Der EU AI Act: Was KMU über KI-Regulierung wissen müssen

Der EU AI Act ist die erste umfassende Regulierung für künstliche Intelligenz, und er gilt auch für kleine und mittlere Unternehmen. Die gute Nachricht: Für die meisten Anwendungen in Praxis, Werkstatt oder Kanzlei sind die Pflichten überschaubar. Dieser Beitrag zeigt, wie Sie Ihre KI-Werkzeuge einordnen, welche Pflichten schon heute gelten und was Sie in welcher Reihenfolge erledigen.

Worum es im EU AI Act geht

Die Verordnung ist seit August 2024 in Kraft und wird schrittweise wirksam. Sie regelt nicht die Technik an sich, sondern deren Einsatz, und zwar nach Risiko. Je größer die möglichen Folgen für Menschen, desto strenger die Anforderungen. Ein Spamfilter wird anders behandelt als eine Software, die über Bewerbungen oder Kredite mitentscheidet.

Seit Februar 2025 gelten bereits zwei Dinge: Bestimmte Anwendungen sind verboten, und Unternehmen, die KI einsetzen, müssen für ausreichende KI-Kompetenz ihrer Mitarbeiter sorgen. Weitere Pflichten, etwa für Hochrisiko-Systeme und zur Transparenz, greifen gestaffelt. Für einzelne Fristen hat die EU-Kommission Ende 2025 Anpassungen vorgeschlagen. Prüfen Sie daher den aktuellen Stand, bevor Sie Ihre Planung an einem bestimmten Stichtag ausrichten. Dieser Beitrag ersetzt keine Rechtsberatung.

Anbieter oder Betreiber: Ihre Rolle bestimmt die Pflichten

Der AI Act unterscheidet vor allem zwischen Anbietern, die ein KI-System entwickeln und in Verkehr bringen, und Betreibern, die es in eigener Verantwortung nutzen. Die allermeisten KMU sind Betreiber. Eine Zahnarztpraxis, die einen Telefonassistenten einsetzt, ist Betreiberin. Der Hersteller des Assistenten ist Anbieter und trägt den größeren Teil der Pflichten, etwa zur technischen Dokumentation.

Vorsicht ist geboten, wenn Sie ein fremdes System stark verändern, unter eigenem Namen anbieten oder für einen anderen Zweck einsetzen, als der Hersteller vorsieht. Dann können Sie selbst in die Anbieterrolle rutschen. Wer eine KI-Lösung für Kunden weiterverkauft, etwa als Agentur, sollte das genau prüfen lassen.

Die Risikoklassen mit Beispielen aus dem Mittelstand

Risikoklasse	Beispiele	Was für Betreiber zu tun ist
Verboten	Social Scoring, manipulative Techniken, die Schwächen ausnutzen, Emotionserkennung am Arbeitsplatz	nicht einsetzen
Hohes Risiko	automatisierte Vorauswahl von Bewerbungen, Bewertung von Beschäftigten, Kreditwürdigkeitsprüfung	Gebrauchsanweisung befolgen, menschliche Aufsicht sicherstellen, Betrieb überwachen, Protokolle aufbewahren, Betroffene informieren
Transparenzpflichten	Chatbots und Telefonassistenten im Kundenkontakt, KI-generierte Bilder oder Texte, die die Öffentlichkeit informieren sollen	offenlegen, dass KI im Spiel ist
Minimales Risiko	Spamfilter, Übersetzungshilfen, Textvorschläge im internen Gebrauch	keine besonderen Pflichten aus dem AI Act, KI-Kompetenz gilt trotzdem

Ein typischer Handwerksbetrieb landet mit Terminbuchung und Kundenkommunikation in der Transparenzklasse. Anders sieht es aus, wenn Sie ein Werkzeug nutzen, das Bewerbungen automatisch sortiert oder aussortiert. Das gilt als hohes Risiko, und hier sollten Sie sich vor dem Einsatz beraten lassen.

Was der EU AI Act für KMU konkret bedeutet: sechs Schritte

1. KI-Inventar anlegen. Listen Sie jedes Werkzeug auf, in dem KI steckt: Chatbot auf der Website, Telefonassistent, Textgeneratoren, Übersetzung, Funktionen im CRM. Fragen Sie auch Ihr Team, welche Dienste es privat für die Arbeit nutzt.
2. Rolle klären. Notieren Sie für jedes Werkzeug, ob Sie es nur nutzen oder verändern und weitergeben.
3. Risikoklasse zuordnen. Die meisten Einträge werden minimal oder transparenzpflichtig sein. Markieren Sie alles, was mit Personalentscheidungen, Krediten oder Zugang zu wichtigen Leistungen zu tun hat.
4. KI-Kompetenz sicherstellen. Wer mit KI arbeitet, sollte wissen, was das System kann, wo es Fehler macht und welche Daten nicht hineingehören. Eine kurze Schulung und eine schriftliche Nutzungsregel genügen in kleinen Betrieben oft. Dokumentieren Sie beides.
5. Transparenz einbauen. Jeder Chatbot und jeder Telefonassistent sollte sich zu Beginn als KI zu erkennen geben. Formal trifft diese Pflicht vor allem den Anbieter, in der Praxis sorgen Sie als Betreiber dafür, dass der Hinweis beim Kunden ankommt.
6. Mit der DSGVO verzahnen. Der AI Act ersetzt den Datenschutz nicht. Auftragsverarbeitungsverträge, Speicherort und Löschfristen bleiben eigene Themen.

