Die meisten Mittelständler sind beim AI Act nicht Anbieter, sondern Betreiber: Sie setzen KI ein, die andere entwickelt haben. Für sie gilt heute vor allem dreierlei – keine verbotenen Praktiken, Maßnahmen zur KI-Kompetenz, Transparenz bei KI-erzeugten Inhalten. Die großen Pflichten für Hochrisiko-KI kommen erst Ende 2027 – und betreffen nur bestimmte Einsatzbereiche.
KI-generiertes Bild14Jahre
unternehmerisch im IT-Betrieb, GmbH seit 2020
InternationaleExpertise
Betreuung in Deutschland, Europa und dem Nahen Osten
99,9 %Verfügbarkeit
der Cloud-Services, je Kalendermonat
15 Min.Reaktionszeit
im Notfall, rund um die Uhr
ISO 27001zertifiziert
Partner-Rechenzentren in Deutschland
Worum es geht
Der AI Act unterscheidet nicht nach Unternehmensgröße, sondern nach Rolle und Einsatzzweck. Ein Haus, das KI-Werkzeuge für Texte, Recherche und Auswertungen nutzt, hat überschaubare Pflichten. Ein Haus, das KI bei der Auswahl von Bewerbern oder der Bewertung von Kunden einsetzt, hat ab Dezember 2027 deutlich mehr zu tun. Entscheidend ist, das früh auseinanderzuhalten.
Die Ausgangslage
Die KI-Verordnung ist seit dem 1. August 2024 in Kraft und gilt gestaffelt. Im Juli 2026 hat die EU sie mit der Digital-Omnibus-Verordnung (EU) 2026/1744 geändert: Die Pflichten für Hochrisiko-KI wurden verschoben, die Pflicht zur KI-Kompetenz neu gefasst. Wer jetzt nachliest, findet ältere Darstellungen mit überholten Daten. Für die meisten mittelständischen Häuser ist die Lage überschaubarer, als die Schlagzeilen vermuten lassen – vorausgesetzt, man weiß, welche Rolle man hat und wofür die eingesetzten Systeme verwendet werden.
Ihr nächster Schritt
Nennen Sie uns Ihre KI-Einsätze. Sie bekommen schriftlich, welche Rolle Sie haben, welche Pflichten heute gelten und was bis Dezember 2027 zu tun ist – mit Artikelbezug.
Konkrete Anwendungsfälle
2.2.2025
Verbote nach Artikel 5 und Pflicht zur KI-Kompetenz nach Artikel 4
Quelle: Verordnung (EU) 2024/1689, Artikel 113
2.8.2026
Allgemeiner Geltungsbeginn, darunter Transparenzpflichten nach Artikel 50
Quelle: Verordnung (EU) 2024/1689, Artikel 113
2.12.2027
Hochrisiko-KI nach Anhang III, etwa Personalauswahl und Kreditwürdigkeit
Quelle: Verordnung (EU) 2026/1744 (Digital-Omnibus)
2.8.2028
Hochrisiko-KI nach Anhang I, also in regulierten Produkten
Quelle: Verordnung (EU) 2026/1744 (Digital-Omnibus)
Artikel 26 beschreibt die Pflichten der Betreiber. Sie verwenden das System nach der Betriebsanleitung, übertragen die menschliche Aufsicht Personen mit der nötigen Kompetenz, Ausbildung und Befugnis, achten bei eigenen Eingabedaten auf deren Eignung, überwachen den Betrieb und informieren bei Risiken Anbieter und Marktüberwachung.
Zwei Punkte betreffen den Mittelstand besonders: Die automatisch erzeugten Protokolle sind, soweit sie der eigenen Kontrolle unterliegen, mindestens sechs Monate aufzubewahren. Und Arbeitgeber informieren vor dem Einsatz eines Hochrisiko-Systems am Arbeitsplatz die Arbeitnehmervertreter und die betroffenen Beschäftigten.
Die Verordnung (EU) 2026/1744 ist am 24. Juli 2026 im Amtsblatt erschienen und drei Tage später in Kraft getreten. Sie hat den Geltungsbeginn für Hochrisiko-Systeme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027 verschoben, für solche nach Anhang I vom 2. August 2027 auf den 2. August 2028.
