EU AI Act 2026 im Mittelstand: Was Unternehmen jetzt wirklich umsetzen müssen

Der EU AI Act 2026 im Mittelstand verlangt kein pauschales Vollprogramm, sondern Maßnahmen passend zu Rolle, Einsatzzweck und Risiko der verwendeten KI-Systeme. Ab 2. August 2026 werden insbesondere Transparenz, KI-Kompetenz und bereits geltende Verbote praktisch überwacht. Verschobene Hochrisiko-Fristen sind zusätzliche Vorbereitungszeit, keine generelle Aussetzung.

Rechtsstand: 25. Juli 2026. Dieser Beitrag dient der betrieblichen Orientierung und ersetzt keine rechtliche Prüfung des Einzelfalls.

Warum ist der 2. August 2026 für den Mittelstand ein wichtiger Termin?

Der EU AI Act ist bereits seit 2024 in Kraft und wird stufenweise wirksam. Ein Teil der Vorgaben gilt schon länger: Die Bestimmungen zu verbotenen KI-Praktiken und zur KI-Kompetenz gelten seit Februar 2025, die Regeln für Anbieter von Modellen mit allgemeinem Verwendungszweck seit August 2025.

Am 2. August 2026 beginnt die nächste operative Phase. Ab diesem Zeitpunkt greifen insbesondere die Transparenzpflichten aus Artikel 50. Gleichzeitig startet die behördliche Durchsetzung der anwendbaren Vorschriften zu KI-Kompetenz, verbotenen Praktiken, Transparenz und General-Purpose-AI-Modellen.

Für einen mittelständischen Betrieb bedeutet das nicht, dass ab diesem Tag jedes KI-Werkzeug zertifiziert, registriert oder von einem umfangreichen Gremium genehmigt werden muss. Es bedeutet jedoch, dass die tatsächliche Nutzung im Unternehmen nicht länger nur als freiwilliges Digitalisierungsthema behandelt werden sollte.

Wer Textassistenten, KI-Telefonie, Chatbots, Übersetzungsfunktionen, Bilderzeugung, Bewerbersoftware oder automatisierte Bewertungssysteme einsetzt, sollte nachvollziehbar beantworten können, welches System verwendet wird, wofür es eingesetzt wird, welche Daten hineinfließen, wer Ergebnisse prüft und welche Hinweise gegenüber Kunden oder Beschäftigten erforderlich sind.

Welche Pflichten gelten 2026 tatsächlich?

Die zentrale Aufgabe besteht 2026 nicht darin, vorsorglich sämtliche denkbaren Hochrisiko-Unterlagen zu erstellen. Zunächst müssen Unternehmen die Vorschriften umsetzen, die für ihre vorhandenen Systeme und Rollen bereits gelten.

Dazu gehören Maßnahmen zur KI-Kompetenz. Mitarbeiter und weitere Personen, die im Auftrag des Unternehmens KI-Systeme bedienen, benötigen Wissen über Funktionsweise, Grenzen, zulässige Daten, mögliche Fehlleistungen und erforderliche Prüfungen. Eine allgemeine Präsentation über künstliche Intelligenz genügt nicht automatisch. Die Inhalte müssen zum jeweiligen Einsatz passen.

Daneben müssen verbotene Praktiken ausgeschlossen werden. Im betrieblichen Umfeld kann beispielsweise eine KI-gestützte Emotionserkennung am Arbeitsplatz problematisch oder unzulässig sein, sofern keine eng begrenzte gesetzliche Ausnahme greift. Auch manipulative Verfahren, bestimmte Formen des Social Scoring und weitere Anwendungen mit nicht akzeptablem Risiko sind erfasst.

Ab August 2026 treten Transparenzpflichten stärker in den Vordergrund. Kunden müssen bei bestimmten interaktiven Systemen erkennen können, dass sie mit einer KI kommunizieren. Für Deepfakes sowie bestimmte KI-generierte Inhalte gelten zusätzliche Offenlegungsvorgaben. Die eingeschränkte Übergangsfrist bis Dezember 2026 betrifft lediglich die technische Markierung bestimmter bereits vor August angebotener Systeme. Sie verschiebt nicht pauschal alle Transparenzpflichten.

Welche Hochrisiko-Fristen wurden verschoben?

