitende, die KI nutzen, müssen nachweislich grundlegende Kenntnisse über KI-Systeme haben.
Anbieter-Check
Sie müssen prüfen, ob Ihre KI-Anbieter die Anforderungen des EU AI Act erfüllen. Fehlende Konformitätserklärungen sind ein Haftungsrisiko.
Zeitachse
Fristen und Risikoklassen im Überblick
Die wichtigsten Fristen
August 2024
EU AI Act in Kraft getreten
Februar 2025
KI-Grundkompetenzpflicht gilt
Dezember 2026
Kennzeichnungspflicht für KI-generierte Inhalte
Dezember 2027
Vollständige Compliance für Hochrisiko-KI
Die vier Risikoklassen
Verboten
Unannehmbares Risiko
Social Scoring, manipulative Systeme
Strenge Auflagen
Hohes Risiko
Bewerber-Screening, Kreditvergabe
Transparenzpflicht
Begrenztes Risiko
Chatbots, KI-Inhalte kennzeichnen
Keine Auflagen
Minimales Risiko
Spamfilter, die meisten Mittelstand-Tools
In 5 Minuten wissen Sie, wo Sie stehen
Der kostenlose KI-Check zeigt Ihnen, welche Pflichten für Ihren Betrieb gelten und wo KI Zeit spart. Keine Registrierung. Keine Verkaufspräsentation.
Kostenlosen KI-Check starten→FAQ
Häufige Fragen
Die folgenden Antworten dienen der allgemeinen Information und stellen keine Rechtsberatung dar. Für rechtssichere Einschätzungen zu Ihrem konkreten Fall empfehlen wir, einen zugelassenen Rechtsanwalt hinzuzuziehen.
Betrifft der EU AI Act auch kleine und mittelständische Unternehmen?
Ja. Der EU AI Act (Verordnung (EU) 2024/1689) gilt unabhängig von der Unternehmensgröße. Es gibt keine generelle Ausnahme für kleine und mittlere Unternehmen. Für KMU sind einzelne Pflichten verhältnismäßig ausgestaltet, etwa bei der Dokumentation oder beim Zugang zu Reallaboren, doch die Kernpflichten gelten für alle. Sobald Sie KI im Unternehmen einsetzen, sind Sie betroffen.
Gilt der EU AI Act auch, wenn ich KI nur nutze und nicht selbst entwickle?
Ja, auch dann. Der AI Act unterscheidet zwischen Anbietern, die KI-Systeme entwickeln und auf den Markt bringen, und Betreibern, die KI-Systeme einsetzen. Die meisten Mittelständler sind Betreiber. Betreiber haben weniger Pflichten als Anbieter, aber eben nicht keine. Insbesondere die KI-Kompetenzpflicht und bestimmte Transparenzpflichten gelten auch für reine Nutzer.
Was bedeutet der EU AI Act konkret für ein Unternehmen, das ChatGPT oder Microsoft Copilot einsetzt?
Wer ChatGPT, Copilot oder vergleichbare Werkzeuge im Alltag nutzt, ist Betreiber eines KI-Systems. Die wichtigsten Pflichten dabei: Mitarbeiter müssen über ausreichende KI-Kompetenz verfügen (Artikel 4, gilt seit Februar 2025), bei bestimmten Anwendungen muss Transparenz hergestellt werden, und verbotene Einsatzzwecke sind tabu. Die normale Büronutzung fällt in aller Regel nicht unter die Hochrisiko-Vorschriften.
Was ist die KI-Kompetenzpflicht nach Artikel 4 des EU AI Act?
Artikel 4 verpflichtet sowohl Anbieter als auch Betreiber, für ein ausreichendes Maß an KI-Kompetenz bei ihren Mitarbeitern und allen Personen zu sorgen, die in ihrem Auftrag KI-Systeme betreiben. Das Kompetenzniveau muss zur jeweiligen Rolle und zum Einsatzkontext passen. Es ist die erste Pflicht des AI Act, die breit auch ganz normale Unternehmen trifft, unabhängig von Branche und Risikoklasse.
Ab wann gilt die KI-Kompetenzpflicht?
Seit dem 2. Februar 2025. Sie ist bereits in Kraft und anwendbar. Wichtig: Diese Pflicht ist von den aktuell diskutierten Fristverschiebungen des Digital Omnibus nicht betroffen. Sie gilt heute.
Was muss ich tun, um die KI-Kompetenzpflicht zu erfüllen?
