AI Act Pflichten für KMU 2026: Was Sie jetzt tun müssen

Was ist der AI Act (KI-Verordnung)?

Der AI Act ist die Verordnung (EU) 2024/1689 – die erste verbindliche KI-Regulierung der Welt. Sie ist direkt in allen EU-Mitgliedstaaten gültig, ohne dass nationale Umsetzungsgesetze nötig sind. Das macht die Compliance für deutsche KMU zur unmittelbaren Anforderung.

Der AI Act verfolgt einen risikogestuften Ansatz:

• Verbotene Praktiken (Art. 5): KI-Systeme mit inakzeptablem Risiko – zum Beispiel Biometrische Echtzeit-Erkennung ohne begründete Verdacht, manipulative KI, Sozialkredit-Systeme.
• Hochrisiko-Systeme (Art. 6, Anhang I & III): KI mit signifikantem Risiko für Grundrechte – etwa KI in Recruitment, Bonität, medizinischen Geräten, kritischer Infrastruktur.
• Allgemeine KI-Systeme (GPAI, Art. 51–56): Große Sprachmodelle wie ChatGPT, Copilot. Neue Kategorie mit eigenständigen Transparenz- und Dokumentationspflichten.
• KI-Betreiber (Art. 4): Wer KI nutzt – alle anderen Systeme – unterliegt Basis-Pflichten seit Februar 2025 (Art. 4 KI-Kompetenz gilt bereits).

Welche Fristen gelten für KMU?

Der AI Act hat ein gestaffelt umgesetztes Inkrafttreten. Hier die wichtigsten Daten:

Bin ich als KMU betroffen?

Ja – wenn Sie KI nutzen. Das ist die zentrale Botschaft. Der AI Act gilt nicht nur für KI-Anbieter (z.B. Softwareunternehmen), sondern auch für Betreiber – und das sind Sie, wenn Sie:

• ChatGPT, Copilot oder andere LLMs in Ihrer Arbeit einsetzen
• KI-gestützte HR-Tools für Recruiting oder Leistungsbewertung nutzen
• Automatisierte Buchhaltungs- oder Betrugserkennung einsetzen
• KI für Kundenanalyse, Preisgestaltung oder Empfehlungen verwenden
• Biometrische oder automatisierte Überwachung in Ihrer Facility einsetzen

Markt-Realität: Eine Studie der OECD (2025) belegt, dass ca. 700.000 deutsche KMU bereits KI-Tools einsetzen – von Textgeneration bis zur Fraud-Detection. Die meisten wissen jedoch nicht, dass sie als Betreiber unter den AI Act fallen.

Die 5 wichtigsten Pflichten für KMU-Betreiber

1. Schulung und KI-Kompetenz (Art. 4, Abs. 1)

Mitarbeiter, die KI nutzen, müssen geschult sein. Das erfordert kein PhD – es reicht fundiertes Grundwissen über Funktionsweise, Risiken und Grenzen der eingesetzten KI. Dokumentieren Sie: Wer wurde wann geschult? Welche Inhalte? Ein jährliches Refresh ist sinnvoll.

2. Risikoklassifizierung und Dokumentation

Sie müssen das Risiko jedes KI-Systems dokumentieren – nicht als 100-seitige Studie, sondern als pragmatische Risikoanalyse:

• Welche Daten nutzt die KI?
• Wer ist betroffen (Kunden, Mitarbeiter, Geschäftspartner)?
• Welche Grundrechte könnten verletzt werden (Fairness, Datenschutz, Menschenwürde)?
• Ist das System hochrisikoreich (laut AI Act, Art. 6)?

Resultat: Eine Risikoklasse (niedrig, mittel, hoch, verboten) für jedes System.

3. Transparenzpflicht (Art. 50)

Nutzer müssen wissen, dass sie mit KI interagieren. Wenn Ihre KI Entscheidungen über Menschen trifft (z.B. bei Recruiting, Kreditvergabe, HR-Bewertungen), muss die KI offengelegt werden. Beispiel: Chatbots müssen sich als KI vorstellen, nicht als Mensch.

4. Menschliche Aufsicht und Override-Möglichkeit

Mitarbeiter müssen KI-Entscheidungen überprüfen und ablehnen können – insbesondere bei Hochrisiko-Systemen. Vollautomatische Entscheidungen ohne menschliche Prüfung sind nicht erlaubt.

