Dieser Artikel ist am 3. August 2026 erschienen und ging davon aus, dass die Hochrisiko-Pflichten des EU AI Act am 2. August 2026 greifen. Das war zum Zeitpunkt der Veröffentlichung bereits überholt: Der sogenannte Digital Omnibus — von der EU-Kommission am 19. November 2025 vorgeschlagen, am 24. Juli 2026 im Amtsblatt veröffentlicht und am 27. Juli 2026 in Kraft getreten — hat die Stichtage nach hinten geschoben. Wir haben den Artikel am 14. August 2026 vollständig auf die neue Rechtslage umgestellt. Die Handlungsempfehlung darin bleibt bestehen, aber sie hängt jetzt an anderen Gründen. Definitionen und Risikoklassen stehen im Pillar EU AI Act für den Mittelstand 2026.
Der Digital Omnibus hat die Hochrisiko-Pflichten des EU AI Act verschoben: Eigenständige Systeme nach Anhang III — KI-gestütztes HR-Screening, Kreditscoring, biometrische Identifizierung — müssen erst zum 2. Dezember 2027 konform sein, in regulierte Produkte eingebettete KI nach Anhang I zum 2. August 2028. Unverändert gelten die Verbote nach Artikel 5 und die KI-Kompetenzpflicht nach Artikel 4 (beide seit 2. Februar 2025), die GPAI-Pflichten (seit 2. August 2025) und die Transparenzpflichten nach Artikel 50. KI-Inventar und Risikoklassifizierung bleiben deshalb Pflichtprogramm.
Inhalt in Kürze
- Neuer Stichtag für Anhang III: 02.12.2027 — verschoben vom ursprünglichen 02.08.2026 durch den Digital Omnibus, in Kraft seit 27.07.2026
- Hochrisiko-KI in Anhang-I-Produkten: 02.08.2028 — also KI, die in ohnehin regulierte Produkte eingebettet ist
- Nicht verschoben: Verbote (Artikel 5) und KI-Kompetenz (Artikel 4) seit 02.02.2025, GPAI-Pflichten seit 02.08.2025, Transparenzpflichten (Artikel 50)
- Drei Hauptthemen für Hamburger KMU bleiben dieselben: HR-Screening-Tools (Lever, Greenhouse, Personio-KI), biometrische Zutritts- und Zeiterfassung, Predictive Maintenance in Kritis
- KI-Inventar und Risikoklassifizierung sind weiter der erste Schritt — ohne sie lassen sich Artikel 4 und 5 nicht erfüllen
- Mehr Zeit, kein Grund zum Nichtstun: Die Verschiebung betrifft den Termin für die Vollkonformität, nicht die Frage, ob Sie Ihre KI kennen müssen
Was der Digital Omnibus geändert hat — und was nicht
Der EU AI Act war so gebaut, dass seine Pflichten gestaffelt anlaufen. Für die Hochrisiko-Systeme nach Anhang III war der 2. August 2026 vorgesehen — 24 Monate nach Inkrafttreten der Verordnung. Diesen Termin hat die EU mit dem Digital Omnibus verschoben. Der Vorschlag der Kommission datiert vom 19. November 2025, die Veröffentlichung im Amtsblatt erfolgte am 24. Juli 2026, in Kraft ist die Änderung seit dem 27. Juli 2026.
Die neue Lage lässt sich in drei Sätzen zusammenfassen:
- Anhang III — 2. Dezember 2027: Eigenständige Hochrisiko-Systeme. Dazu zählen HR- und Recruiting-Screening, Kreditscoring und biometrische Identifizierung — also genau die Fälle, die den Mittelstand am häufigsten treffen.
- Anhang I — 2. August 2028: Hochrisiko-KI, die in Produkte eingebettet ist, die schon heute einer EU-Produktregulierung unterliegen. Für Maschinenbauer und Medizintechnik ist das die relevantere Spur.
- Unverändert in Kraft: Artikel 5 (verbotene Praktiken) und Artikel 4 (KI-Kompetenz) seit dem 2. Februar 2025, die GPAI-Pflichten seit dem 2. August 2025, dazu die Transparenzpflichten nach Artikel 50. Hier hat sich nichts bewegt.
