EU AI Act im Mittelstand: Zwischen Verschiebung und Stichtag den Überblick behalten

In den letzten Wochen kursierten zwei Schlagzeilen zum EU AI Act, die sich fast widersprechen. Die eine: Der Digital Omnibus verschiebt die strengen KI-Regeln, Hochrisiko-Systeme bekommen Aufschub bis Ende 2027. Die andere: Ab 2. August 2026 werden weitere wichtige Anforderungen des AI Acts relevant – insbesondere Transparenzpflichten für viele alltägliche KI-Anwendungen im Mittelstand. Beide Schlagzeilen stimmen. Das Problem ist, dass sie sich auf unterschiedliche Teile desselben Gesetzes beziehen, und genau diese Verwechslung ist gerade das größere Risiko als das Gesetz selbst. Wer nur die Verschiebung liest, denkt schnell: Thema erledigt, schieben wir aufs nächste Jahr. Genau hier lohnt sich ein zweiter Blick. 

Was der EU AI Act überhaupt regelt 

Der AI Act (Verordnung (EU) 2024/1689) ist seit August 2024 in Kraft und folgt einem einfachen Prinzip: Je höher das Risiko einer KI-Anwendung für Menschen, desto strenger die Anforderungen. Vier Stufen, an Beispielen leicht greifbar. 

• Verboten sind Praktiken wie Social Scoring oder bestimmte Formen biometrischer Echtzeitüberwachung. 

• Minimales Risiko ist der Rest, etwa interne Textvorschläge oder Rechtschreibkorrektur. 

Die meisten Mittelständler, die wir kennen, nutzen KI nicht in der Personalauswahl oder Kreditvergabe. Sie nutzen sie im Kundenservice, in der Content-Erstellung, in Standardsoftware mit eingebauten KI-Funktionen. Das ist relevant, denn es bedeutet: Die spektakulären Schlagzeilen über Hochrisiko-Pflichten betreffen die wenigsten Unternehmen direkt.

Was sich durch den Digital Omnibus tatsächlich verschoben hat 

Im Rahmen der aktuellen Anpassungen durch den Digital Omnibus werden einzelne Fristen für Hochrisiko-KI-Systeme nach hinten verschoben. Konkret verschieben sich die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III – etwa in der Personalauswahl, Kreditwürdigkeitsprüfung oder kritischen Infrastruktur – vom 2. August 2026 auf den 2. Dezember 2027. 

Für KI, die in regulierte Produkte eingebettet ist, etwa Medizinprodukte oder Maschinen, verschiebt sich der Start der Pflichten vom 2. August 2027 auf den 2. August 2028. 

Hintergrund dieser Anpassung ist vor allem praktischer Natur: Die technischen Standards, die als Grundlage für die Umsetzung und Konformitätsbewertung dienen, liegen noch nicht vollständig vor. Ohne diese Standards wäre eine fristgerechte Umsetzung für viele Unternehmen kaum realistisch gewesen. 

Was am 2. August 2026 trotzdem gilt — die Transparenzpflicht 

Ein zentraler Teil des AI Acts greift unabhängig von den Verschiebungen bereits ab dem 2. August 2026: die Transparenzpflichten für bestimmte KI-Anwendungen. Diese finden sich in Artikel 50 der Verordnung und sind für viele Unternehmen deutlich relevanter als die viel diskutierten Hochrisiko-Regeln. 

Im Kern geht es darum, dass Menschen erkennen können müssen, wann sie mit KI interagieren oder wann Inhalte ganz oder teilweise durch KI erzeugt wurden. Das betrifft vor allem den alltäglichen Einsatz im Mittelstand – nicht spezialisierte Hochrisiko-Systeme. 

Besonders wichtig ist dabei der Umgang mit Chatbots und KI-Assistenten: Sobald ein System direkt mit Nutzerinnen und Nutzern kommuniziert, muss klar erkennbar sein, dass keine menschliche Person antwortet. Auch bei KI-generierten oder KI-unterstützten Inhalten gilt grundsätzlich eine Kennzeichnungspflicht, insbesondere dann, wenn diese Inhalte ohne weitere redaktionelle Einordnung veröffentlicht werden. 

Für viele Unternehmen liegt der wichtigste praktische Unterschied in der Art der Nutzung: Werden Texte, Bilder, Audio oder Video direkt durch KI erstellt und veröffentlicht, muss die Herkunft erkennbar sein. Bei Texten entfällt diese Pflicht, wenn ein Mensch den Inhalt redaktionell prüft, bearbeitet und die Verantwortung dafür übernimmt. Bei Bildern, Audio und Video gilt diese Ausnahme nicht – hier bleibt die Kennzeichnungspflicht auch dann bestehen, wenn der Inhalt vorher von Mitarbeitenden geprüft wurde. 