Der 2026 verabschiedete Digital Omnibus hat die Anwendung der umfangreichen Vorschriften für Hochrisiko-KI-Systeme nach hinten verlagert. Für eigenständige Hochrisiko-Systeme aus den in Anhang III genannten Bereichen gelten die entsprechenden Regelungen nun ab dem 2. Dezember 2027. Dazu können unter bestimmten Voraussetzungen Systeme in Personalwesen, Bildung, biometrischer Erkennung, kritischer Infrastruktur oder Kreditwürdigkeitsprüfung gehören.

Für Hochrisiko-KI, die als Bestandteil eines regulierten Produkts eingestuft wird, gilt der spätere Termin 2. August 2028. Dies betrifft beispielsweise KI-Komponenten in bestimmten Medizinprodukten, Aufzügen, Spielzeugen oder anderen regulierten Produktgruppen. Die konkrete Einordnung hängt von der jeweiligen Produktgesetzgebung und der Funktion des Systems ab.

Die Verschiebung betrifft jedoch nicht das gesamte Gesetz. KI-Kompetenz, Verbote, Transparenzanforderungen und weitere bereits anwendbare Regeln bleiben relevant. Unternehmen sollten die zusätzliche Zeit daher für eine fundierte Systembewertung, Lieferantenprüfung und Vorbereitung der späteren Hochrisiko-Anforderungen verwenden.

Warum ist die eigene Rolle wichtiger als die Unternehmensgröße?

Der EU AI Act unterscheidet vor allem zwischen der Rolle eines Unternehmens in der KI-Wertschöpfungskette. Die Größe des Betriebs beeinflusst zwar Unterstützungsangebote und die Verhältnismäßigkeit bestimmter Maßnahmen, sie entscheidet jedoch nicht allein über die Pflichten.

Ein Unternehmen ist häufig Betreiber, wenn es eine fertige KI-Lösung in eigener Verantwortung nutzt. Das gilt etwa für einen Handwerksbetrieb, der einen KI-Telefonassistenten einsetzt, oder für einen technischen Dienstleister, der mit einem Sprachmodell Einsatzberichte vorbereitet.

Zum Anbieter kann ein Unternehmen werden, wenn es ein KI-System selbst entwickelt, entwickeln lässt und unter eigenem Namen in Betrieb nimmt oder anderen zur Verfügung stellt. Auch wesentliche Änderungen an einer bestehenden Lösung oder die Umwidmung für einen neuen sensiblen Zweck können die Rollenverteilung verändern.

In der Praxis wird diese Frage häufig zu spät gestellt. Einkauf oder IT schließen einen Softwarevertrag ab, während der Fachbereich erst später entscheidet, welche Datenquellen angeschlossen und welche Aufgaben automatisiert werden. Die regulatorische Bewertung richtet sich aber nach dem tatsächlichen System und seinem Einsatz, nicht nur nach Produktname, Lizenzvertrag oder Werbebeschreibung.

Wie unterscheiden sich typische KI-Anwendungen im Betrieb?

Die folgende Tabelle bietet eine betriebliche Ersteinschätzung. Sie ersetzt keine Einzelfallprüfung, zeigt aber, warum nicht jedes Werkzeug denselben Freigabeweg benötigt.

Die Tabelle zeigt auch, warum eine allgemeine Einstufung des Produkts nicht genügt. Derselbe technische Dienst kann für eine harmlose Textüberarbeitung und für eine folgenreiche Personalentscheidung verwendet werden. Der Einsatzzweck verändert die Risikolage.

Wie verbreitet ist KI im deutschen Mittelstand bereits?

Eine aktuelle Mittelstandsauswertung kommt für den betrachteten Zeitraum auf eine KI-Nutzung von 20 Prozent. Bei mittelständischen Unternehmen mit mindestens 50 Beschäftigten lag der ermittelte Anteil bei 36 Prozent. Die Nutzung ist damit längst kein Randthema mehr, sie verteilt sich aber sehr unterschiedlich nach Betriebsgröße, Innovationsaktivität und digitaler Ausgangslage.

Eine weitere repräsentative Unternehmensbefragung zeigt zugleich die organisatorische Lücke: 43 Prozent der befragten Unternehmen boten zum Erhebungszeitpunkt noch keine KI-Schulungen an. Unter den Unternehmen, die sich vom AI Act betroffen sahen, erwarteten 93 Prozent einen hohen oder sehr hohen Umsetzungsaufwand.

