Ab August 2026 gelten für Hochrisiko-KI-Systeme die vollständigen Anforderungen der EU-Verordnung 2024/1689. Für typische Mittelständler mit 25 bis 150 Mitarbeitern bedeutet das in der Praxis fünf Pflichten: KI-Inventar führen, Mitarbeiter nach Art. 4 schulen, Use-Cases nach Risikoklasse einstufen, für Hochrisiko ein Konformitätsmanagement aufbauen und Schatten-KI durch Richtlinie plus sichere Alternative ersetzen. Die Schulungspflicht gilt bereits seit Februar 2025. Wer nur öffentliche Chat-Tools nutzt, ist nicht automatisch frei, denn Art. 4 und die DSGVO greifen unabhängig von der Risikoklasse.
Hinweis: Dieser Artikel beschreibt die technisch-organisatorische Umsetzung. Er ersetzt keine Rechtsberatung.
Betrifft der AI Act mein Unternehmen überhaupt?
Die Verordnung unterscheidet nicht nach Branche, sondern nach Rolle und Nutzung. Drei Situationen decken den Mittelstand ab.
| Situation | Typisches Beispiel | AI-Act-Relevanz |
|---|---|---|
| Nur öffentliche KI-Tools | ChatGPT, Copilot, Gemini im Browser | Art. 4 Schulung, DSGVO, keine Hochrisiko-Pflicht |
| KI im Geschäftsprozess | Rechnungsextraktion, E-Mail-Triage, Bewerber-Vorsortierung | Risikoeinstufung nötig, ggf. Hochrisiko |
| Eigene KI-Entwicklung | Internes Modell, Fine-Tuning, RAG-System | Anbieter- oder Betreiberpflichten je nach Rolle |
Wenn Sie in einer dieser Kategorien liegen, sollten Sie die Checkliste unten abarbeiten. Unternehmen ohne jede Form von KI-Nutzung sind selten, weil Mitarbeiter öffentliche Tools oft ohne Freigabe einsetzen.
Welche Fristen gelten bis 2027?
| Datum | Was gilt | Relevante Artikel |
|---|---|---|
| 02/2025 | KI-Kompetenz der Mitarbeiter sicherstellen | Art. 4 |
| 08/2025 | Pflichten für allgemeine KI-Modelle (GPAI) | Art. 51 ff. |
| 08/2026 | Vollständige Hochrisiko-Anforderungen | Art. 9–15, Anhang III |
| 08/2027 | Hochrisiko für bestimmte eingebettete Produkte | Art. 6 Abs. 1 |
Die Tabelle ist unser Stand Juli 2026. Wir aktualisieren sie, sobald die EU-Kommission neue Leitlinien veröffentlicht.
Checkliste nach Unternehmenssituation
Situation A: Mitarbeiter nutzen nur öffentliche KI-Tools
- KI-Inventar erstellen. Listen Sie alle Tools, die im Unternehmen vorkommen, inklusive nicht genehmigter Nutzung.
- Art.-4-Schulung durchführen. Alle betroffenen Mitarbeiter erhalten eine dokumentierte Einweisung zu Chancen, Risiken und verbotenen Eingaben.
- KI-Richtlinie veröffentlichen. Erlaubte Tools, Datenklassen und Freigabeprozess schriftlich festlegen.
- DSGVO prüfen. Wo fließen personenbezogene Daten in US-Clouds? AVV und Hosting-Entscheidung dokumentieren.
- Sichere Alternative anbieten. Für sensible Inhalte eine interne Lösung bereitstellen, damit Schatten-KI abnimmt.
Situation B: KI läuft in Geschäftsprozessen
Alle Punkte aus Situation A, zusätzlich:
- Risikoeinstufung je Use-Case. Entscheidungsbaum anwenden: Verboten, Hochrisiko, begrenztes Risiko, minimales Risiko.
- Dokumentation für Hochrisiko. Technische Dokumentation, Risikomanagement, menschliche Aufsicht, Protokollierung.
- Lieferanten prüfen. Steht im Vertrag, ob der Anbieter Konformität nachweist?
- Vor August 2026 Maßnahmenplan. Priorisierung nach Bußgeld-Risiko und Geschäftswirkung.
