Inhalt
Ratgeber · KI
EU-AI-Act-Checkliste für KMU — was Sie jetzt tun müssen
Lesezeit ca. 10 Minuten · Aktualisiert Juni 2026 · von Martin Hofmann
Kurz erklärt
Was der EU-AI-Act ist
Die EU-KI-Verordnung (Verordnung (EU) 2024/1689, kurz EU-AI-Act) ist die erste umfassende Regulierung von KI weltweit. Sie wurde am 13.06.2024 verabschiedet und trat am 02.08.2024 in Kraft. Die Verordnung arbeitet mit einem risiko-basierten Ansatz: KI-Systeme werden in vier Risiko-Klassen eingeteilt, und die Pflichten skalieren mit dem Risiko.
Wer ist betroffen
- Alle Unternehmen mit Sitz in der EU, die KI entwickeln oder nutzen
- Alle Unternehmen außerhalb der EU, deren KI-Systeme in der EU genutzt werden oder deren Output in der EU verwendet wird
In Deutschland sind praktisch alle Unternehmen betroffen, sobald sie KI im operativen Geschäft einsetzen – auch eine reine ChatGPT-Nutzung gilt.
Die vier Risiko-Klassen
Der gesamte EU-AI-Act steht und fällt mit der Frage, in welche Klasse ein KI-System fällt. Diese vier Stufen sollten Sie kennen:
| Klasse | Beispiele | Pflichten |
|---|---|---|
| Verbotene KI | Social Scoring durch Behörden, manipulative Emotions-Erkennung, kognitive Verhaltens-Manipulation bei Vulnerablen | Verboten seit 02.02.2025 |
| Hoch-Risiko-KI | Personal-Auswahl, Kredit-Scoring, kritische Infrastruktur, biometrische Identifikation, Bildungs-Entscheidungen, medizin-relevante KI | Strenge Compliance ab 02.08.2026/2027 |
| Begrenztes Risiko | Chatbots, KI-generierte Inhalte (Bilder, Texte, Videos), Deepfakes | Transparenz-Pflichten ab 02.08.2026 |
| Niedriges Risiko | Spam-Filter, KI in Spielen, Standard-Empfehlungs-Systeme | Freiwillige Selbst-Verpflichtung |
Definition
Was die meisten KMU einsetzen
Die Stichtage
Die Pflichten greifen nicht auf einen Schlag, sondern gestaffelt:
| Datum | Pflicht |
|---|---|
| 02.08.2024 | EU-AI-Act in Kraft getreten |
| 02.02.2025 | Verbots-Tatbestände aktiv – verbotene KI-Praktiken nicht mehr zulässig |
| 02.02.2025 | Schulungs-Pflicht (Art. 4) aktiv – alle Mitarbeitenden mit KI-Kontakt müssen geschult sein |
| 02.08.2026 | Transparenz-Pflichten für begrenzte Risiko-KI (Chatbots, generative Inhalte) |
| 02.08.2026 / 02.08.2027 | Hoch-Risiko-KI: zusätzliche Compliance-Pflichten (Risk-Management, Daten-Governance, Dokumentation, menschliche Aufsicht, Cybersicherheit) |
| 02.08.2027 | Allgemeine Übergangs-Phase endet |
Die KMU-Checkliste in 8 Schritten
So gehen Sie die EU-AI-Act-Compliance der Reihe nach an – von der Inventur bis zur Audit-Bereitschaft:
- 1 Schritt 1
KI-Inventur erstellen
Listen Sie auf, welche KI-Systeme im Unternehmen genutzt werden: offizielle Tools (Microsoft Copilot, KI-Funktionen in ERP/CRM/DMS), Schatten-KI (private ChatGPT-Accounts, private Übersetzungs-Tools) und KI-Komponenten in Tools, die nicht offensichtlich KI sind (Spam-Filter, OCR, Diktier-Funktionen). Ergebnis: eine Inventur-Liste mit Risiko-Klasse pro System.
- 2 Schritt 2
Risiko-Klassifizierung
Ordnen Sie jedes System einer der vier Klassen zu: verboten, hoch-Risiko, begrenztes Risiko oder niedriges Risiko. Bei Unsicherheit lohnt ein Erstgespräch oder eine Rechtsberatung.
- 3 Schritt 3
Verbotene Praktiken stoppen
Falls Sie verbotene Praktiken einsetzen: sofort einstellen. Dazu zählen Social-Scoring zur Bewertung von Mitarbeitenden oder Kunden, manipulative subliminale Beeinflussung, Emotions-Erkennung am Arbeitsplatz, biometrische Kategorisierung nach sensiblen Merkmalen und das Anlegen von Gesichts-Datenbanken aus ungezieltem Web-Scraping. KMU-Realität: Diese Verbote treffen Sie selten.
