Der EU AI Act ist für den deutschen Mittelstand nicht nur eine neue Regulierung, sondern ein Rahmen für belastbare KI-Prozesse. Unternehmen mit dokumentierten Abläufen, geregelten Zuständigkeiten und fundiertem Branchenwissen können daraus einen Vertrauens- und Wettbewerbsvorteil entwickeln. Wer KI früh inventarisiert, bewertet und kontrolliert einführt, reduziert Risiken und verbessert zugleich Qualität, Skalierbarkeit und Kundenakzeptanz.

Warum ist der EU AI Act für den Mittelstand mehr als ein weiteres Gesetz?

In vielen Unternehmen wird der EU AI Act noch als Thema für Rechtsabteilung, Datenschutzbeauftragten oder IT-Leitung eingeordnet. Das wirkt zunächst nachvollziehbar: Die Verordnung enthält Rollenmodelle, Risikokategorien, Transparenzpflichten, Anforderungen an Hochrisiko-KI, Marktüberwachung und erhebliche Sanktionen. Wer jedoch nur auf die juristische Oberfläche schaut, übersieht die betriebswirtschaftliche Wirkung.

Der EU AI Act verändert nicht nur, welche KI-Systeme eingesetzt werden dürfen. Er verändert auch, wie Unternehmen KI auswählen, beschaffen, testen, freigeben, überwachen und gegenüber Kunden, Mitarbeitern oder Aufsichtsstellen vertreten. Aus einem spontan genutzten Werkzeug wird ein betriebliches System mit Zweck, Eigentümer, Datenquellen, Nutzungsgrenzen und dokumentierten Entscheidungen.

Für deutsche Mittelständler ist das weniger fremd, als es auf den ersten Blick erscheint. Maschinenbauer, Automobilzulieferer, technische Dienstleister, Elektro- und SHK-Betriebe, Logistikunternehmen oder Anbieter von Verkehrssicherung arbeiten bereits mit Prüfplänen, Arbeitsanweisungen, Freigabestufen, Wartungsintervallen, Gefährdungsbeurteilungen, Nachweisen und dokumentierten Übergaben. Der EU AI Act überträgt viele dieser vertrauten Prinzipien auf KI.

Die regulatorische Frage lautet deshalb nicht nur: Ist diese Anwendung erlaubt? Ebenso wichtig ist: Wer trägt die fachliche Verantwortung, welches Ergebnis soll die KI liefern, welche Fehler können entstehen und wie greift ein Mitarbeiter ein? Genau diese Fragen gehören zum täglichen Qualitäts- und Prozessmanagement erfolgreicher Mittelständler.

Warum passt der risikobasierte Ansatz zu deutschen Industrie- und Serviceunternehmen?

Der EU AI Act behandelt nicht jede KI-Anwendung gleich. Ein interner Textassistent für die Formulierung einer Terminbestätigung benötigt ein anderes Kontrollniveau als ein System, das Bewerber bewertet, sicherheitsrelevante Produktfunktionen unterstützt oder Entscheidungen mit erheblichen Auswirkungen auf Menschen vorbereitet.

Diese Logik entspricht der betrieblichen Praxis. Ein Fertigungsbetrieb prüft eine Änderung an einer Hilfsvorrichtung anders als eine Modifikation an einem sicherheitsrelevanten Bauteil. Ein technischer Service unterscheidet zwischen einer automatisch erstellten Gesprächsnotiz und einer Entscheidung über die Stilllegung einer Anlage. Im Bau- oder Handwerksbetrieb gelten für eine unverbindliche Textvorlage andere Freigaben als für einen Prüfbericht, eine Nachtragskalkulation oder eine sicherheitsbezogene Arbeitsanweisung.

Der vorgesehene Verwendungszweck ist dabei entscheidend. Nicht das verwendete Sprachmodell allein bestimmt die regulatorische Einordnung, sondern die konkrete Funktion im Geschäftsprozess. Dasselbe Basismodell kann in einem Unternehmen für eine niedrig riskante Zusammenfassung eingesetzt werden und in einem anderen Zusammenhang Teil eines Hochrisiko-Systems sein.

Für den Mittelstand entsteht daraus ein Vorteil: Unternehmen müssen nicht jede KI-Lösung mit maximalem Aufwand behandeln. Sie benötigen vielmehr eine nachvollziehbare Einstufung, angemessene Kontrollen und ein Betriebsmodell, das zum tatsächlichen Risiko passt. Wer bereits risikobasiert arbeitet, kann vorhandene Verfahren aus Qualitätsmanagement, Informationssicherheit, Produktsicherheit und Datenschutz weiterentwickeln, statt eine vollständig neue Bürokratie aufzubauen.

Welche Unternehmen und Anwendungen fallen überhaupt unter die KI-Verordnung?

Der EU AI Act betrifft Anbieter und Betreiber von KI-Systemen. Ein Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke in Verkehr beziehungsweise nimmt es in Betrieb. Ein Betreiber verwendet ein KI-System in eigener Verantwortung im Rahmen seiner beruflichen Tätigkeit.

Viele mittelständische Unternehmen werden zunächst Betreiber sein. Sie nutzen beispielsweise einen KI-Assistenten im Kundenservice, ein System zur Dokumentenanalyse, eine KI-gestützte Disposition, eine Übersetzungslösung oder eine Software zur Angebotserstellung. Die Einstufung kann sich jedoch ändern, wenn ein Unternehmen ein System wesentlich modifiziert, seinen vorgesehenen Verwendungszweck verändert oder es unter eigener Marke an Kunden weitergibt.

Das ist besonders für Maschinenbauer, Softwarehäuser, Integratoren, Hersteller technischer Produkte und Anbieter digitaler Plattformen relevant. Wer ein allgemeines Modell mit eigenen Daten, Regeln und Schnittstellen zu einer branchenspezifischen Lösung verbindet, sollte früh prüfen, welche Rolle daraus entsteht. Ein Unternehmen kann innerhalb derselben Wertschöpfungskette zugleich Betreiber eines Basismodells und Anbieter eines darauf aufbauenden KI-Systems sein.