Die Erhebungen verwenden unterschiedliche Definitionen, Unternehmensgrößen und Zeiträume und sollten deshalb nicht unmittelbar miteinander verrechnet werden. Gemeinsam zeigen sie jedoch ein praktisches Muster: KI verbreitet sich schneller als Schulung, Zuständigkeiten und betriebliche Kontrollen.

Was bedeutet KI-Kompetenz im Arbeitsalltag?

KI-Kompetenz nach Artikel 4 ist keine allgemeine Forderung, alle Mitarbeiter zu KI-Spezialisten auszubilden. Erforderlich ist ein ausreichendes, an Rolle und Anwendung angepasstes Verständnis.

Ein Vertriebsmitarbeiter, der mit einem Schreibassistenten Angebote vorbereitet, muss beispielsweise wissen, welche Kundeninformationen eingegeben werden dürfen, wie erfundene Aussagen erkannt werden können und wann eine fachliche Freigabe erforderlich ist. Ein Administrator benötigt zusätzlich Kenntnisse über Zugriffsrechte, Protokollierung, Systemkonfiguration und angebundene Datenquellen.

In Personalabteilung, Disposition oder technischem Service kommen weitere Anforderungen hinzu. Dort können KI-Ausgaben Entscheidungen über Menschen, Termine, Sicherheitsmaßnahmen oder Ressourcen beeinflussen. Die zuständigen Mitarbeiter müssen deshalb nicht nur das Werkzeug bedienen, sondern auch wissen, wann sie ein Ergebnis verwerfen, korrigieren oder an eine verantwortliche Person weitergeben müssen.

Die offiziellen Hinweise verlangen kein bestimmtes Zertifikat und schreiben keine einheitliche Schulungsdauer vor. Interne Aufzeichnungen über Einweisungen, Rollen, Inhalte und Termine sind jedoch sinnvoll. Eine bloße Weiterleitung der Bedienungsanleitung kann je nach Anwendungsfall unzureichend sein.

Was gilt für Chatbots und KI-Telefonie ab August 2026?

Bei interaktiven KI-Systemen müssen betroffene Personen grundsätzlich darauf hingewiesen werden, dass sie mit einer KI kommunizieren, sofern dies nicht bereits aus den Umständen hervorgeht. Der Hinweis muss spätestens bei der ersten Interaktion erfolgen.

Für ein mittelständisches Unternehmen betrifft das beispielsweise einen Website-Chatbot, einen KI-Anrufbeantworter oder einen sprachbasierten Kundenassistenten. Ein versteckter Hinweis in der Datenschutzerklärung dürfte den betrieblichen Zweck regelmäßig nicht erfüllen. Der Hinweis sollte dort erscheinen oder gesprochen werden, wo die Interaktion beginnt.

Neben dem Hinweis benötigt das Unternehmen einen funktionierenden Übergabeweg. Ein Anrufer muss bei komplexen, sensiblen oder sicherheitsrelevanten Anliegen an einen Mitarbeiter gelangen können. Im SHK-Notdienst, bei Verkehrssicherungsmaßnahmen oder im technischen Service darf die KI nicht eigenständig den Eindruck einer verbindlichen fachlichen Freigabe erzeugen, wenn diese tatsächlich einer qualifizierten Person vorbehalten ist.

Auch Gesprächsaufzeichnung, Transkription und Verarbeitung personenbezogener Daten müssen gesondert betrachtet werden. Die Erfüllung einer AI-Act-Pflicht ersetzt weder DSGVO-Prüfung noch Telekommunikations-, Arbeits- oder Vertragsrecht.

Muss jedes KI-generierte Dokument gekennzeichnet werden?

Nein. Der EU AI Act führt keine pauschale Kennzeichnungspflicht für jeden mit KI unterstützten Text ein.

Besondere Offenlegungspflichten gelten unter anderem für Deepfakes und für KI-generierte oder manipulierte Texte, die mit dem Zweck veröffentlicht werden, die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Eine Ausnahme kann bestehen, wenn der Inhalt einer menschlichen Prüfung oder redaktionellen Kontrolle unterzogen wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung übernimmt.

Für normale Geschäftskorrespondenz, interne Zusammenfassungen, Angebotsentwürfe oder sprachlich überarbeitete Produkttexte ist deshalb eine differenzierte Bewertung erforderlich. Trotzdem kann eine Kennzeichnung aus anderen Gründen sinnvoll oder vertraglich verlangt sein, etwa durch Kundenanforderungen, Branchenregeln, Plattformvorgaben oder interne Redaktionsstandards.

