Im schnellen Überblick: Für die meisten mittelständischen Unternehmen, die KI nutzen (aber nicht selbst entwickeln), sind aktuell zwei Pflichten relevant. Die erste gilt bereits seit Februar 2025: keine verbotenen KI-Praktiken einsetzen und Mitarbeitende im Umgang mit KI schulen. Also die KI-Kompetenz stärken. Der zweite Punkt wird ab dem 2. August 2026 wichtig: Die Transparenzpflicht. Also KI-Kontakt oder Inhalte kenntlich machen, etwa bei Chatbots und KI-generierten Inhalten. Die großen Hochrisiko-Pflichten wurden gerade per EU-Beschluss verschoben - von Juni 2026 auf den 2. Dezember 2027. Sie betreffen ohnehin nur bestimmte Anwendungsfälle wie KI in Personalentscheidungen oder Kreditvergabe. Wer KI für Wissensmanagement, Texterstellung oder Prozessautomatisierung einsetzt, fällt in der Regel nicht darunter. Kaum ein Gesetz hat in letzter Zeit so viel diffuse Sorge im Mittelstand ausgelöst wie die europäische KI-Verordnung. Die gute Nachricht: Für die typische KI-Nutzung im Unternehmen ist der Pflichtenkatalog überschaubar, und die EU hat die anspruchsvollsten Fristen gerade selbst entschärft. Es folgt ein Praxisüberblick auf Basis des Beschlusses von Juni 2026. Neben echtem Bezug auf die Branche hilft unser AI-Act-Check am Ende des Artikels dabei, die eigene KI-Nutzung in vier Schritten einordnen.
Das Wichtigste zuerst: Nutzer oder Anbieter?
Der AI-Act unterscheidet zwischen Anbietern (die KI-Systeme entwickeln und auf den Markt bringen) und Betreibern (die KI-Systeme im eigenen Unternehmen einsetzen). Die schweren Pflichten treffen vor allem Anbieter. Wer im Mittelstand ChatGPT, Microsoft Copilot oder eine Wissensplattform wie Atlas nutzt, ist Betreiber, und für Betreiber ist die Liste deutlich kürzer. In diesem Artikel schauen wir vor allem auf die Betreiberperspektive.
Die Risikoklassen, in einer Minute erklärt
Der AI-Act sortiert KI-Anwendungen nach Risiko, und daran hängen die Pflichten:
Verboten sind Praktiken wie Social Scoring, manipulative Systeme, die Schwächen von Personen ausnutzen, und Emotionserkennung am Arbeitsplatz. Für ein normales Unternehmen heißt das schlicht: solche Systeme nicht einsetzen. Das gilt bereits seit Februar 2025.
Hochrisiko sind Systeme in sensiblen Anwendungsfeldern: KI, die über Einstellungen oder Kündigungen mitentscheidet, Kreditwürdigkeit bewertet, wichtige medizinische Entscheidungen trifft, in kritischer Infrastruktur steuert oder biometrisch identifiziert. Hier gelten künftig umfangreiche Pflichten zum Risikomanagement, der Dokumentation und für die Notwendigkeit von menschlicher Aufsicht. Entscheidend ist hierbei jedoch der Einsatzzweck, nicht die Technik: identische Sprachmodelle sind im Wissensmanagement unkritisch, im Mitarbeitenden-Screening jedoch hochriskant.
Begrenztes Risiko heißt vor allem: Transparenz. Menschen müssen erkennen können, dass sie mit KI interagieren oder KI-generierte Inhalte sehen.
Minimales Risiko gilt für den Rest – und das ist die große Mehrheit der betrieblichen KI-Nutzung: Textentwürfe, Übersetzungen, Recherche, interne Chatbots über Firmenwissen, Codeassistenz. Dafür sieht der AI-Act keine besonderen Pflichten vor.
