KI-Verordnung der EU: So betrifft das Regelwerk mittelständische Unternehmen

 

Im Rahmen von dem EU AI Act hat die EU erstmalig einen verbindlichen Regelungsrahmen für Künstliche Intelligenz geschaffen. Seit 1. August 2024 ist die Verordnung wirksam, und ihre Pflichten greifen stufenweise. Für KMU stellt sich die zentrale Frage: Welche Regeln betreffen mich wirklich – und was muss ich heute schon tun?

KI ist im Mittelstand längst keine Zukunftsvision mehr. Sie steckt im CRM-System, das Kundenanfragen priorisiert. Sie hilft im Einkauf bei der Bedarfsprognose. Sie erstellt Texte, analysiert Rechnungen und begleitet die Personalabteilung bei der Auswahl von Bewerbungen.

Eine aktuelle Bitkom-Untersuchung belegt, dass gegenwärtig rund 57 Prozent der deutschen Unternehmen KI im Marketing einsetzen – oft ohne klare Governance sowie ohne das passende Bewusstsein für regulatorische Folgen (mehr dazu). Wer sich heute fokussiert, umgeht spätere Haftungsrisiken sowie kann die offene Zeit bis zu den kommenden Stichtagen gezielt nutzen.

 

Einordnung der KI-Verordnung

Der EU AI Act – offiziell "Verordnung (EU) 2024/1689" – ist das global erste umfassende Regelwerk, das Künstliche Intelligenz risikoorientiert steuert. Anstelle individuelle Verfahren pauschal zu verbieten oder freizugeben, gliedert das Regelwerk KI-Systeme in vier Risikoklassen ein und knüpft die Pflichten an das jeweilige Risikopotenzial.

• Inakzeptables Wagnis: Anwendungen wie Social Scoring durch Ämter oder manipulative Systeme, die gezielt Schwächen ausnutzen, sind grundsätzlich verboten.
• Hohes Risiko: KI in sicherheits- oder grundrechtsrelevanten Sektoren wie Recruiting, Kreditwürdigkeitsprüfung oder wesentlicher Infrastruktur unterliegt strengen Auflagen.
• Eingeschränktes Risiko: Chatbots, Sprachassistenten und KI-generierte Beiträge müssen transparent gekennzeichnet werden.
• Minimales Gefährdungsniveau: Klassische Einsatzbereiche wie Spam-Filter oder Empfehlungssysteme verbleiben größtenteils ungeregelt.

Für den KMU-Sektor ist diese Klassifizierung eine positive Mitteilung: Die überwiegenden KI-Anwendungen, die derzeit in typischen KMU laufen, gehören in die unteren zwei Klassen. Systeme mit hohem Risiko sind vergleichsweise die Seltenheit – sie tauchen jedoch rascher auf als vermutet, etwa wenn ein HR-Tool automatisiert Bewerbungen beurteilt oder ein Finanzmodul eine Kreditentscheidung unterstützt.

 

Der Zeitplan des EU AI Act

Der EU AI Act entwickelt seine Auswirkung schrittweise. Entscheidend ist: Einige Vorgaben bestehen schon, andere stehen direkt an, erneut andere wurden durch den sogenannten Digital Omnibus politisch neu verhandelt.

Der verbindliche Zeitplan sieht bislang folgendermaßen aus:

• Ab 2. Februar 2025: Untersagungen bestimmter KI-Praktiken und die Verpflichtung zur KI-Kompetenz nach Artikel 4 sind anwendbar.
• Seit 2. August 2025: Vorgaben für Anbieter genannter General-Purpose-AI-Modelle greifen.
• Ab 2. August 2026: Transparenzpflichten nach Artikel 50 und – nach ursprünglicher Konzeption – die Vorgaben an Hochrisiko-KI-Systeme.

 

Das unterschätzte Fundament des EU AI Act

Eine der am häufigsten unterschlagenen Bestimmungen ist die KI-Kompetenzpflicht nach Artikel 4. Sie besteht schon seit dem 2. Februar 2025 – und zwar unabhängig von Risikoklasse, Branche oder Unternehmensgröße (zum Artikel 4).

Ausdrücklich fordert der Gesetzgeber, dass Anbieter und Betreiber von KI-Systemen sicherstellen, dass ihr Personalbestand und alle in ihrem Auftrag handelnden Personen über ein ausreichendes Maß an KI-Kompetenz verfügen. Das umfasst auch vermeintlich harmlose Einsatzbereiche wie ChatGPT oder Microsoft Copilot. Wenn ein Mitarbeiter ein KI-Tool im Arbeitskontext verwendet, ergibt sich Schulungsbedarf.

Wir beobachten in der Praxis regelmäßig, dass diese Pflicht unterschätzt wird. Der Gesetzgeber fordert zwar keine festgelegte Stundenzahl und kein bestimmtes Schulungsformat, aber drei Fähigkeitsbereiche sollten berücksichtigt werden:

• Technisches Grundverständnis: Wie funktioniert ein KI-System? Welche Daten verarbeitet es? Wo liegen die Beschränkungen?
• Juristisches Fachwissen: Welche Vorschriften gelten für den Gebrauch, insbesondere im Zusammenwirken mit DSGVO und branchenspezifischer Compliance?
• Praxisbezogene Kenntnisse: Welche Prompts sind zweckmäßig, wo liegen übliche Fehlerursachen, wann ist personelle Aufsicht zwingend?

