Inhalt in Kürze
- Der EU AI Act ist seit 1. August 2024 in Kraft, seit 2. Februar 2025 gelten erste Pflichten — die meisten KMU haben sie noch nicht umgesetzt.
- Schulungspflicht aus Art. 4 trifft jedes Unternehmen, das ChatGPT, Microsoft Copilot oder ähnliche KI nutzt — auch ein 8-Mitarbeiter-Betrieb.
- Bußgelder bis 35 Mio. Euro oder 7 Prozent Jahresumsatz, KMU mit reduziertem Maximum.
- Praxis-Fahrplan bis August 2026: Inventar, Schulung, Dokumentation, Transparenz, Governance — schlank, aber durchgängig.
Wir sehen das gerade jeden Tag bei Geschäftsführern in Hamburg, Bremen, Kiel und Lübeck: Microsoft Copilot wurde 2024/2025 ausgerollt, ChatGPT läuft inoffiziell auf jedem zweiten Laptop, und niemand hat den AI Act gelesen. Die Schulungspflicht? Steht in keiner Personalakte. Genau das ändert sich gerade — und es muss sich ändern.
EU AI Act Mittelstand: Warum die KMU-Welt ihn unterschätzt
Wer den AI Act nur über die Schlagzeilen kennt, denkt: „Hochrisiko-KI, das betrifft uns nicht." Falsch. Die Verordnung greift in vier Stufen — und die ersten zwei Stufen treffen jeden, der irgendwo KI im Unternehmen einsetzt.
Die TÜV-Beratungsmarke ordnet das übersichtlich ein: Seit 2. Februar 2025 sind die ersten materiellen Pflichten in Kraft — Verbote unannehmbar riskanter Praktiken plus die Schulungspflicht. Die zweite große Welle kommt am 2. August 2026 mit den GPAI-Pflichten. Die meisten KMU haben weder Stufe 1 noch Stufe 2 strukturiert auf dem Schirm.
Was die Lage besonders riskant macht: Der EU AI Act ist nicht abstrakt, er trifft konkrete Tools, die längst im Mittelstand laufen. Microsoft Copilot in Word, Excel, Outlook und Teams. ChatGPT-Plugins in Browsern. Notion AI, Adobe Generative AI, KI-gestützte Übersetzungs-Tools, Deepl Write, Bewerbungs-Filter mit KI. Selbst der Phishing-Filter im E-Mail-Gateway nutzt KI. Sobald irgendetwas davon im Unternehmen läuft, gilt der AI Act.
Die vier Stufen — und in welcher Sie gerade sind
- Stufe 1 (seit Februar 2025): Verbote & Schulungspflicht. Verbotene KI-Praktiken sind raus, jeder KI-Nutzer muss „KI-Kompetenz" sicherstellen. Das ist die Pflicht, die fast alle KMU verschlafen haben.
- Stufe 2 (ab August 2026): GPAI & Transparenz. General-Purpose-AI-Anbieter müssen Modellkarten liefern, Nutzer müssen KI-generierte Inhalte kennzeichnen, nationale Aufsicht greift.
- Stufe 3 (ab August 2027): Hochrisiko-KI. KI in HR, Bildung, Kreditvergabe, kritischer Infrastruktur muss vollständige Konformitätsprüfung durchlaufen.
- Stufe 4 (ab August 2027): Bestehende Hochrisiko-KI. Auch vor 2026 eingeführte Systeme müssen nachgezogen werden.
Die Stufen 1 und 2 betreffen jeden, nicht nur Tech-Unternehmen. Wer Microsoft 365 mit Copilot, ChatGPT, ein KI-Recruiting-Tool oder ein KI-Übersetzungs-Tool nutzt, hat ab dem ersten Tag Pflichten. Stufe 3 und 4 sind weiter weg, aber die Vorbereitung beginnt jetzt.
Aus der Praxis: Was wir gerade in norddeutschen KMU sehen
KI klingt immer so komplex, aber eigentlich ist das nicht so kompliziert. Die meisten unserer Kunden nutzen Copilot oder ChatGPT, ohne es bewusst auf dem AI Act abzubilden. Wenn wir das einmal ordentlich aufschreiben — was läuft wo, wer ist geschult, was wird wie kommuniziert — sind sie in 4-6 Wochen sauber. Nur: anfangen muss man.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Bei einem Hamburger Architekturbüro mit 40 Mitarbeitenden hatten wir kürzlich einen typischen Fall: Microsoft 365 Business Premium mit Copilot ausgerollt, ChatGPT-Pro für die Projektleiter, Adobe Generative AI auf 5 Workstations. AI Act? „Haben wir gehört, ist doch erst 2027 Pflicht." Tatsächlich war die Schulungspflicht aus Art. 4 schon 14 Monate fällig. Wir haben in 5 Wochen das KI-Inventar aufgesetzt, eine 90-Minuten-Schulung pro Rolle dokumentiert, Nutzungsrichtlinie verabschiedet. Saubere Lage.
Wir wollen möglichst wenig mit der IT zu tun haben — es muss funktionieren. Genau das galt für uns auch bei KI: einsetzen, fertig. Jetzt mussten wir lernen, dass der EU AI Act uns trotzdem trifft.
