EU AI Act für KMU: Was 2026 wirklich für Sie gilt

„Müssen wir wegen dem EU AI Act jetzt irgendwas tun?" – das ist die Frage, die mir KMU aktuell am häufigsten stellen. Die ehrliche Antwort: wahrscheinlich weniger, als die Panik-Headlines suggerieren, aber nicht nichts. Und was gilt, hat sich Mitte 2026 noch einmal verschoben.

Das Grundprinzip: Regulierung nach Risiko

Der AI Act reguliert nicht „KI" pauschal, sondern nach Anwendungsfall und Risiko. Vereinfacht in vier Stufen:

• Verbotene Praktiken (z. B. Social Scoring, manipulative Systeme) – untersagt.
• Hochrisiko-Systeme (z. B. KI in Bewerberauswahl, Kreditvergabe, kritischer Infrastruktur) – strenge Pflichten.
• Systeme mit Transparenzpflicht (z. B. Chatbots, KI-generierte Inhalte) – Kennzeichnungspflicht.
• Minimales Risiko (der Großteil der Alltags-KI) – im Kern keine besonderen Pflichten.

Für die meisten KMU ist die wichtigste Erkenntnis: Sie sind in der Regel keine Anbieter von Hochrisiko-KI, sondern Anwender (Deployer) von Standard-Tools wie ChatGPT und Co. Damit fallen die schwersten Pflichten meist gar nicht auf Sie – aber ein paar leichte schon.

Was sich 2026 geändert hat: der Digital Omnibus

Der ursprüngliche Zeitplan sah vor, dass die Hochrisiko-Pflichten ab dem 2. August 2026 greifen. Im November 2025 hat die EU-Kommission jedoch ein Vereinfachungspaket vorgeschlagen – den sogenannten „Digital Omnibus". Das Europäische Parlament hat es am 16. Juni 2026 gebilligt, der Rat der EU hat am 29. Juni 2026 sein finales grünes Licht gegeben. Die Veröffentlichung im EU-Amtsblatt und das Inkrafttreten folgen kurz darauf.

Das Ergebnis, Stand Juli 2026: Die Pflichten für eigenständige Hochrisiko-Systeme (Anhang III) werden auf den 2. Dezember 2027 verschoben, für in Produkte eingebettete Systeme (Anhang I) auf den 2. August 2028. Wichtig: Verschoben heißt aufgeschoben, nicht aufgehoben.

Was 2026 trotzdem für Sie gilt

Zwei Dinge greifen unabhängig von der Verschiebung – und die betreffen fast jedes Unternehmen.

1. AI Literacy (Art. 4) – gilt bereits seit Februar 2025

Unternehmen, die KI-Systeme einsetzen, müssen dafür sorgen, dass ihre Mitarbeitenden über ein ausreichendes Maß an KI-Kompetenz verfügen. Kein Zertifikatszwang, keine Prüfung – aber ein nachvollziehbares Mindestmaß an Schulung und Sensibilisierung. Für KMU heißt das praktisch: eine kurze interne Einweisung, was die genutzten Tools dürfen, wo ihre Grenzen liegen und welche Daten nicht hineingehören. Das schlägt zwei Fliegen mit einer Klappe – es erfüllt Art. 4 und verhindert genau die Vorfälle, die einen KI-Datenschutzvorfall erst auslösen.

2. Transparenzpflichten (Art. 50) – ab 2. August 2026

Diese Frist bleibt von der Verschiebung unberührt. Wer KI einsetzt, mit der Menschen interagieren (etwa ein Chatbot auf der Website), muss offenlegen, dass es sich um KI handelt. KI-generierte oder -manipulierte Inhalte, insbesondere „Deepfakes", müssen entsprechend gekennzeichnet werden. Für die meisten KMU ist das mit ein paar klaren Hinweisen erledigt.

Ihr pragmatischer Fahrplan

1. Verbotene Praktiken ausschließen. Kurz prüfen, dass keiner Ihrer Anwendungsfälle in die verbotene Kategorie fällt. Für normale KMU-Nutzung praktisch nie ein Thema, aber ein Häkchen wert.
2. Rolle klären. Sind Sie irgendwo Anbieter oder Betreiber eines Hochrisiko-Systems (z. B. KI im Recruiting)? Falls ja: Vorbereitung auf Dezember 2027 beginnen. Falls nein: entspannen.
3. AI Literacy umsetzen. Kurze Schulung, schriftlich festgehalten. Das ist heute fällig, nicht 2027.
4. Transparenz herstellen. Chatbots und KI-Inhalte bis August 2026 kennzeichnen.
5. Datenflüsse im Blick behalten. Die AI-Act-Pflichten und die DSGVO greifen ineinander – wo Ihre Daten hinfließen, bleibt die zentrale Frage.

Kurz gesagt

Der EU AI Act ist für typische KMU kein Großprojekt, sondern eine Handvoll überschaubarer Hausaufgaben – vor allem KI-Kompetenz im Team und ein bisschen Transparenz. Die großen Hochrisiko-Pflichten sind auf Ende 2027 verschoben. Wer die Grundlagen jetzt sauber aufsetzt, muss später nicht hektisch nachrüsten. Und falls doch einmal etwas schiefgeht, hilft die KI-Vorfall-Soforthilfe bei der schnellen Einordnung.

Hinweis: Dieser Beitrag gibt den Stand von Juli 2026 wieder und ersetzt keine individuelle Rechtsberatung.