EU AI Act Compliance für KMU: Was heute schon gilt - und was als Nächstes kommt

Ihr Team nutzt bereits KI. Genau das bringt Ihr Unternehmen unter den EU AI Act - und ein Teil davon gilt schon heute, nicht irgendwann. Sie müssen keine KI entwickeln, um reguliert zu sein: Wer ChatGPT, Copilot oder andere KI-Tools im Job einsetzt, ist Deployer und hat eigene Pflichten. Diese Seite erklärt, was heute gilt, was als Nächstes kommt und wie Sie Ihre EU AI Act Compliance ohne Last-Minute-Stress in Ordnung bringen.

Verstöße gegen den AI Act können bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes kosten, DSGVO-Verstöße bis zu 20 Mio. € oder 4 %, und beides kann gleichzeitig greifen - zusätzlich zum Bußgeld kann die Geschäftsführung bei Aufsichtspflichtverletzungen persönlich haften (§130 OWiG, §43 GmbHG). ETHYX bündelt AI Inventory, Risikoklassifizierung, Deployer-Dokumentation und AI Literacy in einer Plattform, damit es nicht so weit kommt.

EU AI Act Timeline: Was heute gilt und was als Nächstes kommt

Was ist bereits durchsetzbar - und was ändert sich später?

Der EU AI Act ist kein einzelner Schalter, der an einem Tag umgelegt wird. Er gilt in Stufen. Zwei Pflichten binden jedes Unternehmen, das KI nutzt, bereits jetzt: AI Literacy (Artikel 4) und das Verbot inakzeptabler Praktiken (Artikel 5), beide seit Februar 2025 durchsetzbar. Die nächste Stufe kommt am 2. August 2026: Dann greifen die Transparenzpflichten (Artikel 50), und die nationale Durchsetzung beginnt. Die Hochrisiko-Pflichten, für Deployer wie für Anbieter, wurden mit dem Digital Omnibus auf Dezember 2027 und später verschoben.

Die Daten, die für Ihr Unternehmen zählen

Ein Hinweis zum Digital Omnibus: Die Änderung, die die Hochrisiko-Pflichten verschiebt, ist beschlossen. Das Europäische Parlament hat am 16. Juni 2026 zugestimmt, der Rat am 29. Juni 2026, unterzeichnet wurde der Rechtsakt am 8. Juli 2026; wirksam wird er mit der Veröffentlichung im EU-Amtsblatt, die vor dem 2. August 2026 erwartet wird. Die Verschiebung umfasst die vollständigen Hochrisiko-Pflichten nach Anhang III, für Anbieter wie für Deployer: Die Pflichten aus Artikel 26 gelten erst ab dem 2. Dezember 2027. Nicht verschoben wurden die Transparenzpflichten (Artikel 50) und die Durchsetzung, beide starten am 2. August 2026, und AI Literacy gilt bereits heute. Die Richtung bleibt eindeutig: mit der Zeit mehr Pflichten, nicht weniger.

Deployer vs. Provider: Gilt der EU AI Act für mein Unternehmen?

Wir bauen keine KI - wir nutzen nur ChatGPT. Gilt der EU AI Act trotzdem für uns?

Ja. Der AI Act unterscheidet zwischen Unternehmen, die KI entwickeln (Provider), und Unternehmen, die fertige KI-Systeme im Job nutzen (Deployer). Wer ChatGPT, Microsoft Copilot, Gemini oder vergleichbare Tools beruflich einsetzt, ist Deployer - mit konkreten Pflichten nach Artikel 26. Das trifft auf die überwiegende Mehrheit der deutschen KMU zu. Den meisten ist das noch nicht bewusst.

Welche Pflichten habe ich als Deployer konkret?

Sie inventarisieren, klassifizieren und dokumentieren die eingesetzten KI-Systeme; Sie stellen sicher, dass ein Mensch die Kontrolle über automatisierte Entscheidungen behält; und Sie schulen Ihre Mitarbeitenden im verantwortungsvollen KI-Einsatz. Das ist keine Empfehlung, sondern gesetzliche Anforderung des EU AI Act. AI Literacy und Aufsicht gelten jetzt; die Transparenzpflichten greifen im August 2026, die Hochrisiko-Dokumentation folgt ab Dezember 2027.