Ein Zuwiderhandeln gegen Artikel 4 ist aktuell noch nicht direkt bußgeldbewehrt. Im Schadensfall kann aber eine fehlende Schulung als Missachtung der Sorgfaltspflicht eingestuft werden – mit entsprechenden Haftungsfolgen für die Geschäftsführung. Aus unserer Praxiserfahrung als IT-Dienstleister ist die Botschaft klar: Lieber ein pragmatisches, dokumentiertes Schulungskonzept als gar keines.

 

Was ab 2026 und 2027 auf Sie zukommt

Zwei weitere Regelungsblöcke sind für den KMU-Sektor besonders relevant. Zum Ersten die Transparenzpflichten nach Artikel 50, die voraussichtlich zum 2. August 2026 anwendbar werden. Zum Zweiten die Anforderungen an Hochrisiko-Systeme, deren Geltung – abhängig vom Digital Omnibus – in den Kalenderjahren 2027 und 2028 folgt.

Die Transparenzpflichten sind rasch erläutert: Wer Chatbots oder KI-Telefonassistenten verwendet, muss die Anwender darüber unterrichten, dass sie mit einem KI-System kommunizieren. Wer KI-generierte Beiträge, Bilder, Audios oder Clips veröffentlicht, muss jene prinzipiell maschinenlesbar kennzeichnen. Bei Deepfakes, also verblüffend echten Darstellungen realer Personen, ist zusätzlich eine deutlich erkennbare Markierung vorgegeben. Für ein mittelständisches Unternehmen heißt das: Ein eindeutiger Hinweis am Chatbot, ein Vermerk im Impressum und ein Zusatz in der Datenschutzerklärung decken den Großteil der Anforderungen ab.

Abweichend schaut es bei Hochrisiko-KI aus. Wer ein System nach Anhang III einsetzt – beispielsweise eine Recruiting-Software mit automatisierter Vorauswahl oder ein Werkzeug zur Kreditwürdigkeitsprüfung – muss eine Konformitätsbewertung durchführen, ein Risikomanagementsystem etablieren, technische Dokumentation bereitstellen, Protokolle wenigstens sechs Monate aufbewahren und eine personelle Überwachung gewährleisten. Diese Vorgaben greifen ungeachtet der Unternehmensgröße. Ein 30-Personen-Mittelständler muss hier gleichermaßen liefern wie ein Konzern.

Die Bußgelder machen klar, wie ernst es die EU meint: Bei Zuwiderhandlungen drohen bis zu 35 Millionen Euro oder 7 Prozent des globalen Jahresumsatzes, je nachdem, welcher Betrag höher ist (mehr Infos).

 

Ihr Fahrplan für die Umsetzung

Eine belastbare Vorplanung muss kein Mammutprojekt sein. Erfahrungsgemäß betrachtet reicht ein strukturiertes Verfahren in fünf Schritten.

• KI-Inventur: Dokumentieren Sie strukturiert, welche KI-Systeme in welchen Bereichen im Einsatz sind – inklusive zugekaufter Software, integrierter Funktionen in vorhandenen Tools und eventueller Shadow-IT.

• Risikoklassifizierung: Weisen Sie jedes System einer Risikoklasse zu. Häufig liegt die überwiegende Anzahl im Segment „minimal“ oder „begrenzt“, einzelne Kandidaten erfordern aber einen zweiten Blick.

• Verantwortlichkeiten benennen: Bestimmen Sie, wer intern für KI-Compliance verantwortlich ist. Das kann eine neue Rolle sein oder in vorhandene Organisationseinheiten wie Datenschutz oder Informationssicherheit integriert werden.

• Schulungskonzept umsetzen: Stellen Sie ein Basistraining für alle Beschäftigten auf, ergänzt durch weiterführende Schulungen für Fachbereiche mit stärkerem KI-Einsatz.

• Dokumentation gewährleisten: Halten Sie Rollen, Prozesse, Schulungsnachweise und Bewertungen schriftlich fest. Im Prüfungsfall entscheidet eine transparent nachvollziehbare Dokumentation.

Zahlreiche dieser Maßnahmen können sich mit bestehenden Prozessen aus DSGVO- und NIS-2-Compliance verbinden. Wer dort schon sauber organisiert ist, hat für den EU AI Act einen deutlichen Startvorteil.

 

Wer jetzt handelt, gewinnt Spielraum

Der EU AI Act ist kein Schreckgespenst, aber auch keine Nebensächlichkeit. Er wirkt schon heute – über die KI-Kompetenzpflicht – und wird in den bevorstehenden Monaten und Jahreszeiträumen durch Transparenzregeln und Hochrisiko-Pflichten konkreter. Selbst wenn der Digital Omnibus die Zeitvorgaben für Hochrisiko-Systeme nach hinten verschiebt, bleibt die Entwicklung unverändert: Wer KI im Unternehmen nutzt, muss Verantwortung dokumentieren, Kompetenzen aufbauen und Prozesse belastbar gestalten.

Für den Mittelstand liegt darin eine zweifache Chance. Einerseits schafft ein strukturierter Umgang mit KI Vertrauen bei Kunden, Partnern und Prüfern. Zum anderen ergibt sich so die Grundlage, um KI produktiv und rechtssicher in die unternehmenseigene Wertschöpfung zu integrieren, statt sie aus Ungewissheit zu behindern.

Sie möchten prüfen, wo Ihr Unternehmen beim Bereich EU AI Act positioniert ist, und einen praxisnahen Fahrplan erstellen? Kontaktieren Sie uns gerne – als Ihr IT-Dienstleister unterstützen wir Sie von der KI-Inventur über die Risikoeinstufung bis zur Schulung Ihrer Mitarbeitenden.