Praxis-Fahrplan bis August 2026: 6 Wochen reichen
Wer jetzt loslegt, schafft die Stufe-1- und Stufe-2-Pflichten bis zum 2. August 2026 locker. Wir haben den Fahrplan bei mehreren norddeutschen Mandaten getestet:
- Woche 1: KI-Inventar erstellen. Welche KI-Systeme laufen im Unternehmen? Microsoft Copilot, ChatGPT, Notion AI, KI im CRM, KI im E-Mail-Filter, KI-Übersetzer, KI-Recruiting. Liste mit Tool, Lieferant, Anwendungsfall, Datenfluss.
- Woche 2: Risikoklassen-Zuordnung. Jedes Tool gegen die AI-Act-Klassen prüfen: Verboten / Hochrisiko / GPAI / Minimales Risiko. In KMU sind 90 Prozent „Minimales Risiko" oder „GPAI" — das ist die gute Nachricht.
- Woche 3: KI-Nutzungsrichtlinie. Schriftliche Regeln: Was darf in welche KI gefüttert werden? Welche Daten nicht? Wer ist Verantwortlicher? Wie wird KI-Output gekennzeichnet? 4-6 Seiten reichen.
- Woche 4: Schulungen aufsetzen. Pro Rolle eine 30-90-minütige Schulung (Sales, Verwaltung, Technik, Geschäftsführung). Aufzeichnung speichern, Teilnahme dokumentieren. KI-Kompetenz nachweisen.
- Woche 5: Transparenz-Vorlagen. Wie werden KI-generierte Inhalte gekennzeichnet? Templates für Pressetexte, Bilder, Audio. Nicht alles muss markiert werden — aber Sie brauchen das Verfahren.
- Woche 6: Governance & Dokumentation. Verantwortlicher KI-Beauftragter, Vorfall-Meldekette, jährlicher Review. Audit-Mappe schließen.
Was Sie KEINESFALLS tun sollten
| Häufiger Fehler | Warum riskant | Besser so |
|---|---|---|
| „Wir haben kein KI-Tool im Einsatz." | Doch — Copilot, Outlook-KI, Phishing-Filter sind KI. | Ehrliches Inventar machen, dann sortieren. |
| 60-Minuten-Pflichtschulung für alle | Erfüllt formal nichts, weil rollenabhängig vorgesehen. | Pro Rolle eine kurze, spezifische Schulung. |
| ChatGPT komplett verbieten | Pragmatisch nicht durchhaltbar; Mitarbeitende nutzen es heimlich. | Klare Regel: Was rein, was nicht. Plus Nachweis. |
| KI-Beauftragter als Pro-Forma-Rolle | Bei Vorfall keiner verantwortlich. | Echte Person mit Stundenbudget und Berichtsweg. |
| Erst nach August 2026 anfangen | Nachholen unter Zeitdruck wird teurer. | 6 Wochen jetzt reichen für komplette Compliance. |
Sonderfall norddeutscher Mittelstand: Was Hamburg, Bremen, Kiel, Lübeck unterscheidet
Wir sehen vier regionale Schwerpunkte, die jeweils eigene Themen haben:
- Hamburg: Hohe Copilot-Durchdringung in Werbe-, Anwalts- und Steuer-Branche. Größtes Risiko: Mandanten- und Mandantengeheimnis-Daten in KI-Tools, ohne Datenschutzfolgenabschätzung.
- Bremen: Logistik und Handel mit KI-Routenplanung, KI-Disposition. Größtes Risiko: KI in operativen Entscheidungsketten ohne menschlichen Override.
- Kiel: Werften und Maritime Wirtschaft mit KI-Wartung und KI-Konstruktion. Größtes Risiko: KI mit Geheimschutz-relevanten Daten — strenge Trennung erforderlich.
- Lübeck: Medizintechnik mit KI in Diagnostik. Hier ist KI oft schon Hochrisiko, mit MDR/IVDR-Schnittpunkt — höchster Aufwand der Region.
Für jede dieser Branchen lohnt sich ein eigener Tool-Stack-Review. Generelle KI-Richtlinien sind die Basis, branchenspezifische Ergänzungen das, was Auditoren am Ende sehen wollen.
Wie wir KMU in Norddeutschland begleiten
Wir machen drei Dinge — schlank, weil der Mittelstand keinen 80-Seiten-AI-Act-Apparat braucht:
- AI-Act-Quickcheck (1 Tag). KI-Inventar, Risikoklassen-Zuordnung, klare Lückenliste. Festpreis, kein Vertriebsvorlauf.
- Compliance-Sprint (4-6 Wochen). Wir bauen Inventar, Richtlinie, Schulungen, Governance. Sie sind sauber bis 2. August 2026.
- Laufende AI-Governance als Modul in Managed IT-Services. Quartalsweiser Review, Update der Richtlinien, neue Tool-Bewertung.
Der Stack rund um KI im Mittelstand — von Copilot-Nutzung bis Automatisierung — steht auf hagel one ai und hagel one automate. Compliance- und Datenschutz-Hintergrund finden Sie unter NIS2 & Compliance Hamburg sowie unserem NIS2-Audit-Praxis-Fahrplan für Hamburg. Eigene Standorte in Bremen, Kiel und Lübeck sichern die regionale Erreichbarkeit.
Sie nutzen Copilot, ChatGPT oder andere KI im Unternehmen?
30 Minuten Erstgespräch genügen, um zu klären, wo Sie beim AI Act stehen — und was bis August 2026 zu tun ist. Kostenlos. Ohne Vertriebsdruck.
Erstgespräch buchen →Quellen für diesen Artikel: TÜV Consulting — EU AI Act 2026 Zwischenstand, EU-Kommission — AI Act Implementation, Praxis-Guide für DACH-Mittelstand.