Auch der geografische Anwendungsbereich reicht weit. Entscheidend ist nicht allein, wo ein Anbieter seinen Sitz hat. Der EU AI Act kann ebenfalls greifen, wenn ein System außerhalb der Europäischen Union entwickelt wurde, seine Ergebnisse jedoch in der EU verwendet werden. Der Einkauf bei einem US-amerikanischen oder asiatischen Anbieter nimmt ein deutsches Unternehmen daher nicht automatisch aus der Verantwortung.

Welche Pflichten gelten bereits und was ändert sich im August 2026?

Die KI-Verordnung gilt stufenweise. Seit dem 2. Februar 2025 sind die verbotenen KI-Praktiken sowie die Vorgaben zur KI-Kompetenz anwendbar. Seit dem 2. August 2025 gelten unter anderem Governance-Regeln und Verpflichtungen für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck.

Nach dem gegenwärtig geltenden Zeitplan werden ab dem 2. August 2026 große Teile der verbleibenden Verordnung anwendbar. Dazu gehören Transparenzpflichten für bestimmte KI-Systeme sowie die Regeln für Hochrisiko-KI-Systeme nach Anhang III. Bestimmte Hochrisiko-Systeme, die Bestandteil regulierter Produkte sind, folgen nach dem geltenden Zeitplan ab dem 2. August 2027.

Die Europäische Kommission hat mit dem Digital Omnibus Änderungen vorgeschlagen, die unter anderem den Anwendungsbeginn bestimmter Hochrisiko-Regeln an verfügbare Normen, gemeinsame Spezifikationen oder Leitlinien koppeln würden. Am 19. Juli 2026 ist dieser Vorschlag noch kein geltendes Recht. Unternehmen sollten deshalb den bestehenden Zeitplan als Arbeitsgrundlage verwenden und zugleich beobachten, ob das Gesetzgebungsverfahren formelle Änderungen hervorbringt.

In Deutschland hat der Bundesrat am 10. Juli 2026 dem nationalen Durchführungsgesetz zugestimmt. Das Gesetz sieht eine zentrale Rolle der Bundesnetzagentur vor, ergänzt durch bereits zuständige Fachbehörden und ein Koordinierungs- und Kompetenzzentrum. Nach Ausfertigung und Verkündung soll das Gesetz am folgenden Tag in Kraft treten.

Für Unternehmen bedeutet diese gestufte Anwendung: Der EU AI Act ist kein Thema, das erst irgendwann nach einer späteren Behördenprüfung relevant wird. Einige Pflichten gelten bereits, weitere stehen unmittelbar bevor. Eine vollständige Bestandsaufnahme erst nach dem Inkrafttreten weiterer Vorschriften wäre organisatorisch unnötig riskant.

Warum ist KI-Kompetenz keine freiwillige Schulungsinitiative mehr?

Artikel 4 verpflichtet Anbieter und Betreiber, nach besten Kräften ein ausreichendes Maß an KI-Kompetenz bei Mitarbeitern und anderen Personen sicherzustellen, die in ihrem Auftrag mit KI-Systemen arbeiten. Dabei sollen technische Kenntnisse, Erfahrung, Ausbildung, Einsatzkontext und die möglichen Auswirkungen auf betroffene Personen berücksichtigt werden. Die Verpflichtung gilt bereits seit dem 2. Februar 2025.

Das bedeutet nicht, dass jeder Mitarbeiter eine technische Ausbildung zum KI-Spezialisten benötigt. Eine Sachbearbeiterin im Vertriebsinnendienst braucht andere Kenntnisse als ein Entwickler, ein Personalleiter oder ein Monteur, der eine KI-gestützte Dokumentation nutzt. Entscheidend ist, dass die Qualifikation zum tatsächlichen Einsatz passt.

Für einen Textassistenten können Themen wie vertrauliche Daten, fachliche Prüfung, erfundene Angaben, Urheberrecht und zulässige Anwendungsfälle genügen. Bei einer KI-gestützten Qualitätsprüfung müssen Mitarbeiter zusätzlich Systemgrenzen, Fehlerraten, Eingabedaten und Eskalationswege verstehen. Wer ein Hochrisiko-System überwacht, benötigt die fachliche Befugnis und die organisatorische Möglichkeit, Ergebnisse zu hinterfragen oder den Prozess zu stoppen.

Ein allgemeines Online-Training für die gesamte Belegschaft wird daher selten ausreichen. Sinnvoller ist ein rollenbezogenes Kompetenzmodell, das Geschäftsführung, Fachbereiche, IT, Einkauf, Datenschutz und Anwender unterschiedlich adressiert. Bereits vorhandene Unterweisungs- und Schulungsprozesse lassen sich dafür nutzen.

Die Dokumentation sollte pragmatisch erfolgen: Zielgruppe, behandelte Systeme, Lerninhalte, Zeitpunkt, Verantwortlicher und gegebenenfalls ein kurzer Verständnisnachweis. Daraus entsteht nicht nur ein regulatorischer Nachweis, sondern ein wirksamer Schutz vor Fehlbedienung, ungeprüften Ergebnissen und Schatten-KI.

Wo begegnet Hochrisiko-KI dem Mittelstand in der Praxis?

Viele Unternehmen gehen davon aus, Hochrisiko-KI betreffe hauptsächlich Behörden, Banken oder internationale Technologiekonzerne. Tatsächlich können auch mittelständische Arbeitgeber, Hersteller und Dienstleister betroffen sein.

Ein wichtiges Feld ist das Personalwesen. Systeme zur Auswahl von Bewerbern, zur Filterung von Bewerbungen, zur Bewertung von Kandidaten oder zur Unterstützung bestimmter Entscheidungen über Beschäftigungsverhältnisse können als Hochrisiko-KI gelten. Das betrifft nicht jede Rechtschreibprüfung in einer Stellenanzeige, wohl aber Anwendungen, die Personen bewerten, priorisieren oder aussortieren.