Wie lässt sich der EU AI Act in vorhandene Managementprozesse einbauen?

Mittelständische Unternehmen müssen keine zweite Organisation neben Qualitätsmanagement, Datenschutz, Informationssicherheit, Einkauf und internem Kontrollsystem errichten. Die wirksamere Lösung besteht meist darin, KI-spezifische Prüfpunkte in vorhandene Abläufe einzubauen.

Im Einkauf kann die Lieferantenbewertung um Angaben zu Modellen, Datenverwendung, Unterauftragnehmern, Protokollen und Änderungsinformationen ergänzt werden. Im Berechtigungsmanagement wird festgelegt, welche Mitarbeiter welche KI-Funktionen und Datenquellen nutzen dürfen. Das Schulungsmanagement dokumentiert rollenspezifische Einweisungen. Das Qualitätsmanagement übernimmt Testfälle, Stichproben und Fehlerauswertungen.

Auch das Risikoregister muss nicht neu erfunden werden. Bestehende Risiken wie Datenschutzverletzung, falsche Kundeninformation, fehlerhafte Kalkulation, Ausfall eines Cloud-Dienstes oder unzulässige Weitergabe vertraulicher Unterlagen erhalten lediglich einen KI-bezogenen Auslöser und passende Kontrollen.

Der Vorteil dieses Ansatzes liegt im täglichen Betrieb. Eine Regel, die im normalen Beschaffungs-, Freigabe- oder Änderungsprozess verankert ist, wird eher angewendet als ein separates Handbuch, das nur bei Audits geöffnet wird.

Wie sollte der Einkauf von KI-Lösungen 2026 verändert werden?

Die Anbieterprüfung sollte vor dem Vertragsabschluss beginnen, nicht danach. Ein Datenschutzanhang und allgemeine Sicherheitsversprechen beantworten noch nicht, wie die konkrete KI-Funktion arbeitet.

Der Einkauf benötigt eine Beschreibung des geplanten Anwendungsfalls. Dazu gehören Nutzergruppen, Datenarten, Schnittstellen, mögliche Auswirkungen, menschliche Prüfpunkte und gewünschte Automatisierung. Erst auf dieser Grundlage lässt sich beurteilen, ob das Produkt zum Prozess passt und welche vertraglichen Zusagen erforderlich sind.

Besonders wichtig sind Informationspflichten bei Änderungen. KI-Anbieter verändern Modelle, Funktionen, Unterauftragnehmer und Datenverarbeitung teilweise während eines laufenden Vertrags. Das Unternehmen sollte deshalb festlegen, wann es über wesentliche Änderungen informiert wird und ob eine erneute Freigabe erforderlich ist.

Außerdem braucht der Betrieb eine Ausstiegsoption. Daten müssen exportiert oder gelöscht, Zugriffe entzogen und automatisierte Aktionen gestoppt werden können. Eine KI-Anwendung ohne geordneten Abschalt- und Übergabeprozess wird spätestens bei einem Sicherheitsvorfall, Anbieterwechsel oder fehlerhaften Update zum operativen Risiko.

Was läuft bei der Umsetzung üblicherweise falsch?

Ein häufiger Fehler besteht darin, mit einem langen Regelwerk zu beginnen, bevor die tatsächlichen Anwendungen erfasst wurden. Das Unternehmen diskutiert Formulierungen, kennt aber weder alle genutzten Werkzeuge noch deren Datenflüsse.

Ebenso problematisch ist eine einheitliche Schulung für sämtliche Mitarbeiter. Ein allgemeines Webinar kann Grundlagen vermitteln, ersetzt aber keine Einweisung für konkrete Systeme, Daten und Entscheidungen.

In anderen Betrieben wird jede KI-Nutzung vorsorglich untersagt. Ohne freigegebene Alternativen entsteht dann Schatten-KI: Mitarbeiter verwenden private Konten, kopieren Inhalte zwischen Systemen und umgehen vorgesehene Freigaben.

Auch die vollständige Verlagerung der Verantwortung auf den Softwareanbieter scheitert regelmäßig. Der Lieferant kennt nicht alle internen Berechtigungen, Auftragsbedingungen, Sicherheitsanforderungen oder fachlichen Entscheidungswege.