Wer im Sommer 2026 unter Zeitdruck ein Hochrisiko-Projekt durchgezogen hat, hat kein Geld verbrannt — die Arbeit gilt weiter, nur der Abgabetermin ist ein anderer. Wer noch nicht angefangen hat, hat jetzt Luft. Was die Verschiebung nicht ist: eine Entwarnung. Drei Regelungsblöcke gelten seit Februar 2025 beziehungsweise August 2025 und werden nicht durch den Omnibus berührt. Wer sie erfüllen will, braucht dieselbe Grundlage wie für die Hochrisiko-Pflichten: zu wissen, welche KI im Haus überhaupt läuft.
Was Anhang III für Hamburger KMU bedeutet
Anhang III des EU AI Act ist die Liste der Anwendungsbereiche, in denen Künstliche Intelligenz pauschal als hochrisikobehaftet gilt. An dieser Liste hat der Digital Omnibus nichts geändert. Für die meisten Hamburger Mittelständler sind drei der acht Bereiche relevant: Beschäftigungskontext, biometrische Identifizierung und kritische Infrastruktur. Wer einen Blick auf die konsolidierte AI-Act-Fassung der EU-Kommission wirft, findet die vollständige Aufzählung — die anderen fünf Bereiche (Kreditbewertung, Bildung, Strafverfolgung, Migration, Justiz) treffen wenige KMU.
Was die Bereiche eint: In allen geht es um Entscheidungen, die das Leben von Menschen substantiell beeinflussen — bekomme ich den Job, komme ich ins Gebäude, ist mein Trinkwasser sicher, bekomme ich den Kredit, werde ich studieren? Wenn KI an solchen Entscheidungen substantiell mitwirkt, will der Gesetzgeber Transparenz, Aufsicht und Haftung.
HR-Tools mit KI-Screening — der häufigste Treffer
Der Bereich, in dem die meisten Hamburger KMU-Geschäftsführer überrascht werden, ist HR. Bewerbermanagement-Systeme haben in den letzten zwei Jahren reihenweise KI-Module eingeführt — Vorauswahl von Bewerbungen, Matching-Scores, Sentiment-Analyse auf Anschreiben, Skill-Extraktion aus Lebensläufen. Personio hat 2025 KI-Bewerber-Scoring integriert, Lever und Greenhouse haben Matching-Algorithmen, HRworks bietet ein KI-Modul für CV-Auswertung, SAP SuccessFactors, Workday und Cornerstone OnDemand sind seit Jahren am Markt. Auch deutsche Anbieter wie d.vinci und rexx Systems haben nachgezogen.
Anhang III Nummer 4 erfasst alle KI-Systeme im Beschäftigungs- und Personalmanagement, die zur Auswahl, Bewertung oder Beförderungsvorbereitung beitragen. Übersetzt: Sobald die KI in einem Hamburger HR-Tool eine Bewerbung anders behandelt, höher rankt oder als Treffer markiert, ist es Hochrisiko. Für die Geschäftsführung als Betreiber heißt das ab dem 2. Dezember 2027:
- Konformität des Anbieters prüfen: Liegt eine EU-Konformitätserklärung vor? Ist das System in der EU-Datenbank für Hochrisiko-KI registriert? Ohne diese Nachweise ist das System nicht rechtmäßig im Verkehr — und seine Nutzung damit ein Verstoß auf Betreiberseite.
- Menschliche Aufsicht organisieren: Bewerber dürfen nicht allein durch die KI aussortiert werden. Es braucht einen klar zuständigen Menschen, der jede negative Entscheidung der KI prüft, dokumentiert und gegebenenfalls überstimmt. Das ist mehr als nur ein „Recruiter klickt auf Approve".
- Folgenabschätzung dokumentieren: Schriftlich festhalten, welche Bewerbergruppen betroffen sind, welche Bias-Risiken bestehen, welche Maßnahmen die Risiken mindern. Das ist parallel zur DSGVO-Folgenabschätzung, aber nicht identisch.
- Logging aktivieren: Mindestens sechs Monate Logs aufbewahren — KI-Entscheidungen, Eingaben, Ausgaben, manuelle Eingriffe. Bei Streit über Bewerbergleichbehandlung brauchen Sie die Logs, um zu belegen, was die KI getan hat und wer eingriff.