Zum Zusammenspiel beider Regelwerke lesen Sie mehr in unserem Beitrag DSGVO und KI-Chatbots. Warum der Serverstandort zusätzlich zählt, erklärt der Artikel EU- oder US-Hosting für KI-Tools.

Ein Beispiel: der Telefonassistent in der Physiotherapie

Eine Physiotherapiepraxis lässt Anrufe außerhalb der Behandlungszeiten von einem digitalen Assistenten annehmen. Er vergibt Termine, verschiebt sie und beantwortet Fragen zu Rezepten. Die Praxis ist Betreiberin, der Einsatz fällt unter die Transparenzpflichten. Der Assistent beginnt jedes Gespräch mit einem Satz wie „Sie sprechen mit dem digitalen Assistenten der Praxis“. Das Team wurde kurz eingewiesen, welche Anliegen der Assistent an Menschen weitergibt. Weil Gesundheitsdaten berührt sein können, hat die Praxis zusätzlich mit ihrem Datenschutzbeauftragten geklärt, welche Angaben im Gespräch abgefragt werden dürfen.

Neurobots-Assistenten sind auf genau diesen Fall ausgelegt: Sie arbeiten DSGVO-konform mit Daten auf Servern in Frankfurt, und wir empfehlen unseren Kunden, den KI-Hinweis fest in die Begrüßung aufzunehmen.

Wo Sie keinen großen Aufwand treiben müssen

Für ein Kosmetikstudio mit Online-Terminbuchung und einem Chatbot auf der Website braucht es kein teures Gutachten. Inventar, Schulungsnachweis, KI-Hinweis im Gespräch und die üblichen Datenschutzunterlagen decken den Großteil ab. Seien Sie skeptisch gegenüber Angeboten, die mit Angst vor Bußgeldern teure Komplettpakete verkaufen. Externe Beratung lohnt sich dort, wo Sie mit Hochrisiko-Anwendungen arbeiten oder selbst KI-Produkte anbieten.

Wichtiger als ein dicker Ordner ist, dass Ihre Unterlagen aktuell bleiben. Neue Werkzeuge kommen oft unbemerkt ins Haus, weil ein Softwareanbieter eine KI-Funktion nachrüstet oder ein Mitarbeiter einen praktischen Dienst entdeckt. Legen Sie deshalb fest, dass neue KI-Anwendungen vor dem Einsatz kurz gemeldet und ins Inventar aufgenommen werden. Ein Blick auf die Liste einmal im Halbjahr reicht in den meisten kleinen Betrieben aus.

Häufige Fragen

Gilt der AI Act auch für sehr kleine Betriebe?

Ja, es gibt keine Untergrenze nach Mitarbeiterzahl. Die Verordnung sieht aber Erleichterungen für KMU vor, etwa bei Bußgeldern und beim Zugang zu Reallaboren der Behörden. Die Pflichten richten sich nach dem Einsatzzweck, nicht nach der Größe.

Muss ich regeln, wie meine Mitarbeiter ChatGPT und ähnliche Dienste nutzen?

Das ist dringend zu empfehlen. Die Pflicht zur KI-Kompetenz betrifft auch solche Werkzeuge, und aus Datenschutzsicht ist entscheidend, dass keine Kunden- oder Patientendaten in ungeprüfte Dienste gelangen. Eine einseitige interne Richtlinie ist ein guter Anfang.

Ist ein KI-Telefonassistent ein Hochrisiko-System?

In aller Regel nicht, solange er Termine vergibt und Fragen beantwortet. Er unterliegt den Transparenzpflichten. Anders kann es aussehen, wenn er über den Zugang zu wesentlichen Leistungen entscheidet.

Was passiert bei Verstößen?

Der AI Act sieht empfindliche Bußgelder vor, die nach Schwere gestaffelt sind; für KMU gilt jeweils der niedrigere der vorgesehenen Höchstbeträge. Mehr zu Sicherheitsfragen finden Sie im Beitrag KI-Datensicherheit für Unternehmen, einen Überblick über die Lage in Deutschland bietet KI für deutsche Unternehmen.

Fazit

Für die meisten KMU ist der EU AI Act vor allem eine Pflicht zur Ordnung: wissen, welche KI im Haus ist, das Team schulen und Kunden offen sagen, wenn sie mit einer KI sprechen. Wer Bewerbungen, Kredite oder ähnlich folgenreiche Entscheidungen automatisiert, sollte genauer hinsehen und sich beraten lassen.

Wie ein transparenter KI-Assistent im Kundenservice aufgebaut ist, sehen Sie auf der Seite Digitaler Assistent für Servicecenter.