Ein Beispiel aus der Praxis: Ein Unternehmen mit rund 30 Mitarbeitenden setzt im CRM ein KI-Tool ein, das Antworten auf Kundenanfragen vorschlägt, und nutzt auf der Website zusätzlich einen Chatbot für den Erstkontakt. Beim Chatbot ist die Sache eindeutig: Kunden müssen erkennen können, dass sie mit einer KI sprechen, etwa durch einen kurzen Hinweis zu Beginn des Dialogs. Beim CRM-Tool kommt es darauf an, wie es genutzt wird. Schlägt die KI lediglich Formulierungen vor, die ein Mitarbeitender liest, anpasst und unter eigenem Namen versendet, bleibt die redaktionelle Verantwortung beim Menschen, eine Kennzeichnungspflicht entsteht hier in der Regel nicht. Werden die Vorschläge dagegen unverändert und ohne menschliche Prüfung verschickt, greift dieselbe Kennzeichnungspflicht wie bei jedem unredigierten KI-Text. 

Zusätzlich sieht Artikel 50 weitere Transparenzanforderungen vor, etwa bei Emotionserkennung, biometrischen Klassifikationen oder sogenannten Deepfakes. Auch hier steht immer die gleiche Grundidee im Mittelpunkt: KI soll erkennbar bleiben und darf nicht unbemerkt menschliche Kommunikation oder Inhalte simulieren. 

Die eigentliche Falle: Nicht wissen, was man bereits einsetzt 

Das größere Risiko ist ohnehin selten die Strafe. Es ist die Tatsache, dass viele Unternehmen gar nicht genau wissen, welche KI-Systeme in ihren Tools und Prozessen bereits stecken. Microsoft Copilot, eingebaute KI-Funktionen in SaaS-Tools, eigene Automatisierungen, die irgendwann mit einem KI-Baustein erweitert wurden. Wer nicht weiß, was im Einsatz ist, kann auch nicht einordnen, welche Pflicht greift. 

Genau hier beginnt die eigentliche Arbeit, lange bevor es um Paragrafen geht. Bevor man über Compliance spricht, muss man wissen, welche Systeme überhaupt laufen, wo sie in Prozesse eingebunden sind und welche Daten sie verarbeiten. Das ist im Kern eine Frage von Systemintegration und Datenmanagement, nicht von Recht. 

Das gilt für die Frage, wo KI sinnvoll eingesetzt wird, genauso wie für die Frage, wer im Unternehmen den Überblick behält, was tatsächlich im Einsatz ist. 

Ein pragmatischer Drei-Schritte-Ansatz 

Für ein mittelständisches Unternehmen muss daraus kein Compliance-Großprojekt werden. Drei Schritte reichen als Ausgangspunkt. 

Kein Grund zur Panik, aber auch kein Grund zum Abwarten 

Die Verschiebung der Hochrisiko-Pflichten ist kein Freibrief, das Thema zu vertagen. Eine Pflicht läuft unabhängig vom Digital Omnibus seit Februar 2025 ohnehin weiter: dass Mitarbeitende, die mit KI arbeiten, über ausreichende Kompetenz im Umgang damit verfügen müssen (Artikel 4 der Verordnung). Wie genau diese Pflicht im finalen Omnibus-Text ausgestaltet sein wird, ist im Detail noch nicht vollständig geklärt, an ihrer grundsätzlichen Existenz ändert die Reform aber nichts. 

Für die meisten Mittelständler bleibt die realistische Lage also: minimales Risiko oder Transparenzpflicht, nicht Hochrisiko-Anforderungen. Aber untätig sein ist trotzdem keine Option, weil die Pflichten, die Unternehmen wirklich betreffen, am 2. August 2026 beginnen, nicht erst 2027. 

Wo stehen Sie wirklich? 

Das ist die Frage, die für jedes einzelne Unternehmen unterschiedlich beantwortet werden muss, je nachdem, welche Systeme im Einsatz sind und wofür. Der erste Schritt ist kein komplexes Compliance-Projekt, sondern Transparenz: Welche KI-Systeme nutzen wir, wo kommen sie zum Einsatz und welche Anforderungen ergeben sich daraus? Genau diese Fragen klären wir gemeinsam mit Unternehmen.