Zum Inhalt
EA Projekt-Entwicklung Logo EA Projekt-Entwicklung

EU AI Act: Was KMU jetzt konkret tun müssen

Von · Veröffentlicht · Zuletzt geprüft: · EU AI Act · KMU · DSGVO · Compliance

Aktualisiert am 10.10.2026. Die erste Fassung vom 29.06.2026 sagte, seit August 2026 griffen auch die Pflichten für Hochrisiko-Systeme. Das stimmt nicht mehr. Die Änderungsverordnung (EU) 2026/1744 verschiebt diese Pflichten auf Dezember 2027 bzw. August 2028. Der Beitrag wurde gegen den Text im Amtsblatt geprüft, die Termine sind korrigiert. Die Quellen stehen am Ende.

Seit 2. August 2026 gilt der EU AI Act in weiten Teilen, darunter die Transparenzpflichten für Chatbots und KI-Inhalte. Die Pflichten für Hochrisiko-Systeme kommen später. Wer in der EU KI einsetzt, hat damit heute schon Pflichten, auch als Betrieb mit zwei oder fünfzehn Mitarbeitenden. Die gute Nachricht: Für die meisten KMU-Einsätze sind sie überschaubar.

Welche Termine jetzt gelten

Der EU AI Act ist die Verordnung (EU) 2024/1689. Sie ist am 1. August 2024 in Kraft getreten und wird in Stufen anwendbar. Im Juli 2026 hat die EU diese Stufen mit der Verordnung (EU) 2026/1744 geändert, dem sogenannten Digital Omnibus zur KI. Sie wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Der Fahrplan laut Art. 113 in der geänderten Fassung:

AbWas gilt
2. Februar 2025Verbotene Praktiken (Art. 5) und die Pflicht zur KI-Kompetenz (Art. 4)
2. August 2025Regeln für KI-Modelle mit allgemeinem Verwendungszweck (Kapitel V), etwa die Modelle hinter ChatGPT oder Claude, dazu Aufsicht und Sanktionen
2. August 2026Allgemeiner Geltungsbeginn, darunter die Transparenzpflichten nach Art. 50
2. Dezember 2026Zwei neue Verbote: KI-Systeme, die intime Darstellungen realer Personen ohne deren Einwilligung oder Darstellungen sexuellen Kindesmissbrauchs erzeugen. Bis dahin müssen Anbieter generativer KI, die schon vor 2. August 2026 am Markt waren, ihre Ausgaben maschinenlesbar kennzeichnen (Art. 50 Abs. 2)
2. Dezember 2027Pflichten für Hochrisiko-Systeme nach Anhang III, etwa Personalauswahl, Kreditwürdigkeit, Bildung
2. August 2028Pflichten für Hochrisiko-Systeme in Produkten nach Anhang I, etwa Medizinprodukte und Maschinen

Die Termine für Hochrisiko-Systeme stehen fest im Gesetz. Sie hängen nicht davon ab, ob Normen rechtzeitig fertig werden.

Die Risiko-Klassen, in einer Minute erklärt

Der EU AI Act ordnet KI-Einsätze grob in vier Stufen:

  1. Verboten. Soziales Scoring, manipulative Systeme, bestimmte biometrische Überwachung, ab Dezember 2026 auch die oben genannten Bild-Generatoren. Für KMU praktisch nie relevant.
  2. Hochrisiko. KI für Personalentscheidungen, Kreditwürdigkeit, kritische Infrastruktur, Medizin, Bewertungen in der Bildung. Hier kommen umfangreiche Pflichten: Risiko-Management, Datenqualität, technische Dokumentation, Konformitätsbewertung. Wer nicht sicher ist, ob er darunter fällt, sollte das rechtlich prüfen lassen.
  3. Transparenzpflichten (Art. 50). Chatbots, KI-erzeugte Bilder, Videos und Audio, bestimmte KI-Texte. Hauptpflicht: Menschen müssen erkennen können, dass sie mit KI sprechen oder KI-Inhalte sehen.
  4. Minimales Risiko. Spam-Filter, KI in Spielen, Rechtschreibhilfe. Keine eigenen Pflichten aus dem AI Act, abgesehen von der KI-Kompetenz nach Art. 4.

Die allermeisten KI-Einsätze im KMU-Alltag fallen in die letzten beiden Stufen.

Was Sie konkret tun sollten, wenn Sie ChatGPT, Copilot oder Claude einsetzen

Erstens, ein KI-Inventar führen. Wörtlich verlangt der AI Act das nicht. Es ist aber der schnellste Weg zu wissen, wo Sie stehen. Listen Sie auf einer A4-Seite auf: Welche KI-Werkzeuge setzen wir ein, wofür, mit welchen Daten, wer ist verantwortlich? Excel reicht. Damit sehen Sie auf einen Blick, ob ein Einsatz in Richtung Hochrisiko geht.

Zweitens, für KI-Kompetenz sorgen. Art. 4 gilt seit Februar 2025: Wer KI-Systeme anbietet oder betreibt, muss Maßnahmen setzen, damit das eigene Personal KI sachkundig nutzt. Seit der Änderung im Juli 2026 steht ausdrücklich im Gesetz, dass Sie dabei kein bestimmtes Niveau je Person garantieren müssen. Eine naheliegende Maßnahme ist eine kurze Schulung von etwa zwei Stunden: Was darf in die ChatGPT-Eingabebox, was nicht. Personenbezogene Daten ohne Auftragsverarbeitungsvertrag gehen nicht. Geschäftsgeheimnisse gehen nicht. Code aus Kundenprojekten geht nicht. Halten Sie die Schulung schriftlich fest, dann können Sie sie belegen.