Auch KI-Systeme zur Zuweisung von Aufgaben auf Grundlage persönlicher Merkmale, Verhaltensdaten oder Leistungsinformationen sowie bestimmte Systeme zur Überwachung und Bewertung von Mitarbeitern können erfasst sein. Die im Arbeitsbereich eingesetzte Emotionserkennung gehört grundsätzlich zu den verbotenen Praktiken, soweit keine eng begrenzte medizinische oder sicherheitsbezogene Ausnahme greift.

Ein weiteres Feld betrifft regulierte Produkte. Hersteller von Maschinen, Medizinprodukten, Funkanlagen, Aufzügen, Druckgeräten, persönlicher Schutzausrüstung oder anderen erfassten Produkten müssen prüfen, ob eine KI-Funktion ein sicherheitsrelevanter Bestandteil ist und einer Konformitätsbewertung unterliegt. In solchen Fällen verbindet sich der EU AI Act mit bestehendem Produktsicherheits- und CE-Management.

Für einen Maschinenbauer kann dies eine KI-gestützte Schutzfunktion, Fehlererkennung oder sicherheitsbezogene Steuerung betreffen. Für einen technischen Dienstleister kann eine Lösung relevant werden, wenn sie nicht nur Wartungshinweise formuliert, sondern eigenständig sicherheitskritische Entscheidungen vorbereitet. Die Abgrenzung hängt vom vorgesehenen Zweck, der Einbindung in das Produkt und der möglichen Auswirkung ab.

Der deutsche Mittelstand besitzt an dieser Stelle einen strukturellen Vorteil. Unternehmen, die bereits technische Dokumentationen, Risikobeurteilungen, Änderungsstände, Prüfprotokolle und Lieferantennachweise beherrschen, müssen das Grundprinzip nicht neu erfinden. Sie müssen ihre vorhandene Governance auf KI-spezifische Eigenschaften erweitern.

Welche Transparenzpflichten werden für Kunden und Öffentlichkeit wichtig?

Ab dem 2. August 2026 gelten nach dem derzeitigen Zeitplan Transparenzpflichten für bestimmte KI-Systeme. Personen müssen beispielsweise darüber informiert werden, wenn sie direkt mit einem KI-System interagieren, sofern dies nicht bereits aus den Umständen erkennbar ist.

Für einen telefonischen KI-Assistenten, einen Service-Chat oder einen digitalen Empfang bedeutet das: Der Kunde sollte wissen, dass er mit einem KI-System kommuniziert. Das ist nicht nur eine formale Pflicht. Eine angemessene Information verhindert falsche Erwartungen und ermöglicht einen geordneten Wechsel zu einem Mitarbeiter, wenn die Anfrage nicht zuverlässig bearbeitet werden kann.

Anbieter generativer Systeme müssen technische Maßnahmen vorsehen, damit künstlich erzeugte oder manipulierte Inhalte maschinenlesbar erkennbar sind. Betreiber müssen in bestimmten Fällen offenlegen, dass Deepfakes oder Inhalte zu Angelegenheiten von öffentlichem Interesse künstlich erzeugt oder verändert wurden. Für redaktionell geprüfte Texte mit übernommener Verantwortung gelten Ausnahmen und Besonderheiten.

Für typische B2B-Angebote, interne Zusammenfassungen oder technische Entwürfe entsteht daraus keine pauschale Kennzeichnungspflicht für jeden einzelnen KI-unterstützten Satz. Unternehmen müssen den konkreten Anwendungsfall prüfen. Marketing, Unternehmenskommunikation, Produktdokumentation und automatisierte Kundenkontakte sollten dabei gemeinsam betrachtet werden.

Wer Transparenz nur als Pflichttext behandelt, verschenkt Potenzial. Ein Unternehmen kann verständlich darstellen, wo KI eingesetzt wird, welche Aufgaben sie übernimmt, wann ein Mitarbeiter entscheidet und wie Daten behandelt werden. Gerade im B2B-Geschäft kann dies Beschaffung, Lieferantenbewertung und Kundenfreigabe erleichtern.

Warum kann vorhandenes Qualitätsmanagement zum Wettbewerbsvorteil werden?

Der EU AI Act verlangt bei Hochrisiko-Systemen unter anderem Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Informationen für Betreiber, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit. Diese Anforderungen erinnern an Disziplinen, die in vielen deutschen Unternehmen bereits etabliert sind.

Ein nach ISO 9001 arbeitender Betrieb kennt Prozessverantwortung, dokumentierte Informationen, Abweichungsmanagement und kontinuierliche Verbesserung. Ein Maschinenbauer kennt Entwicklungsfreigaben, technische Akten, Änderungsdienste und Konformitätsbewertungen. Ein Automobilzulieferer arbeitet mit Lieferantenqualifizierung, Prüfmerkmalen, Rückverfolgbarkeit und Reklamationsprozessen. Ein Serviceunternehmen verfügt über Eskalationen, Einsatzberichte, Wartungsnachweise und vertragliche Reaktionszeiten.

Diese Strukturen lassen sich nicht unverändert auf KI übertragen, bieten aber eine belastbare Ausgangsbasis. Ein KI-System benötigt ebenfalls einen definierten Zweck, Freigabekriterien, verantwortliche Rollen, kontrollierte Änderungen und ein Verfahren für Fehler oder Vorfälle. Wer bereits prozessorientiert arbeitet, kann KI-Governance in bestehende Managementsysteme integrieren.

Dadurch sinkt die Gefahr einer parallelen Compliance-Welt. KI muss nicht in einem isolierten Ordner verwaltet werden. Sie kann in bestehende Beschaffungsprozesse, Informationssicherheitsrichtlinien, Datenschutzprüfungen, Qualitätsmanagement-Handbücher, Schulungspläne und interne Audits eingebettet werden.

Der Vorteil zeigt sich später bei Kundenanfragen. Wenn ein Auftraggeber wissen möchte, welches Modell eingesetzt wird, welche Daten verarbeitet werden, wie Ergebnisse geprüft werden und wer bei einem Fehler reagiert, kann ein vorbereitetes Unternehmen antworten. Wettbewerber, die lediglich eine Lizenz erworben haben, müssen diese Informationen erst zusammensuchen.

