EU AI Act im Mittelstand: Welche Pflichten wirklich gelten

Der EU AI Act im Überblick: Was die Verordnung (EU) 2024/1689 regelt

Mit der Verordnung (EU) 2024/1689 hat die Europäische Union das weltweit erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz verabschiedet^[1]. Das primäre Ziel der Verordnung besteht darin, einen einheitlichen Rechtsrahmen im europäischen Binnenmarkt zu etablieren. Dadurch wird verhindert, dass nationale Alleingänge den grenzüberschreitenden Einsatz digitaler Werkzeuge erschweren. Gleichzeitig stellt das Regelwerk sicher, dass KI-Systeme hohe Sicherheitsstandards erfüllen und die Grundrechte schützen. Wenn du als Geschäftsführer im Mittelstand KI einsetzt, geht es primär darum, Risiken pragmatisch zu steuern. Wichtiger Hinweis: Dieser Leitfaden dient der fachlichen Einordnung und stellt keine Rechtsberatung dar.

Die zentralen Säulen der KI-Verordnung

• Harmonisierung im Binnenmarkt: Einheitliche Standards schaffen Rechtssicherheit für Unternehmen, die KI-gestützte Lösungen EU-weit anbieten oder nutzen.
• Risikobasierter Ansatz: Statt Technologie pauschal zu reglementieren, knüpft die Verordnung konkrete Pflichten an das jeweilige Gefährdungspotenzial der Anwendung.
• Schutz von Grundrechten und Sicherheit: Transparenz- und Sicherheitsvorgaben minimieren Risiken für Gesundheit, Diskriminierungsfreiheit und Datenschutz.

Für die Unternehmensführung reiht sich der AI Act in eine Serie europäischer Vorgaben ein. Ähnlich wie bei Fragen zur Cyber-Resilienz ist die IT-Sicherheit und Governance beim KI-Einsatz eine Chefsache, die du Schritt für Schritt strukturieren kannst.

Anbieter oder Betreiber: Welche Rolle hat Dein Unternehmen wirklich?

Nach der Verordnung (EU) 2024/1689 (EU AI Act) entscheidet in erster Linie Deine Rolle über Deine rechtlichen Pflichten. Die allermeisten mittelständischen Unternehmen agieren als Betreiber (Englisch: Deployer). Ein Betreiber nutzt ein von Dritten entwickeltes KI-System in eigener Verantwortung für berufliche oder geschäftliche Zwecke. Wenn Du also Standardwerkzeuge wie Microsoft Copilot, ChatGPT Enterprise oder eine KI-gestützte HR-Software einsetzt, agierst Du als Betreiber. Als Anbieter (Provider) gilt hingegen nur, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke auf dem Markt bereitstellt.

Wann ein Betreiber ungewollt zum Anbieter wird

Besondere Aufmerksamkeit ist geboten, wenn Dein Unternehmen bestehende KI-Systeme modifiziert oder anpasst. Nach Artikel 25 der EU-KI-Verordnung wird ein Betreiber rechtlich automatisch zum Anbieter aufgestuft, sobald er bestimmte Grenzen überschreitet^[3]. Das geschieht insbesondere beim Anbringen des eigenen Namens oder der eigenen Marke auf einem fremden KI-System, bei einer wesentlichen Änderung der Systemfunktionen oder bei einer grundlegenden Umstellung des Verwendungszwecks.

Dieser Statuswechsel hat erhebliche rechtliche Konsequenzen für Risikomanagement und IT-Sicherheit als Chefsache. Während reine Betreiber im Wesentlichen für die sachgemäße Anwendung, die menschliche Aufsicht sowie die Einweisung der Beschäftigten haften, unterliegen Anbieter strengen Dokumentations-, Registrierungs- und Konformitätsprüfungsverfahren. Eine eindeutige Definition der KI-Nutzung in internen Richtlinien schützt die Geschäftsführung vor ungewollter Haftungsausweitung.

Die 4 Risikoklassen: Warum die meisten Mittelstands-Anwendungen nicht hochriskant sind

Die Verordnung (EU) 2024/1689 teilt KI-Systeme nach ihrem Risikoprofil in vier Stufen ein^[4]. Für dich als Geschäftsführer ist diese Einordnung der zentrale Maßstab: Sie entscheidet darüber, ob dein Betrieb aufwändige Konformitätsprüfungen durchführen muss oder Software unbürokratisch nutzen kann. Wer IT-Sicherheit als Chefsache versteht, sollte die tatsächlichen rechtlichen Vorgaben genau von unbegründeten Bedenken trennen.

