KI-Verordnung (EU AI Act) 2026: Was mittelständische Betriebe jetzt wissen müssen

Die europäische KI-Verordnung ist in Kraft und die ersten Fristen laufen. Viele Betriebe sind unsicher, was das für sie bedeutet. Hier bekommen Sie einen klaren Überblick: Was ist Pflicht, was ist Kür, und wo fangen Sie am besten an.

Worum geht es bei der KI-Verordnung?

Die KI-Verordnung ist die weltweit erste umfassende Regulierung für Künstliche Intelligenz. Die EU hat damit einen Rahmen geschaffen, der festlegt, welche KI-Systeme erlaubt sind, welche Auflagen sie erfüllen müssen und welche komplett verboten werden.

Für den Mittelstand bedeutet das: Wenn Sie KI einsetzen oder planen, KI einzusetzen, müssen Sie wissen, in welche Risikokategorie Ihre Anwendungen fallen. Davon hängt ab, welche Pflichten Sie haben.

Die vier Risikostufen im Überblick

Die KI-Verordnung teilt KI-Systeme in vier Kategorien ein:

1. Verbotene KI-Systeme: Social Scoring, manipulative Systeme, biometrische Echtzeit-Überwachung im öffentlichen Raum. Für die meisten Mittelständler nicht relevant.
2. Hochrisiko-KI: Systeme, die in kritischen Bereichen eingesetzt werden, zum Beispiel Personalauswahl, Kreditwürdigkeitsprüfung oder Sicherheitskomponenten. Hier gelten strenge Dokumentations- und Überwachungspflichten.
3. Begrenztes Risiko: Chatbots, KI-generierte Inhalte, Deepfakes. Hier gilt vor allem eine Transparenzpflicht: Nutzer müssen wissen, dass sie mit einer KI interagieren.
4. Minimales Risiko: Spam-Filter, KI-gestützte Rechtschreibprüfung, einfache Automatisierungen. Keine besonderen Auflagen.

Was heißt das konkret für Ihren Betrieb?

Die meisten mittelständischen Betriebe nutzen KI aktuell im Bereich "begrenztes" oder "minimales" Risiko. Typische Beispiele:

• ChatGPT oder ähnliche Assistenten für Texterstellung
• KI-gestützte Buchhaltungs- oder ERP-Software
• Automatische Bildbearbeitung oder Übersetzung
• Chatbots auf der Firmenwebsite

Auch wenn diese Anwendungen in die niedrigeren Risikostufen fallen: Sie sollten dokumentieren, welche KI-Systeme Sie einsetzen. Das schreibt die KI-Verordnung nicht ausdrücklich vor, es ist aber die Grundlage für alles Weitere. Pflicht ist, die Transparenzpflichten einzuhalten und die KI-Kompetenz Ihrer Mitarbeitenden zu unterstützen.

Besonders relevant für Betriebe in Ostfriesland und Niedersachsen

In unserer Region sehe ich vor allem drei Bereiche, in denen die KI-Verordnung praktisch relevant wird:

• Handwerksbetriebe: Viele nutzen bereits KI in Angebotserstellung, Routenplanung oder Kundenservice. Oft ohne es zu wissen, weil die KI Teil der Software ist.
• Kleine Produktionsbetriebe: KI-gestützte Qualitätskontrolle, Predictive Maintenance oder automatisierte Bestellprozesse sind meist kein Hochrisiko. Anders kann es sein, wenn die KI als Sicherheitsbauteil in einem regulierten Produkt steckt oder in der Strom-, Gas-, Wasser- oder Wärmeversorgung eingesetzt wird. Das sollten Sie im Einzelfall prüfen.
• Dienstleister (Steuerberater, Personalberater, Architekten): Wer KI für Empfehlungen oder Entscheidungsunterstützung nutzt, sollte offen damit umgehen und das dokumentieren. Pflicht ist die Offenlegung vor allem dann, wenn Kunden direkt mit einer KI kommunizieren oder Deepfakes im Spiel sind (Art. 50).

Die gute Nachricht: Als externer AI-Officer mit Sitz in der Region kenne ich die typischen Strukturen und Herausforderungen. Ich spreche Ihre Sprache, nicht Brüsseler Regulierungsdeutsch.

Die meisten Betriebe unterschätzen nicht die Technologie, sondern den Dokumentationsaufwand. Ein KI-Verzeichnis anzulegen klingt trivial, bis man es wirklich macht.

Welche Fristen gelten?

Die KI-Verordnung tritt gestaffelt in Kraft. Die wichtigsten Fristen im Überblick:

• 2. Februar 2025 (bereits aktiv): Verbotene KI-Praktiken (z. B. Social Scoring) sind untersagt.
• 2. August 2026 (bereits aktiv): Transparenzpflichten, z. B. müssen KI-Chatbots sich als solche zu erkennen geben und Deepfakes gekennzeichnet werden. Für die maschinenlesbare Kennzeichnung bei Altsystemen gilt eine Übergangsfrist bis 2. Dezember 2026.
• 2. Dezember 2027: Pflichten für Hochrisiko-KI-Systeme nach Anhang III (z. B. KI im Recruiting oder bei Kreditentscheidungen), verschoben durch den Digital Omnibus (Verordnung (EU) 2026/1744).
• 2. August 2028: Hochrisiko-KI, die in regulierte Produkte eingebaut ist (Anhang I).

