Der EU AI Act: was seit August 2026 für den Mittelstand gilt

Die Frist ist verschoben

Der EU AI Act ist seit August 2024 in Kraft und gilt stufenweise. Für mittelständische Unternehmen war der 2. August 2026 der wichtigste Termin: ab diesem Datum sollten die Pflichten für Hochrisiko-Systeme nach Anhang III greifen.

Dieser Termin wurde auf den 2. Dezember 2027 verschoben, über das Gesetzespaket, das als Digital Omnibus bezeichnet wird. Für die Vorbereitung auf die Hochrisiko-Pflichten stehen damit rund sechzehn Monate mehr zur Verfügung.

Was seit August 2026 gilt

Wirksam ist seit dem 2. August 2026 im Wesentlichen Artikel 50, die Transparenzpflicht. Die Aufsichtsbehörden haben mit der Durchsetzung begonnen. Die Pflicht umfasst drei Punkte:

• Menschen müssen wissen, dass sie mit einer Maschine sprechen. Wenn Ihr Unternehmen einen Chat betreibt, in dem eine KI antwortet, muss das erkennbar sein. Es reicht, wenn es sich aus dem Zusammenhang ohne Weiteres ergibt.
• Künstlich erzeugte Inhalte müssen als solche gekennzeichnet sein. Das betrifft Bilder, Ton und Video, und in bestimmten Fällen auch Texte, die veröffentlicht werden.
• Bei Emotionserkennung und biometrischer Kategorisierung müssen die betroffenen Personen informiert werden. Diese Anwendungen kommen im kaufmännischen Umfeld selten vor.

Unverändert gelten die bereits 2025 wirksam gewordenen Bestimmungen: das Verbot bestimmter Praktiken nach Artikel 5 sowie die Pflicht zur KI-Kompetenz der eingesetzten Personen nach Artikel 4.

Wann ein Hochrisiko-System vorliegt

Der Umfang der Pflichten hängt daran, ob ein Anwendungsfall unter Anhang III fällt. Für mittelständische Unternehmen sind vor allem zwei Bereiche relevant:

• Beschäftigung. KI, die Bewerbungen vorsortiert, Leistung bewertet oder über Beförderung und Kündigung mitentscheidet.
• Zugang zu wesentlichen Diensten. Vor allem Bonitätsbewertung von natürlichen Personen.

Anwendungen im kaufmännischen Tagesgeschäft fallen in der Regel nicht darunter. Eine Software, die Eingangsrechnungen ausliest und bucht, bewertet keine Person. Eine Auswertung der Bestellhistorie von Firmenkunden ist keine Bonitätsbewertung einer natürlichen Person im Sinne des Anhangs.

Die Einordnung sollte dennoch einmal vorgenommen und schriftlich festgehalten werden. Sie ist die Grundlage dafür, dieselbe Frage bei jeder weiteren Software nicht erneut klären zu müssen.

Schritte für die Umsetzung

1. Erfassen, wo KI im Einsatz ist

   Eine Liste genügt: welches System, welcher Zweck, welche Daten, welcher Anbieter. Die Zahl fällt oft höher aus als erwartet, weil KI-Funktionen auch in länger eingesetzter Software enthalten sein können.

2. Je Eintrag einmal einordnen

   Fällt der Anwendungsfall unter Anhang III? In den meisten Fällen lautet die Antwort nein. Die Begründung gehört in schriftlicher Form ins Verzeichnis.

3. Transparenz dort herstellen, wo Menschen betroffen sind

   Chat kennzeichnen, erzeugte Inhalte kennzeichnen. Der Aufwand beschränkt sich in den meisten Fällen auf einen Hinweistext.

4. Schulung nachweisbar machen

   Artikel 4 verlangt hinreichende KI-Kompetenz bei den Personen, die diese Systeme bedienen. Eine dokumentierte Unterweisung genügt, eine Zertifizierung ist nicht vorgeschrieben.

Fragen an den Anbieter

In der Praxis ist die DSGVO für die Auswahl eines KI-Anbieters die weitergehende Anforderung, weil dort die Prüfung durch den Datenschutzbeauftragten ansetzt. Vier Fragen decken die wesentlichen Punkte ab:

• Wo läuft das Modell, und wo werden die Daten gespeichert? Das sind zwei verschiedene Fragen, die getrennt zu beantworten sind. Verarbeitung und Speicherung können in unterschiedlichen Regionen stattfinden.
• Werden die Daten für das Training fremder Modelle genutzt? Die Antwort sollte vertraglich zugesichert sein.
• Gibt es einen Auftragsverarbeitungsvertrag und eine Liste der Unterauftragnehmer? Beides ist nach Artikel 28 DSGVO Voraussetzung für die Zusammenarbeit.
• Was geschieht mit den Daten am Ende der Zusammenarbeit? Herausgabe, Löschung und Nachweis der Löschung sollten vertraglich geregelt sein.

Quellen und Stand. Die Verschiebung von Anhang III auf den 2. Dezember 2027 ergibt sich aus dem Digital-Omnibus-Paket. Zusammenfassungen des aktuellen Stands finden Sie bei governance-ai-act.de und beim TÜV Rheinland. Dieser Text ist eine Einordnung für die Praxis und kein Rechtsrat. Für die verbindliche Bewertung Ihres konkreten Falls fragen Sie einen Anwalt für IT-Recht.