Am 2. August 2026 erreicht der EU AI Act seine nächste große Stufe. Seit Monaten kursieren dazu zwei Erzählungen: Die eine verspricht ein Bürokratiemonster, das jedem Unternehmen mit ChatGPT-Zugang teure Zertifizierungen aufzwingt. Die andere winkt ab, das betreffe ohnehin nur die großen Tech-Konzerne. Beide sind falsch. Wer im Mittelstand KI einsetzt oder das plant, sollte wissen, was tatsächlich gilt. Das ist weniger, als viele befürchten, aber es ist nicht nichts.
Wir arbeiten bei AI Værk nicht nur an KI-Projekten für mittelständische Unternehmen, sondern beschäftigen uns auch in politischen Gremien mit der Regulierung und der europäischen KI-Infrastruktur. Aus dieser doppelten Perspektive wollen wir einordnen, was der AI Act für die Praxis bedeutet. Eine Rechtsberatung ist das ausdrücklich nicht; im Einzelfall gehört das Thema zu Juristen. Aber die Grundlogik des Gesetzes kann man verstehen, ohne Anwalt zu sein.
Der Zeitplan, und was sich 2026 daran geändert hat
Der AI Act ist bereits seit dem 1. August 2024 in Kraft, wird aber gestaffelt wirksam. Seit dem 2. Februar 2025 gelten die Verbote bestimmter Praktiken, etwa Social Scoring oder manipulative Systeme, sowie die Pflicht zur KI-Kompetenz nach Artikel 4. Seit dem 2. August 2025 greifen die Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, also die großen Basismodelle. Am 2. August 2026 folgt die nächste Stufe: Ab dann gelten die Transparenzpflichten des Artikels 50, und die nationalen Aufsichtsbehörden erhalten ihre vollen Durchsetzungs- und Sanktionsbefugnisse.
Wichtig ist, was sich in diesem Frühjahr geändert hat. Mit dem sogenannten Digital Omnibus hat die EU im Juni 2026 Teile des Zeitplans entzerrt. Die umfangreichen Pflichten für eigenständige Hochrisiko-Systeme, die ursprünglich ebenfalls ab dem 2. August 2026 gegolten hätten, wurden auf den 2. Dezember 2027 verschoben. Für KI, die in regulierte Produkte eingebettet ist, etwa in Maschinen oder Medizinprodukte, gilt nun der 2. August 2028 statt 2027. Wer also mit Blick auf Hochrisiko-Anforderungen unter Zeitdruck stand, hat mehr Luft bekommen. Aufgehoben wurde nichts: Die Pflichten kommen, nur später.
Die Logik dahinter: Risiko statt Gießkanne
Der AI Act reguliert nicht „KI“ als Technologie, sondern konkrete Einsatzzwecke, gestaffelt nach Risiko. Ganz oben stehen verbotene Praktiken. Darunter liegen Hochrisiko-Anwendungen, für die strenge Anforderungen an Datenqualität, Dokumentation, menschliche Aufsicht und Risikomanagement gelten. Darunter wiederum Systeme mit begrenztem Risiko, für die im Wesentlichen Transparenzpflichten greifen. Und ganz unten der große Rest, für den der AI Act kaum spezifische Vorgaben macht.
Diese Staffelung ist der Grund, warum die Panik-Erzählung nicht stimmt. Ein Unternehmen, das mit einem KI-Assistenten E-Mails vorformuliert, Protokolle zusammenfasst oder Angebotstexte entwirft, betreibt kein Hochrisiko-System. Es bewegt sich in der untersten oder zweituntersten Stufe, und dort sind die Pflichten überschaubar.
Was für die meisten Betriebe konkret gilt
Für den typischen Mittelständler, der KI-Werkzeuge nutzt statt sie zu entwickeln, laufen die Pflichten im Kern auf zwei Dinge hinaus.
Erstens die KI-Kompetenz nach Artikel 4, die schon seit Februar 2025 gilt: Wer KI-Systeme einsetzt, muss dafür sorgen, dass die Mitarbeitenden, die damit arbeiten, über ein angemessenes Verständnis verfügen. Das heißt nicht, dass jeder Sachbearbeiter neuronale Netze erklären können muss. Es heißt, dass Menschen wissen sollten, was das Werkzeug kann, wo es typischerweise irrt und welche Daten hineindürfen. Der Digital Omnibus hat die Formulierung dieser Pflicht zuletzt noch etwas abgemildert; der Grundgedanke bleibt, und er ist auch ohne Gesetz einfach vernünftig.
Zweitens die Transparenzpflichten nach Artikel 50, die ab dem 2. August 2026 greifen. Wer einen Chatbot betreibt, muss erkennbar machen, dass das Gegenüber mit einer Maschine spricht, sofern das nicht ohnehin offensichtlich ist. Wer KI-generierte Inhalte veröffentlicht, insbesondere täuschend echte Bilder, Audio oder Video, muss sie als solche kennzeichnen. Für Systeme, die vor dem Stichtag bereits auf dem Markt waren, gibt es bei den technischen Kennzeichnungspflichten eine kurze Übergangsfrist bis Anfang Dezember 2026. Das alles ist kein Zertifizierungsverfahren, sondern im Wesentlichen Ehrlichkeit gegenüber Kunden und Öffentlichkeit.
