EU AI Act 2026: Was KMU jetzt tun müssen:…

Der EU AI Act (Verordnung (EU) 2024/1689) ist die weltweit erste umfassende KI-Regulierung, und sie betrifft auch KMU. Seit dem 2. August 2026 gelten die Transparenzpflichten für Chatbots und KI-erzeugte Inhalte, die KI-Kompetenz-Anforderung läuft schon seit Februar 2025, und die strengen Hochrisiko-Regeln wurden kurz vor ihrem Start per Änderungsverordnung auf Ende 2027 verschoben. Dieser Artikel zeigt: Wer ist betroffen, was gilt jetzt, was kommt noch, und welche Schritte ein KMU konkret gehen sollte.

Stand: 16. August 2026. Zuletzt aktualisiert nach der Änderungsverordnung (EU) 2026/1744 („Digital Omnibus“, in Kraft seit 27. Juli 2026).

Hinweis: Dieser Artikel ist eine Einordnung aus der Umsetzungspraxis, keine Rechtsberatung. Für verbindliche Fragen sprechen Sie mit einer Kanzlei; die offizielle Anlaufstelle der EU ist der AI Act Service Desk.

Der zeitliche Stufenplan (aktualisiert nach dem Omnibus)

Datum	Was gilt
2. Februar 2025 ✅	Verbote bestimmter KI-Praktiken (Art. 5) und KI-Kompetenz-Anforderung (Art. 4)
2. August 2025 ✅	Pflichten für Anbieter von General-Purpose-AI-Modellen (OpenAI, Anthropic, Google usw.)
2. August 2026 ✅	Transparenzpflichten (Art. 50): Chatbot-Kennzeichnung, Kennzeichnung KI-erzeugter Inhalte, Deepfake-Label
2. Dezember 2026	Nachfrist für die maschinenlesbare Markierung (Art. 50 Abs. 2) bei Systemen, die vor dem 2. August 2026 auf dem Markt waren
2. Dezember 2027	Hochrisiko-Systeme aus Anhang III (z. B. Bewerbungs-KI, Kreditscoring); ursprünglich August 2026, per Omnibus verschoben
2. August 2028	Hochrisiko-KI in regulierten Produkten aus Anhang I (Medizinprodukte, Maschinen usw.)

Die Verschiebung der Hochrisiko-Fristen kam sechs Tage vor dem ursprünglichen Stichtag. Wer sich darauf verlassen hat, dass „ab August 2026 alles gilt“, arbeitet mit einem veralteten Kalender. Was nicht verschoben wurde: die Verbote, die KI-Kompetenz und die Transparenzpflichten. Genau die drei betreffen die meisten KMU.

Die 4 Risiko-Klassen

Der AI Act klassifiziert KI-Systeme nach Risiko. Je höher das Risiko, desto strenger die Pflichten.

1. Unannehmbares Risiko: VERBOTEN (gilt seit Februar 2025)

Diese Systeme dürfen in der EU nicht angeboten oder eingesetzt werden:

Social Scoring
Manipulative KI (unterschwellig beeinflussend, Ausnutzung von Schutzbedürftigkeit)
Echtzeit-Biometrie im öffentlichen Raum (mit engen Ausnahmen für Strafverfolgung)
Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
Neu per Omnibus: KI-Werkzeuge zur Erzeugung nicht einvernehmlicher intimer Darstellungen („Nudifier“) und von Missbrauchsdarstellungen

KMU-Relevanz: Klein, aber nicht null. Der Klassiker, der Betriebe unbeabsichtigt trifft: ein Tool, das die „Stimmung“ von Mitarbeitern oder Bewerbern in Videocalls auswertet. Das ist Emotionserkennung am Arbeitsplatz und damit verboten.

2. Hochrisiko: STRENG REGULIERT (ab Dezember 2027 bzw. August 2028)

Systeme aus Anhang III. Dazu zählen:

KI in der Personalauswahl (CV-Screening, automatisierte Bewertung oder Reihung von Bewerbungen)
Kreditscoring und Kreditwürdigkeitsprüfung
KI im Bildungsbereich (Prüfungsbewertung, Zulassungsverfahren)
KI in kritischen Infrastrukturen (Strom, Wasser, Verkehr)
KI in Strafrechtspflege und Migrationsverwaltung

KMU-Relevanz: Hoch, wenn Sie HR-Software mit KI-Bewertung nutzen, Finanzdienstleistungen anbieten oder KI-Bewertung im Bildungsbereich einsetzen.

