Der EU AI Act ist das KI-Gesetz der EU und gilt schrittweise. Für ein kleines Unternehmen ist er weniger bedrohlich, als er klingt, sobald du weißt, welche Stufe wann greift und was davon dich betrifft.
Was gilt schon?
Seit dem 2. Februar 2025 gelten zwei Dinge. Verbotene KI-Praktiken wie Social Scoring sind untersagt, und Artikel 4 verlangt von jedem Unternehmen, das KI einsetzt, ein angemessenes Niveau an KI-Kompetenz bei den Mitarbeitern. Das gilt unabhängig von der Größe und auch dann, wenn ihr nur einen Office-Copiloten nutzt. Seit August 2025 haben die Anbieter großer Modelle eigene Pflichten. Und seit dem 2. August 2026 gelten die Transparenzpflichten, Chatbots und KI-Inhalte müssen gekennzeichnet sein. Überwacht wird das in Deutschland von der Bundesnetzagentur.
Was kommt noch?
Für Systeme, die schon vor August 2026 im Einsatz waren, greift die Kennzeichnungspflicht zum 2. Dezember 2026. Die strengen Pflichten für Hochrisiko-Systeme folgen am 2. Dezember 2027, für KI in regulierten Produkten wie Medizingeräten am 2. August 2028. Diese Termine sind fest, die EU hat sie im Juli 2026 mit der Omnibus-Verordnung endgültig beschlossen. Ein weiteres Warten auf Brüssel gibt es nicht.
Betrifft dich die Hochrisiko-Klasse?
Hochrisiko heißt, die KI entscheidet über Menschen, bei der Personalauswahl, der Kreditvergabe oder in kritischer Infrastruktur. Die meisten Werkzeuge aus dem Betriebsalltag, vom Chatbot bis zur Rechnungserkennung, fallen unter minimales Risiko und damit unter keine besonderen Pflichten. Wenn du unsicher bist, gilt die Regel aus der Bauordnung, im Zweifel höher einstufen und nachfragen.
Das KI-Inventar
Alles Weitere baut auf einer Liste auf, dem KI-Inventar. Es zählt jede Stelle, an der in deinem Betrieb KI steckt, auch die eingebaute. Das CRM bewertet Leads mit KI, die Buchhaltung erkennt Rechnungen mit KI, beides gehört auf die Liste. Wer die Liste zum ersten Mal macht, ist meist überrascht, wie viel schon läuft.
Dein erster Schritt heute
Starte das Inventar. Nimm dir 20 Minuten und schreib jede Software auf, die ihr nutzt. Markiere, wo KI drinsteckt, im Zweifel steht es in der Funktionsliste des Anbieters. Diese Liste ist der Ausgangspunkt für die Risikoeinstufung deiner Werkzeuge. Die Schulungspflicht aus Artikel 4 deckst du beim Bautag gleich mit ab, den Teilnahmenachweis bekommst du dort dazu.
Die ausführliche Fassung für den Mittelstand mit allen Quellen liest du bei Convios: KI-Regulierung 2026, Pflichten im Mittelstand.