Der fünfte typische Fehler ist das Abwarten bis 2027 oder 2028. Die verschobenen Hochrisiko-Fristen werden als allgemeine Pause verstanden, obwohl Transparenz, Kompetenz, Datenschutz, Informationssicherheit und betriebliche Verantwortung bereits vorher relevant sind.

Wie sieht ein realistisches Umsetzungsprogramm für 2026 aus?

Ein praktikabler Einstieg beginnt mit einer Bestandsaufnahme. Innerhalb eines überschaubaren Zeitraums werden offiziell beschaffte Anwendungen, eingebettete KI-Funktionen vorhandener Software und erkennbare Schattennutzung erfasst. Entscheidend sind nicht nur Produktnamen, sondern Einsatzzweck, Daten, Nutzer und Ergebnisverwendung.

Danach folgt eine betriebliche Priorisierung. Systeme mit Kundenkontakt, personenbezogenen Daten, automatisierten Aktionen, Personalbezug oder sicherheitsrelevanter Wirkung werden zuerst geprüft. Eine Formulierungshilfe für allgemeine Texte kann über einen kompakteren Weg freigegeben werden.

Im dritten Schritt werden kurzfristige Mindestmaßnahmen umgesetzt: zugelassene Werkzeuge, Datenregeln, Verantwortliche, Transparenzhinweise, Prüfpunkte und ein Vorfallweg. Parallel entstehen rollenspezifische Schulungen.

Anschließend werden Einkauf, Änderungsmanagement und regelmäßige Überprüfung angepasst. Neue Funktionen dürfen nicht automatisch produktiv werden, nur weil sie durch ein Softwareupdate verfügbar sind.

Zum Abschluss erhält die Geschäftsführung einen kompakten Statusbericht: Welche Systeme sind erfasst, welche Anwendungen sind freigegeben, wo bestehen offene Bewertungen, welche Schulungen wurden durchgeführt und welche Entscheidungen benötigen ein Managementmandat?

Warum sollten mögliche Hochrisiko-Systeme trotzdem schon jetzt geprüft werden?

Bei Hochrisiko-KI entstehen die erforderlichen Nachweise nicht innerhalb weniger Wochen. Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht und Überwachung während des Betriebs müssen an der tatsächlichen Lösung ausgerichtet werden.

Besonders im Personalwesen, bei Kreditentscheidungen, sicherheitsbezogenen Anwendungen oder regulierten Produkten sollte der Betrieb frühzeitig prüfen, welche Funktionen tatsächlich entscheidungsrelevant sind. Nicht jede Automatisierung in diesen Bereichen ist automatisch Hochrisiko-KI. Umgekehrt kann eine vermeintlich unterstützende Funktion eine erhebliche Wirkung entfalten, wenn ihre Bewertung im Alltag selten hinterfragt wird.

Frühe Vorbereitung verbessert zudem die Verhandlungsposition gegenüber Anbietern. Fehlende Dokumentation, unzureichende Protokolle oder ungeeignete Schnittstellen lassen sich vor einer Beschaffung leichter adressieren als nach einer mehrjährigen Einführung.

Welche Rolle spielt die deutsche Marktaufsicht?

Deutschland hat 2026 den nationalen Rahmen für die Durchführung der europäischen KI-Verordnung beschlossen. Die Bundesnetzagentur erhält dabei eine zentrale Rolle als Marktüberwachungs- und Koordinierungsstelle. Je nach Branche und System bleiben weitere Fachbehörden beteiligt, etwa in regulierten Sektoren.

Für Unternehmen entsteht damit ein zentraler Orientierungspunkt. Die eigentlichen Pflichten ergeben sich jedoch weiterhin unmittelbar aus dem EU AI Act. Das deutsche Durchführungsgesetz regelt vor allem Zuständigkeiten, Zusammenarbeit, Aufsicht und nationale Verfahren.

Die Bundesnetzagentur stellt bereits einen KI-Servicebereich und einen Compliance-Kompass zur Verfügung. Die dort veröffentlichten Informationen dienen der Orientierung; eine verbindliche Auslegung bleibt Gerichten und zuständigen Behörden im jeweiligen Verfahren vorbehalten.

Wie wird aus Compliance ein funktionierender Betriebsrahmen?

Ein gutes Regelwerk beantwortet nicht nur, was verboten ist. Es ermöglicht den Fachbereichen, geeignete Anwendungen schneller einzuführen.

