EU AI Act für den Mittelstand: Pflichten & Fahrplan 2026

„Wir sind doch kein KI-Unternehmen — betrifft uns das überhaupt?" Diese Frage hören wir in fast jedem Erstgespräch. Die ehrliche Antwort: In den allermeisten Fällen ja. Denn die KI-Verordnung knüpft nicht daran an, ob ein Unternehmen KI entwickelt, sondern daran, ob es KI einsetzt — und das tun heute fast alle, oft ohne es zu wissen. Dieser Leitfaden führt durch die Systematik der Verordnung aus der Perspektive eines mittelständischen Unternehmens: Was gilt, für wen, ab wann — und wie Sie das Thema in fünf Schritten in den Griff bekommen.

Gilt der EU AI Act für mein Unternehmen?

Sehr wahrscheinlich ja. Die Verordnung erfasst — vereinfacht — jeden, der in der EU KI-Systeme anbietet oder beruflich einsetzt. Drei verbreitete Missverständnisse räumt sie dabei ab:

• „Wir sind zu klein." Eine Größenschwelle gibt es nicht. Die Verordnung gilt für den Ein-Personen-Betrieb genauso wie für den Konzern. KMU werden an einzelnen Stellen entlastet — etwa gilt beim Bußgeldrahmen für sie der jeweils niedrigere Wert — aber nicht ausgenommen.
• „Wir haben keine KI." KI steckt heute in Standardsoftware: Textvorschläge und Copilot-Funktionen in Microsoft 365, Lead-Scoring im CRM, Bewerbervorauswahl in HR-Tools, Anomalieerkennung in der Buchhaltung. Dazu kommt Schatten-KI: Tools, die Mitarbeiter ohne Freigabe der Geschäftsführung nutzen. Ohne systematische Bestandsaufnahme weiß praktisch kein Unternehmen, was wirklich läuft.
• „Das betrifft nur die Hersteller." Die Verordnung adressiert die gesamte Wertschöpfungskette — vom Modell-Anbieter bis zum Unternehmen, das ein fertiges Tool im Tagesgeschäft einsetzt. Auch reine Nutzer können Pflichten haben, ab August 2026 etwa Transparenzpflichten.

Welche Risikoklassen kennt die KI-Verordnung?

Der EU AI Act reguliert nicht „KI" pauschal, sondern nach Risiko. Vier Stufen bestimmen, welche Pflichten gelten:

Für den Mittelstand ist die praktische Konsequenz klar: Ohne KI-Inventar keine Risikoeinordnung. Erst wenn auf dem Tisch liegt, welche Systeme laufen, lässt sich je System klären, in welche Klasse es fallen könnte — die verbindliche rechtliche Einordnung gehört dabei in anwaltliche Hände. Wichtig zu wissen: Ein typisches Mittelstandsportfolio landet überwiegend in den unteren beiden Stufen; einzelne Anwendungen, etwa im Personalbereich, können aber in Richtung Hochrisiko gehen und verdienen besondere Aufmerksamkeit.

Anbieter oder Betreiber: Welche Rolle haben Sie?

Neben der Risikoklasse entscheidet die Rolle über Ihre Pflichten — und zwar je System, nicht pauschal fürs Unternehmen:

• Anbieter ist, vereinfacht, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt. Anbieter tragen die weitreichendsten Pflichten — bei Hochrisiko-KI etwa Risikomanagement (Art. 9), technische Dokumentation (Art. 11) und Qualitätsmanagement (Art. 17).
• Betreiber ist, wer ein KI-System in eigener Verantwortung beruflich einsetzt — also die Rolle, in der sich die meisten Mittelständler wiederfinden. Betreiber von Hochrisiko-KI haben vor allem Pflichten nach Art. 26: Nutzung nach den Vorgaben des Anbieters, menschliche Aufsicht durch qualifiziertes Personal, Kontrolle der Eingabedaten und Überwachung des Betriebs.

