EU AI Act Anforderungen KMU?

Das Gesetz unterscheidet grundlegend zwischen Anbietern, die ein KI-System entwickeln oder unter eigenem Namen in Verkehr bringen, und Betreibern, die ein solches System im geschäftlichen Alltag einsetzen. Mittelständische Betriebe nutzen in der Praxis fast ausschließlich bestehende Software oder lassen sich maßgeschneiderte Lösungen integrieren, womit sie rechtlich meist als Betreiber gelten.

Als Betreiber entfallen in der Regel die umfangreichen Konformitätsbewertungen und CE-Kennzeichnungspflichten, die primär die Softwarehersteller treffen. Dennoch tragen Betreiber die Verantwortung dafür, dass die Systeme bestimmungsgemäß laufen, die Eingabedaten sorgfältig gewählt sind und eine angemessene menschliche Aufsicht gewährleistet bleibt.

Die Verordnung teilt Anwendungen nach ihrem Schadenspotenzial für Grundrechte und Sicherheit ein. Systeme mit unannehmbarem Risiko, wie etwa Social Scoring oder biometrische Fernidentifikation in Echtzeit, sind grundsätzlich verboten, spielen im klassischen Betriebsalltag des Mittelstands jedoch ohnehin keine Rolle.

Der Großteil operativer Systeme — von der automatisierten Rechnungsverarbeitung bis hin zur Routenoptimierung — fällt in der Praxis in die Kategorie des minimalen oder spezifischen Transparenzrisikos. Streng reguliert sind dagegen Hochrisiko-Bereiche, zu denen typischerweise Software gehört, die über Einstellung, Beförderung oder Kündigung von Mitarbeitern mitentscheidet.

Für Systeme mit spezifischem Transparenzrisiko gilt als Kernanforderung: Menschen müssen in der Regel wissen, dass sie mit einer Maschine interagieren oder von einer Maschine erstellte Inhalte konsumieren. Wenn ein Betrieb automatisierte Posteingänge, Textgeneratoren oder Kundenkommunikation einsetzt, ist ein klarer Hinweis erforderlich.

Zusätzlich verlangt die Verordnung seit Februar 2025 von Unternehmen die Sicherstellung von KI-Kompetenz. Das bedeutet, dass Mitarbeiter, die mit solchen Werkzeugen arbeiten, deren Funktionsweise, Grenzen und Risiken verstehen müssen, bevor sie Arbeitsergebnisse ungeprüft freigeben.

Ein sensibler Bereich für mittelständische Unternehmen liegt im Personalwesen. Wer Software einsetzt, um Bewerbungen automatisiert vorzuselektieren, Leistungsdaten von Angestellten auszuwerten oder Schichtpläne anhand von Verhaltensmustern zu erstellen, berührt regelmäßig den Hochrisiko-Bereich nach Anhang III der Verordnung.

In solchen Konstellationen greifen Pflichten wie betriebliche Folgenabschätzungen, Mitbestimmungsrechte und strenge Kontrollmechanismen. Viele Betriebe gestalten ihre Prozesse daher bewusst so, dass Systeme ausschließlich reine Vorarbeiten leisten, wobei die rechtliche Einstufung im Einzelfall stets mit einem Fachanwalt abgestimmt werden sollte.

Ein KI-Mitarbeiter unterscheidet sich von unregulierten Einzelwerkzeugen dadurch, dass er klar definierte Prozessschritte in einer gesicherten Systemumgebung übernimmt. Während ein reiner KI-Assistent auf Zuruf reagiert und Automatisierung nach starren Wenn-Dann-Regeln abläuft, führt ein KI-Mitarbeiter Aufgaben eigenständig aus und übergibt Zweifelsfälle strukturiert an das Team.

Diese Architektur unterstützt das Prinzip der menschlichen Aufsicht, wie es der Gesetzgeber vorsieht. Wenn das System Belege vorkontiert, Bestelldaten abgleicht oder E-Mails vorsortiert, bewegt es sich im Regelfall im Bereich minimaler Risiken. Weiterführende Details zur Abgrenzung und Funktionsweise solcher Systeme finden Sie auf der Übersicht zu /ki-mitarbeiter.

Der EU AI Act trat im August 2024 in Kraft und wird stufenweise verbindlich. Seit Februar 2025 greifen das Verbot unzulässiger Praktiken sowie die Pflicht zur KI-Kompetenz im Betrieb. Ab August 2025 folgen detaillierte Vorgaben für Anbieter von Allzweck-KI-Modellen.

Für Anwender von Hochrisiko-Systemen greifen Betreiberpflichten überwiegend ab August 2026. Betriebe haben somit Vorlaufzeit, um bestehende Prozesse zu inventarisieren und neue Projekte von Beginn an im Einklang mit den regulatorischen Vorgaben aufzusetzen.

Pragmatismus schützt vor teurem Leerlauf. Mittelständische Geschäftsführer müssen keine juristischen Großprojekte starten, sondern benötigen ein einfaches, internes Verzeichnis aller eingesetzten KI-Funktionen — einschließlich der Funktionen, die in bestehender Standardsoftware unbemerkt aktiviert wurden.

Anschließend werden die Systeme nach ihrem Risiko eingestuft und klare interne Leitlinien festgelegt. Wenn Mitarbeiter wissen, welche Daten in welche Werkzeuge eingegeben werden dürfen und wo eine menschliche Freigabe zwingend erforderlich ist, ist eine solide Basis geschaffen; spezifische Detailfragen klärt die Rechtsberatung im Einzelfall.