Für die meisten Betriebe sind jetzt die Transparenzpflichten und die Frage relevant, welche KI-Tools überhaupt im Einsatz sind. Ein KI-Verzeichnis ist die Grundlage für alles Weitere, auch für die Hochrisiko-Einordnung vor Dezember 2027. Wer jetzt anfängt, hat ausreichend Zeit.

Die wichtigsten Pflichten auf einen Blick

1. KI-Inventar erstellen: Welche KI-Systeme setzen Sie ein? Wo? Wofür? Ein vollständiges Verzeichnis ist die Grundlage für alles Weitere.
2. Risikobewertung durchführen: Für jedes System prüfen: Welche Risikostufe? Welche Pflichten leiten sich daraus ab?
3. KI-Kompetenz aufbauen (Art. 4 KI-Verordnung): Unternehmen müssen Maßnahmen ergreifen, die die KI-Kompetenz ihrer Mitarbeitenden unterstützen. Seit dem Digital Omnibus ist das eine Bemühenspflicht, kein garantiertes Kompetenzniveau, und ohne eigenes Bußgeld. Ein dokumentiertes Schulungskonzept ist trotzdem der beste Nachweis.
4. Transparenz sicherstellen: Nutzer und Betroffene müssen wissen, wann sie mit KI interagieren. Das betrifft auch Ihre Mitarbeiter.
5. Dokumentation aufbauen: Technische Dokumentation, Zweckbestimmung, Verantwortlichkeiten. Je höher das Risiko, desto umfangreicher die Anforderungen.
6. Zuständigkeit klären: Wer ist in Ihrem Unternehmen für KI-Compliance verantwortlich? Diese Rolle muss klar definiert sein.

Wo fangen Sie an?

Meine Empfehlung für den Einstieg:

1. Machen Sie den Quickcheck: In fünf Minuten erfahren Sie, wo Ihr Betrieb aktuell steht. Zum kostenlosen Quickcheck →
2. Erstellen Sie ein KI-Inventar: Listen Sie alle Tools und Systeme auf, die in Ihrem Betrieb KI nutzen. Vergessen Sie dabei nicht die "unsichtbare KI" in bestehender Software.
3. Holen Sie sich Unterstützung: Als externer AI-Officer übernehme ich für Sie die Rolle, die der Datenschutzbeauftragte im DSGVO-Kontext hat: Ich behalte den Überblick, sorge für Compliance und bin Ihre Ansprechpartnerin bei allen Fragen rund um die KI-Verordnung.

Konkrete Leistungen für Ihren Betrieb

Je nachdem, wo Sie stehen, biete ich Ihnen:

• KI-Sicherheitscheck (ab 1.200 €): Einmalige Bestandsaufnahme aller KI-Systeme im Betrieb mit Risikobewertung, Gap-Analyse und konkreten Handlungsempfehlungen. Dauer: ca. 2-3 Wochen.
• KI-Schulungen (ab 800 € für Halbtagsworkshop): Ihre Mitarbeiter lernen, KI rechtskonform und effektiv zu nutzen. Gefordert durch Art. 4 KI-Verordnung (Bemühenspflicht), vor allem aber eine Investition in Produktivität und Sicherheit im Umgang mit KI.
• Laufende KI-Begleitung (ab 450 €/Monat): Laufende Begleitung für Betriebe, die KI strategisch nutzen wollen. Ich halte Ihnen den Rücken frei bei Compliance, berate bei neuen KI-Projekten und bin Ihre feste Ansprechpartnerin.

Alle Leistungen sind modular kombinierbar. Im kostenlosen Erstgespräch klären wir, welcher Einstieg für Sie der richtige ist.

Fazit

Die KI-Verordnung ist kein Grund zur Panik, aber auch kein Thema, das Sie auf die lange Bank schieben sollten. Die Regulierung ist da, die Fristen laufen, und die Bußgelder bei Verstößen sind empfindlich. Die Höchstbeträge liegen bei bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes für verbotene KI-Praktiken und bei bis zu 15 Millionen Euro oder 3 % für Verstöße gegen Transparenz- und Hochrisiko-Pflichten. Für KMU gilt jeweils der niedrigere der beiden Beträge (Art. 99 Abs. 6). Für Art. 4 ist kein eigenes Bußgeld vorgesehen.

Die gute Nachricht: Für die meisten mittelständischen Betriebe ist der Aufwand überschaubar, wenn man strukturiert vorgeht. Als externer AI-Officer sorge ich dafür, dass Sie die Fristen einhalten, Risiken minimieren und gleichzeitig die Chancen von KI nutzen können. Sie konzentrieren sich auf Ihr Geschäft, ich kümmere mich um die Compliance.

Hinweis: Stand: Oktober 2026. Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für konkrete rechtliche Fragen zu Ihrer spezifischen Situation wenden Sie sich bitte an einen Fachanwalt.

Quellen: Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates über Künstliche Intelligenz (KI-Verordnung, EU AI Act), EUR-Lex Amtsblatt · Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI), ABl. L 2026/1744 vom 24.7.2026