Inhalt in Kürze
- Der EU AI Act ist seit 1. August 2024 in Kraft, seit 2. Februar 2025 gelten erste Pflichten — die meisten KMU haben sie noch nicht umgesetzt.
- Schulungspflicht aus Art. 4 trifft jedes Unternehmen, das ChatGPT, Microsoft Copilot oder ähnliche KI nutzt — auch ein 8-Mitarbeiter-Betrieb.
- Bußgelder bis 35 Mio. Euro oder 7 Prozent Jahresumsatz, KMU mit reduziertem Maximum.
- Praxis-Fahrplan in 6 Wochen: Inventar, Schulung, Dokumentation, Transparenz, Governance — schlank, aber durchgängig.
Wir sehen das gerade jeden Tag bei Geschäftsführern in Hamburg, Bremen, Kiel und Lübeck: Microsoft Copilot wurde 2024/2025 ausgerollt, ChatGPT läuft inoffiziell auf jedem zweiten Laptop, und niemand hat den AI Act gelesen. Die Schulungspflicht? Steht in keiner Personalakte. Genau das ändert sich gerade — und es muss sich ändern.
EU AI Act Mittelstand: Warum die KMU-Welt ihn unterschätzt
Wer den AI Act nur über die Schlagzeilen kennt, denkt: „Hochrisiko-KI, das betrifft uns nicht.” Falsch. Die Verordnung greift in vier Stufen — und die ersten zwei Stufen treffen jeden, der irgendwo KI im Unternehmen einsetzt.
Die TÜV-Beratungsmarke ordnet das übersichtlich ein. Seit 2. Februar 2025 sind die ersten materiellen Pflichten in Kraft — Verbote unannehmbar riskanter Praktiken plus die Schulungspflicht. Die zweite Welle folgte am 2. August 2025 mit den GPAI-Pflichten. Die meisten KMU haben weder Stufe 1 noch Stufe 2 strukturiert auf dem Schirm. Nur die dritte Welle, die Hochrisiko-Pflichten, hat der Digital Omnibus nach hinten geschoben.
Was die Lage besonders riskant macht: Der EU AI Act ist nicht abstrakt, er trifft konkrete Tools, die längst im Mittelstand laufen. Microsoft Copilot in Word, Excel, Outlook und Teams. ChatGPT-Plugins in Browsern. Notion AI, Adobe Generative AI, KI-gestützte Übersetzungs-Tools, Deepl Write, Bewerbungs-Filter mit KI. Selbst der Phishing-Filter im E-Mail-Gateway nutzt KI. Sobald irgendetwas davon im Unternehmen läuft, gilt der AI Act.
Die vier Stufen — und in welcher Sie gerade sind
- Stufe 1 (seit Februar 2025): Verbote & Schulungspflicht. Verbotene KI-Praktiken sind raus, jeder KI-Nutzer muss „KI-Kompetenz" sicherstellen. Das ist die Pflicht, die fast alle KMU verschlafen haben.
- Stufe 2 (seit August 2025): GPAI & Transparenz. General-Purpose-AI-Anbieter müssen Modellkarten liefern, Nutzer müssen KI-generierte Inhalte nach Artikel 50 kennzeichnen. Auch diese Stufe läuft bereits.
- Stufe 3 (ab 2. Dezember 2027): Hochrisiko-KI nach Anhang III. KI in HR, Bildung, Kreditvergabe, kritischer Infrastruktur muss die vollständige Konformitätsprüfung durchlaufen. Ursprünglich war der 2. August 2026 vorgesehen — der Digital Omnibus hat den Termin verschoben.
- Stufe 4 (ab 2. August 2028): Hochrisiko-KI in regulierten Produkten (Anhang I). KI, die in Produkte eingebettet ist, für die schon heute eine EU-Produktregulierung gilt — für Maschinenbau und Medizintechnik die relevantere Spur.