Wichtig ist die Rollenverteilung. Der AI Act unterscheidet Anbieter (wer das System entwickelt und auf den Markt bringt) und Betreiber (wer es beruflich einsetzt):

Anbieter tragen die schweren Pflichten: Risikomanagement, Daten-Governance, technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung.
Betreiber (das ist die typische KMU-Rolle) müssen das System bestimmungsgemäß nutzen, menschliche Aufsicht sicherstellen, Eingabedaten kontrollieren, Protokolle aufbewahren und betroffene Personen informieren. Eine CE-Kennzeichnung müssen Betreiber nicht selbst erwirken, aber sie sollten nur Systeme einkaufen, die eine haben werden.

3. Begrenztes Risiko: TRANSPARENZPFLICHTEN (gelten seit 2. August 2026)

Das ist die Hauptkategorie für die meisten KMU, und sie ist seit dem 2. August 2026 scharf:

Chatbots und Sprachassistenten (Art. 50 Abs. 1): Menschen müssen erfahren, dass sie mit einer KI interagieren, es sei denn, es ist offensichtlich. Die Pflicht liegt beim Anbieter des Systems; wer einen Chatbot einkauft, sollte die Kennzeichnung trotzdem vertraglich und im Abnahmetest prüfen.
KI-erzeugte Inhalte (Art. 50 Abs. 2): Anbieter generativer Systeme müssen Ausgaben maschinenlesbar als KI-erzeugt markieren. Für Systeme, die vor dem 2. August 2026 auf dem Markt waren, gilt die Nachfrist bis 2. Dezember 2026.
Deepfakes (Art. 50 Abs. 4): Wer Bild-, Audio- oder Videoinhalte erzeugt, die real existierenden Personen, Orten oder Ereignissen täuschend ähnlich sind, muss die künstliche Herkunft offenlegen.
KI-Texte zu Themen von öffentlichem Interesse (Art. 50 Abs. 4): Veröffentlichte KI-Texte, die die Öffentlichkeit über solche Themen informieren, sind zu kennzeichnen, außer der Text hat eine menschliche redaktionelle Kontrolle durchlaufen und eine Person trägt die Verantwortung. Für die meisten Unternehmens-Blogs ist diese Ausnahme der Normalfall, sie funktioniert aber nur, wenn die Redaktionskontrolle wirklich stattfindet.
Emotionserkennung außerhalb von Arbeit und Bildung (Art. 50 Abs. 3): Betroffene müssen informiert werden.

Was das praktisch heißt: Ein „Hallo! Ich bin der KI-Assistent von …“ im Chatfenster, ein Hinweis „Stimme computererzeugt“ im Video mit synthetischer Sprecherstimme, eine dokumentierte Freigabe-Routine für KI-gestützte Texte.

4. Minimales Risiko: KEINE AI-ACT-PFLICHTEN

Spam-Filter, Rechtschreibkorrektur, Übersetzung, interne Code-Assistenten. Hier verlangt der AI Act nichts Spezifisches. Die DSGVO gilt natürlich weiter, und die KI-Kompetenz aus Art. 4 auch.

Die Querschnittspflicht: KI-Kompetenz (Art. 4, seit Februar 2025)

Unabhängig von der Risikoklasse gilt: Wer KI-Systeme anbietet oder betreibt, muss nach besten Kräften sicherstellen, dass die eigenen Leute über ausreichende KI-Kompetenz verfügen. Gemeint ist kein Zertifikatskurs, sondern nachweisbares Grundverständnis: Was kann das Werkzeug, wo liegen die Grenzen, wie geht man mit Daten und Fehlern um.

Der praktikable Weg für ein KMU: eine dokumentierte Schulung mit Teilnehmerliste, Inhalten und betrieblichen Nutzungsregeln. Das ist kein Hexenwerk, ein Halbtag reicht für den Einstieg, aber es sollte schriftlich vorliegen.

Bußgelder: Was kostet ein Verstoß?

Verstoß-Art	Maximale Strafe
Verbotene KI-Praktiken	bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes
Verstoß gegen die meisten übrigen Pflichten (auch Art. 50 Transparenz)	bis 15 Mio. € oder 3 %
Falsche Angaben gegenüber Behörden	bis 7,5 Mio. € oder 1 %

KMU-spezifisch: Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge als Obergrenze, und die Behörden müssen die wirtschaftliche Lage berücksichtigen. Existenzvernichtende Fantasiesummen sind für ein KMU nicht das realistische Szenario; ein Verfahren samt Nachbesserungspflicht ist unangenehm genug.

Compliance-Checkliste für KMU

Schritt 1: KI-Inventar erstellen

Welche KI-Systeme nutzen Sie? Liste mit Name, Zweck, Risikoklasse, Anbieter, EU-Datenresidenz, verarbeiteten Datentypen.

Schritt 2: Risikoklasse pro System bestimmen

Meistens „begrenztes Risiko“ oder „minimal“. Hochrisiko ist selten, aber teuer. Verbotene Praktiken ausschließen (Stichwort Emotionserkennung).