5. Dokumentation und Nachweisfähigkeit

Behörden müssen im Fall einer Kontrolle Ihre Compliance nachweisen können. Das bedeutet:

• Inventar aller eingesetzten KI-Systeme
• Dokumentation von Schulungen
• Risikoanalysen und Maßnahmen
• Logs von Entscheidungen (bei Hochrisiko-Systemen)

Welche Bußgelder drohen?

Die Strafverfolgung regelt Art. 99 AI Act. Die Bußgelder sind nicht zu unterschätzen:

• Art. 5 (Verbotene Praktiken): bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes (je höher) [Art. 99 Abs. 3 KI-VO]
• Hochrisiko- und Betreiber-Pflichten (inkl. Art. 4, Art. 26): bis zu 15 Millionen Euro oder 3 % Jahresumsatz; für KMU gilt der niedrigere Betrag [Art. 99 Abs. 4 i.V.m. Abs. 6 KI-VO]
• Falsche oder irreführende Angaben gegenüber Behörden: bis zu 7,5 Millionen Euro oder 1 % Jahresumsatz [Art. 99 Abs. 5 KI-VO]

Beispiel für ein KMU mit 5 Millionen Euro Jahresumsatz:

• Verstoß gegen Art. 5 (Verbot): bis zu 350.000 Euro (7 % von 5 Mio. €)
• Verstoß gegen Art. 4 oder Art. 26 (Schulung/Dokumentation): bis zu 150.000 Euro (3 % von 5 Mio. €)

Es gibt keine spezielle „KMU-Ausnahme" bei den Bußgeldern, aber Gerichte berücksichtigen Verhältnismäßigkeit. Ein KMU mit 5 Mio. Euro Umsatz wird nicht wie ein Konzern mit 50 Mio. Euro bestraft. Dennoch: Ignorieren ist keine Option.

KMU-Erleichterungen im AI Act

Es gibt Entlastungen für KMU, auch wenn sie nicht im AI Act explizit „named" werden:

Regulatory Sandboxes (Art. 57 ff.)

Die EU und Mitgliedstaaten bieten Regulatory Sandboxes an – kontrollierte Umgebungen, in denen KMU neue KI-Systeme entwickeln und testen können, ohne sofort vollständige Compliance zu erfüllen. Deutschland hat 2025 die KI-Sandbox der Bundesnetzagentur gestartet. Das vereinfacht Tests.

EU-KMU-Leitfaden und praktische Ressourcen

Die EU-Kommission hat SME Guidelines veröffentlicht (2025), die Compliance praktisch erklären – nicht juristisch. Kostenlos unter digital-strategy.ec.europa.eu.

Vereinfachte Risikoanalyse

KMU können pragmatischere Risikoanalysen durchführen – nicht alle 1.000 Seiten eines Enterprise-Assessment, sondern ein fokussiertes Risikoregister: System → Daten → Betroffene → Grundrechts-Risiken → Maßnahmen.

Verhältnismäßigkeit bei Ressourcen

Der AI Act verlangt Maßnahmen, die für die Unternehmensgröße proportional sind. Eine 10-Personen-KMU muss nicht das gleiche Compliance-Team wie Siemens haben – aber die Dokumentation und Schulung muss existieren.

Checkliste: Die ersten 5 Schritte für KMU

Fazit: Compliance ist machbar

Der AI Act klingt komplex, aber für KMU bedeutet er vor allem: Bewusstsein, Schulung und Dokumentation. Sie müssen nicht alle technischen Details verstehen, aber Sie müssen wissen, welche KI Sie einsetzen und welche Risiken damit verbunden sind.

Ihre konkrete Timeline:

• Jetzt (Mai 2026): Inventar erstellen, Risikoanalyse durchführen, Schulung planen
• Seit Februar 2025: Art. 4 (KI-Kompetenz) und Art. 5 (Verbote) gelten bereits — handeln Sie jetzt, falls noch nicht geschehen
• Ab Dezember 2026: Transparenzpflichten (Art. 50) — Chatbots kennzeichnen, KI-Inhalte offenlegen (Omnibus)
• Ab Dezember 2027: Hochrisiko-Systeme (Anhang III) vollständig compliant (Omnibus)

Mit Fokus und einer strukturierten Herangehensweise werden Sie die Compliance in Ihrer KMU erfolgreich umsetzen.

Stand: April 2026. Dieser Artikel dient der Informationszwecken und ersetzt keine verbindliche Rechtsberatung. Für spezifische Fragen zu Ihrer Situation konsultieren Sie bitte einen auf AI Act spezialisierten Rechtsanwalt oder nutzen Sie die Beratungsressourcen der EU-Kommission und der nationalen Regulierungsbehörden.