Wie unterscheiden sich reaktive Compliance und produktive KI-Governance?

Der Unterschied liegt nicht in möglichst umfangreicher Dokumentation. Produktive KI-Governance konzentriert sich auf Informationen, die für Entscheidungen, Betrieb, Nachweise und Verbesserung tatsächlich benötigt werden. Sie verbindet Recht, Technik und Fachprozess, statt sie in getrennten Arbeitssträngen zu behandeln.

Warum wird KI-Compliance zunehmend zu einem Vertriebsthema?

Im B2B-Geschäft prüfen Kunden nicht nur das Endprodukt, sondern auch Lieferkette, Datenschutz, Informationssicherheit, Nachhaltigkeit und Qualitätsmanagement. KI wird sich in diese Lieferantenprüfungen einreihen.

Ein Industriekunde kann künftig wissen wollen, ob ein Dienstleister KI in der Konstruktion, Angebotserstellung, Qualitätssicherung oder technischen Dokumentation einsetzt. Öffentliche Auftraggeber können Vorgaben für Datenstandorte, menschliche Kontrolle oder Nachvollziehbarkeit aufnehmen. Konzerne werden von Lieferanten Informationen zu eingesetzten Modellen, Unterauftragnehmern, Trainingsdaten, Sicherheitsmaßnahmen und Verantwortlichkeiten verlangen.

Der Mittelstand ist für solche Nachweisketten wirtschaftlich besonders relevant. Nach Angaben des Statistischen Bundesamtes gehörten 2023 rund 99,3 Prozent der Unternehmen in Deutschland zu den kleinen und mittleren Unternehmen. Das Bundeswirtschaftsministerium berichtet zudem, dass KMU im Jahr 2023 rund 96,9 Prozent der deutschen Warenexporteure stellten.

Damit wird KI-Governance zu einem Bestandteil industrieller Lieferfähigkeit. Ein Unternehmen, das regulatorische und kundenspezifische Anforderungen früh in seine Prozesse integriert, kann schneller auf Fragebögen, Audits und Ausschreibungen reagieren. Es reduziert die Gefahr, dass eine attraktive KI-Lösung kurz vor Projektstart an fehlenden Nachweisen oder Vertragsbedingungen scheitert.

Besonders exportorientierte Mittelständler können davon profitieren. Der EU AI Act schafft einen gemeinsamen europäischen Rahmen. Wer seine Lösungen und Prozesse daran ausrichtet, kann dieselben Grundstrukturen für mehrere EU-Märkte verwenden und gegenüber internationalen Kunden als Anbieter verantwortungsvoll betriebener KI auftreten.

Welche Auswirkungen hat der EU AI Act auf den Einkauf von KI-Lösungen?

Viele KI-Projekte beginnen mit einem kostenlosen Test oder einer schnell gebuchten Softwarelizenz. Für eine produktive Nutzung reicht ein Funktionsvergleich jedoch nicht mehr aus. Der Einkauf muss zusätzliche Fragen stellen.

Wichtig sind unter anderem die vertragliche Rolle des Anbieters, der vorgesehene Verwendungszweck, der Speicher- und Verarbeitungsort, Unterauftragnehmer, die Nutzung von Eingaben für Modelltraining, Löschfristen, Protokollierung, Informationssicherheit, Modellwechsel, Verfügbarkeit und Unterstützungsleistungen. Bei potenziell hochriskanten Anwendungen kommen technische Dokumentation, Konformitätsunterlagen und Informationen für die menschliche Aufsicht hinzu.

Besonders relevant sind Änderungen am Dienst. Cloudbasierte KI-Angebote entwickeln sich laufend weiter. Modelle werden ausgetauscht, Funktionen ergänzt, Schnittstellen verändert oder Nutzungsbedingungen angepasst. Ein Unternehmen sollte wissen, ob solche Änderungen angekündigt werden, welche Auswirkungen sie auf freigegebene Prozesse haben und ob ein Wechsel oder eine erneute Prüfung erforderlich wird.

Der Einkauf sollte deshalb nicht allein handeln. Fachbereich, IT, Datenschutz, Informationssicherheit und gegebenenfalls Qualitätsmanagement müssen ihren jeweiligen Blickwinkel einbringen. Das muss keinen monatelangen Beschaffungsprozess erzeugen. Ein standardisierter Prüfpfad mit abgestuften Anforderungen kann einfache Anwendungen schnell freigeben und anspruchsvollere Fälle gezielt vertiefen.

Ein guter Lieferant unterstützt diese Prüfung mit verständlicher Dokumentation, nachvollziehbaren Vertragsbedingungen und belastbaren Aussagen zur Datenverarbeitung. Fehlen selbst grundlegende Informationen, ist dies bereits ein relevantes Beschaffungsrisiko.

Wie kann ein mittelständisches Unternehmen seinen KI-Bestand erfassen?

Der erste praktische Schritt ist ein KI-Inventar. Es muss nicht als komplexes Governance-System starten. Eine strukturierte Tabelle oder ein vorhandenes GRC-, Datenschutz- oder Asset-Management-System kann zunächst genügen.

Erfasst werden sollten die Bezeichnung der Anwendung, der Anbieter, der interne Verantwortliche, die nutzenden Bereiche, der vorgesehene Zweck, betroffene Personen, verarbeitete Daten, angebundene Systeme, mögliche Auswirkungen, menschliche Kontrollen und der aktuelle Freigabestatus. Ebenso wichtig sind inoffiziell eingesetzte Werkzeuge, Browser-Erweiterungen, Funktionen innerhalb bestehender Software und automatisierte Dienste, die vom Hersteller nachträglich ergänzt wurden.

Die Inventarisierung darf nicht auf Anwendungen beschränkt bleiben, die ausdrücklich „KI“ im Produktnamen tragen. CRM-, ERP-, HR-, Office-, Telefonie-, Sicherheits- und Branchensoftware enthält zunehmend KI-Funktionen. Der Mittelständler nutzt möglicherweise bereits mehrere Systeme, ohne sie als gemeinsamen KI-Bestand zu betrachten.

