Der EU AI Act für den Mittelstand: Was sich ändert und was zu tun ist

Du bist wahrscheinlich schon im Anwendungsbereich

Lass mich direkt sein: Wenn dein Unternehmen KI in irgendeinem kundenorientierten oder entscheidungsrelevanten Prozess einsetzt, gilt der EU AI Act für dich, und es interessiert ihn nicht, dass du ein mittelständisches Unternehmen bist und kein Tech-Riese. Die gute Nachricht ist, dass die meiste KI-Nutzung im Mittelstand in die leichteren Klassen fällt, und die Pflichten dort sind machbar. Die schlechte Nachricht ist, dass "wir wussten es nicht" keine Verteidigung ist, und Compliance nachzurüsten, nachdem du live gegangen bist, ist weit teurer, als sie von Anfang an einzubauen.

Das ist keine juristische Analyse und kein Ersatz für deinen Anwalt. Es ist ein praktischer Leitfaden für Unternehmer oder Führungskräfte, die verstehen müssen, wo ihre KI steht, was das bedeutet und was konkret zu tun ist, in klaren Worten. Der Act folgt einer risikobasierten Logik, und sobald du siehst, in welche Klasse deine Nutzung fällt, wird der Weg klar.

Der EU AI Act ist kein Grund, KI zu vermeiden. Er ist ein Satz Leitplanken, die, früh angegangen, eine normale Design-Randbedingung sind. Spät angegangen sind sie ein Rebuild. Der Unterschied ist reines Timing.

Wir bauen KI-Systeme, die compliant by design sind, und wir handhaben das in unseren eigenen Produkten, Exfinity und OGuardAI. Dieser Leitfaden ist die praktische Version. Für die detaillierte regulatorische Analyse sieh dir unseren EU AI Act Omnibus-Leitfaden an, und für die Überschneidung mit dem Datenschutz unseren Leitfaden zu GDPR und KI.

Wer sich wofür interessiert

Die Risikoklassen, in klaren Worten

Der ganze Act dreht sich um eine Idee: Je höher das Risiko deiner KI, desto mehr musst du tun. Es gibt vier Klassen, und deine zu kennen sagt dir fast alles.

Die meiste KI im Mittelstand, ein Support-Chatbot, ein Content-Assistent, ein Produktdaten-Tool, sitzt in begrenztem oder minimalem Risiko, wo die Pflichten leicht sind. Die Klasse, die Leute überrascht, ist Hochrisiko, dazu gehören KI im Recruiting, bei der Kreditwürdigkeit und in bestimmten Sicherheitsfunktionen. Wenn deine KI solche Entscheidungen trifft oder wesentlich beeinflusst, hast du echte Pflichten. Wenn nicht, bist du in den leichteren Klassen. Unser Leitfaden zur KI-Governance zeigt, wie du die Kontrollen in beiden Fällen strukturierst.

Finde heraus, wo deine KI steht

Bevor du irgendetwas anderes tust, klassifiziere jede KI-Nutzung, die du hast. Das ist die wertvollste Stunde, die du investieren wirst, denn sie verwandelt eine vage Sorge in eine spezifische, begrenzte Aufgabe.

Does the AI make or heavily influence a decision about
  a person's job, credit, safety, or essential services?
        │ yes                              │ no
        ▼                                  ▼
   HIGH RISK                        Does the user interact with
   (real obligations)               AI or see AI-generated content?
                                          │ yes            │ no
                                          ▼                ▼
                                   LIMITED RISK       MINIMAL RISK
                                   (transparency)     (light)

Schreib jede KI-Nutzung auf, lass sie da durchlaufen und halte das Ergebnis fest. Diese Aufzeichnung ist der Anfang deiner Compliance-Akte, und sie ist das, was du vorzeigst, wenn jemand fragt. Die meisten Unternehmen stellen fest, dass alles, was sie betreiben, begrenzt oder minimal ist, und das eine Ding, das Hochrisiko sein könnte, ist ein Recruiting- oder Scoring-Tool, das sie dann gezielt angehen können.

Begrenztes Risiko: Die Transparenzpflichten

Wenn du einen Chatbot betreibst oder Inhalte mit KI generierst, und das tun die meisten Mittelständler, bist du im begrenzten Risiko, und die Kernpflicht ist Transparenz. Menschen müssen wissen, wann sie mit KI interagieren oder KI-generierte Inhalte sehen.

In der Praxis ist das ein kleines Set konkreter Kontrollen.