EU AI Act Quick Facts: Artikel 4, 26 und 50 erklärt

Was verlangt Artikel 4 - AI Literacy?

Jede Person, die mit einem KI-System arbeitet, muss über ausreichende Kompetenz verfügen, um es sicher und verantwortungsvoll zu nutzen. Das heißt nicht: technische Ausbildung für alle. Es heißt: jede Person versteht die Grenzen, Risiken und Verantwortlichkeiten der Tools in ihrer Rolle - was KI-gestützte Bewerberauswahl leisten kann und wo sie versagt, oder welche Kundendaten an eine KI übergeben werden dürfen. Diese Pflicht gilt heute.

Was verlangt Artikel 26 - Deployer-Pflichten?

Artikel 26 ist der Kern der Deployer-Compliance: technische Dokumentation der eingesetzten KI-Systeme, nachweisliche menschliche Aufsicht über automatisierte Entscheidungen, ein Risikomanagement für Hochrisiko-Anwendungen und eine Datenschutz-Folgenabschätzung, bei öffentlichen Stellen sowie bei Kreditwürdigkeits- oder Versicherungsrisikobewertung ergänzt um eine FRIA nach Art. 27 AI Act. Durch alles zieht sich die Zweckbindung - ein KI-System darf nur für den dokumentierten Zweck eingesetzt werden.

Was verlangt Artikel 50 - Transparenz?

Wenn KI direkt mit Menschen interagiert - Chatbots, automatisierte E-Mails, KI-generierte Inhalte - müssen diese Menschen darüber informiert werden. Transparent, zu Beginn der Interaktion, nicht im Kleingedruckten. KI-generierte Bilder, Texte und Stimmen im öffentlichen Einsatz müssen als solche erkennbar sein.

Schritt 1: AI System Inventory - Shadow AI im Unternehmen finden

Was ist Shadow AI, und warum ist es Ihr größtes Compliance-Risiko?

Shadow AI sind alle KI-Tools, die Mitarbeitende ohne Wissen oder Freigabe der IT nutzen - ChatGPT im Browser, KI-Funktionen in Canva, Grammarly im Mail-Client. Diese Tools verarbeiten häufig Kundendaten, von denen das Unternehmen nichts weiß. Damit ist Shadow AI gleichzeitig ein AI-Act-Problem und ein DSGVO-Problem - und steuern lässt sich nur, was sichtbar ist.

Wie bauen Sie ein vollständiges AI Inventory auf?

Ein strukturiertes Inventory erfasst jedes eingesetzte KI-Tool - mit Zweck, verarbeiteten Datentypen und beteiligten Abteilungen. Es ist kein Einmalprojekt, sondern wird bei jeder Einführung eines neuen Tools aktualisiert.

Vorgehen in drei Schritten:

1. Jede Abteilung nach genutzten Tools befragen - auch nach den inoffiziellen.

2. Technische Erfassung über IT-Logs und Browser-Monitoring ergänzen.

3. Alles in einem zentralen Register mit Risikoklassifizierung dokumentieren.

Schritt 2: AI Act Risikoklassifizierung - Welche Klasse gilt für Sie?

Wie klassifiziert der EU AI Act KI-Systeme?

Der AI Act teilt jedes KI-System in eine von vier Risikoklassen ein, und die Klasse bestimmt die Pflichten:

Hängt die Klasse vom Tool ab - oder von der Nutzung?

Von der Nutzung. ChatGPT für interne Textentwürfe ist begrenztes Risiko. Dasselbe Modell zur Vorauswahl von Bewerbungen in der HR ist Hochrisiko - mit deutlich strengeren Anforderungen. Die AI Act Risikoklassifizierung muss pro Anwendungsfall erfolgen, nicht pro Tool.

Deployer-Pflichten (Art. 26): Dokumentation und Aufsicht

Was genau dokumentiere ich nach Artikel 26?

Technische Dokumentation der eingesetzten KI-Systeme, nachweisliche menschliche Aufsicht über automatisierte Entscheidungen, ein Risikomanagement für Hochrisiko-Anwendungen und eine DSFA, bei öffentlichen Stellen sowie bei Kreditwürdigkeits- oder Versicherungsrisikobewertung ergänzt um eine FRIA nach Art. 27 AI Act. Durchgehend gilt Zweckbindung: ein System darf nur für seinen dokumentierten Zweck eingesetzt werden.