Ein sinnvoller Ansatz kombiniert eine kurze Abfrage bei Bereichsverantwortlichen mit technischen und beschaffungsbezogenen Informationen. Ziel ist kein einmaliges Verzeichnis, sondern ein Pflegeprozess. Neue Anwendungen werden vor der Freigabe eingetragen, Änderungen bewertet und stillgelegte Systeme dokumentiert.

Das Inventar bildet die Grundlage für Priorisierung. Anwendungen mit geringem Risiko und hohem Nutzen können schnell weiterentwickelt werden. Anwendungen mit Personenbezug, erheblichen Entscheidungswirkungen, sicherheitskritischer Funktion oder unzureichender Anbieterinformation benötigen eine vertiefte Prüfung.

Wie lässt sich der EU AI Act ohne überdimensioniertes Compliance-Projekt umsetzen?

Der schlechteste Einstieg wäre, sofort ein umfangreiches Regelwerk zu verfassen, ohne den tatsächlichen KI-Einsatz zu kennen. Der bessere Weg beginnt beim Bestand und bei realen Prozessen.

Zunächst sollte die Geschäftsführung eine verantwortliche Koordination benennen. Danach werden eingesetzte und geplante Systeme inventarisiert. Für jedes System werden Rolle, Zweck, Nutzer, Daten und mögliche Auswirkungen bestimmt. Erst dann erfolgt eine risikobasierte Priorisierung.

Für Anwendungen mit begrenztem Risiko reichen häufig Nutzungsregeln, fachliche Prüfung, Datenschutzkontrolle, Anbieterbewertung und passende Schulung. Bei anspruchsvolleren Fällen kommen dokumentierte Tests, Freigabekriterien, Protokollierung, Überwachung, Änderungsmanagement und ein Vorfallprozess hinzu.

Bestehende Unternehmensprozesse sollten möglichst genutzt werden. Der Beschaffungsworkflow kann um KI-Fragen ergänzt werden. Die Datenschutzprüfung kann den Verwendungszweck und automatisierte Entscheidungen berücksichtigen. Das Qualitätsmanagement kann Freigaben und Abweichungen aufnehmen. Die Personalentwicklung kann rollenbezogene KI-Kompetenz organisieren. Die Informationssicherheit kann Identitäten, Schnittstellen und Protokolle bewerten.

Dadurch entsteht keine separate Organisation für KI. Es entsteht ein ergänztes Betriebsmodell, das bestehende Zuständigkeiten verbindet. Für die meisten Mittelständler ist dies wirtschaftlicher und wirksamer als eine vollständig neue Governance-Struktur.

Welche Dokumentation ist tatsächlich nützlich?

Dokumentation sollte nicht als Sammlung möglichst langer Texte verstanden werden. Sie sollte Entscheidungen und Betrieb unterstützen.

Für eine typische KI-Anwendung sind ein kurzer Steckbrief, die fachliche Zweckbeschreibung, die Rollenverteilung, die Bewertung von Daten und Risiken, die festgelegten Kontrollen, die Anbieterunterlagen sowie die Freigabeentscheidung besonders wertvoll. Ergänzend können Testfälle, bekannte Grenzen, Schulungsnachweise und ein Änderungsprotokoll erforderlich sein.

Ein interner Wissensassistent benötigt beispielsweise dokumentierte Datenquellen, Zugriffsrechte, Aktualisierungsverantwortung und Regeln für nicht belegbare Antworten. Eine KI-Telefonielösung benötigt Gesprächszweck, Kundeninformation, Eskalationsregeln, Datenübertragung und Kontrolle von Fehlweiterleitungen. Eine Anwendung im Recruiting benötigt eine wesentlich intensivere Prüfung, weil Entscheidungen über Personen betroffen sein können.

Die Dokumentation sollte proportional zum Einsatz sein. Ein geringfügiger Schreibassistent braucht kein Dossier wie ein sicherheitsbezogenes System. Dennoch sollte auch bei einfachen Anwendungen festgehalten werden, wer sie verwenden darf und welche Informationen nicht eingegeben werden dürfen.

Wiederverwendbare Vorlagen helfen, den Aufwand zu begrenzen. Ein gemeinsamer KI-Steckbrief, eine Lieferanten-Checkliste, ein Prüfschema und eine Freigabeseite können für viele Anwendungen verwendet werden. So wächst die Governance mit dem Bestand, ohne bei jedem Projekt neu zu beginnen.

Warum kann Regulierung Innovation sogar beschleunigen?

Innovation wird nicht nur durch technische Möglichkeiten begrenzt. In Unternehmen scheitert sie häufig an fehlender Zuständigkeit, Unsicherheit über Daten, nicht abgestimmten Freigaben oder der Sorge vor späteren Problemen.

Ein geregelter Prozess kann diese Blockaden reduzieren. Wenn bekannt ist, wie eine Anwendung angemeldet, bewertet, getestet und freigegeben wird, muss nicht jede Abteilung ihre eigene Vorgehensweise erfinden. Fachbereiche erhalten einen gangbaren Weg von der Idee zum Pilot. Die IT weiß, welche Architekturvorgaben gelten. Datenschutz und Informationssicherheit werden früh beteiligt, statt kurz vor dem Produktivstart einzugreifen.

Die freiwillige europäische AI-Pact-Initiative zeigt, dass zahlreiche Unternehmen die Vorbereitung nicht ausschließlich als Pflichtprogramm behandeln. Nach Angaben der Europäischen Kommission hatten bis Anfang 2026 mehr als 230 Unternehmen freiwillige Selbstverpflichtungen unterzeichnet, um sich vorzeitig auf Anforderungen des EU AI Act vorzubereiten.

Für Mittelständler liegt die Chance nicht darin, jede formale Struktur großer Konzerne zu kopieren. Ihr Vorteil ist die häufig kürzere Entscheidungsstrecke. Geschäftsführung, Fachbereich und IT können einen Anwendungsfall gemeinsam beurteilen und direkt an den betrieblichen Ablauf anbinden. Voraussetzung ist, dass Verantwortungen benannt und Entscheidungen dokumentiert werden.