Die Kurzfassung für die meisten mittelständischen Betriebe: Der AI Act verlangt ab August 2026 vor allem, dass Sie wissen, welche KI Sie einsetzen, dass Ihre Leute damit umgehen können, und dass Sie niemanden darüber täuschen, wo KI im Spiel ist. Die schweren Hochrisiko-Pflichten treffen nur bestimmte Einsatzzwecke, und für die gilt inzwischen ohnehin erst Ende 2027.
Wann man doch in Hochrisiko rutscht
Die Hochrisiko-Kategorie ist keine Frage der Unternehmensgröße, sondern des Einsatzzwecks. Der für den Mittelstand relevanteste Fall ist das Personalwesen: KI-Systeme, die Bewerbungen filtern, Kandidaten bewerten oder Entscheidungen über Beförderung und Kündigung vorbereiten, sind im Anhang III des Gesetzes ausdrücklich als Hochrisiko eingestuft. Gleiches gilt etwa für Kreditwürdigkeitsprüfungen oder Systeme in kritischer Infrastruktur. Ein zwanzigköpfiger Betrieb, der ein KI-Tool Bewerber vorsortieren lässt, bewegt sich damit in einem regulierten Bereich, ein Konzern, der KI nur für Textentwürfe nutzt, nicht.
Wer solche Anwendungen einsetzt oder plant, muss deshalb nicht sofort aussteigen. Aber er sollte den Zeitplan bis Dezember 2027 ernst nehmen und frühzeitig klären, welche Anforderungen auf ihn zukommen, vor allem menschliche Aufsicht, Dokumentation und die Frage, ob der Anbieter des Tools seine Hausaufgaben macht.
Anbieter oder Betreiber: Die Rollenfrage entscheidet
Der AI Act verteilt die Pflichten nach Rollen. Der Anbieter, also wer ein KI-System entwickelt und unter eigenem Namen auf den Markt bringt, trägt die Hauptlast: Konformitätsverfahren, technische Dokumentation, Qualitätsmanagement. Der Betreiber, also wer ein System in eigener Verantwortung beruflich nutzt, hat deutlich schlankere Pflichten: das System bestimmungsgemäß einsetzen, die vorgesehene Aufsicht sicherstellen, bei Hochrisiko-Systemen zusätzliche Sorgfalt walten lassen.
Die meisten Mittelständler sind Betreiber. Aber die Grenze kann verrutschen: Wer ein zugekauftes System wesentlich verändert, unter eigener Marke anbietet oder für einen Hochrisiko-Zweck umwidmet, kann selbst in die Anbieterrolle geraten, mit allen Konsequenzen. Wer eigene KI-Produkte entwickelt und an Kunden verkauft, ist ohnehin Anbieter. Diese Rollenklärung ist keine Formalie, sondern der Punkt, an dem sich entscheidet, welcher Pflichtenkatalog überhaupt gilt.
Ein pragmatisches Vorgehen
Was heißt das nun konkret? Aus unserer Sicht vier Schritte, die kein Unternehmen überfordern.
Zuerst eine ehrliche Bestandsaufnahme: Welche KI-Systeme sind im Haus tatsächlich im Einsatz, auch die inoffiziellen? Erfahrungsgemäß ist diese Liste länger, als die Geschäftsführung glaubt. Dann die Rollen- und Risikoklärung: Für jedes System die Frage, ob man Anbieter oder Betreiber ist und ob der Einsatzzweck in eine der Hochrisiko-Kategorien fällt. In den allermeisten Fällen lautet die Antwort Betreiber und nein, und dann ist der größte Teil der Arbeit bereits getan. Drittens Schulung: Die Mitarbeitenden, die mit KI arbeiten, bekommen ein realistisches Bild von Stärken, Grenzen und Datenregeln der Werkzeuge. Und viertens eine schlanke Dokumentation, die festhält, was eingesetzt wird, wofür, und wer verantwortlich ist. Kein hundertseitiges Compliance-Handbuch, sondern eine gepflegte Übersicht, die man einer Behörde oder einem Kunden im Zweifel zeigen kann.
Wer diese vier Dinge erledigt hat, ist für den August 2026 gut aufgestellt und hat zugleich die Grundlage gelegt, falls später doch ein Hochrisiko-Thema dazukommt. Das meiste davon ist ohnehin kein Regulierungs-, sondern schlicht ein Führungsthema: wissen, was im eigenen Betrieb läuft.
Unsere Kernbotschaft ist deshalb unspektakulär: keine Panik, aber auch kein Wegschauen. Der AI Act ist für den typischen Mittelständler mit gesundem Prozessverstand erfüllbar, und die EU hat mit der Verschiebung der Hochrisiko-Fristen gezeigt, dass sie die Umsetzbarkeit im Blick hat. Wer die Regeln ignoriert, riskiert ab August 2026 dennoch echte Sanktionen, denn dann können die Aufsichtsbehörden Verstöße tatsächlich verfolgen. Der Aufwand, es richtig zu machen, ist in den meisten Fällen klein genug, um ihn einfach zu erledigen.
Wenn Sie unsicher sind, wo Ihre konkreten KI-Anwendungen in diesem Raster liegen, ordnen wir das im Gespräch gern gemeinsam ein, nüchtern und ohne dass daraus gleich ein Großprojekt werden muss.