Der Punkt, der in der Praxis am häufigsten unterschätzt wird: Die Rolle kann wechseln (Art. 25). Wer ein Hochrisiko-System unter eigenem Namen vermarktet, es wesentlich verändert oder seine Zweckbestimmung so ändert, dass es zum Hochrisiko-System wird, kann rechtlich zum Anbieter werden — mit dem vollen Pflichtenprogramm. Das kann schneller passieren, als viele denken: etwa wenn ein Unternehmen ein zugekauftes KI-Tool tiefgreifend anpasst und unter eigener Marke an Kunden weitergibt. Ob ein konkretes Szenario einen Rollenwechsel auslöst, ist eine Rechtsfrage für die Anwältin — aber die technische Grundlage für diese Bewertung liefert eine saubere Systemdokumentation.

Welche Pflichten gelten wann?

Die KI-Verordnung tritt gestuft in Kraft. Nach der Änderung durch den „Digital Omnibus on AI" (final beschlossen im Juni 2026) gilt folgender Zeitplan:

Was sich hinter dem nächsten Stichtag am 2. August 2026 im Detail verbirgt — und warum die Hochrisiko-Verschiebung kein Grund zum Zurücklehnen ist — haben wir in einem eigenen Beitrag aufgeschlüsselt: EU AI Act ab 2. August 2026: Was gilt, was verschoben ist.

Auch die Aufsicht nimmt Form an: In Deutschland wird die Bundesnetzagentur zentrale Marktüberwachungsbehörde für die KI-Verordnung — das entsprechende Durchführungsgesetz hat im Juli 2026 den Bundesrat passiert. Mit ihr entstehen eine zentrale Beschwerdestelle und ein Koordinierungs- und Kompetenzzentrum für KI.

Was hat der EU AI Act mit der DSGVO zu tun?

Kurz: Beides gilt parallel — und wer KI einsetzt, muss meist beide Regelwerke im Blick behalten. Die KI-Verordnung ersetzt die DSGVO nicht; sie regelt das System, die DSGVO die Datenverarbeitung. Typische Berührungspunkte im Mittelstand:

• Rechtsgrundlage (Art. 6 DSGVO): Verarbeitet ein KI-Tool personenbezogene Daten — etwa Kundenanfragen im Chatbot oder Bewerberdaten im HR-Tool — braucht es dafür eine Rechtsgrundlage, unabhängig von der KI-VO.
• Datenschutz-Folgenabschätzung (Art. 35 DSGVO): Bei KI-Einsatz mit voraussichtlich hohem Risiko für Betroffene — etwa systematischer Bewertung persönlicher Aspekte — kann eine DSFA erforderlich sein.
• Auftragsverarbeitung (Art. 28 DSGVO): KI-SaaS-Dienste, die personenbezogene Daten verarbeiten, brauchen einen Auftragsverarbeitungsvertrag — und bei Anbietern außerhalb der EU stellt sich die Drittlandsfrage.

Praktisch heißt das: Eine KI-Governance, die nur die KI-VO abdeckt und die DSGVO ignoriert, greift zu kurz — und umgekehrt. Ein sauberes KI-Inventar dokumentiert deshalb beide Dimensionen je System: Risikoklasse und Rolle nach KI-VO, Datenflüsse und Rechtsgrundlagen nach DSGVO.

Welche Rolle spielt die Geschäftsführung?