Was prüfen Behörden bei einer Kontrolle?

Sie fragen nicht, ob Sie die Regeln kennen - sie verlangen die Dokumentation. Wer keine nachvollziehbare, aktuelle AI Act Dokumentation vorlegen kann, hat keine Verteidigung, auch wenn der Einsatz selbst korrekt war. Und das rechtliche Risiko bleibt nicht nur beim Unternehmen abstrakt - bei Aufsichtspflichtverletzungen kann es auch die Geschäftsführung persönlich treffen (§130 OWiG, §43 GmbHG).

AI Literacy Schulung (Art. 4): Anforderungen und Checkliste

Was bedeutet „ausreichende KI-Kompetenz“ laut Gesetz?

Artikel 4 verlangt keine technischen Experten in jeder Abteilung. Er verlangt, dass jede Person, die mit einem KI-System arbeitet, die spezifischen Risiken, Grenzen und Verantwortlichkeiten ihres Einsatzes kennt. Ein HR-Mitarbeiter sollte wissen, wo KI-gestützte Auswahl danebenliegt. Ein Vertriebsmitarbeiter sollte wissen, welche Kundendaten in ein KI-Tool dürfen.

AI Literacy Checkliste: Was muss Ihr Unternehmen nachweisen?

• Jedes genutzte KI-Tool ist erfasst und freigegeben.
• Schulungen sind dokumentiert - Inhalt, Datum, Teilnehmer.
• Es gibt einen Prozess, Schulungen bei neuen Tools zu wiederholen.
• Die Verantwortlichkeit für AI Literacy ist klar zugewiesen.
• Schulungsinhalte sind auf Rollen und Abteilungen zugeschnitten.

Transparenzpflichten (Art. 50): Chatbots, Marketing, Kundenservice

Wann muss ich offenlegen, dass KI im Einsatz ist?

Immer dann, wenn KI direkt mit Menschen interagiert oder KI-generierte Inhalte ohne Kennzeichnung veröffentlicht werden. Drei häufige Fälle im KMU:

Chatbots und automatisierter Kundenservice: Wenn ein Bot mit Kunden spricht, sagen Sie es klar zu Beginn - nicht im Footer.

KI-generierte Inhalte in Marketing und PR: Synthetische Bilder, KI-Texte und generierte Stimmen müssen gekennzeichnet sein, sobald sie öffentlich erscheinen.

Automatisierte Entscheidungen über Personen: Kreditentscheidungen, Preissegmentierung, Angebotsfilterung - überall, wo KI ein Ergebnis für eine Person mitbestimmt, gilt Informationspflicht.

Praxis-Check: Bin ich betroffen?

Nutzen Sie KI im E-Mail-Marketing? Haben Sie einen Chatbot auf der Website? Erstellen Sie KI-generierte Bilder für die Kundenkommunikation? Wenn Sie nur eine Frage mit Ja beantworten, gehören die Transparenzpflichten nach Art. 50 zu Ihrer AI-Act-Readiness - und die zugrunde liegenden DSGVO-Pflichten gelten heute.

AI Act + DSGVO: Ein Workflow statt zwei (ROPA, DPIA + FRIA)

Warum sollte ich AI Act und DSGVO nicht getrennt betrachten?

Weil fast jeder KI-Einsatz im Alltag personenbezogene Daten berührt. ChatGPT verarbeitet Kundendaten in E-Mails; HR-KI verarbeitet Bewerberdaten; Analyse-Tools verarbeiten Nutzerverhalten. AI Act und DSGVO greifen daher regelmäßig gleichzeitig. Wer beide Prozesse getrennt betreibt, verdoppelt nicht nur den Aufwand - er erzeugt widersprüchliche Dokumentation, die bei einer Prüfung zum Problem wird.

Wie verbinde ich ROPA und FRIA in einem Workflow?

Ihr Verarbeitungsverzeichnis (ROPA) nach DSGVO wird für KI erweitert: welches Modell verarbeitet welche Daten, zu welchem Zweck, in welchem Kontext. Die DSFA wird bei Hochrisiko-KI durch ein Fundamental Rights Impact Assessment (FRIA) ergänzt. Beides passt in einen Prozess - wenn die Dokumentation von Anfang an so strukturiert ist.

ETHYX AI Compliance Software - so funktioniert es

Was liefert der ETHYX Compliance Checker konkret?

