EU AI Act für KMU: Was 2026 wirklich für Sie gilt

„Müssen wir wegen dem EU AI Act jetzt irgendwas tun?" – das ist die Frage, die mir KMU aktuell am häufigsten stellen. Die ehrliche Antwort: wahrscheinlich weniger, als die Panik-Headlines suggerieren, aber nicht nichts. Und was gilt, hat sich Mitte 2026 noch einmal verschoben.

Das Grundprinzip: Regulierung nach Risiko

Der AI Act reguliert nicht „KI" pauschal, sondern nach Anwendungsfall und Risiko. Vereinfacht in vier Stufen:

• Verbotene Praktiken (z. B. Social Scoring, manipulative Systeme) – untersagt.
• Hochrisiko-Systeme (z. B. KI in Bewerberauswahl, Kreditvergabe, kritischer Infrastruktur) – strenge Pflichten.
• Systeme mit Transparenzpflicht (z. B. Chatbots oder Deepfakes) – rollen- und anwendungsabhängige Informations- und Kennzeichnungspflichten.
• Minimales Risiko (der Großteil der Alltags-KI) – im Kern keine besonderen Pflichten.

Für die meisten KMU ist die wichtigste Erkenntnis: Sie sind in der Regel keine Anbieter von Hochrisiko-KI, sondern Anwender (Deployer) von Standard-Tools wie ChatGPT und Co. Damit fallen die schwersten Pflichten meist gar nicht auf Sie – aber ein paar leichte schon. Was das konkret für die Weiternutzung von ChatGPT, Copilot & Co. heißt – und ob der AI Act sie verbietet –, klärt der Artikel Dürfen wir ChatGPT & Copilot im Unternehmen noch nutzen?.

Was sich 2026 geändert hat: der Digital Omnibus

Der ursprüngliche Zeitplan sah Hochrisiko-Pflichten für Systeme nach Anhang III ab dem 2. August 2026 und für Hochrisiko-Systeme in Anhang-I-Produkten ab dem 2. August 2027 vor. Das im November 2025 vorgeschlagene Vereinfachungspaket „Digital Omnibus" wurde als Verordnung (EU) 2026/1744 am 24. Juli 2026 im EU-Amtsblatt veröffentlicht. Es trat am 27. Juli 2026 in Kraft.

Damit gelten die neuen Fristen rechtlich: 2. Dezember 2027 für Hochrisiko-Systeme nach Anhang III und 2. August 2028 für Hochrisiko-Systeme in Anhang-I-Produkten. Das bestätigt auch die Enforcement-Seite der EU-Kommission, aktualisiert am 6. Oktober 2026. Wichtig: Verschoben heißt aufgeschoben, nicht aufgehoben.

Was 2026 trotzdem für Sie gilt

AI Literacy und Transparenz bleiben relevant – die konkreten Pflichten hängen von Ihrer Rolle und Ihren Anwendungsfällen ab.

1. AI Literacy (Art. 4) – gilt bereits seit Februar 2025

Art. 4 gilt seit dem 2. Februar 2025 und wurde durch den Omnibus geändert. Anbieter und Betreiber müssen Maßnahmen zur Förderung der KI-Kompetenz ihrer Mitarbeitenden und anderer in ihrem Auftrag mit KI befasster Personen ergreifen. Dabei sind Vorkenntnisse und Einsatzkontext zu berücksichtigen; ein bestimmtes individuelles Kompetenzniveau müssen sie nicht garantieren. Für KMU kann eine dokumentierte interne Einweisung zu den eingesetzten Tools, ihren Grenzen und dem Umgang mit Daten eine praktische Maßnahme sein. Sie hilft auch, KI-Datenschutzvorfälle zu vermeiden.

