EU AI Act 2026: Was Unternehmen jetzt wissen müssen

Die KI-Verordnung der EU greift schrittweise – und betrifft längst nicht nur Tech-Konzerne. Wer im Mittelstand einen Chatbot, CV-Screening oder Lead-Scoring einsetzt, sollte 2026 die Pflichten kennen. Hier ist der pragmatische Überblick.

Der EU AI Act (Verordnung 2024/1689) ist die weltweit erste umfassende Regulierung für Künstliche Intelligenz. Seit August 2024 in Kraft, entfaltet die Verordnung ihre Wirkung in Stufen. Im Februar 2025 wurden bereits die ersten Verbote scharfgeschaltet. 2026 kommt die nächste große Welle – und damit auch Pflichten, die jedes Unternehmen betreffen können, das KI nutzt oder anbietet.

Die gute Nachricht: Anders als oft kolportiert wird, ist der AI Act kein bürokratisches Monster, das jeden Chatbot zur Compliance-Hölle macht. Die meisten Anwendungen im Mittelstand fallen in die Kategorie „minimales Risiko" und brauchen praktisch keine zusätzliche Dokumentation. Aber: Es gibt klare Pflichten für Hochrisiko-Systeme und Transparenz-Pflichten für viele alltägliche KI-Anwendungen. Wer hier blind agiert, riskiert empfindliche Bußgelder.

Besonders wichtig zu wissen: Der AI Act gilt extraterritorial. Sobald ein KI-System in der EU genutzt wird oder seine Ergebnisse in der EU verwendet werden, greift die Verordnung – egal, wo der Anbieter sitzt. Für KMU bedeutet das: Auch wenn du US-Tools wie ChatGPT, Claude oder Gemini einsetzt, bist du als Betreiber in der EU verantwortlich. Die DSGVO hat hier bereits den Maßstab gesetzt – der AI Act folgt der gleichen Logik.

Dieser Artikel gibt dir einen sachlichen Überblick: Welche Fristen 2026 wichtig sind, in welche Risikoklasse dein Use-Case fällt, was du dokumentieren musst – und welche fünf Schritte du jetzt konkret angehen solltest.

Wichtigste Fristen 2026 (chronologisch)

Der AI Act tritt nicht auf einen Schlag in Kraft, sondern in Stufen. Hier die wichtigsten Daten im Überblick:

Für dich als KMU ist vor allem der 2. August 2026 der entscheidende Stichtag. Ab diesem Datum gelten die Transparenz-Pflichten und Hochrisiko-Anforderungen vollumfänglich. Auch die KI-Kompetenz-Pflicht nach Art. 4 wird ab dann durchsetzbar – Mitarbeitende, die KI einsetzen, müssen ein „ausreichendes Maß an KI-Kompetenz" haben.

Ein häufiges Missverständnis: Der AI Act ersetzt nicht die DSGVO. Beide gelten parallel. Wenn dein KI-System personenbezogene Daten verarbeitet (was sehr oft der Fall ist), brauchst du weiterhin eine Rechtsgrundlage nach DSGVO, eine Datenschutz-Folgenabschätzung bei Hochrisiko-Anwendungen und transparente Information der Betroffenen. Der AI Act kommt obendrauf – nicht statt.

Was ist mit General Purpose AI (GPAI)? Das sind universell einsetzbare Modelle wie GPT-4, Claude oder Gemini. Seit August 2025 müssen deren Anbieter Transparenz-Dokumentation bereitstellen, Trainingsdaten-Zusammenfassungen veröffentlichen und Urheberrechte respektieren. Als Endnutzer profitierst du davon – die großen Anbieter veröffentlichen jetzt umfangreiche Compliance-Informationen, die du in deiner eigenen Dokumentation referenzieren kannst.

Die 4 Risiko-Klassen – was bedeutet jede für deinen Use-Case?

Der AI Act folgt einem risikobasierten Ansatz. Je größer das potenzielle Risiko für Grundrechte, Gesundheit oder Sicherheit, desto strenger die Regeln. Diese vier Klassen solltest du kennen:

Konkrete KMU-Szenarien – was darf ich, was nicht?

Damit das nicht abstrakt bleibt, hier fünf typische Szenarien aus dem Mittelstand:

Szenario 1: Kundenservice-Chatbot auf der Website

Risikoklasse: Limited Risk. Was du tun musst: Sichtbarer Hinweis, dass der Chatbot eine KI ist – nicht erst auf Nachfrage. Ein Satz wie „Hi, ich bin Cleo, der KI-Assistent von Cogswell IT" reicht meistens. Außerdem: DSGVO-konformer Umgang mit Konversationsdaten.

Szenario 2: CV-Screening mit KI

Risikoklasse: High Risk (Anhang III, Nr. 4). Was du tun musst: Erhebliche Pflichten – Risikomanagement-System, Datenqualitäts-Nachweise, Logging, menschliche Aufsicht (eine Person muss die KI-Entscheidung tatsächlich prüfen können, nicht nur abnicken), technische Dokumentation, Bewerber-Information. Ohne saubere Compliance: Finger weg.