Was ab wann gilt: der Zeitplan nach dem Digital Omnibus
Die EU hat im Juni 2026 mit dem sogenannten Digital Omnibus die Fristen neu geordnet. Nicht zuletzt, weil die technischen Standards für die Hochrisiko-Anforderungen nicht rechtzeitig fertig wurden. Der aktuelle Stand: Datum Was gilt Betrifft im Mittelstand seit Feb. 2025 Verbotene Praktiken untersagt, Pflicht zur KI- alle, die KI einsetzen Kompetenz der Mitarbeiter seit Aug. 2025 Pflichten für Anbieter großer KI-Modelle (GPAI) Anbieter wie OpenAI, nicht die Nutzer ab 2. Aug. 2026 Transparenzpflichten: KI-Interaktion und KI- alle mit Kunden-Chatbots oder generierte Inhalte kenntlich machen veröffentlichten KI-Inhalten ab 2. Dez. 2027 Volle Pflichten für eigenständige Hochrisiko- nur Hochrisiko-Anwendungsfälle, Systeme (verschoben, vorher: Aug. 2026) s.o. ab 2. Aug. 2028 Pflichten für KI in regulierten Produkten Hersteller entsprechender Produkte (Maschinen, Medizinprodukte) Die Verschiebung der Hochrisiko-Fristen um 16 Monate ist eine echte Entlastung, aber sollte nicht als Freifahrtschein behandelt werden: Verbote, Kompetenz- und Transparenzpflichten bleiben unverändert bestehen. Wer tatsächlich einen Hochrisiko-Anwendungsfall plant, sollte die gewonnene Zeit jetzt nutzen statt vertagen, denn die Konformitätsbewertung ist aufwendig.
Der AI-Act-Check in vier Schritten
Für die Einordnung nutzen wir bei they consulting unser eigenes Vorgehensmodell, den AI-Act-Check. Er besteht aus vier Schritten, die ein mittelständisches Unternehmen in dieser Reihenfolge durchläuft. Die ersten drei Schritte können Unternehmen oft in Eigenregie durchlaufen und decken damit die aktuell geltenden Pflichten bereits gut ab:
Schritt 1: KI-Inventur. Eine simple Liste: Welche KI-Werkzeuge sind im Einsatz, wofür, mit welchen Daten und durch wen? Ohne diese Übersicht lässt sich keine der folgenden Fragen beantworten. Erfahrungsgemäß ist die Liste länger als gedacht. Das entscheidende Stichwort ist hier Schatten-KI über private Accounts. Die Inventur schließt zugleich Ihre erste potenzielle Dokumentationslücke, dazu aber später mehr.
Schritt 2: Risiko-Einordnung. Für jeden Eintrag der KI-Inventurliste stellt sich die Frage: Trifft einer der Hochrisiko-Anwendungsfälle zu? Zur Erinnerung: Personal, Kredit, kritische Infrastruktur, Biometrie. Meist lautet die Antwort nein, dann bleibt es bei Transparenz- und Kompetenzpflichten. Sollte die Antwort doch Ja lauten ist das der Moment, sich Fachberatung dazuzuholen. Die Frist von Dezember 2027 kommt schneller, als man denken würde.
Schritt 3: Transparenz herstellen, Frist 2. August 2026. Welche KI-Tools und Inhalte nutzen wir aktuell und fallen diese unter die neuen Vorgaben? Für viele Unternehmen heißt es jetzt erstmal Bestandsaufnahme machen, denn beispielsweise Kund:innenkontakt-Chatbots brauchen einen klaren KI-Hinweis und veröffentlichte KI-generierte Inhalte (Bilder, Texte, Videos) eine Kennzeichnung. Das ist in den meisten Fällen eine Sache von Tagen, nicht Monaten.
Schritt 4: KI-Kompetenz aufbauen und nachweisen. Die Schulungspflicht gilt bereits seit Februar 2025 und wird am häufigsten übersehen. Was sie konkret verlangt, dazu der nächste Abschnitt.
Schulungspflicht und Dokumentation: was wirklich verlangt wird
Artikel 4 des AI-Acts verlangt, dass Unternehmen für ein "ausreichendes Maß an KI-Kompetenz" bei den Mitarbeitenden sorgen, die KI-Systeme bedienen oder nutzen. Aber was bedeutet das in der Praxis?