- 4 Schritt 4
Schulungs-Pflicht erfüllen (Art. 4)
Pflicht seit 02.02.2025: Alle Mitarbeitenden mit KI-Kontakt müssen geschult sein – zu Funktionsweise, Grenzen und Risiken (Halluzinationen, Bias), DSGVO im KI-Kontext und EU-AI-Act-Grundlagen. Empfohlen sind 2–4 Stunden Präsenz-Grundschulung in Anlehnung an die BeKI-Handlungsleitlinien – ein passendes Format zeigt unsere KI-Schulung nach Art. 4. Die Teilnahme nachweisbar dokumentieren – das ist im Audit der zentrale Compliance-Nachweis.
- 5 Schritt 5
Transparenz-Pflichten (ab 02.08.2026)
Für begrenzte Risiko-KI gilt: Chatbots müssen kennzeichnen, dass es sich um KI handelt; KI-generierte Bilder, Videos und Audios sowie Deepfakes müssen erkennbar markiert sein; KI-Texte zu Fragen von öffentlichem Interesse ebenfalls. Praktisch: Hinweis „KI-gestützt" am Website-Chatbot, Disclaimer bei generierten Newslettern, Kennzeichnung bei Marketing-Bildern.
- 6 Schritt 6
Hoch-Risiko-Compliance (nur wenn relevant)
Falls Sie hoch-Risiko-KI einsetzen oder entwickeln, gilt ab 02.08.2026/2027: Risk-Management-System, Daten-Governance, technische Dokumentation, Aufzeichnungs-Pflichten, Transparenz, menschliche Aufsicht, Genauigkeit/Robustheit/Cybersicherheit, Konformitäts-Bewertung und CE-Kennzeichnung. KMU-Realität: sehr selten relevant – wenn doch (z. B. HR-Tools mit automatischer Vorauswahl), ist externe Beratung sinnvoll.
- 7 Schritt 7
DSGVO und EU-AI-Act koppeln
Beide Regelwerke überschneiden sich: Personenbezogene Daten in KI-Systemen unterliegen DSGVO und EU-AI-Act gleichzeitig, KI-basierte automatisierte Entscheidungen zusätzlich Art. 22 DSGVO. Empfohlen: das Verfahrensverzeichnis um eine KI-Spalte erweitern, bei hoch-Risiko-KI mit Personenbezug eine Datenschutz-Folgenabschätzung.
- 8 Schritt 8
Dokumentation und Audit-Bereitschaft
Halten Sie nachweisbar vor: KI-Inventur-Liste, Risiko-Klassifizierungen, Schulungs-Nachweise pro Mitarbeitenden, Transparenz-Hinweise auf Web/Bots/generierten Inhalten und – bei hoch-Risiko – die vollständige technische Dokumentation.
Kostenloses Tool
Drei Fragen genügen für eine erste Einordnung, welche EU-AI-Act-Pflichten Ihr Unternehmen treffen — zum EU-AI-Act-Check.
Bußgelder – was wirklich droht
Die Verordnung nennt drei Bußgeld-Stufen:
| Verstoß | Maximales Bußgeld |
|---|---|
| Verbotene KI-Praktiken | bis 35 Mio. € oder 7 % des weltweiten Jahres-Umsatzes (der höhere Betrag) |
| Verstoß gegen Hoch-Risiko- oder andere Pflichten | bis 15 Mio. € oder 3 % des Jahres-Umsatzes |
| Falsche oder irreführende Angaben an Behörden | bis 7,5 Mio. € oder 1 % des Jahres-Umsatzes |
Für KMU sind die Bußgelder reduziert: Es gilt der genannte Betrag oder der prozentuale Anteil, je nachdem, was niedriger ist (Art. 99 Abs. 6). Praktisch bedeutet das für einen 50-MA-Mittelständler mit 8 Mio. € Umsatz bei einer 7-%-Sanktion 560.000 € – nicht 35 Mio. Aber: Schon 560.000 € sind existenzbedrohend. Compliance ist günstiger.
Wie der Compliance-Check konkret abläuft und was er kostet, zeigt unsere Leistungsseite EU-AI-Act-Beratung & Compliance.
- 02.02.2025
- Schulungs-Pflicht nach Art. 4 in Kraft
- 35 Mio. €
- maximales Bußgeld bei verbotener KI (oder 7 % Umsatz)
- 4 Klassen
- risiko-basierter Ansatz der Verordnung
- 8 Schritte
- KMU-Checkliste bis zur Audit-Bereitschaft
So gehen wir das an
Wir starten mit Ihrer KI-Inventur und der Risiko-Klassifizierung, erfüllen die Schulungs-Pflicht nach Art. 4 mit einer Präsenz-Grundschulung und richten Transparenz- sowie Dokumentations-Prozesse so ein, dass Sie audit-bereit sind. Die DSGVO-konforme Tool-Frage lösen wir gleich mit. Mehr zu unserem Vorgehen: EU-AI-Act-Beratung & Compliance.