Der AI Act schreibt kein bestimmtes Zertifikat vor. Verlangt werden angemessene Maßnahmen: Schulung und Sensibilisierung passend zu den jeweiligen Rollen, ein Grundverständnis von Chancen und Risiken der eingesetzten KI sowie eine Dokumentation darüber, dass diese Maßnahmen ergriffen wurden. In der Praxis heißt das: rollenbezogene Schulungen, eine klare Nutzungsrichtlinie und ein nachvollziehbarer Nachweis.
Wer im Unternehmen muss KI-kompetent sein?
Alle, die im Auftrag des Unternehmens KI nutzen oder von ihrem Einsatz betroffen sind, nicht nur die IT-Abteilung. Das reicht von der Geschäftsführung über den Vertrieb bis in die Fachbereiche. Das geforderte Niveau ist abgestuft und richtet sich nach der Aufgabe der jeweiligen Person.
Welche Fristen des EU AI Act sind für den Mittelstand wirklich relevant?
Für die meisten Mittelständler sind vier Stichtage zentral: die verbotenen Praktiken (seit 2. Februar 2025), die KI-Kompetenzpflicht (seit 2. Februar 2025), die Regeln für allgemeine KI-Modelle (seit 2. August 2025) und die Transparenzpflichten (ab 2. August 2026). Das Hochrisiko-Regime betrifft typische Büro- und Prozessanwendungen im Mittelstand in der Regel nicht.
Wurde die August-2026-Frist für Hochrisiko-KI verschoben?
Das ist im Gange, aber noch nicht abgeschlossen. Mit dem Digital Omnibus haben sich die EU-Institutionen am 7. Mai 2026 vorläufig darauf geeinigt, die Pflichten für eigenständige Hochrisiko-Systeme von August 2026 auf den 2. Dezember 2027 zu verschieben, für in regulierte Produkte eingebettete Systeme auf den 2. August 2028. Diese Einigung ist politisch, aber noch nicht förmlich verabschiedet.
Gilt die August-2026-Deadline jetzt noch oder nicht?
Rechtlich gilt sie bis auf Weiteres. Solange der Digital Omnibus nicht förmlich verabschiedet und im Amtsblatt der EU veröffentlicht ist, bleibt der ursprüngliche Stichtag 2. August 2026 verbindlich. Die förmliche Verabschiedung wird vor diesem Datum erwartet. Wer betroffen ist, sollte die Vorbereitung deshalb nicht aussetzen. Für die meisten Mittelständler sind ohnehin die Kompetenz- und Transparenzpflichten entscheidend, und die werden nicht verschoben.
Was sind Hochrisiko-KI-Systeme, und betreibt mein Unternehmen so etwas?
Hochrisiko-Systeme sind KI-Anwendungen in besonders sensiblen Bereichen wie Biometrie, kritischer Infrastruktur, Bildung, Beschäftigung, wesentlichen Diensten oder Strafverfolgung sowie KI als Sicherheitsbauteil in regulierten Produkten. Klassische Mittelstandsanwendungen wie automatisierte Angebotserstellung, E-Mail-Triage oder eine Wissensdatenbank sind normalerweise nicht hochriskant. Eine häufig übersehene Ausnahme ist der Personalbereich: KI, die Bewerber vorsortiert oder bewertet, gilt als hochriskant.
Welche KI-Anwendungen sind nach dem AI Act verboten?
Verboten sind seit Februar 2025 unter anderem Social Scoring, manipulative unterschwellige Techniken, das Ausnutzen von Schutzbedürftigkeit, das ungezielte Auslesen von Gesichtsbildern aus dem Internet sowie Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, jeweils mit eng definierten Ausnahmen. Für normale Unternehmen ist vor allem das Verbot der Emotionserkennung am Arbeitsplatz praxisrelevant.
Welche Transparenzpflichten gelten bei KI-Nutzung?
Nutzer müssen erkennen können, dass sie mit einer KI interagieren, etwa bei Chatbots. KI-generierte oder veränderte Inhalte wie Deepfakes müssen entsprechend gekennzeichnet werden. Diese Transparenzpflichten greifen weitgehend ab dem 2. August 2026. Die Kennzeichnungspflicht für Anbieter (Wasserzeichen) wurde im Omnibus auf den 2. Dezember 2026 verschoben, die Pflichten für Betreiber bleiben jedoch im Wesentlichen auf dem ursprünglichen Zeitplan.
Was ist Schatten-KI, und warum ist sie ein rechtliches Risiko?
