Der EU AI Act (Verordnung 2024/1689) gilt offiziell seit August 2024 — die meisten Pflichten greifen schrittweise zwischen 2025 und 2027. Ab Februar 2026 ist die KI-Kompetenzpflicht (Art. 4) für alle Unternehmen scharfgeschaltet. Hier der pragmatische Fahrplan, mit dem Ihr Mittelstand sauber durchkommt.
Was der EU AI Act ist — in einer Minute
Der AI Act ist die weltweit erste umfassende KI-Regulierung. Er ist risikobasiert: Je höher das Risiko einer KI-Anwendung, desto strenger die Pflichten. Vier Klassen:
- Unzulässiges Risiko (verboten): Social Scoring, biometrische Echtzeit-Erkennung im öffentlichen Raum, manipulative Systeme.
- Hochrisiko (streng reguliert): KI in HR-Auswahl, Kreditwürdigkeit, kritischer Infrastruktur, Strafverfolgung, Bildung.
- Begrenztes Risiko (Transparenzpflichten): Chatbots, generative KI-Inhalte.
- Minimales Risiko (kaum geregelt): Spamfilter, KI-gestützte Spielesteuerung.
Der Zeitplan, der wirklich zählt
| Datum | Pflicht |
|---|---|
| Februar 2025 | Verbote für unzulässige Systeme greifen |
| August 2025 | GPAI-Modell-Anbieter-Pflichten (Foundation Models) |
| Februar 2026 | KI-Kompetenzpflicht (Art. 4) — für alle Anwender |
| August 2026 | Vollständige Hochrisiko-Pflichten greifen |
| August 2027 | Hochrisiko-KI in bestehenden Produkten |
Für 90 % der Mittelständler relevant: Art. 4 (KI-Kompetenz)
Jedes Unternehmen, das KI einsetzt, muss sicherstellen, dass die mit KI arbeitenden Personen über ausreichende KI-Kompetenz verfügen. Was heißt das praktisch?
- Verständnis der eingesetzten KI-Systeme (was kann sie, was nicht?)
- Bewusstsein für Risiken (Halluzinationen, Bias, Datenschutz)
- Wissen über die rechtlichen und ethischen Implikationen
- Fähigkeit zur kritischen Bewertung von KI-Ausgaben
Konkret: Pflichtschulungen, dokumentierte Lerninhalte, regelmäßige Auffrischungen. Eine 60-Minuten-Schulung im Jahr ist in der Regel ausreichend für „begrenztes Risiko"-Use-Cases.
Wann Sie Hochrisiko-Pflichten erfüllen müssen
Anhang III des AI Act listet Hochrisiko-Anwendungen. Für Mittelständler typisch relevant:
- HR: Bewerber-Sichtung, Vorsortierung, automatisierte Beförderungs-Entscheidungen
- Finanz: Kreditwürdigkeitsprüfung (auch interne!)
- Bildung: Prüfungsbewertung, Kursplatzvergabe
- Kritische Infrastruktur: Energie, Wasser, IT-Sicherheit
Wenn Sie in einer dieser Kategorien KI einsetzen: Hier ist das volle Programm fällig — Risikomanagement-System, Datenqualität, technische Dokumentation, Transparenz, menschliche Aufsicht, Genauigkeitsanforderungen, EU-Konformitätserklärung. Das ist kein „mal eben gemacht", sondern ein Compliance-Programm.
Die Transparenzpflichten (Art. 50)
Auch wenn Sie keine Hochrisiko-KI nutzen: Generative KI und Chatbots haben Transparenzpflichten.
- Chatbots: Nutzer muss erkennen, dass er mit einer KI spricht (es sei denn offensichtlich).
- Generative Inhalte: KI-erzeugte Texte/Bilder müssen technisch markierbar sein (Wasserzeichen, Metadaten).
- Emotionserkennung: Betroffene müssen informiert werden.
- Biometrische Kategorisierung: Betroffene müssen informiert werden.
Konkreter Fahrplan in 8 Schritten
1. KI-Inventur
Liste aller KI-Systeme, die in Ihrem Unternehmen genutzt werden — auch Schatten-KI. Pro System: Zweck, Datenflüsse, betroffene Personenkreise, Risiko-Klasse.
2. Risiko-Klassifizierung
Jedes System einer der vier Risiko-Klassen zuordnen. Bei Unsicherheit: konservativ klassifizieren, externe KI-Beratung holen.
3. Verboten-Check
Stellen Sie sicher, dass Sie nichts Unzulässiges nutzen (Social Scoring, manipulative Systeme).
4. Hochrisiko-Programm aufsetzen
Falls Hochrisiko vorhanden: Risikomanagement-System nach Art. 9 einführen. Das ist ein eigenes Projekt — plane 3–6 Monate ein.
5. Kompetenz-Schulungsplan
Pflichtschulungen für alle KI-nutzenden Mitarbeiter, dokumentiert, mit Teilnahme-Nachweis — verankert in einer schriftlichen KI-Richtlinie. Mindestens jährlich.
6. Transparenz umsetzen
Chatbot-Disclaimer, Markierung KI-erzeugter Inhalte, AGB-Anpassungen.
7. Governance-Strukturen
KI-Beauftragten benennen (kann der DSB sein), Eskalationswege definieren, halbjährliche Review-Termine.
8. Dokumentation
Alles dokumentieren. Bei einer Behörden-Anfrage müssen Sie zeigen können: was, warum, wie, durch wen. Plattformen wie Cortexion liefern dafür Audit-Logs out of the box.
Was bei Verstößen droht
- Verbotene KI: bis 35 Mio. € oder 7 % Jahresumsatz
- Verstoß gegen Hochrisiko-Pflichten: bis 15 Mio. € oder 3 % Jahresumsatz
- Falsche Informationen an Behörden: bis 7,5 Mio. € oder 1,5 % Jahresumsatz
Für KMU gibt es Reduktionsmöglichkeiten, aber existenzbedrohende Bußgelder sind möglich. Das ist kein Bereich, in dem man auf Glück setzt.
Was eine gute KI-Plattform für AI-Act-Compliance leistet
- Modell-Karten und technische Dokumentation für alle eingesetzten Modelle
- Audit-Logs zu Eingaben, Ausgaben, Modell-Versionen
- Rollen-Konzept für menschliche Aufsicht
- Mandanten-Trennung für Compliance-Audits
- Kennzeichnung KI-erzeugter Inhalte
- Export-Funktionen für Behörden-Anfragen
Cortexion bringt all das mit — Sie erfüllen nicht „nebenbei" die AI-Act-Anforderungen, sondern die Plattform ist dafür gebaut.
Sie wollen sehen, wie Cortexion Sie auf den AI Act vorbereitet? Buchen Sie eine 30-Minuten-Demo, in der wir gemeinsam Ihr Use-Case-Portfolio auf Risiko-Klassen verteilen.