Zwei Punkte gelten dagegen schon heute und warten nicht auf 2027: Bewerber und Beschäftigte müssen über den KI-Einsatz informiert werden, soweit Artikel 50 und die DSGVO das verlangen. Und wer ein solches Tool bedient, braucht nach Artikel 4 nachweisbare KI-Kompetenz — seit Februar 2025.
Viele HR-Verantwortliche denken: „Wir haben ja gar keine eigene KI, wir nutzen nur ein Tool — also sind wir nicht betroffen." Falsch. Der AI Act trennt scharf zwischen Anbieter und Betreiber. Sie sind Betreiber im Sinne von Artikel 3 Nummer 4, sobald Sie ein Hochrisiko-KI-System unter Ihrer Autorität verwenden. Die Betreiberpflichten gelten unabhängig von Unternehmensgröße — auch der 30-Mitarbeiter-Betrieb in Hamburg-Wandsbek mit Personio-KI-Modul ist drin. Die Verschiebung ändert daran nichts, sie verschiebt nur den Termin.
Biometrische Zutritts- und Zeiterfassung
Der zweite Bereich, in dem Hamburger Mittelständler oft übersehen, dass sie betroffen sind: biometrische Identifizierungssysteme. Anhang III Nummer 1 erfasst biometrische Fernidentifizierungssysteme als Hochrisiko-KI — egal ob für Zutrittskontrolle, Zeiterfassung oder Sicherheits-Monitoring. Wer in Hamburg-Bergedorf seine Werkstor-Sicherung mit Gesichtserkennung gemacht hat, wer in Hammerbrook für die Zeiterfassung auf Fingerabdruck umgestellt hat, wer im Hafen den Zugang zu sicherheitskritischen Bereichen mit Iris-Scan kontrolliert — alle diese Systeme fallen unter Anhang III, mit Pflichten ab dem 2. Dezember 2027.
Auf die lange Bank gehört das Thema trotzdem nicht, denn hier greifen mehrere Regelwerke gleichzeitig und die anderen laufen schon. Emotionserkennung am Arbeitsplatz ist nach Artikel 5 seit Februar 2025 verboten — nicht verschoben, sondern verboten. Biometrische Daten sind nach Artikel 9 DSGVO besondere Kategorien personenbezogener Daten und damit strenger geschützt als „normale” personenbezogene Daten. Und der Betriebsrat hat nach § 87 BetrVG ein Mitbestimmungsrecht bei der Einführung solcher Systeme. Wer all das gleichzeitig erfüllen will, braucht eine sauber dokumentierte Begründung: Warum ist biometrische Identifizierung in diesem konkreten Fall erforderlich? Welche weniger eingreifenden Alternativen wurden geprüft? Wie wird die menschliche Aufsicht sichergestellt?
Predictive Maintenance in Kritis
Der dritte Bereich ist enger gefasst, trifft aber Hamburger Versorger, Hafenbetriebe, Großindustrie und ihre IT-Dienstleister hart. Anhang III Nummer 2 erfasst KI-Systeme, die als Sicherheitsbauteile in kritischer Infrastruktur eingesetzt werden — Strom, Gas, Wasser, Heizung, Telekommunikation, Verkehr. Wer Predictive Maintenance betreibt, bei der die KI Entscheidungen vorbereitet oder ausführt, die direkt die Verfügbarkeit der Infrastruktur beeinflussen, ist Hochrisiko.
In der Praxis ist die Grenze fließend. Klassische Wartungsplanung — KI sagt voraus, wann eine Komponente getauscht werden sollte, der Schichtleiter entscheidet — ist meist nicht Anhang III. Automatische Lastverteilung im Mittelspannungsnetz mit KI-Optimierung, automatische Pumpensteuerung in einem Wasserwerk, KI-gesteuerte Verkehrssignalisierung in einem Hafenterminal — alles Anhang III.