1. Weise auf die KI hin. Ein klarer Hinweis, bevor jemand mit einem KI-Assistenten chattet, in den Sprachen, die du bedienst.
2. Kennzeichne KI-generierte Inhalte. Markiere Inhalte, die ein Modell erzeugt hat, dort, wo eine Person es vernünftigerweise wissen wollen würde.
3. Halte einen Menschen erreichbar. Ein Weg zu einer Person, keine Sackgasse im Bot.

Genau das bauen wir in unsere eigenen Plattformen ein: einen KI-Hinweis vor einem Chat, in jeder unterstützten Sprache, und KI-generierte Vorschläge, die zur menschlichen Freigabe markiert sind. Das ist ein Design-Detail, keine Last. Unser Human-in-the-Loop-Leitfaden zeigt, wie du einen Menschen im Ablauf behältst.

Hochrisiko: Wenn du echte Pflichten hast

Wenn irgendeine deiner KI wirklich in Hochrisiko fällt, Recruiting, Kredit, Sicherheit, essenzielle Dienste, sind die Pflichten ernster, und du solltest sie gezielt mit juristischer Unterstützung angehen. Grob umfassen sie Risikomanagement, Daten-Governance, Dokumentation, menschliche Aufsicht, Transparenz gegenüber Betroffenen und Aufzeichnungspflichten.

Die praktische Erkenntnis für ein mittelständisches Unternehmen: Hochrisiko-KI ist eine bewusste Entscheidung, nichts, in das man hineindriftet. Wenn ein Tool solche Entscheidungen beeinflusst, baue die Pflichten entweder von Anfang an ein, oder gestalte das System so, dass ein Mensch die eigentliche Entscheidung trifft und die KI nur assistiert, was das Risikobild verändert. Unser Leitfaden zur KI-Entscheidungsnachvollziehbarkeit behandelt die Dokumentations- und Aufsichtsmaschinerie.

Ein durchgespieltes Beispiel: Drei typische Anwendungen klassifizieren

Klassifizierung klingt abstrakt, bis du es tust, also lass drei typische KI-Anwendungen aus dem Mittelstand durch die Logik laufen.

Ein Kundensupport-Chatbot auf deiner Website. Er beantwortet Fragen und übergibt an einen Menschen, wenn er unsicher ist. Er entscheidet nichts über Job, Kredit oder Sicherheit einer Person, aber Nutzer interagieren mit ihm. Das ist begrenztes Risiko. Aktion: einen klaren KI-Hinweis vor dem Chat ergänzen und einen Weg zu einem Menschen offenhalten. Günstig, erledigt.

Ein KI-Tool, das Produktbeschreibungen entwirft. Es generiert Inhalte, die eine Person vor der Veröffentlichung prüft. Keine Entscheidung über irgendjemanden, aber es produziert KI-Inhalte. Begrenztes Risiko, und die Inhalte sollten dort gekennzeichnet werden, wo ein Leser es vernünftigerweise wissen wollen würde. Günstig, erledigt.

Ein Tool, das Bewerber screent und rankt. Das beeinflusst eine Einstellungsentscheidung über eine Person. Das ist Hochrisiko, mit echten Pflichten rund um Dokumentation, menschliche Aufsicht und Transparenz gegenüber den betroffenen Bewerbern. Aktion: entweder diese Pflichten bewusst mit juristischer Unterstützung einbauen, oder so umgestalten, dass ein Mensch die eigentliche Entscheidung trifft und das Tool nur Informationen liefert, was das Risikobild verändert.

Support chatbot     ── limited  ── disclose AI, human fallback
Content drafting    ── limited  ── label AI content, human review
Applicant screening ── HIGH     ── obligations, or redesign to assist only

Die meisten Unternehmen betreiben die ersten beiden und erledigen sie, einmal klassifiziert, an einem Nachmittag. Das dritte ist das, das du erwischen und mit Sorgfalt behandeln musst. Der Wert des Aufschreibens liegt darin, dass aus einem vagen "sind wir compliant" eine kurze, spezifische Liste wird, und diese Liste ist deine Verteidigung, wenn jemand fragt.

Die GDPR-Überschneidung: Ein Ansatz, nicht zwei

Der EU AI Act ersetzt die GDPR nicht, er steht neben ihr, und die meiste deiner KI berührt personenbezogene Daten, also hast du es mit beiden zu tun. Der effiziente Zug ist, beide als einen kohärenten Ansatz zu behandeln statt als zwei getrennte Projekte.