Die Entwarnung für den Großteil der operativen Software ist eindeutig: Typische Werkzeuge im Mittelstand fallen in die Kategorie des minimalen Risikos. Wenn dein Team KI-Assistenten zur Texterstellung nutzt, Kundendaten im CRM auswertet oder Lieferzeiten im ERP prognostiziert, betreibst du kein Hochrisiko-System.

Sorgfalt ist jedoch bei Systemen im Personalbereich geboten. Sobald KI-Lösungen maßgeblich Bewerbungen filtern oder Mitarbeiterleistungen bewerten, greifen die Hochrisiko-Kriterien nach Anhang III Nummer 4. Für die allermeisten täglichen Produktivitätstools bleibt der regulatorische Aufwand jedoch überschaubar.

Artikel 4 der KI-Verordnung: Die oft übersehene Pflicht zur KI-Kompetenz

Seit dem 2. Februar 2025 verpflichtet Artikel 4 der EU-KI-Verordnung (EU) 2024/1689 Unternehmen zur Sicherstellung ausreichender KI-Kompetenz^[5]. Diese Pflicht gilt keineswegs nur für Entwickler, sondern betrifft ausdrücklich alle Betreiber (Deployer) von KI-Systemen – also auch typische Mittelständler, die kommerzielle KI-Tools wie Textgeneratoren, KI-gestützte Dokumentenanalysen oder M365-Assistenten im Arbeitsalltag nutzen. Als Geschäftsführer musst du gewährleisten, dass deine Beschäftigten sowie andere Personen, die in deinem Auftrag KI betreiben, über das nötige Wissen verfügen. Dies ist als fachliche und organisatorische Einordnung zu verstehen, nicht als juristische Rechtsberatung.

Was angemessene KI-Kompetenz konkret bedeutet

Das Gesetz schreibt keine starren Zertifikate vor, sondern verlangt ein dem Anwendungskontext angemessenes Niveau. Die Schulungsanforderungen richten sich nach dem Vorwissen der Mitarbeiter, den konkreten Einsatzbereichen und den verbundenen Risiken. Im Mittelstand geht es vor allem darum, schädliche Fehlbedienungen und Sicherheitslücken zu vermeiden – wie die unbeabsichtigte Eingabe von Betriebsgeheimnissen oder personenbezogenen Daten in öffentliche KI-Modelle.

• Rollenbasierte Sensibilisierung: Buchhaltung und Vertrieb benötigen unterschiedliche Richtlinien für den sicheren Umgang mit Eingabedaten und KI-Ergebnissen.
• Risikobewusstsein schaffen: Mitarbeiter müssen Halluzinationen, Urheberrechtsfragen und Social-Engineering-Gefahren verlässlich erkennen können.
• Praktische Nutzungsgrenzen festlegen: Klare Vorgaben regeln, welche KI-Werkzeuge freigegeben sind und welche Daten niemals eingegeben werden dürfen.
• Prüfbare Dokumentation: Kurze Unterweisungen und Teilnehmerlisten belegen im Ernstfall die Einhaltung deiner Sorgfaltspflichten.

Anstatt aufwendige Schulungsprogramme aufzusetzen, genügen in der Praxis oft schlanke Unterweisungen und verständliche KI-Richtlinien (AI Policy). Wer IT-Sicherheit als Chefsache versteht, kombiniert die Pflicht nach Artikel 4 direkt mit den bestehenden Cyber-Security-Schulungen der Organisation.

Transparenzpflichten und Urheberrecht: Was bei Chatbots und Generativer KI gilt

Auch wenn die meisten KI-Anwendungen im Mittelstand nicht als Hochrisiko eingestuft werden, sieht die KI-Verordnung (EU) 2024/1689 klare Vorgaben für den täglichen Einsatz vor. Artikel 50 regelt spezifische Transparenzpflichten für Systeme, die direkt mit Personen interagieren oder Inhalte wie Texte, Bilder und Audios generieren^[6]. Als Geschäftsführer musst du sicherstellen, dass dein Betrieb diese Informationspflichten gegenüber Nutzern erfüllt und gleichzeitig organisatorische Vorkehrungen gegen den Abfluss interner Daten trifft.

• Transparenz bei Interaktionen: Wenn Kunden oder Mitarbeiter mit einem Chatbot oder einem automatisierten Assistenten kommunizieren, muss das System sie aktiv darüber informieren (Artikel 50 Absatz 1), es sei denn, die künstliche Natur ist aus dem Kontext offensichtlich.
• Kennzeichnung von KI-Inhalten: Betreiber und Anbieter, die generierte Bilder, Video- oder Audioinhalte bereitstellen, müssen diese medientechnisch als künstlich erzeugt oder manipuliert kennzeichnen (Artikel 50 Absatz 4).
• Datenschutz bei Public-AI-Tools: Die Eingabe von Kundendaten, Personalakten oder Geschäftsgeheimnissen in kostenlose, öffentliche KI-Dienste führt häufig dazu, dass diese Daten zum Modelltraining verwendet werden.
• Urheberrechtliche Risiken: Bei der Verwendung generierter Grafiken oder Marketingtexte ist zu prüfen, ob geschützte Werke Dritter berührt werden oder ob die Ausgaben frei genutzt werden dürfen.

