EU AI Act für KMU:
Was jetzt gilt — und was zu tun ist.

Ja. Der EU AI Act gilt für alle Unternehmen, die KI-Systeme in der EU einsetzen — unabhängig von ihrer Größe. KMU unter 250 Mitarbeitenden profitieren allerdings von reduzierten Anforderungen bei bestimmten Hochrisiko-KI-Systemen.

Verbote und Transparenzpflichten gelten seit August 2025. Die strengeren Hochrisiko-Pflichten greifen ab August 2026. Transparenzpflichten für Chatbots (Nutzer müssen wissen, dass sie mit KI sprechen) sind bereits wirksam.

Ja. Als Betreiber gilt jeder, der ein KI-System für eigene berufliche Zwecke einsetzt — auch wenn er keine KI selbst entwickelt. Wer ein KI-Recruiting-Tool, einen KI-Chatbot oder ein Prognose-System nutzt, ist Betreiber.

Bei Verstößen gegen Verbote: bis zu 35 Mio. € oder 7% des weltweiten Jahresumsatzes. Bei anderen Verstößen: bis zu 15 Mio. € oder 3%. Für KMU gilt das Verhältnismäßigkeitsprinzip — die tatsächliche Anwendung hängt von der Unternehmensgröße und dem Sachverhalt ab.

Ihr Unternehmen hat eine Übersicht aller genutzten KI-Systeme, kennt deren Risikoklassen, hat Zuständigkeiten geregelt und einfache Governance-Strukturen etabliert. Der erste Schritt — das KI-Inventar — ist oft in 2–5 Tagen umsetzbar.

Für die operative Umsetzung — KI-Inventar, Governance-Strukturen, interne Policies — nicht zwingend. Für verbindliche Rechtspflichten und Haftungsfragen empfehlen wir IT-Anwälte. Wir begleiten den strategischen und organisatorischen Teil — keine Rechtsberatung.

Ja — und das ist einer der häufigsten blinden Flecken in KMU. Wer ChatGPT, Microsoft Copilot oder andere KI-Tools für berufliche Zwecke nutzt, gilt als Betreiber im Sinne des EU AI Acts — unabhängig davon, ob die KI selbst entwickelt wurde oder nicht. Das bedeutet: Transparenzpflichten gegenüber Nutzern, Datenschutzpflichten (DSGVO), und bei bestimmten Tools Dokumentationspflichten. Eine interne KI-Policy, die regelt was erlaubt ist, wer zuständig ist und wie Mitarbeitende informiert werden, ist sowohl rechtlich als auch kulturell notwendig. Praxiserfahrung zeigt: Eine tragfähige Grundstruktur lässt sich in 2–4 Wochen etablieren — ohne Vollzeitprojekt.

Weniger als die meisten erwarten — wenn man strukturiert vorgeht. Ein realistischer Zeitplan für KMU: KI-Inventar (alle genutzten KI-Systeme erfassen) in 2–5 Tagen; Risikoklassifizierung & Zuständigkeiten klären in 1–2 Wochen; Governance-Grundstruktur aufbauen (interne KI-Policy, Onboarding-Format, Dokumentation) in 2–4 Wochen. Summe: 6–10 Wochen für einen soliden Readiness-Stand — bei normaler Ressourcenlage ohne dediziertes Projektteam. Was die meisten aufhält: nicht die Komplexität der Anforderungen, sondern der fehlende erste strukturierte Schritt.