Szenario 3: Lead-Scoring im B2B-Vertrieb

Risikoklasse: In der Regel Minimal Risk, weil reine Unternehmens-Bewertung. Was du tun musst: Nichts AI-Act-spezifisches, aber DSGVO beachten, sobald Personendaten von Ansprechpartnern verarbeitet werden.

Szenario 4: Voice-Agent für Telefonbestellungen

Risikoklasse: Limited Risk. Was du tun musst: Zu Beginn des Gesprächs offenlegen, dass es sich um einen KI-Agenten handelt („Hallo, ich bin der digitale Assistent von Restaurant X"). Aufzeichnungen und Datenverarbeitung wie bisher DSGVO-konform handhaben.

Szenario 5: Automatisierte Entscheidung über Vertragsverlängerung

Risikoklasse: Abhängig vom Kontext. Bei Verbrauchern und wesentlicher Auswirkung (z.B. Versicherung, Kredit, Wohnen): High Risk. Bei B2B-Standardverträgen meist Minimal Risk. Was du tun musst: Im Zweifel als High Risk behandeln oder die finale Entscheidung von einem Menschen treffen lassen.

Dokumentationspflichten – was musst du nachweisen?

Der AI Act unterscheidet zwischen Anbietern (wer das KI-System entwickelt oder unter eigenem Namen vertreibt) und Betreibern (wer das KI-System einsetzt). Die Pflichten sind unterschiedlich – die meisten KMU sind Betreiber.

Als Betreiber (du nutzt KI):

• KI-Kompetenz nachweisen (Art. 4) – Mitarbeitende, die KI bedienen, müssen geschult sein. Eine kurze interne Schulung mit Dokumentation reicht meist aus.
• Bei High-Risk-Systemen: Anweisungen des Anbieters befolgen, Logging-Daten 6 Monate aufbewahren, betroffene Personen informieren, Datenschutz-Folgenabschätzung durchführen.
• Transparenz: Bei Limited-Risk-Systemen Hinweise auf KI-Einsatz sichtbar platzieren.
• Verantwortliche benennen: Eine Person sollte intern Ansprechpartner für KI-Themen sein.

Als Anbieter (du baust und verkaufst KI):

• Technische Dokumentation nach Anhang IV (für Hochrisiko-Systeme): Systembeschreibung, Datenmanagement, Testverfahren, Risikobewertung.
• Konformitätsbewertung und CE-Kennzeichnung bei Hochrisiko-Systemen.
• Post-Market-Monitoring: Probleme dokumentieren, schwerwiegende Vorfälle innerhalb von 15 Tagen melden.
• Qualitätsmanagement-System einrichten.

Strafen und Risiken – wie hoch sind die Bußgelder?

Die Bußgelder im AI Act sind im DSGVO-Stil gestaffelt – und teilweise deutlich höher:

Für KMU gilt: Es wird stets der niedrigere der beiden Beträge angesetzt (Art. 99 Abs. 6). Das mildert das Risiko gegenüber Großkonzernen ab, ändert aber nichts daran, dass auch sechsstellige Bußgelder existenzbedrohend sein können. Hinzu kommt das Reputationsrisiko und mögliche zivilrechtliche Folgen, falls jemand durch fehlerhafte KI geschädigt wird.

5 konkrete Schritte, die du JETZT tun solltest

1. KI-Inventar erstellen. Liste alle KI-Systeme auf, die in deinem Unternehmen im Einsatz sind – inklusive der KI, die in Standard-Tools eingebaut ist (Microsoft Copilot, Salesforce Einstein, HubSpot AI etc.). Ohne dieses Inventar kannst du Compliance nicht steuern.
2. Risikoklassen zuordnen. Geh die Liste durch und klassifiziere jeden Use-Case. Wenn du unsicher bist, behandele den Fall im Zweifel als die nächst-höhere Stufe – das spart später Diskussionen.
3. KI-Kompetenz aufbauen. Plane bis August 2026 eine kurze interne Schulung. Ziel: Mitarbeitende verstehen, was KI kann, wo Grenzen liegen, wie sie Halluzinationen erkennen und sensibel mit Daten umgehen. Dokumentiere die Schulung.
4. Transparenz-Hinweise umsetzen. Chatbots, Voice-Agents, KI-generierte Inhalte – überall, wo Limited-Risk-Pflichten greifen, prüfe deine Hinweise. Ein Satz reicht oft, aber er muss sichtbar sein.
5. Verantwortliche benennen und Prozess festlegen. Eine Person als „AI Officer" oder zumindest als Ansprechpartner. Plus ein einfacher Prozess, mit dem neue KI-Tools vor Einsatz geprüft werden. Das muss kein Bürokratie-Monster sein – eine einseitige Checkliste reicht.

FAQ