In unter fünf Minuten bewertet der AI Act Compliance Checker Ihren aktuellen EU AI Act Compliance-Status. Sie beantworten zehn Fragen zu Ihren KI-Tools, Ihrer Datenschutz-Dokumentation und Ihrer internen Organisation - und erhalten sofort:

• Ihr AI-Act-Risikolevel und Ihren DSGVO-Lückenstatus.
• Eine priorisierte Maßnahmenliste für die nächsten 90 Tage.
• Einen PDF-Report, den Ihr Legal-Team direkt weiterverarbeiten kann.

Was passiert nach dem Check?

Sie erhalten den vollständigen Report per E-Mail. Kein automatisches Vertriebsgespräch - der Report gehört Ihnen. Wenn Sie sehen wollen, wie ETHYX die Umsetzung übernimmt, ist eine Demo der nächste Schritt.

Ihre AI Act Readiness Roadmap

Wo fange ich konkret an?

Fangen Sie mit dem an, was bereits durchsetzbar ist, und arbeiten Sie sich nach außen. Compliance ist echte Arbeit - der Sinn eines strukturierten Plans ist, dass keine davon verschwendet wird. Die folgende Reihenfolge stellt die geltenden Pflichten nach vorne und ordnet die verschobenen Hochrisiko-Themen dort ein, wo sie hingehören: später, aber eingeplant.

Die Roadmap, Phase für Phase

Phase 1 - AI Inventory und Risikoklassifizierung. Alle KI-Tools erfassen, jeden Anwendungsfall klassifizieren, das Compliance-Register anlegen.

Phase 2 - zuerst die geltenden Pflichten. Schließen Sie die Lücken, die Sie schon heute binden: AI Literacy Schulung (Art. 4), den DSGVO-Überlapp (ROPA, DSFA) für KI mit Personenbezug und jede inakzeptable Nutzung.

Phase 3 - Transparenz jetzt, Deployer-Dokumentation danach (August 2026 und Dezember 2027). Artikel-50-Hinweise für Chatbots, Marketing und automatisierte Entscheidungen vor August 2026 einrichten; danach die Artikel-26-Dokumentation aufbauen und die menschliche Aufsicht festhalten - mit Ziel Dezember 2027.

Phase 4 - den kommenden Pflichten voraus sein. Ihre Betroffenheit von den Hochrisiko-Pflichten 2027-2028 abschätzen, damit Sie früh vorbereitet sind statt im letzten Moment.

Häufige Fehler und Bußgelder - was Unternehmen unterschätzen

Fehler 1: „Wir nutzen nur ChatGPT - das zählt doch nicht.“

Doch. Jeder berufliche Einsatz eines KI-Tools fällt unter den EU AI Act, unabhängig von der Unternehmensgröße oder davon, wie informell die Nutzung wirkt. ChatGPT, Copilot, Grammarly, Midjourney, Notion AI - alle.

Fehler 2: Compliance als Einmalprojekt behandeln.

Tools ändern sich, Anwendungsfälle wachsen, Teams wechseln. Eine Dokumentation, die Anfang 2026 vollständig war, kann zum Jahresende veraltet sein. AI Governance ist ein laufender Prozess, kein Abschlussthema.

Fehler 3: EU AI Act und DSGVO getrennt verwalten.

Doppelter Aufwand, widersprüchliche Unterlagen, doppeltes Prüfungsrisiko. Ein integrierter Ansatz ist effizienter und rechtlich konsistenter zugleich.

Was droht konkret bei Verstößen?

EU AI Act: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes, je nachdem, was höher ist. DSGVO: bis zu 20 Mio. € oder 4 %. Beide können gleichzeitig verhängt werden, und die Geschäftsführung kann in beiden Fällen zusätzlich persönlich haften (§130 OWiG, §43 GmbHG). Die Kosten der Vorbereitung sind planbar; die Kosten, unvorbereitet erwischt zu werden, nicht.

Jetzt vorne sein - kostenlose AI Act Bewertung

Compliance dauert, wenn man zu spät anfängt. Es gibt einen echten Vorteil, jetzt zu starten: Das Unternehmen, dessen AI Governance bereits steht, hält das Geschäft am Laufen, wenn ein Kunde, Investor oder die Behörde fragt - während andere noch zusammensuchen.