Die Überschneidung ist groß und arbeitet für dich. Personenbezogene Daten an der Grenze schützen, einen Audit-Trail führen, Löschung respektieren, einen Menschen verantwortlich halten, all das dient beiden Regimen gleichzeitig. Personenbezogene Daten so zu schützen, dass sie nie in Rohform ein Modell erreichen, wie unser Leitfaden zu PII-sicherem RAG beschreibt, ist eine GDPR-Kontrolle und eine Daten-Governance-Kontrolle des AI Act zugleich. Unser Leitfaden zu GDPR und KI behandelt den kombinierten Ansatz, und unsere Seiten Trust und GDPR zeigen, wie wir es in der Umsetzung handhaben.

Die Aktionsliste

Hier ist, was du konkret tun solltest, in dieser Reihenfolge.

1. Klassifiziere jede KI-Nutzung. Lass jede durch die Risikoentscheidung oben laufen und schreib das Ergebnis auf.
2. Erledige begrenztes Risiko günstig. Ergänze KI-Hinweise und Inhaltskennzeichnung, wo Menschen mit KI interagieren.
3. Markiere alles Hochriskante. Wenn ein Tool Recruiting, Kredit oder Sicherheit beeinflusst, behandle es gezielt mit juristischer Unterstützung.
4. Führe es mit der GDPR zusammen. Baue Datenschutz, Audit und menschliche Aufsicht einmal, für beide Regime.
5. Führe die Akte. Deine Klassifizierungen, Kontrollen und Entscheidungen sind deine Verteidigung. Schreib sie auf.

Das ist eine machbare Liste, und früh angegangen ist sie günstig. Unsere Teams für Consulting und Individualsoftware bauen Systeme, die compliant by design sind, und können diese Klassifizierung mit dir durchführen. Starte über Kontakt oder hol dir ein konkretes Angebot.

Wie das typischerweise schiefgeht

1. Annehmen, dass es nicht gilt. Es gilt für Nutzer, nicht nur für Entwickler. Klassifiziere deine Anwendungen.
2. Nachrüsten nach dem Launch. Späte Compliance ist ein Rebuild. Bau sie von Anfang an ein.
3. GDPR und AI Act getrennt behandeln. Sie überschneiden sich stark. Handle sie einmal, gemeinsam.
4. In Hochrisiko hineindriften. Recruiting- und Scoring-Tools tragen echte Pflichten. Betritt diese Klasse bewusst.
5. Keine Dokumentation. Deine Klassifizierungsakte ist deine Verteidigung. Führe sie.

Wer das baut

Oronts ist ein gründergeführtes Softwareunternehmen in München. Refaat Al Ktifan, unser Gründer und Solution Architect, führt ein Senior-Team, das KI-Systeme compliant by design für den deutschen und europäischen Markt baut. Wir handhaben die Überschneidung von AI Act und GDPR in unseren eigenen Produkten, Exfinity und OGuardAI, und wir bauen dieselbe Disziplin in Kundensysteme ein. Wir helfen dir, deine KI zu klassifizieren, die richtigen Kontrollen zu ergänzen und die Akte zu führen, die dich verteidigt. Sieh dir unsere Seiten Services, Solutions und Trust an. Dieser Leitfaden ist praktische Orientierung, keine Rechtsberatung, also zieh zusätzlich deinen eigenen Anwalt hinzu.

Das Wichtigste

• Der EU AI Act gilt für Unternehmen, die KI nutzen, nicht nur für die, die sie bauen, und der Mittelstand ist im Anwendungsbereich.
• Der Act ist risikobasiert. Klassifiziere jede KI-Nutzung, und die Pflichten werden klar.
• Die meiste KI im Mittelstand ist begrenztes oder minimales Risiko, wo die Pflichten leicht und machbar sind.
• Hochrisiko, Recruiting, Kredit, Sicherheit, ist eine bewusste Entscheidung mit echten Pflichten. Drifte nicht hinein.
• Behandle AI Act und GDPR als einen kohärenten Ansatz, früh eingebaut, nicht nachgerüstet.

Die Unternehmen, die mit dem AI Act kämpfen werden, sind die, die ihn bis zu einem Audit ignorieren. Die, die ihre KI jetzt klassifizieren und die leichten Kontrollen einbauen, werden feststellen, dass er eine normale Design-Randbedingung ist, keine Wand.

Nicht sicher, wo deine KI unter dem Act steht? Erzähl uns, was du betreibst. Starte über Kontakt oder hol dir ein konkretes Angebot.