Die Stufen 1 und 2 betreffen jeden, nicht nur Tech-Unternehmen, und sie laufen bereits seit 2025. Wer Microsoft 365 mit Copilot, ChatGPT, ein KI-Recruiting-Tool oder ein KI-Übersetzungs-Tool nutzt, hat ab dem ersten Tag Pflichten. Stufe 3 und 4 haben durch den Digital Omnibus mehr Luft bekommen — die Vorarbeit dafür, Inventar und Risikoklassifizierung, brauchen Sie aber ohnehin für die Stufen 1 und 2.
Aus der Praxis: Was wir gerade in norddeutschen KMU sehen
KI klingt immer so komplex, aber eigentlich ist das nicht so kompliziert. Die meisten unserer Kunden nutzen Copilot oder ChatGPT, ohne es bewusst auf dem AI Act abzubilden. Wenn wir das einmal ordentlich aufschreiben — was läuft wo, wer ist geschult, was wird wie kommuniziert — sind sie in 4-6 Wochen sauber. Nur: anfangen muss man.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Bei einem Hamburger Architekturbüro mit 40 Mitarbeitenden hatten wir kürzlich einen typischen Fall: Microsoft 365 Business Premium mit Copilot ausgerollt, ChatGPT-Pro für die Projektleiter, Adobe Generative AI auf 5 Workstations. AI Act? „Haben wir gehört, ist doch erst 2027 Pflicht.” Für die Hochrisiko-Pflichten stimmt das inzwischen sogar — die Schulungspflicht aus Art. 4 war zu dem Zeitpunkt aber schon 14 Monate fällig. Wir haben in 5 Wochen das KI-Inventar aufgesetzt, eine 90-Minuten-Schulung pro Rolle dokumentiert, Nutzungsrichtlinie verabschiedet. Saubere Lage.
Wir wollen möglichst wenig mit der IT zu tun haben — es muss funktionieren. Genau das galt für uns auch bei KI: einsetzen, fertig. Jetzt mussten wir lernen, dass der EU AI Act uns trotzdem trifft.
Praxis-Fahrplan: 6 Wochen reichen
Wer jetzt loslegt, hat die Stufe-1- und Stufe-2-Pflichten — die seit 2025 gelten — in sechs Wochen erledigt. Wir haben den Fahrplan bei mehreren norddeutschen Mandaten getestet:
- Woche 1: KI-Inventar erstellen. Welche KI-Systeme laufen im Unternehmen? Microsoft Copilot, ChatGPT, Notion AI, KI im CRM, KI im E-Mail-Filter, KI-Übersetzer, KI-Recruiting. Liste mit Tool, Lieferant, Anwendungsfall, Datenfluss.
- Woche 2: Risikoklassen-Zuordnung. Jedes Tool gegen die AI-Act-Klassen prüfen: Verboten / Hochrisiko / GPAI / Minimales Risiko. In KMU sind 90 Prozent „Minimales Risiko" oder „GPAI" — das ist die gute Nachricht.
- Woche 3: KI-Nutzungsrichtlinie. Schriftliche Regeln: Was darf in welche KI gefüttert werden? Welche Daten nicht? Wer ist Verantwortlicher? Wie wird KI-Output gekennzeichnet? 4-6 Seiten reichen.
- Woche 4: Schulungen aufsetzen. Pro Rolle eine 30-90-minütige Schulung (Sales, Verwaltung, Technik, Geschäftsführung). Aufzeichnung speichern, Teilnahme dokumentieren. KI-Kompetenz nachweisen.
- Woche 5: Transparenz-Vorlagen. Wie werden KI-generierte Inhalte gekennzeichnet? Templates für Pressetexte, Bilder, Audio. Nicht alles muss markiert werden — aber Sie brauchen das Verfahren.
- Woche 6: Governance & Dokumentation. Verantwortlicher KI-Beauftragter, Vorfall-Meldekette, jährlicher Review. Audit-Mappe schließen.