Schritt 3: Transparenz umsetzen (das ist der Jetzt-Posten)

Chatbot: klare KI-Kennzeichnung beim ersten Kontakt
Synthetische Stimme oder generierte Bilder in veröffentlichten Inhalten: Herkunft offenlegen
KI-gestützte Texte: Freigabe-Routine dokumentieren (redaktionelle Kontrolle als Ausnahme von der Kennzeichnungspflicht)

Schritt 4: Datenschutz-Folgenabschätzung, wenn nötig

Bei sensiblen Daten plus KI-Verarbeitung: DSFA gemäß Art. 35 DSGVO. AI Act und DSGVO überlappen hier.

Schritt 5: Verträge mit KI-Anbietern prüfen

AVV vorhanden? EU-Datenresidenz? Trainings-Datennutzung deaktiviert? Kennzeichnungsfunktionen (Art. 50) zugesichert?

Schritt 6: KI-Kompetenz dokumentieren

Gilt seit Februar 2025. Dokumentierte Schulung mit Nutzungsregeln, schriftlich in der Akte. Unser Workshop „KI im Arbeitsalltag“ (790 € pauschal) liefert genau das, inklusive Teilnahmebestätigung.

Schritt 7: Wiedervorlage für Ende 2027

Wenn eines Ihrer Systeme in Richtung Anhang III geht (HR, Kredit, Bildung): jetzt Anbieter fragen, wie er die Hochrisiko-Konformität bis Dezember 2027 herstellt, und die eigene Betreiber-Rolle vorbereiten (Aufsicht, Logs, Information der Betroffenen).

Konkrete Beispiele

Beispiel 1: Handwerksbetrieb mit Chatbot auf der Website

Risikoklasse: Begrenztes Risiko
Pflichten: KI-Kennzeichnung im Chat (Anbieterpflicht, beim Einkauf prüfen), Datenschutzerklärung erweitern, AVV
Aufwand: wenige Stunden

Beispiel 2: Personalberatung, die ein KI-CV-Screening-Tool nutzt

Risikoklasse: Hochrisiko (Anhang III), Pflichten greifen ab 2. Dezember 2027
Rolle: Betreiber. Menschliche Aufsicht, Eingabedaten-Kontrolle, Protokolle, Information der Bewerber. Die Konformitätsbewertung und CE-Kennzeichnung schuldet der Tool-Anbieter, nicht Sie; kaufen Sie nichts ohne dieses Versprechen.
Aufwand: Prozess-Setup plus laufende Dokumentation

Beispiel 3: Marketing-Agentur mit KI-Bildgenerierung

Risikoklasse: Begrenztes Risiko
Pflichten: veröffentlichte KI-Bilder und -Stimmen als künstlich erzeugt offenlegen, Markierungsfunktion des Tools nutzen
Aufwand: Anpassung der Auslieferungs-Routine

Beispiel 4: KMU mit Code-Assistent für Entwickler

Risikoklasse: Minimales Risiko (intern, kein Kundenbezug)
Pflichten: keine spezifischen AI-Act-Pflichten. KI-Kompetenz (Art. 4) und Vertraulichkeit des Quellcodes bleiben Thema.

Was tun, wenn ich nicht weiß, in welche Klasse mein System fällt?

Der kostenlose AI-Act-Schnellcheck übersetzt Ihre Situation in 5 Minuten in eine Ampel mit Pflichtenliste, inklusive Scan Ihrer Startseite auf Chat-Widgets und veraltete AI-Act-Aussagen. Für die verbindliche Einstufung: Im AI-Act-Audit (490 € einmalig) klassifizieren wir die KI-Systeme Ihres Unternehmens, prüfen Kennzeichnungen und Website-Aussagen und liefern eine Pflichtenliste mit Prioritäten.

Fazit

Der AI Act ist keine Zukunftsmusik mehr. Seit dem 2. August 2026 gelten die Transparenzpflichten, die den typischen KMU-Einsatz betreffen. Die Reihenfolge für die Praxis:

Inventar erstellen (welche KI-Systeme laufen bei uns?)
Risiko klassifizieren (meistens „begrenztes Risiko“)
Transparenz umsetzen (Chatbot-Kennzeichnung, Kennzeichnung erzeugter Inhalte, Freigabe-Routine für Texte)
KI-Kompetenz dokumentieren (gilt seit Februar 2025)
Verträge prüfen (AVV, EU-Residenz, Kennzeichnungsfunktionen)
Hochrisiko-Wiedervorlage für Dezember 2027 setzen

Konkreter Einstieg: der kostenlose AI-Act-Schnellcheck für die erste Ampel, das AI-Act-Audit (490 € einmalig) für die Standortbestimmung, oder der KI-Workshop (790 €) für die dokumentierte Team-Schulung samt Teilnahmebestätigung.

EU AI Act 2026: Was KMU jetzt tun müssen: Risiko-Klassen + Pflichten-Check