Der EU AI Act adressiert Unternehmen — aber die Verantwortung für Organisation und Risikovorsorge liegt bei der Geschäftsleitung. Daraus ergeben sich zwei Ebenen:

• Bußgeldebene (Unternehmen): Für den Regelfall im Mittelstand — Pflichtverstöße von Betreibern oder Anbietern, etwa fehlende Transparenz oder Dokumentation — reicht der Rahmen bis 15 Mio. € oder 3 % des weltweiten Jahresumsatzes (Art. 99 Abs. 4 KI-VO). Der Höchstwert von 35 Mio. € oder 7 % gilt nur für verbotene Praktiken nach Art. 5. Für KMU gilt jeweils der niedrigere Wert.
• Persönliche Ebene (Organhaftung): Für Geschäftsführer, die die Sorgfalt beim KI-Einsatz nicht nachweisen können, kann sich ein persönliches Innenhaftungsrisiko gegenüber der Gesellschaft ergeben — bei der GmbH nach § 43 GmbHG, bei der AG nach § 93 AktG. Ob und in welchem Umfang eine solche Haftung im Einzelfall besteht, hängt von den konkreten Umständen ab und ist eine Frage für die anwaltliche Prüfung. Im Streitfall kann eine fehlende dokumentierte KI-Governance zudem die Verteidigung erschweren und den Schutz aus einer D&O-Versicherung beeinträchtigen.

Der wirksamste Hebel gegen beide Risiken ist derselbe: dokumentierte, gelebte KI-Governance — ein Inventar, klare Verantwortlichkeiten, nachvollziehbare Entscheidungen. Sie ist zugleich das, was Großkunden und öffentliche Auftraggeber zunehmend als Nachweis verlangen. Compliance wird damit vom Kostenblock zum Vertriebsargument.

Der Fahrplan: In 5 Schritten zur KI-Governance

Aus unserer Audit-Praxis hat sich für den Mittelstand diese Reihenfolge bewährt — sie deckt die nächsten 18 Monate ab, ohne die Organisation zu überfordern:

• Schritt 1: KI-Inventar erstellen. Alle KI-Systeme strukturiert erfassen — inklusive der eingebetteten KI-Funktionen in Standardsoftware und der Schatten-KI. Das Inventar ist die Grundlage für alles Weitere; ohne es bleibt jede Compliance-Aussage Spekulation.
• Schritt 2: Transparenz-Quick-Check zum 2. August 2026. Alle Punkte prüfen, an denen KI mit Kunden interagiert oder Inhalte erzeugt (Chatbots, generierte Bilder, automatisierte Kommunikation), und die Kennzeichnung regeln.
• Schritt 3: Rollen und Risikoklassen je System klären. Betreiber oder Anbieter? Könnte ein System in eine Hochrisiko-Kategorie fallen? Hier entsteht die Landkarte, aus der sich alle weiteren Pflichten ableiten — die verbindliche rechtliche Einordnung übernimmt die Anwältin.
• Schritt 4: Governance-Grundgerüst aufbauen. Eine KI-Richtlinie, die den tatsächlichen Einsatz regelt (nicht nur verbietet), benannte Verantwortlichkeiten, ein Freigabeprozess für neue Tools — und Schulungen, die den souveränen Umgang mit KI verankern und die Sorgfalt dokumentieren.
• Schritt 5: Hochrisiko-Vorprüfung mit Puffer bis Ende 2027. Für Kandidaten-Systeme (häufig: HR und Finanzprozesse) die Anforderungen des Art. 26 vorbereiten — menschliche Aufsicht, Datenkontrolle, Protokollierung — statt im Herbst 2027 in die Umsetzungspanik zu geraten.

Wer diese fünf Schritte strukturiert und mit externem Blick gehen will, findet im KI-Audit das passende Werkzeug: Es liefert Inventar, Rollen-Mapping, Gap-Analyse, Bußgeld-Exposure und eine priorisierte 12-Wochen-Roadmap in einem Durchgang — in der Regel in 4 bis 6 Wochen.

Häufige Fragen zum EU AI Act im Mittelstand

Abdoul Tchaou

Gründer von Governance AI · KI-Governance-Berater

Abdoul Tchaou ist KI-Architekt und Dozent für Künstliche Intelligenz. Er hat über 50 Fach- und Führungskräfte im souveränen Umgang mit KI geschult und unterstützt mittelständische Unternehmen bei EU-AI-Act-Compliance und KI-Governance. Mehr über uns