EU AI Act: Was KMU jetzt konkret tun müssen

Seit dem 1. August 2024 gilt der EU AI Act formal für alle Anbieter und Nutzer von KI-Systemen innerhalb der EU. Die Übergangsfrist läuft bis August 2027, was viele Unternehmen verleitet, das Thema auf später zu verschieben. Das ist ein Fehler — nicht weil eine Strafe droht, sondern weil die Vorbereitungsarbeit Zeit braucht und wer jetzt beginnt, ruhiger schlafen wird.

Was der EU AI Act tatsächlich regelt

Der EU AI Act ist kein pauschales KI-Verbot und kein bürokratisches Monster. Er ist ein Risikostufen-Modell. Je höher das Risiko einer KI-Anwendung für Menschen, desto strenger die Anforderungen. Das Gesetz unterscheidet vier Kategorien: verbotene Praktiken (z. B. manipulative KI gegen den Willen von Personen), Hochrisiko-KI (z. B. KI in Kreditentscheidungen, Personalauswahl oder kritischer Infrastruktur), eingeschränkte Risikosysteme (z. B. Chatbots mit Transparenzpflicht) und minimales Risiko (z. B. Spam-Filter, für die kaum Anforderungen gelten).

Die entscheidende Frage für jedes Unternehmen lautet daher: In welche Kategorie fallen meine KI-Anwendungen? Für den Großteil der KMU, die KI für interne Produktivitätssteigerung, Textgenerierung oder Prozessautomatisierung einsetzen, fallen die meisten Anwendungen in den Bereich „minimales Risiko" — mit entsprechend wenig Handlungsbedarf.

Wo KMU aufpassen müssen

Kritischer wird es, wenn KI in Entscheidungsprozessen eingesetzt wird, die Menschen direkt betreffen. Nutzt ein Unternehmen ein KI-System, um Bewerbungen vorzufiltern? Trifft ein Algorithmus Empfehlungen zur Kreditvergabe? Wird KI zur Leistungsbewertung von Mitarbeitenden eingesetzt? In diesen Fällen greift der Hochrisiko-Rahmen des AI Acts mit echten Anforderungen: Risikomanagementsystem, Dokumentation, Transparenz gegenüber den Betroffenen, menschliche Aufsicht.

Ein weiterer relevanter Punkt: Wer KI-Systeme nicht nur nutzt, sondern auch baut oder in Produkte integriert, trägt eine höhere Verantwortung als der reine Endnutzer. Für Unternehmen, die individuelle KI-Lösungen entwickeln lassen, ist die Frage der Compliance daher bereits in der Konzeptionsphase relevant — nicht erst bei der Einführung.

Die praktischen Schritte: Ein Vier-Punkte-Plan

Wer jetzt anfangen will, sich vorzubereiten, braucht keinen Juristen als ersten Schritt. Es beginnt mit Inventarisierung: Welche KI-Systeme sind im Unternehmen im Einsatz? Das umfasst nicht nur eigene Entwicklungen, sondern auch gekaufte Lösungen, eingebettete KI in ERP-Systemen und Sprachmodelle, die intern genutzt werden.

Im zweiten Schritt folgt die Risikobewertung: Für jedes System die Frage stellen, ob Menschen durch seine Entscheidungen oder Empfehlungen betroffen sind — und in welchem Ausmaß. Drittens: Transparenz schaffen. Mitarbeitende und Kunden müssen wissen, wenn sie mit einem KI-System interagieren. Das ist weniger eine rechtliche als eine kulturelle Aufgabe. Viertens: Dokumentation einrichten. Wer heute anfängt, systematisch festzuhalten, welche KI-Systeme zu welchem Zweck eingesetzt werden, hat 2027 keine Aufholarbeit mehr zu leisten.

Der unterschätzte Vorteil: Vertrauen als Wettbewerbsfaktor

AI-Act-Compliance ist nicht nur ein Pflichtprogramm. Sie ist auch ein Differenzierungsmerkmal. Gerade im B2B-Bereich, wo Unternehmen zunehmend ihre KI-Anbieter und -Partner auf Sicherheit und Transparenz prüfen, wird nachweisbare Compliance zu einem Vertrauenssignal. Wer seinen Kunden erklären kann, wie die eigenen KI-Systeme funktionieren, welche Daten genutzt werden und welche Entscheidungen der Mensch trifft, hat einen echten Vorteil gegenüber dem Wettbewerber, der das nicht kann.

Die Übergangsfrist bis 2027 ist kein Aufschub — sie ist ein Zeitfenster. Wer es nutzt, kommt entspannt ins Ziel. Wer wartet, löst unter Zeitdruck.