Drittens, KI-erzeugte Medien richtig einordnen. Nach Art. 50 Abs. 4 müssen Sie als Betreiber offenlegen, wenn ein Bild, Video oder Audio ein Deepfake ist, also echte Personen, Orte oder Ereignisse täuschend nachbildet. Für KI-Texte, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren sollen, gilt die Offenlegung ebenfalls, aber nicht, wenn ein Mensch den Text redaktionell geprüft hat und jemand die redaktionelle Verantwortung trägt. Ein Blogartikel, den Sie selbst redigieren und verantworten, ist davon ausgenommen. Für solche Texte ist ein Satz wie „Mit Unterstützung eines Sprachmodells geschrieben, redaktionell geprüft" gute Praxis, aber keine Pflicht. Lassen Sie sich keine pauschale Kennzeichnungspflicht für jeden Webseiten-Text einreden.

Viertens, bei Chatbots Transparenz. Art. 50 Abs. 1 verpflichtet den Anbieter eines Chatbots, ihn so zu bauen, dass Menschen erfahren, dass sie mit einer KI sprechen, außer es ist ohnehin offensichtlich. Der Hinweis muss spätestens beim ersten Kontakt kommen (Abs. 5). Wenn Sie einen Chatbot auf Ihrer Site einbinden, sorgen Sie dafür, dass dieser Hinweis sichtbar bleibt. „Hallo, ich bin ein automatisierter Assistent" erfüllt den Zweck. „Hallo, ich bin Anna und helfe Ihnen gerne weiter" läuft ihm zuwider.

Was Sie nicht tun müssen (entgegen anderslautender Beratung)

  • Keine Grundrechte-Folgenabschätzung für Office-Werkzeuge mit Standard-Funktionen. Die verlangt Art. 27 nur von bestimmten Betreibern von Hochrisiko-Systemen.
  • Kein eigener Datenschutzbeauftragter nur wegen KI. Der AI Act schreibt keinen vor.
  • Keine ISO-27001-Zertifizierung als KMU mit minimalem Risiko oder reinen Transparenzpflichten.
  • Keine teuren „EU AI Act Compliance-Pakete" für 5.000 € und mehr, wenn Sie nur ChatGPT zur Texterstellung nutzen.

Beratungs-Agenturen verkaufen solche Pakete gerne pauschal, weil es lukrativ ist. Lassen Sie sich nicht ins Bockshorn jagen.

Wo es teuer werden kann

  • Lebensläufe automatisch vorsortieren lassen. Hochrisiko nach Anhang III, Pflichten ab 2. Dezember 2027. Nicht ohne Rechtsberatung.
  • Kreditwürdigkeit von Privatpersonen per KI prüfen. Hochrisiko nach Anhang III, ebenfalls ab 2. Dezember 2027.
  • KI-Bewertung von Mitarbeitenden. Hochrisiko nach Anhang III. Dazu Betriebsrat und DSGVO. Komplex.
  • Medizinische Diagnose- oder Therapie-Vorschläge. Meist Hochrisiko über das Medizinprodukterecht (Anhang I), Pflichten ab 2. August 2028. Fachberatung ist Pflicht.

Verschoben heißt nicht gestrichen. Wer so ein System heute einführt, sollte es gleich auf die Pflichten von 2027 auslegen, statt in einem Jahr nachzurüsten.

Zu den Bußgeldern: Art. 99 sieht bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken vor und bis zu 15 Mio. € oder 3 % für die meisten anderen Pflichten, auch die Transparenzpflichten nach Art. 50. Für KMU gilt jeweils der niedrigere der beiden Werte (Art. 99 Abs. 6). Seit Juli 2026 müssen die Mitgliedstaaten bei Strafen außerdem die wirtschaftliche Tragfähigkeit von KMU berücksichtigen (Art. 99 Abs. 1).

Was es kostet, sauber aufgestellt zu sein

Für einen Standard-KMU mit ChatGPT, Copilot oder ähnlichen Werkzeugen und ein paar KI-erzeugten Webseiten-Texten: 400 bis 900 € einmalig für ein kompaktes Paket.

Inkludiert ist: KI-Inventar erstellen, kurze Schulung der Mitarbeitenden, Anpassung der Datenschutz-Erklärung, Hinweise zu KI-Inhalten auf der Site, schriftliche Dokumentation. Das ist in zwei Wochen erledigt.

Wer als Anwalt, Steuerberater, im medizinischen oder pädagogischen Bereich tätig ist, hat höhere Anforderungen. Hier arbeite ich mit Fach-Anwälten zusammen, Preis nach Aufwand. Dieser Beitrag ist keine Rechtsberatung.

Was als Nächstes passiert

Wenn Sie nicht sicher sind, ob Ihr KI-Einsatz EU-AI-Act-fest ist: 30 Minuten Erstgespräch, kostet nichts. 0699 1203 8521 oder office@projekt-entwicklung.at. Sie wissen danach, in welche Stufe Sie fallen und was konkret zu tun ist.

Mehr zum DSGVO-Status auf der Seite DSGVO und EU AI Act für KMU bzw. im Beitrag Cookie-Banner-Theater.

Quellen

Zuletzt geprüft: 10.10.2026

So ist dieser Artikel entstanden

Die erste Fassung vom 29.06.2026 habe ich mit Unterstützung eines Sprachmodells geschrieben. Die Aktualisierung vom 10.10.2026 hat ein Sprachmodell vorbereitet und dabei jede Datumsangabe gegen den Text der beiden Verordnungen im Amtsblatt abgeglichen (Quellen oben). Ich verantworte den Beitrag. Fehler gefunden? Schreiben Sie mir: office@projekt-entwicklung.at.