Was Sie KEINESFALLS tun sollten
| Häufiger Fehler | Warum riskant | Besser so |
|---|---|---|
| „Wir haben kein KI-Tool im Einsatz.” | Doch — Copilot, Outlook-KI, Phishing-Filter sind KI. | Ehrliches Inventar machen, dann sortieren. |
| 60-Minuten-Pflichtschulung für alle | Erfüllt formal nichts, weil rollenabhängig vorgesehen. | Pro Rolle eine kurze, spezifische Schulung. |
| ChatGPT komplett verbieten | Pragmatisch nicht durchhaltbar; Mitarbeitende nutzen es heimlich. | Klare Regel: Was rein, was nicht. Plus Nachweis. |
| KI-Beauftragter als Pro-Forma-Rolle | Bei Vorfall keiner verantwortlich. | Echte Person mit Stundenbudget und Berichtsweg. |
| Wegen der Verschiebung gar nicht anfangen | Verschoben sind nur die Hochrisiko-Pflichten; Stufe 1 und 2 laufen seit 2025. | 6 Wochen jetzt reichen für die heute geltenden Stufen. |
Sonderfall norddeutscher Mittelstand: Was Hamburg, Bremen, Kiel, Lübeck unterscheidet
Wir sehen vier regionale Schwerpunkte, die jeweils eigene Themen haben:
- Hamburg: Hohe Copilot-Durchdringung in Werbe-, Anwalts- und Steuer-Branche. Größtes Risiko: Mandanten- und Mandantengeheimnis-Daten in KI-Tools, ohne Datenschutzfolgenabschätzung.
- Bremen: Logistik und Handel mit KI-Routenplanung, KI-Disposition. Größtes Risiko: KI in operativen Entscheidungsketten ohne menschlichen Override.
- Kiel: Werften und Maritime Wirtschaft mit KI-Wartung und KI-Konstruktion. Größtes Risiko: KI mit Geheimschutz-relevanten Daten — strenge Trennung erforderlich.
- Lübeck: Medizintechnik mit KI in Diagnostik. Hier ist KI oft schon Hochrisiko, mit MDR/IVDR-Schnittpunkt — höchster Aufwand der Region.
Für jede dieser Branchen lohnt sich ein eigener Tool-Stack-Review. Generelle KI-Richtlinien sind die Basis, branchenspezifische Ergänzungen das, was Auditoren am Ende sehen wollen.
Wie wir KMU in Norddeutschland begleiten
Wir machen drei Dinge — schlank, weil der Mittelstand keinen 80-Seiten-AI-Act-Apparat braucht:
- AI-Act-Quickcheck (1 Tag). KI-Inventar, Risikoklassen-Zuordnung, klare Lückenliste. Festpreis, kein Vertriebsvorlauf.
- Compliance-Sprint (4-6 Wochen). Wir bauen Inventar, Richtlinie, Schulungen, Governance — und damit die Grundlage, auf der die Hochrisiko-Dokumentation bis Dezember 2027 aufsetzt.
- Laufende AI-Governance als Modul in Managed IT-Services. Quartalsweiser Review, Update der Richtlinien, neue Tool-Bewertung.
Der Stack rund um KI im Mittelstand — von Copilot-Nutzung bis Automatisierung — steht auf hagel one ai und hagel one automate. Compliance- und Datenschutz-Hintergrund finden Sie unter NIS2 & Compliance Hamburg sowie unserem NIS2-Audit-Praxis-Fahrplan für Hamburg. Ob neben dem AI Act auch die NIS2-Pflichten auf Sie zutreffen, klärt unser NIS2-Betroffenheits-Check in zwei Minuten. Eigene Standorte in Bremen, Kiel und Lübeck sichern die regionale Erreichbarkeit.
Sie nutzen Copilot, ChatGPT oder andere KI im Unternehmen?
30 Minuten Erstgespräch genügen, um zu klären, wo Sie beim AI Act stehen — und was jetzt zu tun ist. Kostenlos. Ohne Vertriebsdruck.
Erstgespräch buchen →Quellen für diesen Artikel: TÜV Consulting — EU AI Act 2026 Zwischenstand, EU-Kommission — AI Act Implementation, Praxis-Guide für DACH-Mittelstand.
