Der EU AI Act für KMU ist seit Monaten Gesprächsthema, und viele Inhaber sind verunsichert. Sie lesen von Bußgeldern in Millionenhöhe und fragen sich, ob schon die tägliche Arbeit mit ChatGPT oder Copilot ein Risiko ist. Dabei lässt sich die Lage für die meisten kleinen und mittleren Unternehmen klar einordnen, wenn man die wichtigsten Punkte einmal in Ruhe durchgeht.
Was ist der EU AI Act eigentlich?
Der EU AI Act ist das weltweit erste umfassende Gesetz, das den Einsatz von künstlicher Intelligenz regelt. Er gilt branchenübergreifend in der gesamten Europäischen Union, egal ob Industriebetrieb, Spedition oder Handwerksunternehmen betroffen sind. Ziel ist ein sicherer und vertrauenswürdiger Umgang mit KI, ohne dass sinnvolle Anwendungen unnötig ausgebremst werden.
Das Gesetz unterscheidet nicht pauschal zwischen Branchen, sondern danach, wie riskant eine konkrete KI-Anwendung ist. Genau das macht die Einordnung für den eigenen Betrieb manchmal etwas unübersichtlich.
Was bedeutet der EU AI Act für KMU konkret?
Für die meisten kleinen und mittleren Unternehmen ändert sich im Alltag wenig, denn die strengsten Pflichten treffen vor allem Anbieter von Hochrisiko-Systemen. Wer selbst KI entwickelt und verkauft, trägt mehr Verantwortung als jemand, der fertige Tools wie Microsoft 365 Copilot im Büro nutzt.
Das Gesetz unterscheidet zwischen Anbietern, die ein KI-System auf den Markt bringen, und Betreibern, die es im eigenen Unternehmen einsetzen. Die meisten Betriebe aus Handwerk, Logistik oder Dienstleistung sind in der Rolle des Betreibers, nicht des Anbieters. Das bedeutet weniger Pflichten, aber nicht gar keine.
Welche Risikostufen gibt es im EU AI Act?
Der EU AI Act teilt KI-Anwendungen in vier Stufen ein, von verboten bis unbedenklich. Diese Einteilung entscheidet darüber, welche Pflichten für ein Unternehmen tatsächlich gelten.
- Unannehmbares Risiko: Diese Anwendungen sind komplett verboten, zum Beispiel Systeme zur sozialen Bewertung von Personen.
- Hohes Risiko: Hierzu zählen etwa Systeme zur automatisierten Vorauswahl von Bewerbungen oder zur Bonitätsprüfung. Für sie gelten strenge Dokumentations- und Prüfpflichten.
- Begrenztes Risiko: Chatbots auf Webseiten fallen oft hierunter. Kunden müssen erkennen können, dass sie mit einer KI sprechen.
- Minimales Risiko: Die meisten Büroanwendungen wie Textassistenten, Übersetzungstools oder Spamfilter fallen in diese Kategorie. Hier gibt es kaum besondere Pflichten.
Wer im Büro mit Copilot Texte entwirft oder E-Mails zusammenfasst, bewegt sich in aller Regel im Bereich minimales oder begrenztes Risiko. Wer dagegen ein Tool zur automatisierten Bewerberauswahl einsetzt, sollte genauer hinschauen.
Was müssen kleine Unternehmen jetzt konkret tun?
Der erste Schritt ist, einen Überblick zu bekommen: Welche KI-Anwendungen sind im eigenen Betrieb überhaupt im Einsatz? Erst danach lässt sich beurteilen, welche Risikostufe jeweils zutrifft.
Seit Februar 2025 verlangt der EU AI Act außerdem, dass Unternehmen ein Mindestmaß an KI-Kompetenz im Team aufbauen. Das klingt bürokratischer, als es ist: Es geht darum, dass Mitarbeitende verstehen, was die eingesetzten KI-Tools können und wo ihre Grenzen liegen. Genau dafür bietet die Online-Schulung KI-Kompetenz in 24 Schritten einen kompakten Einstieg.
Bei Chatbots auf der eigenen Website reicht meist ein kurzer Hinweis, dass es sich um eine KI handelt. Bei Systemen mit höherem Risiko, etwa im Personalbereich, lohnt sich eine genauere Prüfung, am besten bevor das Tool breit eingeführt wird.
