Vergangene Woche rief mich ein Geschäftsführer an, dessen Unternehmen 40 Mitarbeiter hat. Er hatte einen Zeitungsartikel über den EU AI Act gelesen und war überzeugt, sein Betrieb müsse jetzt ein Risikomanagementsystem aufbauen, eine technische Dokumentation erstellen und eine Konformitätsbewertung durchlaufen. Er hatte bereits eine Kanzlei angefragt.
Sein einziger KI-Einsatz: ein Chatbot auf der Website, der Öffnungszeiten und Kontaktdaten ausgibt.
Für ihn bedeutet die Verordnung genau eine Sache. Der Chatbot muss den Nutzern sagen, dass sie mit einer Maschine schreiben. Das war es.
Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50. Sie sind übersichtlich: Wenn Menschen mit einem KI-System interagieren, müssen sie das wissen. Wenn Inhalte von einer KI erzeugt oder verändert wurden, muss das erkennbar sein.
Praktisch heißt das für die meisten Betriebe: Ein Hinweis am Chatbot. Eine Kennzeichnung, wenn Sie KI-generierte Bilder oder Texte veröffentlichen. Das lässt sich an einem Nachmittag erledigen.
Für Systeme, die vor dem 2. August bereits im Einsatz waren, läuft eine Übergangsfrist bis zum 2. Dezember 2026. Sie haben also noch Zeit, aber keine unbegrenzte.
Hier entsteht die meiste Verwirrung, und sie kostet Unternehmen gerade viel Geld für Beratung, die sie noch nicht brauchen.
Die strengen Pflichten für Hochrisiko-Systeme sind verschoben worden. Für eigenständige Systeme nach Anhang III auf den 2. Dezember 2027, für KI, die in Produkte eingebettet ist, auf den 2. August 2028. Risikomanagement, technische Dokumentation, Konformitätsbewertung: alles wichtig, alles noch nicht fällig.
Und die entscheidende Frage davor lautet ohnehin: Betreiben Sie überhaupt ein Hochrisiko-System? Für einen typischen Mittelständler ist die Antwort meistens nein. Hochrisiko meint Dinge wie KI in der Personalauswahl, bei der Kreditvergabe, in kritischer Infrastruktur oder in der Strafverfolgung.
Wenn Sie Angebote zusammenfassen lassen oder Rechnungen automatisch auslesen, fallen Sie nicht darunter.
Eine Ausnahme, die viele überrascht: Wer KI zur Vorauswahl von Bewerbungen einsetzt, ist im Hochrisikobereich. Das kommt im Mittelstand häufiger vor, als die Geschäftsführung weiß, weil die Personalabteilung solche Funktionen oft einfach im Bewerbermanagement-Tool mitgebucht hat.
Über Artikel 4 spricht kaum jemand, dabei ist er seit dem 2. Februar 2025 in Kraft. Er verlangt, dass Ihre Mitarbeiter über ausreichende KI-Kompetenz verfügen, wenn sie KI-Systeme in Ihrem Auftrag einsetzen.
Kein Zertifikat, keine vorgeschriebene Stundenzahl, keine Prüfung. Aber eine echte Pflicht, und die meisten Unternehmen, in die ich komme, haben dazu nichts vorzuweisen.
Was ich Kunden empfehle, ist unspektakulär: eine dokumentierte Schulung, die Ihre Leute in zwei Stunden durchlaufen, mit Teilnehmerliste und Datum. Inhalt: Welche Tools sind bei uns erlaubt, welche Daten dürfen hinein, wo sind die Grenzen, an wen wende ich mich bei Zweifeln. Das ist keine Formalie. Es ist genau das Gespräch, das Sie ohnehin führen sollten.
Eine Frage, die mir in den letzten Wochen häufig gestellt wurde: Wir haben die KI doch gar nicht gebaut, wir benutzen nur Microsoft. Sind dann nicht die zuständig?
Teilweise. Die Verordnung unterscheidet zwischen Anbietern und Betreibern. Der Anbieter hat die deutlich schwereren Pflichten, und das ist bei eingekaufter Software nicht Ihr Unternehmen.
Betreiberpflichten haben Sie trotzdem. Dazu gehört die Transparenz gegenüber den Menschen, die mit dem System zu tun haben, und die Aufsicht durch qualifizierte Personen. Die Verantwortung dafür können Sie nicht mit der Lizenz einkaufen.
Und es gibt eine Stelle, an der Sie ungewollt zum Anbieter werden können: wenn Sie ein System unter eigenem Namen weitergeben oder es so wesentlich verändern, dass es etwas anderes tut als vorgesehen. Für Betriebe, die eigene Werkzeuge bauen und diese an Kunden weiterreichen, ist das der Punkt, an dem sich das Thema deutlich ausweitet.
Setzen Sie sich eine Stunde hin und schreiben Sie auf, welche KI-Systeme in Ihrem Unternehmen tatsächlich laufen. Nicht die, die Sie eingekauft haben, sondern die, die benutzt werden. Dazu gehören auch die Funktionen, die in Ihrer bestehenden Software mitgeliefert wurden und irgendwann per Update dazukamen.
Diese Liste ist Ihre Grundlage. Bei den meisten Betrieben passt sie auf eine halbe Seite, und daraus ergibt sich fast von selbst, wo ein Hinweis fehlt.
Wenn auf der Liste etwas mit Personalentscheidungen oder Bonitätsprüfungen steht, holen Sie sich juristischen Rat. Ich bin kein Anwalt und die Einordnung im Einzelfall ist genau die Stelle, an der eine falsche Selbsteinschätzung teuer wird.
Für alles andere gilt: Der Aufwand ist kleiner, als die Schlagzeilen vermuten lassen. Die Panik, die gerade verkauft wird, ist in den meisten Fällen unbegründet.
Seit Juni 2025 gilt das Barrierefreiheitsstärkungsgesetz. Die meisten Unternehmen haben daraufhin ihre Website geprüft und die selbstgebauten internen Werkzeuge übersehen. Warum das trotzdem ein Thema ist.
Der EU AI Act ist in Kraft, die DSGVO gilt weiterhin, und Ihr Datenschutzbeauftragter hat Fragen. Was Sie wirklich wissen müssen, bevor Sie das erste KI-Tool in Ihrem Betrieb einsetzen.
Eine funktionierende App in anderthalb Tagen ist keine Übertreibung. Die ehrliche Frage kommt danach: Was zwischen dem Prototyp und dem Produktivbetrieb noch liegt, und warum dieser Teil meistens unterschätzt wird.