Regulierung kann dadurch zum Innovationsfilter werden. Anwendungen mit nachvollziehbarem Nutzen, geeigneten Daten und beherrschbaren Risiken werden vorangetrieben. Lösungen ohne belastbaren Zweck, ohne verantwortlichen Eigentümer oder mit problematischen Vertragsbedingungen werden früher beendet.

Welche Rolle spielen menschliche Aufsicht und fachliche Verantwortung?

Menschliche Aufsicht bedeutet nicht, dass ein Mitarbeiter jedes einzelne Ergebnis mechanisch bestätigen muss. Sie bedeutet, dass eine geeignete Person die Funktion des Systems versteht, Ergebnisse angemessen bewerten kann und über ausreichende Befugnisse verfügt, um einzugreifen.

Die konkrete Ausgestaltung hängt vom Prozess ab. Bei einer automatisch erzeugten Gesprächszusammenfassung kann eine Stichprobenkontrolle genügen. Bei einer Angebotskalkulation sollte ein fachlich verantwortlicher Mitarbeiter Preise, Mengen und Annahmen freigeben. Bei einer sicherheitsbezogenen Bewertung kann eine verbindliche Prüfung jedes Ergebnisses erforderlich sein.

Aufsicht funktioniert nur, wenn Mitarbeiter nicht unter organisatorischem Druck stehen, dem System stets zu folgen. Wer eine KI-Empfehlung ablehnen darf, muss dafür einen praktikablen Prozess haben. Abweichungen sollten nicht als Störung betrachtet werden, sondern als wertvolle Information über Systemgrenzen, Datenprobleme oder neue Sonderfälle.

Ein Betrieb sollte daher festlegen, wer überwacht, welche Informationen diese Person erhält, wann sie eingreifen muss und wie Korrekturen dokumentiert werden. Ebenso wichtig ist die Frage, was geschieht, wenn das System ausfällt oder Ergebnisse wiederholt unbrauchbar werden.

Fachliche Verantwortung bleibt im Unternehmen. Ein externer Softwareanbieter kann technische Funktionen bereitstellen, übernimmt aber nicht automatisch die Verantwortung für den konkreten Einsatz im Betrieb. Diese Trennung sollte bereits bei Beschaffung und Prozessdesign berücksichtigt werden.

Wie verändern Sanktionen die wirtschaftliche Bewertung?

Der EU AI Act sieht abgestufte Sanktionen vor. Bei Verstößen gegen verbotene KI-Praktiken können Unternehmen mit Geldbußen von bis zu sieben Prozent ihres weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres belegt werden. Für KMU gelten bei den vorgesehenen prozentualen und absoluten Obergrenzen besondere Verhältnismäßigkeitsregeln, sodass jeweils die niedrigere Grenze maßgeblich ist.

Die Höhe möglicher Sanktionen sollte ernst genommen werden, aber nicht zur alleinigen Steuerungslogik werden. Für viele mittelständische Unternehmen sind andere Folgen wirtschaftlich ebenso relevant: Projektverzögerungen, Kundenverlust, Vertragsverletzungen, fehlerhafte Personalentscheidungen, Stillstand eines Systems, Nacharbeit oder ein beschädigtes Vertrauen bei Mitarbeitern und Geschäftspartnern.

Eine vernünftige wirtschaftliche Bewertung betrachtet daher Nutzen und Risiko gemeinsam. Ein System mit großem Einsparpotenzial kann sinnvoll sein, wenn Daten, Kontrollen und Verantwortungen zum Einsatz passen. Ein vermeintlich günstiges Werkzeug kann teuer werden, wenn Vertragsbedingungen, Ergebnisqualität oder Datenverwendung nicht beherrscht werden.

Der EU AI Act zwingt Unternehmen nicht dazu, Risiken vollständig auszuschließen. Er verlangt einen angemessenen Umgang. Diese Perspektive passt zur unternehmerischen Praxis: Maschinen, Lieferanten, Projekte und Investitionen werden ebenfalls nicht risikofrei betrieben, sondern bewertet, abgesichert und überwacht.

Welche Entscheidungen sollte die Geschäftsführung jetzt treffen?

Die Geschäftsführung muss nicht jede einzelne Vorschrift selbst auslegen. Sie sollte jedoch die organisatorischen Grundentscheidungen treffen.

Erstens braucht das Unternehmen eine verantwortliche Stelle für die Koordination. In kleineren Betrieben kann dies eine Person aus IT, Qualitätsmanagement, Datenschutz oder Geschäftsleitung sein. In größeren Mittelständlern bietet sich ein bereichsübergreifendes Gremium mit schlankem Entscheidungsweg an.

Zweitens muss entschieden werden, welche Anwendungen zugelassen sind und wie neue Lösungen angemeldet werden. Ein vollständiges Verbot frei verfügbarer Werkzeuge ohne nutzbare Alternative wird Schatten-KI kaum verhindern.

Drittens sollte die Unternehmensleitung festlegen, welche Anwendungsfälle Priorität haben. KI-Governance wird akzeptiert, wenn sie konkrete Verbesserungen ermöglicht: weniger Aufwand in der Auftragsannahme, schnellere Angebotsvorbereitung, bessere Wissensnutzung, vollständigere Serviceberichte oder weniger manuelle Übertragung.

Viertens müssen ausreichende Fachzeit und Budget vorgesehen werden. Die Einführung lässt sich nicht vollständig an einen Anbieter auslagern. Prozesswissen, Testfälle, Freigaben und Überwachung bleiben Aufgaben des Unternehmens.

Fünftens sollte die Leitung einen regelmäßigen Bericht verlangen: Welche Systeme werden genutzt? Welche neuen Risiken oder Vorfälle sind aufgetreten? Welche Projekte liefern Nutzen? Welche Anbieter oder Modelle haben sich verändert? So wird der EU AI Act Bestandteil der Unternehmenssteuerung und nicht nur ein einmaliges Rechtsprojekt.

Warum kann der EU AI Act zu einem Standortvorteil werden?