Schatten-KI bezeichnet die inoffizielle Nutzung von KI-Werkzeugen durch Mitarbeiter ohne Wissen oder Freigabe des Unternehmens. Das Risiko ist doppelt: Erstens können vertrauliche Daten ungewollt abfließen, was auch datenschutzrechtlich heikel ist. Zweitens lässt sich die geforderte KI-Kompetenz und Kontrolle nicht nachweisen, wenn niemand weiß, welche Werkzeuge überhaupt im Einsatz sind. Schatten-KI ist deshalb Chefsache.
Was passiert, wenn meine Mitarbeiter KI-Tools ohne Freigabe nutzen?
Die Verantwortung bleibt beim Unternehmen als Betreiber. Unkontrollierte Nutzung untergräbt die Kompetenz- und Transparenzpflichten und schafft Risiken bei Datenschutz und Geheimnisschutz. Diese Pflichten lassen sich nicht an den einzelnen Mitarbeiter wegdelegieren. Wer nicht weiß, was im Unternehmen läuft, kann auch nichts steuern.
Brauche ich eine KI-Richtlinie im Unternehmen?
Der AI Act verlangt keine einzelne vorgeschriebene Richtlinie. In der Praxis ist eine KI-Nutzungsrichtlinie aber der naheliegende Weg, um die Kompetenzpflicht, die Steuerung von Schatten-KI und eine saubere Governance nachzuweisen. Sie ist faktisch erwartbar und gehört zu den ersten sinnvollen Schritten.
Welche Strafen drohen bei Verstößen gegen den EU AI Act?
Der Bußgeldrahmen ist gestaffelt. Für verbotene Praktiken drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, für Verstöße gegen andere Pflichten bis zu 15 Millionen Euro oder 3 Prozent, für falsche Angaben weniger. Für KMU gelten verhältnismäßige Obergrenzen. Die Höhe verdeutlicht, dass es sich nicht um eine Formalie handelt.
Wie fange ich als Mittelständler mit der AI-Act-Umsetzung an?
Ein pragmatischer Einstieg in vier Schritten: erstens erfassen, welche KI-Werkzeuge tatsächlich im Einsatz sind, inklusive Schatten-KI. Zweitens diese Anwendungen grob nach Risiko einordnen. Drittens die KI-Kompetenz der Mitarbeiter durch rollenbezogene Schulung sicherstellen. Viertens eine KI-Richtlinie aufsetzen und das Ganze dokumentieren. Dieser Bestandsaufnahme-Schritt ist gleichzeitig der beste Ausgangspunkt, um echte Effizienzpotenziale zu finden.
Was kostet die Umsetzung der EU-AI-Act-Pflichten ungefähr?
Das hängt stark vom Einsatzbereich ab. Die Basis aus Kompetenz, Richtlinie und Governance ist mit überschaubarem Aufwand erreichbar. Teuer wird es erst bei echten Hochrisiko-Systemen mit Konformitätsbewertung, die die meisten Mittelständler aber gar nicht betreiben. In der Regel übersteigt der Nutzen eines strukturierten KI-Einsatzes, gemessen in eingesparter Arbeitszeit, den Aufwand für die Compliance-Grundlagen deutlich.
Wie hängen KI-Einführung und EU-AI-Act-Compliance zusammen?
Sie sind dasselbe Projekt. Wer KI strukturiert einführt, also erfasst, welche Werkzeuge genutzt werden, Mitarbeiter schult, Richtlinien setzt und Prozesse dokumentiert, erfüllt damit zugleich die zentralen Pflichten des AI Act. Wer umgekehrt die Compliance ernst nimmt, schafft genau die Ordnung, die produktiven KI-Einsatz erst möglich macht. KI nutzen und KI regelkonform nutzen lassen sich nicht trennen, und das ist die eigentliche Botschaft: Der AI Act ist kein Hindernis für KI im Mittelstand, sondern die Anleitung, sie richtig einzuführen.
Was ist ein KI-Inventar und wie erstelle ich es?
Ein KI-Inventar listet alle KI-Systeme auf, die im Betrieb eingesetzt werden, mit Angaben zu Anbieter, Zweck und Risikoklasse. Unser Compliance-Check erstellt dieses Inventar als Teil der Analyse.
Wie lange dauert ein Compliance-Check?
Die Datenerhebung dauert einen halben Tag. Der vollständige Bericht mit Maßnahmenplan liegt in der Regel innerhalb von 5 Werktagen vor.
Was kostet das Self-Assessment?
Das Online-Self-Assessment ist kostenlos. Es zeigt Ihnen in 10 Minuten, welche Pflichten wahrscheinlich für Ihren Betrieb gelten. Für einen rechtsverbindlichen Compliance-Check bieten wir ein strukturierten Check an.