In der Praxis entsteht das größte Risiko für mittelständische Unternehmen nicht durch fehlerhafte Kennzeichnungen, sondern durch Schatten-IT und unbedachte Dateneingaben in freie KI-Tools. Ohne vertragliche Vereinbarungen zur Datenverarbeitung wandern sensible Kennzahlen, Strategiepapiere oder Kundendaten auf externe Server. Eine klare interne KI-Richtlinie zusammen mit zentral bereitgestellten Enterprise-Lizenzen schafft hier rechtliche und technische Sicherheit. So verankerst du den Einsatz moderner Werkzeuge sauber in deiner IT-Sicherheit und schützt das Unternehmen wirksam vor Datenverlusten.

Zeitplan und Stufenmodell: Welche Fristen Du kennen musst

Die Verordnung (EU) 2024/1689 tritt nicht stichtagsartig in vollem Umfang in Kraft, sondern folgt einer durchdachten Übergangsphase von August 2024 bis August 2027^[7]. Dieser gestaffelte Zeitplan gibt dem Mittelstand zwar Raum zur Vorbereitung, birgt aber auch Risiken: Wer glaubt, erst im Sommer 2026 aktiv werden zu müssen, übersieht wichtige Zwischenschritte. Einzelne Kernpflichten, darunter das Verbot bestimmter KI-Anwendungen und die Schulungspflicht für Beschäftigte, gelten bereits seit Februar 2025^[7].

Für eine vorausschauende Geschäftsführung bedeutet dieses Stufenmodell eine klare Priorisierung. Statt das gesamte Regelwerk auf einmal zu bewältigen, lohnt sich die Unterteilung in strategische Arbeitspakete. Im ersten Schritt prüfst Du, welche Werkzeuge in Deinem Betrieb im Einsatz sind, und verankerst die erforderliche KI-Kompetenz in Deiner Belegschaft. Erst danach folgen die Vorbereitungen auf eventuelle Transparenz- und Dokumentationspflichten ab 2026. Ähnlich wie bei Themen zur IT-Sicherheit als Chefsache schützt diese strukturierte Herangehensweise vor rechtlichen Risiken und vermeidet unnötige Aufwände.

Pragmatische Compliance ohne Panik: So machst Du Deinen Betrieb KI-fest

Rechtskonformität nach der Verordnung (EU) 2024/1689 erfordert weder teure Sondersoftware noch ausufernde Beratungsprojekte. Als Betreiber reicht es im Mittelstand meist völlig aus, bestehende Unternehmensprozesse anzupassen und organisatorische Klarheit zu schaffen. Diese Hinweise dienen als fachliche Einordnung und ersetzen keine Rechtsberatung. Statt neuer Bürokratie verankerst Du KI-Governance am besten dort, wo Deine digitalen Abläufe ohnehin gesteuert werden: direkt in Deiner IT-Organisation.

1. 1. KI-Inventar erstellen: Erfasse in einer einfachen Übersicht, welche Werkzeuge (wie ChatGPT, Copilot oder Branchenanwendungen) im Betrieb genutzt werden und welche Datenkategorien darin fließen.
2. 2. Klare Nutzungsrichtlinien vorgeben: Lege verständliche Regeln fest, welche Inhalte (wie Kundendaten oder Betriebsgeheimnisse) eingegeben werden dürfen und wie Ergebnisse vor der Verwertung zu prüfen sind.
3. 3. KI-Kompetenz sicherstellen: erfülle die Vorgabe zur Schulung aus Artikel 4 der KI-Verordnung^[9], indem Du Beschäftigte gezielt im sicheren und kritischen Umgang mit den Systemen anleitest.
4. 4. Berechtigungen und Zugänge steuern: Sorge dafür, dass KI-Dienste nur über abgesicherte Unternehmenskonten erreichbar sind.

Die Verknüpfung von KI-Governance mit Deiner bestehenden Infrastruktur verhindert gefährliche Schatten-IT. Wenn Du das Thema im Rahmen von IT-Sicherheit als Chefsache begreifst, bleiben die Aufwände überschaubar. Bausteine wie Managed IT und Cybersecurity unterstützen Dich dabei, Richtlinien technisch zu hinterlegen, Zugriffsrechte zentral zu verwalten und Mandantendaten wirksam zu schützen – ganz ohne unnötige Softwarekäufe.