Wie sieht das in der Praxis aus?
Stellen Sie sich ein Logistikunternehmen vor, das einen KI-Chatbot für die Sendungsverfolgung auf der Website einsetzt. Weil Kunden direkt mit dem Bot kommunizieren, verlangt der EU AI Act hier Transparenz: Ein kurzer Hinweis wie „Sie sprechen mit einem virtuellen Assistenten“ reicht in der Regel aus, um die Pflicht zu erfüllen.
Ein Handwerksbetrieb, der KI nur zum Verfassen von Angeboten oder zum Zusammenfassen von Baustellenberichten nutzt, bewegt sich dagegen meist im Bereich minimales Risiko. Hier entstehen durch den EU AI Act praktisch keine zusätzlichen Pflichten. Entscheidend ist also immer die konkrete Anwendung, nicht die Branche an sich.
Kniffs Tipp
Die KI-Liste als erster Schritt
Notieren Sie sich in einer einfachen Liste, welche KI-Anwendungen in Ihrem Betrieb bereits genutzt werden, vom Textassistenten bis zum Chatbot. Fragen Sie dabei auch in anderen Abteilungen nach, denn oft nutzen Mitarbeitende längst Tools, von denen die Geschäftsführung nichts weiß.
Wo liegen Grenzen und Stolperfallen?
Die Einordnung ist nicht immer eindeutig, besonders bei Tools im Personalbereich oder bei Kreditentscheidungen. Hier lohnt sich im Zweifel eine genauere Prüfung, statt sich auf Vermutungen zu verlassen.
Wichtig zu wissen: Der EU AI Act ersetzt nicht den Datenschutz. Die DSGVO gilt zusätzlich und unabhängig davon, in welche Risikostufe eine KI-Anwendung fällt. Wer personenbezogene Daten verarbeitet, muss beide Regelwerke im Blick behalten.
Auch die Fristen sind gestaffelt: Verbote für inakzeptable Praktiken gelten bereits seit Februar 2025, weitere Pflichten für Hochrisiko-Systeme folgen stufenweise bis 2026 und 2027. Wer jetzt schon einen Überblick verschafft, muss später nicht unter Zeitdruck nacharbeiten. Weiterführende Informationen der EU-Kommission finden Sie unter digital-strategy.ec.europa.eu.
Wer unsicher ist, wie die eigenen Prozesse einzuordnen sind, bekommt beim KI-Check vor Ort eine klare Einschätzung, wo im Betrieb KI überhaupt zum Einsatz kommt und was das für den EU AI Act bedeutet.
Nehmen Sie sich diese Woche eine Viertelstunde Zeit und schreiben Sie auf, welche KI-Anwendungen in Ihrem Unternehmen bereits laufen, von der Texterstellung bis zum Chatbot auf der Website. Diese einfache Liste ist der erste und wichtigste Schritt zu mehr Sicherheit beim EU AI Act.
Häufige Fragen
Müssen kleine Unternehmen den EU AI Act sofort umsetzen?
Die meisten Pflichten richten sich nach der Risikostufe der konkreten KI-Anwendung, nicht pauschal nach der Unternehmensgröße. Wer als Betreiber Standard-Tools wie Copilot oder ChatGPT für Texte nutzt, hat deutlich weniger Pflichten als ein Anbieter von Hochrisiko-Systemen.
Was passiert bei Verstößen gegen den EU AI Act?
Bei Verstößen gegen den EU AI Act drohen Bußgelder, deren Höhe sich nach Schwere des Verstoßes und Unternehmensgröße richtet. Für die meisten KMU mit geringem Risiko ist die Wahrscheinlichkeit eines Verstoßes gering, wenn grundlegende Transparenzpflichten eingehalten werden.
Ab wann gilt der EU AI Act für KMU?
Erste Verbote und Pflichten gelten bereits seit Februar 2025, weitere Regelungen für Hochrisiko-Systeme folgen stufenweise bis 2026 und 2027. Es lohnt sich also, schon jetzt einen Überblick über die eigenen KI-Anwendungen zu verschaffen, statt bis zur letzten Frist zu warten.