Situation C: Unternehmen entwickelt oder betreibt eigene KI
Alle Punkte aus A und B, zusätzlich:
- Rolle klären. Sind Sie Anbieter, Betreiber oder Beauftragter im Sinne der Verordnung?
- Konformitätsbewertung. Für Hochrisiko-Systeme CE-Kennzeichnung und EU-Konformitätserklärung vorbereiten.
- Post-Market-Monitoring. Prozesse für Vorfälle, Rückrufe und Meldungen definieren.
Was kostet die Erstumsetzung?
| Maßnahme | Aufwand intern | Externer Festpreis (Orientierung) |
|---|---|---|
| KI-Inventar + Risikoeinstufung | 3–5 Personentage | ab 1.250 EUR (KI-Readiness-Audit) |
| Vollständiges AI-Act-Audit inkl. Schulungskonzept | 5–8 Personentage | 3.000 EUR |
| Hochrisiko-Konformitätsdokumentation | 10–20 Personentage | projektabhängig |
Als Entwicklungspartner mit Festpreisen aus Oberhausen rechnen wir den Einstieg von 1.250 EUR bei einer Folge-Implementation vollständig an. Das senkt das Risiko für Geschäftsführung und Compliance-Verantwortliche, die intern keine KI-Rechtsexpertise haben.
Welche Fehler sehen wir in Audits am häufigsten?
Drei Muster wiederholen sich in Betrieben mit 40 bis 120 Mitarbeitern.
Erstens: Die Geschäftsführung glaubt, der AI Act betreffe nur Tech-Unternehmen. Sobald Buchhaltung Rechnungen per KI extrahiert oder Vertrieb Angebotsentwürfe generiert, ist die Verordnung relevant. Die Frage ist nicht ob, sondern welche Pflichten greifen.
Zweitens: Es gibt eine IT-Richtlinie, aber kein KI-Inventar. Ohne Liste der tatsächlich genutzten Tools können Sie weder schulen noch Risiken einstufen. Eine kurze Umfrage plus DNS-Logs auf bekannte KI-Domains deckt Schatten-KI in einer Woche auf.
Drittens: Hochrisiko wird verdrängt, weil niemand HR-Prozesse mit KI verbindet. Bewerber-Vorsortierung per KI fällt unter Anhang III. Das muss vor August 2026 dokumentiert sein.
Wie sieht ein 30-Tage-Plan aus?
| Woche | Aufgabe | Ergebnis |
|---|---|---|
| 1 | KI-Inventar und Schatten-KI-Umfrage | Liste aller Tools |
| 2 | Risikoeinstufung der Top-5-Use-Cases | Bewertungsblätter |
| 3 | Art.-4-Schulung Stufe 1 für alle | Teilnehmerliste |
| 4 | Richtlinie freigeben, Lückenplan erstellen | Version 1.0 live |
Wer intern keine Kapazität hat, bündelt Woche 1 bis 4 in einem Festpreis-Audit. Als Entwicklungspartner aus Oberhausen liefern wir den Plan in 10 Werktagen inklusive Mini-PoC.
Welche Branchen sollten früher starten?
| Branche | Warum früher | Typischer Auslöser |
|---|---|---|
| Steuerkanzleien | Verschwiegenheit plus Mandantendaten | Belegextraktion, Zusammenfassungen |
| Großhandel | Viele Prozesse, ERP-Anbindung | Rechnungseingang, Bestellabgleich |
| Maschinenbau | Zulieferer-Compliance | Dokumenten-KI, Angebots-KI |
| Personaldienstleister | Hochrisiko bei Bewerbungen | Vorsortierung, Scoring |
In regulierten Branchen ist der AI Act oft der Einstieg, weil Kunden und Partner nach Dokumentation fragen. Der Kanzlei-Artikel behandelt die Schnittmenge aus Berufsrecht und KI-Verordnung.
Wann reichen Bordmittel, wann brauchen Sie Unterstützung?
Intern reicht es oft für Situation A, wenn HR und IT gemeinsam Richtlinie und Schulung aufsetzen. Sobald Hochrisiko-Anwendungen im Spiel sind oder Mandantendaten, Gesundheitsdaten oder Bewerbungsunterlagen verarbeitet werden, lohnt sich ein strukturiertes Audit. Dann sehen Sie in 10 Werktagen, welche von 5 bis 8 typischen Use Cases priorisiert werden müssen.