Der internationale Wettbewerb um KI wird häufig auf Modelle, Rechenzentren und Investitionsvolumen reduziert. Für mittelständische Kunden zählt jedoch etwas anderes: Funktioniert die Lösung im realen Prozess, sind die Ergebnisse belastbar, bleiben Daten geschützt und kann der Anbieter Verantwortung übernehmen?

Deutschland besitzt in vielen Branchen eine starke Tradition aus Ingenieurwesen, Prozessqualität, technischer Dokumentation, Produktsicherheit und langfristigen Kundenbeziehungen. Diese Eigenschaften können in einer KI-Wirtschaft an Wert gewinnen. Je stärker KI in Maschinen, Dienstleistungen und Entscheidungen eingebunden wird, desto wichtiger werden nachvollziehbarer Betrieb und verlässliche Qualitätsmechanismen.

Der EU AI Act kann diese Fähigkeiten sichtbar und vermarktbar machen. Ein Hersteller, der KI-Funktionen mit dokumentierten Prüfungen und beherrschtem Änderungsmanagement anbietet, unterscheidet sich von einem Anbieter, der lediglich ein fremdes Modell integriert. Ein technischer Dienstleister, der automatische Prozesse mit definierten Eskalationen verbindet, kann Kunden ein belastbareres Leistungsversprechen geben.

Der Wettbewerbsvorteil entsteht nicht durch Regulierung allein. Er entsteht, wenn Unternehmen die Anforderungen nutzen, um ihre KI-Systeme besser zu organisieren als der Wettbewerb. Dafür müssen Recht, Technik und Fachprozess zusammengeführt werden.

Wer wird langfristig vom EU AI Act profitieren?

Profitieren werden nicht zwangsläufig die Unternehmen mit den meisten KI-Tools. Langfristig gewinnen jene Betriebe, die geeignete Anwendungsfälle auswählen, Verantwortungen benennen, Wissen organisieren, Anbieter sorgfältig prüfen und aus dem laufenden Betrieb lernen.

Der EU AI Act macht sichtbar, ob KI als kurzfristiges Hilfsmittel oder als Bestandteil der Wertschöpfung behandelt wird. Ein Unternehmen, das seine Systeme inventarisiert, Mitarbeiter qualifiziert und Ergebnisse überwacht, kann neue Anwendungen schneller integrieren. Es muss bei jedem Projekt weniger Grundlagenarbeit wiederholen.

Für den deutschen Mittelstand liegt darin eine reale Chance. Viele Unternehmen verfügen bereits über die Prozessdisziplin, das Branchenwissen und die Kundennähe, die für verantwortungsvoll betriebene KI notwendig sind. Nun müssen diese Stärken auf Daten, Modelle, automatisierte Entscheidungen und digitale Lieferketten übertragen werden.

Die Regulierung setzt Leitplanken. Der wirtschaftliche Nutzen entsteht jedoch im Betrieb: bei kürzeren Durchlaufzeiten, besserer Dokumentation, verlässlicherem Service, reproduzierbaren Entscheidungen und einem höheren Vertrauen bei Kunden und Mitarbeitern.

FAQ zum EU AI Act im Mittelstand

Gilt der EU AI Act auch für kleine und mittlere Unternehmen?

Ja. Die Verordnung unterscheidet grundsätzlich nicht danach, ob ein Unternehmen ein Konzern oder ein mittelständischer Betrieb ist. Entscheidend sind Rolle, Verwendungszweck und Risiko des KI-Systems. Für KMU bestehen an verschiedenen Stellen Erleichterungen und Verhältnismäßigkeitsregeln. Eine pauschale Ausnahme von den Pflichten gibt es jedoch nicht.

Ist jedes Unternehmen mit ChatGPT automatisch vom EU AI Act betroffen?

Ein Unternehmen kann als Betreiber gelten, wenn es ein KI-System in eigener Verantwortung für berufliche Zwecke nutzt. Welche Pflichten daraus entstehen, hängt vom konkreten Einsatz ab. Ein einfacher Textassistent ist normalerweise kein Hochrisiko-System. Dennoch können Vorgaben zur KI-Kompetenz, zum Datenschutz, zu Geschäftsgeheimnissen und zu internen Nutzungsregeln relevant sein.

Was müssen Unternehmen zur KI-Kompetenz nachweisen?

Der EU AI Act schreibt kein bestimmtes Zertifikat und keinen einheitlichen Pflichtkurs vor. Unternehmen sollten jedoch zeigen können, welche Mitarbeiter mit welchen Systemen arbeiten, welche Kenntnisse sie dafür benötigen und welche Maßnahmen durchgeführt wurden. Geeignet sind rollenbezogene Schulungen, Nutzungsrichtlinien, dokumentierte Unterweisungen und regelmäßige Aktualisierungen bei veränderten Anwendungen oder Risiken.

Wann gilt eine KI-Anwendung im Personalwesen als Hochrisiko-System?

Hochrisiko kann insbesondere vorliegen, wenn KI für Bewerberauswahl, Filterung, Bewertung oder bestimmte Entscheidungen über Beschäftigungsverhältnisse eingesetzt wird. Nicht jede Textunterstützung im Personalbereich fällt darunter. Maßgeblich ist, ob das System Personen bewertet oder Entscheidungen mit wesentlichen Auswirkungen vorbereitet. Eine fachliche und rechtliche Einzelfallprüfung ist daher notwendig.

Müssen KI-generierte Inhalte immer gekennzeichnet werden?

Nein. Der EU AI Act enthält keine allgemeine Kennzeichnungspflicht für jeden KI-unterstützten Text. Besondere Pflichten gelten etwa bei direkter Interaktion mit einem KI-System, Deepfakes oder bestimmten Veröffentlichungen zu Angelegenheiten von öffentlichem Interesse. Ausnahmen können bei menschlicher Prüfung und übernommener redaktioneller Verantwortung bestehen. Der jeweilige Anwendungsfall entscheidet.

Welche Aufgaben hat ein Betreiber eines Hochrisiko-KI-Systems?