Wenn zugelassene Werkzeuge, Datenkategorien, Verantwortliche und Freigabewege feststehen, müssen dieselben Grundsatzfragen nicht bei jedem Pilotprojekt erneut diskutiert werden. Ein geprüfter Anwendungsfall kann leichter auf weitere Standorte oder Teams übertragen werden.

Das wirkt auch nach außen. Kunden, Auftraggeber und Partner werden häufiger wissen wollen, ob KI bei Angebotserstellung, Dokumentation, Support oder Entscheidungsunterstützung eingesetzt wird. Ein Unternehmen mit Systemverzeichnis, Zuständigkeiten, Schulungsnachweisen und definierten Kontrollen kann diese Fragen nachvollziehbar beantworten.

KrambergAI GmbH (https://krambergai.com/) unterstützt mittelständische Unternehmen dabei, vorhandene KI-Anwendungen zu erfassen, Pflichten nach Einsatz und Risiko zu priorisieren und daraus einen praxistauglichen Betriebsrahmen zu entwickeln. Im Mittelpunkt stehen reale Abläufe in Geschäftsführung, Vertrieb, Service, Technik, Dokumentation und Kundenkommunikation.

Quellen der verwendeten Kennzahlen

KfW Research – Einsatz von Künstlicher Intelligenz vor allem in Unternehmen mit hohen Innovations- und Digitalisierungsaktivitäten
https://www.kfw.de/PDF/Download-Center/Konzernthemen/Research/PDF-Dokumente-Fokus-Volkswirtschaft/Fokus-2026/Fokus-Nr.-533-Februar-2026-KI-Mittelstand.pdf

Bitkom – Künstliche Intelligenz in Deutschland: Perspektiven aus Bevölkerung und Unternehmen
https://www.bitkom.org/sites/main/files/2026-02/bitkom-studienbericht-ki.pdf

Interessante Links

EU AI Act Service Desk – Offizieller Zeitplan für die Anwendung des EU AI Act
https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act

Bundesnetzagentur – KI-Servicebereich zur europäischen KI-Verordnung
https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/start_ki.html

Europäische Kommission – Fragen und Antworten zu den Transparenzpflichten nach Artikel 50
https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act

Häufige Fragen

Gilt der EU AI Act für jedes mittelständische Unternehmen?

Der EU AI Act gilt nicht automatisch in demselben Umfang für jeden Betrieb. Maßgeblich sind das verwendete System, der Einsatzzweck, die Rolle des Unternehmens und die möglichen Auswirkungen. Bereits die geschäftliche Nutzung eines üblichen KI-Assistenten kann jedoch Maßnahmen zur KI-Kompetenz, Datenschutzprüfung und internen Steuerung erforderlich machen.

Was muss ein KMU bis zum 2. August 2026 erledigt haben?

Ein KMU sollte seine KI-Anwendungen erfasst, Verantwortlichkeiten zugeordnet und relevante Transparenzhinweise vorbereitet haben. Außerdem sollten betroffene Mitarbeiter angemessen eingewiesen sein. Verbotene Anwendungen müssen ausgeschlossen werden. Bei sensiblen oder möglicherweise hochriskanten Systemen sollte zumindest eine dokumentierte Ersteinstufung mit offenen Maßnahmen und Zuständigkeiten vorliegen.

Braucht jedes Unternehmen einen eigenen AI Officer?

Der EU AI Act verlangt nicht allgemein einen formell benannten AI Officer. Ein Unternehmen benötigt jedoch eine zuständige Koordinationsrolle. Diese kann bei Geschäftsführung, IT, Compliance, Datenschutz, Informationssicherheit oder Qualitätsmanagement liegen. Wichtig sind ein ausreichendes Mandat, Zugang zu den Fachbereichen und die Befugnis, Prüfungen und Eskalationen einzuleiten.

Reicht eine schriftliche KI-Richtlinie aus?

Eine KI-Richtlinie ist nur ein Bestandteil. Zusätzlich werden ein Verzeichnis der Anwendungen, ein Freigabeprozess, rollenspezifische Schulungen, Anbieterprüfungen und betriebliche Kontrollen benötigt. Die Richtlinie muss mit zugelassenen Werkzeugen und realistischen Arbeitswegen verbunden sein. Andernfalls besteht das Risiko, dass Mitarbeiter auf private oder nicht genehmigte Systeme ausweichen.