Zugleich wurde Artikel 4 neu gefasst. Anbieter und Betreiber ergreifen danach Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen; ein bestimmtes Kompetenzniveau für jede Person müssen sie ausdrücklich nicht garantieren. Unverändert geblieben sind die Verbote nach Artikel 5 und der allgemeine Geltungsbeginn am 2. August 2026.
Unser Vorgehen
Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Betreiber ist, wer ein KI-System in eigener Verantwortung beruflich verwendet (Artikel 3 Nr. 3 und 4). Wer ein Hochrisiko-System unter eigenem Namen anbietet oder wesentlich verändert, kann nach Artikel 25 selbst zum Anbieter werden.
Welche KI-Werkzeuge sind im Haus im Einsatz, wofür, von wem, mit welchen Daten? Ohne diese Liste lässt sich keine der folgenden Fragen beantworten – und sie ist zugleich die Grundlage für Datenschutz und Nutzungsrichtlinie.
Artikel 5 verbietet bestimmte Praktiken seit dem 2. Februar 2025, darunter manipulative Techniken und die Ableitung von Emotionen am Arbeitsplatz, außer aus medizinischen oder Sicherheitsgründen. Für die meisten Häuser ist das ein kurzer Abgleich, aber er gehört dokumentiert.
Anhang III nennt die Bereiche, in denen KI-Systeme als hochriskant gelten, etwa Einstellung und Auswahl von Bewerbern, Entscheidungen über Arbeitsverhältnisse, Kreditwürdigkeitsprüfung natürlicher Personen oder Risikobewertung bei Lebens- und Krankenversicherungen. Fällt ein Einsatz darunter, gelten ab dem 2. Dezember 2027 die Betreiberpflichten nach Artikel 26.
Maßnahmen zur KI-Kompetenz nach Artikel 4 in der neuen Fassung, und seit dem 2. August 2026 die Transparenzpflichten nach Artikel 50 – etwa die Offenlegung von Deepfakes durch Betreiber.
Häufige Fragen
Ja, Sie sind dann Betreiber eines KI-Systems. Für die übliche Nutzung als Schreib- oder Rechercheassistent heißt das vor allem: Maßnahmen zur KI-Kompetenz nach Artikel 4 und keine verbotenen Praktiken. Weitergehende Pflichten entstehen erst, wenn der Einsatz in einen Hochrisiko-Bereich nach Anhang III fällt.
Das war sie. Die Digital-Omnibus-Verordnung (EU) 2026/1744 hat den Geltungsbeginn für Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 und für solche nach Anhang I auf den 2. August 2028 verschoben. Der allgemeine Geltungsbeginn am 2. August 2026 blieb, damit auch die Transparenzpflichten nach Artikel 50.
Nein. Artikel 4 verlangt in der seit Juli 2026 geltenden Fassung Maßnahmen, um die Entwicklung der KI-Kompetenz zu unterstützen, und stellt ausdrücklich klar, dass kein bestimmtes Niveau für jede Person garantiert werden muss. Ein Zertifikat ist nicht vorgeschrieben; eine dokumentierte Schulung ist trotzdem der einfachste Beleg.
Artikel 99 nennt Obergrenzen: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Millionen Euro oder 3 Prozent bei anderen Pflichten, bis zu 7,5 Millionen Euro oder 1 Prozent bei falschen Angaben gegenüber Behörden. Für KMU gilt jeweils der niedrigere der beiden Beträge.
Die Bundesnetzagentur informiert auf ihren Seiten unter anderem zu Hochrisiko-Systemen und zu den Meldepflichten bei schwerwiegenden Vorfällen. Für Fragen des Datenschutzes beim KI-Einsatz bleiben die Datenschutzaufsichtsbehörden zuständig.
Zum Weiterlesen im Journal
Passende Leistungen
Weitere KI-Felder
Fundstellen
Die Fotografien auf dieser Seite sind mit künstlicher Intelligenz erzeugt und keine Aufnahmen aus unseren Räumen. Kennzeichnung nach Art. 50 KI-Verordnung (EU) 2024/1689.