Betrifft mich der EU AI Act als Mittelständler? Ein nüchterner Überblick
Kurz gesagt: Wahrscheinlich ja, aber selten so dramatisch, wie die Schlagzeilen es machen. Eine Pflicht gilt bereits heute für nahezu jedes Unternehmen, das KI einsetzt: die KI-Kompetenzpflicht. Ab dem 2. August 2026 kommen Transparenzpflichten hinzu, die vor allem jeden mit einem Chatbot oder KI-generierten Inhalten betreffen. Die strengen Hochrisiko-Pflichten dagegen wurden per Digital Omnibus auf Dezember 2027 verschoben und treffen die meisten Mittelständler ohnehin nicht. Dieser Text ordnet ein, was für Sie gilt, ohne Panik und ohne Verharmlosung. Er ersetzt keine Rechtsberatung, aber er sortiert die Lage.
Stand der Angaben ist Mitte 2026. Gerade bei diesem Regelwerk haben sich Fristen bereits verschoben, prüfen Sie den aktuellen Stand also, bevor Sie planen.
Warum so viel Verwirrung herrscht
Beim AI Act liegt das Problem weniger in der Komplexität als in der Aktualität. Die Fristen wurden 2026 noch einmal geändert, und ein großer Teil der kursierenden Ratgeber nennt überholte Termine. Wer seine Planung auf einen veralteten Stand stützt, plant entweder zu eng oder verschenkt Zeit. Deshalb zuerst die einzige Frage, die zählt: Was gilt für ein normales mittelständisches Unternehmen tatsächlich, und ab wann?
Der AI Act sortiert nach Risiko, nicht nach Firmengröße
Der entscheidende Denkfehler ist, den AI Act als eine einzige Pflicht zu sehen, die an einem Stichtag über alle hereinbricht. So funktioniert er nicht. Er teilt KI-Anwendungen in Risikoklassen ein, und an der Klasse hängt der gesamte Aufwand. Die meisten Anwendungen im Mittelstand fallen in die unteren beiden Klassen mit geringen oder gar keinen spezifischen Pflichten. Die schweren Pflichten treffen nur wenige, klar umrissene Anwendungsfälle. Ihre erste Aufgabe ist deshalb nicht, alles umzusetzen, sondern einzuordnen, in welche Klasse Ihre KI überhaupt fällt.
Was schon heute gilt: die KI-Kompetenzpflicht
Die in der Praxis am häufigsten übersehene Anforderung gilt bereits seit Februar 2025. Wer KI in seinem Unternehmen einsetzt, muss dafür sorgen, dass die Menschen, die diese KI bedienen, ausreichend Kompetenz dafür haben. Das betrifft nicht nur Entwickler, sondern auch Mitarbeitende, die KI im Alltag nutzen. Diese Pflicht verlangt keine Zertifikate, aber sie verlangt, dass Sie den Kompetenzaufbau ernst nehmen und im Zweifel belegen können. Zeitgleich gelten seit Februar 2025 die Verbote bestimmter KI-Praktiken, die für die meisten Betriebe aber ohnehin nicht relevant sind.
Was ab August 2026 dazukommt: Transparenz
Ab dem 2. August 2026 werden die Transparenzpflichten verbindlich, und genau diese betreffen viele, die sich bisher nicht angesprochen fühlten. Der Kern ist einfach: Menschen müssen erkennen können, dass sie es mit KI zu tun haben. Wenn Ihre Anwendung einen Chatbot hat, muss offengelegt werden, dass hier eine Maschine antwortet und kein Mensch. Wenn Ihre Anwendung Inhalte erzeugt, also Texte, Bilder, Audio oder Video, müssen diese als KI-generiert erkennbar sein. Für Systeme, die zu diesem Zeitpunkt schon im Markt sind, gilt bei der Kennzeichnung eine kurze Übergangsfrist bis Dezember 2026.
Das ist der Punkt, an dem viele KI-Prototypen zum ersten Mal Berührung mit dem AI Act bekommen. Ein schnell gebauter Chatbot, der so tut, als wäre er ein Mitarbeiter, ist ab August 2026 ein Compliance-Thema, nicht mehr nur eine Produktfrage.
Was verschoben wurde: die Hochrisiko-Pflichten
Der volle, aufwendige Pflichtenkatalog gilt nur für Hochrisiko-Systeme. Dazu zählen zum Beispiel KI zur Vorauswahl von Bewerbern, zur Kreditwürdigkeitsprüfung oder im Bildungsbereich. Diese Pflichten umfassen Risikomanagement, technische Dokumentation, Datenqualität, menschliche Aufsicht und mehr. Genau diese Pflichten wurden per Digital Omnibus verschoben, von ursprünglich August 2026 auf Dezember 2027. Für KI, die in bereits regulierte Produkte wie Maschinen oder Medizinprodukte eingebettet ist, verschiebt sich die Frist auf 2028.
Wichtig für die Einordnung: Die Verschiebung verschafft Luft, hebt die Pflicht aber nicht auf. Wenn Sie eine Anwendung bauen, die in diese Kategorie fällt, ist Dezember 2027 kein fernes Datum, sondern die Zeit, die Sie für eine ordentliche Umsetzung ohnehin brauchen.
Was das konkret für Ihren Prototyp bedeutet
Übersetzt in Ihre Situation lässt sich das auf drei Fragen eindampfen. Erstens: Nutzen Menschen in Ihrem Haus die KI, und wissen sie, was sie tun? Dann ist die Kompetenzpflicht schon heute Ihr Thema. Zweitens: Interagiert Ihre Anwendung sichtbar als KI mit Menschen oder erzeugt sie Inhalte? Dann ist die Transparenzpflicht ab August 2026 Ihr Thema. Drittens: Trifft Ihre KI Entscheidungen über Menschen in sensiblen Bereichen wie Bewerbung, Kredit oder Bildung? Dann sind die Hochrisiko-Pflichten bis Dezember 2027 Ihr Thema, und dann wird es ernst.
Die gute Nachricht ist, dass die Vorarbeit für alle drei Fälle dieselbe ist und sich mit dem deckt, was ohnehin zu einem produktionsreifen System gehört. Sie brauchen ein Inventar Ihrer KI-Anwendungen, eine Dokumentation, was die KI tut und mit welchen Daten, kontrollierte Datenpfade und die Transparenz an den richtigen Stellen. Wer seinen Prototyp sauber auf Produktionsniveau bringt, erledigt einen großen Teil der AI-Act-Vorbereitung nebenbei.
Der ruhige Weg statt der hektische
Zwischen den Extremen, alles zu ignorieren oder in Panik zu verfallen, liegt der vernünftige Weg. Er beginnt mit Einordnung statt mit Aktionismus. Klären Sie zuerst, in welche Risikoklasse Ihre Anwendung fällt, denn diese Antwort entscheidet über alles Weitere. Für die meisten Mittelständler ist das Ergebnis erleichternd unspektakulär: ein bisschen Kompetenzaufbau, an der richtigen Stelle Transparenz, ansonsten die normale Sorgfalt eines gut gebauten Systems. Wir helfen bei der technischen Seite, also der sauberen Umsetzung von Transparenz, Dokumentation und kontrollierten Datenpfaden, und sagen Ihnen ehrlich, wenn Ihr Fall in die aufwendige Kategorie fällt oder eben nicht.
Unsicher, was der AI Act für Ihre Anwendung bedeutet? Wir schauen uns im Vibecode-Audit an, wo Ihre KI steht, was technisch zu tun ist und was nicht, und bringen Ihren Prototyp so auf Produktionsniveau, dass Transparenz und Dokumentation gleich mit erledigt sind.