Wer Bewerber-Vorsortierung oder Kreditwürdigkeitsprüfung per KI betreibt, sollte die Hochrisiko-Einstufung vor August 2026 abschließen. Die Schulungspflicht nach Art. 4 können Sie unabhängig davon sofort umsetzen.
Für einen Festpreis-Einstieg mit dokumentiertem Maßnahmenplan bieten wir das AI-Act-Compliance-Audit an. Hosting auf IONOS in Deutschland und n8n-basierte Workflows sind dabei unser Standard, wenn technische Nachweise gefordert werden.
Wie priorisieren Sie Maßnahmen bei knappem Budget?
Nicht alles muss im ersten Quartal fertig sein. Diese Reihenfolge maximiert Risikoreduktion pro Euro:
- Art.-4-Schulung mit Nachweis (sofort, geringe Kosten)
- KI-Richtlinie Version 1.0 (Woche 2 bis 3)
- Hochrisiko-Use-Cases identifizieren und stoppen oder absichern (vor 08/2026)
- Sichere Alternative für Klasse-C-Daten (mittelfristig)
- Vollständige Konformitätsdokumentation nur für bestätigtes Hochrisiko
Ein Betrieb mit 70 Mitarbeitern und zwei Hochrisiko-Kandidaten investiert typischerweise 3.000 EUR in das Audit plus 5.000 bis 12.000 EUR in die technische Absicherung des kritischsten Falls. Alles andere kann in Q3 und Q4 folgen, solange der Plan schriftlich vorliegt.
Wie dokumentieren Sie den Fortschritt für die Geschäftsführung?
Compliance-Projekte verlieren oft an Schwung, weil niemand den Status sieht. Ein einseitiges Ampel-Dashboard reicht:
| Maßnahme | Status | Verantwortlich | Zieltermin |
|---|---|---|---|
| KI-Inventar | erledigt / offen | IT | KW 28 |
| Art.-4-Schulung | erledigt / offen | HR | KW 30 |
| Hochrisiko-Bewertung | erledigt / offen | Compliance | KW 32 |
| Richtlinie v1.0 | erledigt / offen | GF | KW 31 |
| Sichere Alternative | erledigt / offen | IT | KW 36 |
Aktualisieren Sie die Tabelle monatlich im Management-Meeting. So bleibt der AI Act ein Geschäftsthema, kein IT-Side-Project.
Häufige Fragen
Betrifft der AI Act auch Unternehmen ohne eigene KI-Entwicklung?
Ja. Wer KI-Systeme einsetzt oder Mitarbeiter öffentliche KI-Tools nutzen lässt, fällt unter die Verordnung. Die Schulungspflicht nach Art. 4 gilt seit Februar 2025 für alle Betriebe, die KI im Geschäftsbetrieb verwenden.
Was passiert, wenn wir bis August 2026 nichts tun?
Für Hochrisiko-KI drohen ab August 2026 Bußgelder bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes. In der Praxis sind für KMU eher fünfstellige Beträge realistisch, aber der Reputationsschaden bei einem Vorfall wiegt oft schwerer.
Reicht eine allgemeine IT-Richtlinie für den AI Act?
Nein. Sie brauchen eine dokumentierte KI-Nutzungsrichtlinie, nachweisbare Mitarbeiterschulung und für Hochrisiko-Anwendungen ein formales Konformitätsmanagement. Eine generische IT-Policy deckt diese Anforderungen nicht ab.
Wie lange dauert die Erstbewertung in einem 80-MA-Betrieb?
Mit strukturiertem Vorgehen rechnen Sie mit 2 bis 3 Wochen für Inventar, Risikoeinstufung und erste Maßnahmen. Ein Festpreis-Audit als Entwicklungspartner dauert typischerweise 10 Werktage und liefert einen priorisierten Maßnahmenplan.
Müssen wir jedes ChatGPT-Nutzungsverbot aussprechen?
Ein pauschales Verbot löst das Problem nicht, weil Mitarbeiter die Tools trotzdem nutzen. Besser ist eine Richtlinie mit erlaubten Tools, Datenklassen und einer DSGVO-konformen Alternative für sensible Inhalte.