Muss jedes Unternehmen seine Mitarbeiter schulen?

Unternehmen, die KI-Systeme bereitstellen oder geschäftlich einsetzen, müssen Maßnahmen für ein ausreichendes Kompetenzniveau der beteiligten Personen treffen. Umfang und Inhalt hängen von System, Rolle und Risiko ab. Ein Mitarbeiter mit Textassistent benötigt andere Kenntnisse als ein Administrator oder ein Personalverantwortlicher, der KI-Ausgaben für Bewerbungsentscheidungen verwendet.

Muss ein Chatbot immer als KI gekennzeichnet werden?

Bei einem interaktiven KI-System müssen Nutzer grundsätzlich spätestens beim ersten Kontakt über die KI-Interaktion informiert werden, sofern dies nicht bereits offensichtlich ist. Für einen Website-Chatbot oder KI-Telefonassistenten sollte der Hinweis unmittelbar am Beginn der Kommunikation erfolgen. Zusätzlich braucht das Unternehmen einen erreichbaren Übergabeweg zu einem Mitarbeiter.

Muss jeder mit KI erstellte Text gekennzeichnet werden?

Eine pauschale Kennzeichnungspflicht für sämtliche KI-unterstützten Geschäftstexte besteht nicht. Besondere Vorgaben betreffen unter anderem Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden. Menschliche redaktionelle Prüfung und übernommene Verantwortung können dabei eine Ausnahme begründen. Vertragliche oder plattformspezifische Regeln können darüber hinausgehen.

Ist eine KI-Funktion im Bewerbermanagement automatisch Hochrisiko-KI?

Nicht jede KI-Funktion im Personalwesen ist automatisch ein Hochrisiko-System. Entscheidend ist, ob sie Bewerber auswählt, bewertet, in eine Rangfolge bringt oder Entscheidungen über Beschäftigungsbedingungen wesentlich beeinflusst. Rein administrative oder eng begrenzte unterstützende Funktionen können anders einzuordnen sein. Der konkrete Prozess und die tatsächliche Wirkung müssen dokumentiert geprüft werden.

Ist der Softwareanbieter allein für die Einhaltung verantwortlich?

Nein. Der Anbieter trägt Pflichten für seine Rolle und das bereitgestellte Produkt. Das einsetzende Unternehmen bleibt jedoch für Nutzer, Berechtigungen, Datenquellen, konkrete Verwendung und menschliche Kontrolle verantwortlich. Auch bei etablierten Cloud-Diensten muss der Betreiber festlegen, welche Informationen verarbeitet werden dürfen und wie Ergebnisse in Geschäftsprozesse einfließen.

Welche Unterlagen sollte ein KMU mindestens führen?

Ein praktikabler Mindestbestand umfasst ein KI-Systemverzeichnis, eine Einstufung der Anwendungsfälle, zugeordnete Verantwortliche, Daten- und Nutzungsregeln, Schulungsnachweise sowie dokumentierte Freigaben. Bei relevanten Anwendungen kommen Anbieterunterlagen, Testprotokolle, Qualitätskontrollen und Vorfallberichte hinzu. Der Umfang sollte sich nach der möglichen Wirkung des jeweiligen Systems richten.

Ersetzt AI-Act-Compliance die DSGVO-Prüfung?

Nein. Der EU AI Act und die DSGVO verfolgen unterschiedliche, teilweise überlappende Ziele. Ein transparent gekennzeichnetes KI-System kann personenbezogene Daten trotzdem unzulässig verarbeiten. Unternehmen müssen daher zusätzlich Rechtsgrundlage, Zweckbindung, Datenminimierung, Informationspflichten, Auftragsverarbeitung, Speicherfristen und gegebenenfalls eine Datenschutz-Folgenabschätzung prüfen.

Sollte ein Unternehmen wegen der verschobenen Fristen bis 2027 warten?

Ein vollständiges Abwarten wäre riskant. Die Verschiebung betrifft vor allem die umfassenden Hochrisiko-Regeln. KI-Kompetenz, Verbote, Transparenz, Datenschutz, Informationssicherheit und betriebliche Verantwortung sind bereits vorher relevant. Zudem benötigen mögliche Hochrisiko-Systeme längere Vorbereitungszeiten, insbesondere wenn technische Dokumentation oder vertragliche Mitwirkung des Anbieters erforderlich ist.