EU AI Act: Was Mittelständler bis August 2026 wirklich tun müssen

Was am 2. August 2026 passiert

Der 2. August 2026 ist kein theoretisches Datum. Ab diesem Tag gelten die vollen Pflichten des EU AI Acts für Hochrisiko-KI-Systeme — und das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist als zentrale Aufsichtsbehörde über das KI-Maßnahmen- und Innovationsgesetz (KI-MIG) befugt, Bußgelder durchzusetzen. Bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes — je nachdem, was höher ist.

Die gute Nachricht: Die meisten mittelständischen Unternehmen betreiben keine Hochrisiko-KI im Sinne von Anhang III. Die schlechte Nachricht: Viele wissen das nicht — und riskieren damit unnötige Unsicherheit oder, schlimmer noch, echte Compliance-Lücken dort, wo sie tatsächlich bestehen.

Welche KI-Systeme Ihres Unternehmens betroffen sind

Der EU AI Act unterscheidet vier Risikoklassen: verbotene Systeme, Hochrisiko-Systeme (Anhang III), Systeme mit begrenztem Risiko und Systeme mit minimalem Risiko. Für den Mittelstand sind die Kategorien aus Anhang III entscheidend — konkret drei Bereiche:

• HR-Systeme mit KI-Scoring: Bewerbungsauswahl, Performance-Bewertung, „Cultural Fit"-Algorithmen. Wer automatisierte Personalentscheidungen trifft, ist im Hochrisiko-Bereich.
• Bonitätsprüfung und Kreditbewertung: KI-gestützte Kreditentscheidungen, Lieferantenrisikobewertung, automatisierte Zahlungsausfallprognosen.
• Wesentliche Dienste: KI in kritischer Infrastruktur, Energie, Wasserversorgung — für die meisten Mittelständler nicht relevant.

Was explizit nicht unter Hochrisiko fällt: ChatGPT für Texterstellung, KI-gestützte Marketing-Automatisierung, einfache Prozessautomatisierung, Wissensmanagementsysteme wie Aipe. Diese fallen in die Kategorie minimales oder begrenztes Risiko — mit deutlich schlankeren Anforderungen.

Die 5 Pflichten als KI-Betreiber

Wichtig: Betreiber sind Unternehmen, die ein KI-System von einem Anbieter nutzen — also praktisch jeder Mittelständler, der eine KI-Software einsetzt. Für Betreiber von Hochrisiko-Systemen gelten ab 2. August diese konkreten Pflichten:

• 1. KI-Kompetenz (Art. 4): Bereits seit Februar 2025 Pflicht — Mitarbeitende, die KI nutzen oder deren Ergebnisse bewerten, müssen nachweislich geschult sein. Bei Hochrisiko-Systemen wird diese Anforderung schärfer geprüft.
• 2. Risikomanagement: Dokumentiertes System zur Identifikation, Bewertung und Kontrolle von Risiken des eingesetzten KI-Systems.
• 3. Menschliche Aufsicht: Für Hochrisiko-Entscheidungen muss ein benannter Mensch die Kontrolle behalten und eingreifen können. Vollautomatische Entscheidungen ohne Override-Möglichkeit sind verboten.
• 4. Protokollführung: Automatisierte Logs aller KI-Aktivitäten, mindestens 6 Monate aufbewahren, auf Anfrage der Aufsichtsbehörde bereitzustellen.
• 5. Transparenz gegenüber Betroffenen: Personen, die von KI-Entscheidungen betroffen sind (Bewerber, Kreditnehmer), müssen informiert werden.

8-Wochen-Fahrplan für den Mittelstand

Sie haben heute noch 8 Wochen bis zum Stichtag. Das reicht — wenn Sie jetzt starten.

• Woche 1–2: Bestandsaufnahme. Liste aller KI-Systeme im Unternehmen: welche Tools, welche Anbieter, welche Entscheidungen werden unterstützt oder getroffen? Oft überrascht, wie viele KI-Features in bestehenden HR- oder CRM-Systemen stecken.
• Woche 3: Risikoklassifizierung. Für jedes System prüfen: Fällt es unter Anhang III? Die meisten Standardtools (Office-KI, Chatbots, Wissenssysteme) fallen in minimales Risiko.
• Woche 4–5: Hochrisiko-Maßnahmen. Für identifizierte Hochrisiko-Systeme: Risikodokumentation aufbauen, menschliche Aufsicht formalisieren, Logging sicherstellen.
• Woche 6: KI-Kompetenz-Nachweis. Schulungsmaßnahmen dokumentieren — kann auch ein strukturiertes Selbststudium mit Nachweis sein.
• Woche 7–8: Dokumentation finalisieren. Alles schriftlich, mit Datum, mit Verantwortlichen. Im Prüfungsfall zählt nur, was nachweisbar ist.

Was das für die Wahl Ihrer KI-Plattform bedeutet

Unternehmen, die jetzt eine KI-Plattform einführen, sollten Compliance nicht als Add-on betrachten — sondern als Auswahlkriterium. Plattformen, die von Anfang an auf EU-Hosting, granulares RBAC, vollständige Audit-Logs und dokumentierte Datenverarbeitung setzen, machen den 2. August zu einem Verwaltungsakt statt zu einer Krise.

Aipe wurde mit diesem Gedanken gebaut: DSGVO und EU AI Act sind keine Features, die wir nachrüsten — sie sind die Architektur. Jede Aktion ist geloggt, jeder Zugriff ist rollenbasiert gesteuert, kein Datum verlässt die EU-Infrastruktur.

„Der AI Act ist kein Bürokratiemonster — wenn man früh anfängt und sich nicht von Anhang III erschlagen lässt. Wer im Mai startet, ist im August fertig." — Mittelstandsexperte, KI-Compliance