Was inhaltlich gemeint ist: Bei der geforderten KI-Kompetenz handelt es sich nicht um einen verpflichtenden Zertifikatslehrgang oder eine bestimmte Prüfung. Mitarbeitende, die mit KI arbeiten, müssen die Funktionsweise in Grundzügen, ihre Grenzen (etwa Halluzinationen), die betrieblichen Regeln und die Risiken im eigenen Anwendungskontext kennen. Der Umfang sollte hierbei zur entsprechenden Rolle des Teammitglieds passen: Wer gelegentlich Texte entwerfen lässt, braucht weniger als jemand, der KI-Ergebnisse in Kundenprozessen weiterverwendet.
Wie der Nachweis aussieht: Zwar schreibt der AI-Act kein direktes Format zur Dokumentation vor, aber im Zweifel müssen Sie belegen können, dass Sie Ihren Pflichten nachgekommen sind. In der Praxis hat sich hierfür ein schlankes Set aus vier Dokumenten bewährt: die KI-Inventur aus Schritt 1 als lebendes Dokument, welches mit Datum gepflegt wird. Eine KI-Richtlinie, die die betrieblichen Regeln festhält und definiert, was mit welchen Daten in welchen Tools bearbeitet werden darf. Ein Schulungsnachweis dokumentiert mit inhaltlichen Stichpunkten, einer Teilnehmendenliste sowie ein Konzept für neue Mitarbeiter:innen im Onboarding. Zuletzt eine Zuordnung der Verantwortlichkeiten, beispielsweise wer Inventur und Richtlinie aktuell hält. Das ist im besten Fall ein Nachmittag an Aufwand plus kontinuierliche Pflege, keine Compliance-Abteilung.
Der häufigste Fehler: einmalig schulen, nie dokumentieren, nie wiederholen. Die Pflicht ist fortlaufend, neue Tools und neue Mitarbeiter:innen brauchen eine Auffrischung. Ein fester jährlicher Termin plus Onboarding-Baustein löst das dauerhaft. In unseren Workshops decken wir genau dieses Paket ab, ein Tag reicht für Schulung plus Grundgerüst der Richtlinie, und die Teilnahme ist zugleich der dokumentierte Nachweis.
Was bei Verstößen droht
Das Versäumen der Pflichten ist kein Kavaliersdelikt und der Bußgeldkatalog dementsprechend umfangreich: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken. Gestaffelt darunter die Ahndung für andere Verstöße. In Deutschland koordiniert die Bundesnetzagentur die Aufsicht. Realistisch betrachtet zielt die Durchsetzung zunächst auf schwere Fälle und große Anbieter, aber "wird schon niemand prüfen" ist keine Compliance-Strategie. Zumal die Transparenzverstöße ab August leicht von außen erkennbar sind.
Einordnung: Pflicht und Chance auseinanderhalten
Unsere ehrliche Einschätzung nach zwei Jahren AI-Act: Für die typische KI-Nutzung im Mittelstand ist die Verordnung kein Umsetzungshindernis, sondern vor allem eine Dokumentations- und Sorgfaltsaufgabe. Die Unternehmen, die jetzt zögern "wegen der Regulierung", verwechseln meist die Anbieterpflichten mit den eigenen Pflichten als Nutzer. Umgekehrt gilt: Eine saubere KI-Inventur, klare Richtlinie und geschulte Mitarbeitende sind nach wie vor die Grundlage jedes erfolgreichen KI-Projekts, der AI-Act verlangt also größtenteils, was gut geführte Projekte sowieso tun. Wenn Sie unsicher sind, wo Ihre Anwendungsfälle einzuordnen sind: Das Erstgespräch kostet nichts, die Einordnung Ihrer KI-Landschaft ist in einem Termin machbar.
Hinweis: Dieser Artikel gibt den Rechtsstand Juli 2026 aus IT-Sicht wieder und ersetzt keine Rechtsberatung im Einzelfall.
Über den Autor: Lars Quell ist Geschäftsführer der they consulting GmbH. Das Team aus rund 15 Beraterinnen und Entwicklern begleitet mittelständische Unternehmen von der ersten KI-Idee bis zum produktiven System, ausschließlich auf EU-Servern, DSGVO- und TISAX-konform.