Betreiber müssen das System nach den Anweisungen verwenden, geeignete menschliche Aufsicht organisieren, relevante Eingabedaten angemessen verwalten und den Betrieb überwachen. Je nach Anwendung kommen Protokollierung, Mitarbeiterinformation, Zusammenarbeit mit Behörden und Meldungen hinzu. Die konkrete Pflichtenlage hängt von Rolle, Einsatzgebiet, Organisation und weiteren Rechtsvorschriften ab.

Braucht jedes mittelständische Unternehmen einen eigenen AI Officer?

Der EU AI Act schreibt keinen allgemeinen AI Officer für jedes Unternehmen vor. Dennoch sollte eine Person oder Stelle die Koordination übernehmen. Entscheidend sind eindeutige Zuständigkeiten für Inventar, Risikobewertung, Freigabe, Schulung und Überwachung. Die Rolle kann je nach Unternehmensgröße bei IT, Qualitätsmanagement, Datenschutz, Compliance oder einer bereichsübergreifenden Arbeitsgruppe liegen.

Wie verhält sich der EU AI Act zur DSGVO?

Beide Regelwerke gelten nebeneinander. Der EU AI Act bewertet insbesondere KI-spezifische Risiken, Rollen und Systempflichten. Die DSGVO bleibt maßgeblich, wenn personenbezogene Daten verarbeitet werden. Eine Anwendung kann nach dem EU AI Act zulässig sein und dennoch datenschutzrechtliche Anforderungen verletzen. Umgekehrt ersetzt eine Datenschutzprüfung keine Bewertung nach der KI-Verordnung.

Was gehört in ein KI-Inventar?

Ein KI-Inventar sollte Anwendung, Anbieter, Verwendungszweck, Fachverantwortlichen, Nutzergruppen, Datenarten, Schnittstellen, betroffene Personen, mögliche Auswirkungen, Kontrollmaßnahmen und Freigabestatus enthalten. Zusätzlich sollten Vertragsstand, Speicherort, Modelländerungen und bekannte Grenzen erfasst werden. Das Inventar muss gepflegt werden, weil bestehende Software nachträglich neue KI-Funktionen erhalten kann.

Wie können Unternehmen den EU AI Act pragmatisch umsetzen?

Der Einstieg sollte mit einer Bestandsaufnahme beginnen. Danach werden Systeme anhand ihres Verwendungszwecks und möglicher Auswirkungen priorisiert. Vorhandene Prozesse aus Einkauf, Datenschutz, Informationssicherheit, Qualitätsmanagement und Schulung können ergänzt werden. So entsteht ein abgestuftes Vorgehen, bei dem einfache Anwendungen schnell bearbeitet und sensible Anwendungsfälle vertieft geprüft werden.

Kann der EU AI Act Innovation im Mittelstand bremsen?

Zusätzliche Anforderungen können Aufwand verursachen, insbesondere wenn Zuständigkeiten, Daten und Prozesse bisher wenig organisiert sind. Ein standardisierter Prüf- und Freigabeprozess kann Innovation jedoch beschleunigen, weil Fachbereiche wissen, wie sie von einer Idee zum Pilot gelangen. Entscheidend ist eine proportionale Umsetzung, die geringe Risiken nicht wie sicherheitskritische Systeme behandelt.

Welche Rolle spielen Lieferanten und Softwareanbieter?

Lieferanten müssen Informationen bereitstellen, die Unternehmen für Bewertung und sicheren Betrieb benötigen. Dazu können Verwendungszweck, Systemgrenzen, Datenverarbeitung, technische Dokumentation, Änderungen und Unterstützungsleistungen gehören. Der Betreiber bleibt dennoch für seinen konkreten Einsatz verantwortlich. Verträge sollten daher Informationspflichten, Modellwechsel, Unterauftragnehmer, Sicherheitsmaßnahmen und Unterstützung bei Vorfällen angemessen berücksichtigen.

Welche Quellen wurden für die Kennzahlen verwendet?

• 99,3 Prozent der Unternehmen in Deutschland waren 2023 KMU: Statistisches Bundesamt, „Kleine und mittlere Unternehmen“
  https://www.destatis.de/DE/Themen/Branchen-Unternehmen/Unternehmen/Kleine-Unternehmen-Mittlere-Unternehmen/_inhalt.html
• 96,9 Prozent der deutschen Warenexporteure waren 2023 KMU: Bundesministerium für Wirtschaft und Energie, „Politik für den Mittelstand“
  https://www.bundeswirtschaftsministerium.de/Redaktion/DE/Dossier/politik-fuer-den-mittelstand.html
• Mehr als 230 Unternehmen hatten freiwillige Verpflichtungen im europäischen AI Pact unterzeichnet: Europäische Kommission, „Navigating the AI Act“
  https://digital-strategy.ec.europa.eu/en/faqs/navigating-ai-act
• Bis zu sieben Prozent des weltweiten Jahresumsatzes bei Verstößen gegen verbotene KI-Praktiken: Verordnung (EU) 2024/1689, Artikel 99
  https://eur-lex.europa.eu/eli/reg/2024/1689/oj/deu

Welche interessanten Links vertiefen das Thema?

• Bundesnetzagentur: Ziele, Zielgruppe und Zeitplan der KI-Verordnung
  https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/1_Ziel/start_ziel.html
• Bundesregierung: Innovationen durch KI fördern – nationale Durchführung der KI-Verordnung
  https://www.bundesregierung.de/breg-de/aktuelles/umsetzung-ki-verordnung-2406638
• Europäische Kommission: KI-Kompetenz – Fragen und Antworten
  https://digital-strategy.ec.europa.eu/de/faqs/ai-literacy-questions-answers

Hinweis: Dieser Beitrag stellt eine allgemeine fachliche Einordnung dar und ersetzt keine rechtliche Prüfung des jeweiligen KI-Systems und seines konkreten Verwendungszwecks.

Alle Artikel zu den Themen KI-Governance und Compliance

Alle Artikel zum Thema Digitalisierung im Mittelstand

Portfolio von KrambergAI zu KI-Richtlinien

KrambergAI Strategiebegleitung