EU AI Act: Was Mittelständler jetzt wirklich tun müssen

Aktualisiert im Oktober 2026: Mit dem Digital-Omnibus (Verordnung (EU) 2026/1744) wurden die Fristen für Hochrisiko-KI verschoben. Den aktuellen Stand mit allen Quellen finden Sie im Ratgeber EU AI Act.

Welche Fristen jetzt gelten

Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III gelten nach dem Digital-Omnibus ab dem 2. Dezember 2027, für Systeme nach Anhang I ab dem 2. August 2028. Zentrale Aufsichtsbehörde in Deutschland ist nach dem KI-MIG die Bundesnetzagentur. Verstöße gegen Betreiberpflichten können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden — je nachdem, was höher ist.

Die gute Nachricht: Die meisten mittelständischen Unternehmen betreiben keine Hochrisiko-KI im Sinne von Anhang III. Die schlechte Nachricht: Viele wissen das nicht — und riskieren damit unnötige Unsicherheit oder, schlimmer noch, echte Compliance-Lücken dort, wo sie tatsächlich bestehen.

Welche KI-Systeme Ihres Unternehmens betroffen sind

Der EU AI Act unterscheidet vier Risikoklassen: verbotene Systeme, Hochrisiko-Systeme (Anhang III), Systeme mit begrenztem Risiko und Systeme mit minimalem Risiko. Für den Mittelstand sind die Kategorien aus Anhang III entscheidend — konkret drei Bereiche:

• HR-Systeme mit KI-Scoring: Bewerbungsauswahl, Performance-Bewertung, „Cultural Fit"-Algorithmen. Wer automatisierte Personalentscheidungen trifft, ist im Hochrisiko-Bereich.
• Bonitätsprüfung und Kreditbewertung: KI-gestützte Kreditentscheidungen, Lieferantenrisikobewertung, automatisierte Zahlungsausfallprognosen.
• Wesentliche Dienste: KI in kritischer Infrastruktur, Energie, Wasserversorgung — für die meisten Mittelständler nicht relevant.

Einfache Prozessautomatisierung und Wissensmanagement können je nach konkretem Einsatz in die Kategorie minimales oder begrenztes Risiko fallen. Die Einordnung muss jedoch für den jeweiligen Anwendungsfall geprüft werden.

Die 5 Pflichten als KI-Betreiber

Wichtig: Betreiber sind Unternehmen, die ein KI-System von einem Anbieter nutzen — also praktisch jeder Mittelständler, der eine KI-Software einsetzt. Für Betreiber von Hochrisiko-Systemen gelten ab Fristbeginn diese konkreten Pflichten:

• 1. KI-Kompetenz (Art. 4): Seit Februar 2025 gilt: Unternehmen ergreifen Maßnahmen, die die KI-Kompetenz der Mitarbeitenden fördern, die KI nutzen oder deren Ergebnisse bewerten. Dokumentierte Schulungen sind der einfachste Nachweis.
• 2. Risikomanagement: Dokumentiertes System zur Identifikation, Bewertung und Kontrolle von Risiken des eingesetzten KI-Systems.
• 3. Menschliche Aufsicht: Für Hochrisiko-Entscheidungen muss ein benannter Mensch die Kontrolle behalten und eingreifen können. Vollautomatische Entscheidungen ohne Eingriffsmöglichkeit sind damit nicht vereinbar.
• 4. Protokollführung: Automatisierte Logs aller KI-Aktivitäten, mindestens 6 Monate aufbewahren, auf Anfrage der Aufsichtsbehörde bereitzustellen.
• 5. Transparenz gegenüber Betroffenen: Personen, die von KI-Entscheidungen betroffen sind (Bewerber, Kreditnehmer), müssen informiert werden.

8-Wochen-Fahrplan für den Mittelstand

Die verschobenen Fristen sind Luft, kein Freifahrtschein. Acht Wochen reichen für die Grundlagen — wenn Sie jetzt starten.

• Woche 1–2: Bestandsaufnahme. Liste aller KI-Systeme im Unternehmen: welche Tools, welche Anbieter, welche Entscheidungen werden unterstützt oder getroffen? Oft überrascht, wie viele KI-Features in bestehenden HR- oder CRM-Systemen stecken.
• Woche 3: Risikoklassifizierung. Für jedes System prüfen: Fällt es unter Anhang III? Die meisten Standardtools (Office-KI, Chatbots, Wissenssysteme) fallen in minimales Risiko.
• Woche 4–5: Hochrisiko-Maßnahmen. Für identifizierte Hochrisiko-Systeme: Risikodokumentation aufbauen, menschliche Aufsicht formalisieren, Logging sicherstellen.
• Woche 6: KI-Kompetenz-Nachweis. Schulungsmaßnahmen dokumentieren — kann auch ein strukturiertes Selbststudium mit Nachweis sein.
• Woche 7–8: Dokumentation finalisieren. Alles schriftlich, mit Datum, mit Verantwortlichen. Im Prüfungsfall zählt nur, was nachweisbar ist.

Was das für die Wahl Ihrer KI-Plattform bedeutet

Unternehmen, die jetzt eine KI-Plattform einführen, sollten Compliance nicht als Add-on betrachten — sondern Hosting, Protokollierung und Datenverarbeitung für den konkreten Einsatz prüfen.

AIPE bietet organisationsbezogene Zugriffskontrollen. Provider, Datenflüsse und regulatorische Anforderungen müssen passend zum Kundenkontext konfiguriert und bewertet werden.