EU AI Act: Was den Mittelstand ab August 2026 wirklich trifft

Rund um den EU AI Act kursiert viel Panik und noch mehr Halbwissen. Manche Berater zeichnen Schreckensszenarien, andere winken ab. Beides hilft Ihnen nicht. Dieser Artikel sortiert nüchtern, was ab dem 2. August 2026 für einen normalen mittelständischen Betrieb tatsächlich gilt, was nur Spezialfälle betrifft und was Sie jetzt sinnvoll tun.

Was der EU AI Act überhaupt ist

Der EU AI Act ist die erste umfassende Regulierung künstlicher Intelligenz in Europa. Sein Grundgedanke ist einfach: Je höher das Risiko einer KI-Anwendung für Menschen, desto strenger die Pflichten. Eine KI, die Bewerbungen vorsortiert, wird anders behandelt als eine, die Produkttexte schreibt.

Wichtig für Sie: Das Gesetz richtet sich nicht nur an die großen Anbieter wie OpenAI oder Google, sondern auch an Unternehmen, die KI einsetzen. Sie gelten im Gesetzestext als Betreiber. Genau deshalb ist es für jeden Geschäftsführer relevant, der KI im Betrieb zulässt.

Die vier Risikoklassen, kurz erklärt

Der EU AI Act teilt KI-Anwendungen in vier Stufen ein. Sie hilft Ihnen, schnell einzuordnen, wo Sie überhaupt stehen.

• Verboten: KI, die Menschen manipuliert, sozial bewertet (Social Scoring) oder unzulässig biometrisch überwacht. Für normale Betriebe praktisch nie relevant, aber bei Verstoß am teuersten.
• Hochrisiko: KI in sensiblen Bereichen wie Personalauswahl, Kreditvergabe, Medizinprodukten oder kritischer Infrastruktur. Hier gelten strenge Dokumentations- und Aufsichtspflichten.
• Begrenztes Risiko: Chatbots und KI-erzeugte Inhalte. Hier gilt vor allem Transparenz, also die Kennzeichnung. Hier landen die meisten Mittelständler.
• Minimales Risiko: Der Großteil der alltäglichen Werkzeuge, etwa KI in der Textverarbeitung. Keine besonderen Pflichten.

Der Zeitplan: Was wann gilt

Der EU AI Act tritt nicht auf einen Schlag in Kraft, sondern gestaffelt. Diese Übersicht zeigt die für Sie wichtigen Stichtage.

Was Sie als Mittelständler konkret tun sollten

Ohne Panik, aber auch ohne es auszusitzen. Diese Schritte bringen Sie auf die sichere Seite.

1. Überblick verschaffen: Welche KI-Tools nutzen Ihre Mitarbeiter tatsächlich? Oft mehr als gedacht. Was Sie nicht kennen, können Sie nicht steuern.
2. Mitarbeiter schulen: Die KI-Kompetenz-Pflicht gilt bereits. Eine dokumentierte Grundschulung ist Pflicht und senkt zugleich das Risiko von Fehlern.
3. Kennzeichnen: Wo KI Inhalte erzeugt oder ein Chatbot mit Menschen spricht, muss das erkennbar sein.
4. Risikoklasse prüfen: Nutzen Sie KI in Personal, Kreditwürdigkeit oder einem regulierten Produkt? Dann genauer hinschauen, sonst sind Sie meist im grünen Bereich.
5. Nachvollziehbarkeit sichern: Sorgen Sie dafür, dass dokumentiert ist, wer welche KI wofür nutzt. Das ist der Punkt, der im Ernstfall den Unterschied macht.

Warum Nachvollziehbarkeit der eigentliche Schlüssel ist

Quer durch den EU AI Act zieht sich ein Gedanke: Man muss belegen können, was eine KI getan hat. Für viele Systeme verlangt das Gesetz ausdrücklich eine automatische Aufzeichnung von Ereignissen, also ein Protokoll.

Genau hier entscheidet sich, ob Compliance zur Last oder zur Nebensache wird. Wenn jede KI-Aktion ohnehin lückenlos protokolliert wird, also wer wann welche Daten über welchen Agenten verarbeitet hat, dann ist die Nachweispflicht im Tagesgeschäft bereits erfüllt. Wer das nicht hat, muss es im Zweifel mühsam und unvollständig nachbauen. Ein prüfungsfestes Auditprotokoll ist deshalb kein Luxus, sondern der praktischste Weg, dem Gesetz im Alltag gerecht zu werden.