2. Transparenzpflichten (Art. 50) – gelten seit 2. August 2026

Art. 50 verlangt keine pauschale sichtbare Kennzeichnung jedes KI-generierten Materials. Entscheidend sind Rolle und Anwendungsfall:

• Direkte KI-Interaktion (Abs. 1): Anbieter müssen sicherstellen, dass Menschen über die Interaktion mit KI informiert werden, etwa bei Chatbots – außer dies ist unter den Umständen offensichtlich.
• Synthetische Inhalte (Abs. 2): Anbieter generativer KI-Systeme müssen Audio-, Bild-, Video- und Textausgaben maschinenlesbar markieren und als künstlich erzeugt oder manipuliert erkennbar machen, soweit technisch machbar. Ausgenommen sind unterstützende Standardbearbeitung und Änderungen ohne wesentliche Veränderung der Eingabedaten oder ihrer Bedeutung. Für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, gilt hierfür die Übergangsfrist bis 2. Dezember 2026 nach Art. 111 Abs. 4.
• Emotionserkennung und biometrische Kategorisierung (Abs. 3): Betreiber müssen betroffene Personen über den Einsatz informieren.
• Deepfakes und Texte von öffentlichem Interesse (Abs. 4): Betreiber müssen die künstliche Erzeugung oder Manipulation von Deepfake-Bild-, Audio- oder Videoinhalten offenlegen. Bei offensichtlich künstlerischen, kreativen, satirischen oder fiktionalen Werken genügt eine geeignete Offenlegung, die den Werkgenuss nicht beeinträchtigt. Für KI-Texte gilt die Offenlegungspflicht, wenn sie zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden; sie entfällt bei menschlicher Prüfung oder redaktioneller Kontrolle und redaktioneller Verantwortung einer natürlichen oder juristischen Person.

Art. 50 enthält zudem spezifische Ausnahmen für gesetzlich zugelassene Strafverfolgungszwecke. Vorgeschriebene Informationen müssen spätestens beim ersten Kontakt oder der ersten Exposition klar, unterscheidbar und barrierefrei erfolgen (Abs. 5).

Ihr pragmatischer Fahrplan

1. Verbotene Praktiken ausschließen. Kurz prüfen, dass keiner Ihrer Anwendungsfälle in die verbotene Kategorie fällt. Für normale KMU-Nutzung praktisch nie ein Thema, aber ein Häkchen wert.
2. Rolle klären. Sind Sie irgendwo Anbieter oder Betreiber eines Hochrisiko-Systems (z. B. KI im Recruiting)? Falls ja: auf den 2. Dezember 2027 für Anhang III bzw. den 2. August 2028 für Anhang-I-Produkte vorbereiten.
3. AI Literacy fördern. Passende Maßnahmen ergreifen und dokumentieren, etwa eine Einweisung anhand Ihrer konkreten KI-Anwendungen.
4. Transparenz prüfen und umsetzen. Die seit 2. August 2026 geltenden Pflichten nach Rolle und Anwendungsfall prüfen und fehlende Hinweise ergänzen. Anbieter prüfen zusätzlich die maschinenlesbare Markierung und gegebenenfalls die Übergangsfrist bis 2. Dezember 2026.
5. Datenflüsse im Blick behalten. Die AI-Act-Pflichten und die DSGVO greifen ineinander – wo Ihre Daten hinfließen, bleibt die zentrale Frage. Die technische und vertragliche Prüfung beschreibt der Leitfaden DSGVO-konforme KI für Unternehmen.

Kurz gesagt

Der EU AI Act ist für typische KMU kein Großprojekt, sondern eine Handvoll überschaubarer Hausaufgaben – vor allem KI-Kompetenz im Team und ein bisschen Transparenz. Die Hochrisiko-Pflichten gelten für Anhang III ab dem 2. Dezember 2027 und für Anhang-I-Produkte ab dem 2. August 2028. Wer die Grundlagen jetzt sauber aufsetzt, muss später nicht hektisch nachrüsten. Und falls doch einmal etwas schiefgeht, hilft die KI-Vorfall-Soforthilfe bei der schnellen Einordnung.

Hinweis: Rechtsstand geprüft am 7. Oktober 2026 anhand der oben verlinkten offiziellen EU-Quellen; die Enforcement-Seite der Kommission wurde zuletzt am 6. Oktober 2026 aktualisiert. Dieser Beitrag ersetzt keine individuelle Rechtsberatung.