Wichtig für Maschinen- und Anlagenbauer: Steckt die KI in einem Produkt, das ohnehin einer EU-Produktregulierung unterliegt, läuft der Fall nicht über Anhang III, sondern über Anhang I — und damit über den 2. August 2028. Wer beides im Haus hat, sollte im Inventar von Anfang an mitschreiben, welcher Anhang greift. Die beiden Termine liegen acht Monate auseinander und hängen an unterschiedlichen Nachweisketten.
Wir haben Anfang 2026 mit einem Hamburger Mittelständler ein KI-Inventar gemacht — 18 Mitarbeiter, klein, eigentlich nichts Spektakuläres. Am Ende waren sieben KI-Systeme im Haus, von denen die Geschäftsführung drei nicht kannte. Eine davon, die Recruiting-KI, ist Hochrisiko nach Anhang III. Dass der Stichtag inzwischen auf Dezember 2027 gerutscht ist, ändert an dem Befund nichts — die Geschäftsführung wusste vorher schlicht nicht, was im Haus läuft. Genau dafür ist das Inventar da.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Conformity Assessment und Risiko-Management-System
Für ein Hochrisiko-KI-System fordert der AI Act ein dokumentiertes Risikomanagement nach Artikel 9. Wenn Sie für NIS2 bereits ein Informationssicherheits-Managementsystem aufgebaut haben, ist ein Großteil der Arbeit erledigt — beide Frameworks verlangen denselben methodischen Kern: Risiken identifizieren, bewerten, mindern, dokumentieren, regelmäßig prüfen.
Was beim AI Act zusätzlich kommt:
- KI-spezifische Risiken aufnehmen: Bias, Drift, Halluzination, Falsch-Positive bei Sicherheitsentscheidungen, manipulative Eingaben. Diese Kategorien stehen nicht in der NIS2-Standard-Risikomatrix.
- Datenqualitätsmanagement: Welche Trainingsdaten? Welche Repräsentativität? Welche Bias-Tests? Bei Hochrisiko-Anwendungen muss das dokumentiert sein — auch wenn Sie nur Betreiber sind, müssen Sie die Anbieter-Angaben prüfen.
- Menschliche Aufsicht definieren: Wer kontrolliert was, wie oft, mit welchen Eingriffsrechten? Reine „Approval-Klicks" reichen nicht — die Aufsicht muss inhaltlich wirksam sein.
- Vorfall-Meldung an die Aufsichtsbehörde: Schwere Vorfälle und Fehlfunktionen von Hochrisiko-KI müssen gemeldet werden. Der Meldepfad sollte stehen, bevor die Pflichten greifen — analog zur 24-Stunden-Meldepflicht bei NIS2.
Wer das mit dem ISMS aus dem NIS2-Praxis-Cluster zusammenführt, spart sich Doppelarbeit. Wir empfehlen Hamburger Mandanten, das Risikomanagement für AI Act und NIS2 in einer Tabelle zu führen — die Methodik ist gleich, nur die Risikoarten unterscheiden sich.
AI Literacy — die Pflicht, die nicht verschoben wurde
Artikel 4 AI Act ist seit dem 2. Februar 2025 verbindlich und betrifft jeden Anbieter und Betreiber von KI-Systemen — unabhängig von der Risikoklasse. Der Digital Omnibus hat daran nichts geändert. Die Vorgabe ist auf den ersten Blick weich: „Sicherstellen, dass das eigene Personal über ein angemessenes Maß an KI-Kompetenz verfügt.” Auf den zweiten Blick ist sie hart, weil die Beweislast bei Aufsicht und Streitigkeiten beim Unternehmen liegt.
Was AI Literacy bei einem Hamburger KMU konkret heißt:
- Arbeitsplatzbezogen, nicht generisch: Die HR-Verantwortliche, die Lever bedient, braucht eine Schulung zu Lever — Funktionsweise, Grenzen, typische Fehler, Bias-Indizien. Ein generisches „Was ist ein Large Language Model?"-Video reicht nicht.
- Dokumentiert: Teilnehmerliste, Inhalt, Datum, Dauer. Im Streitfall müssen Sie nachweisen können, dass die konkrete Person geschult war.
- Wiederholt: KI-Systeme ändern sich quartalsweise. Die Schulung von 2024 ist 2026 veraltet. Wir empfehlen ein jährliches Update, mindestens für die Personen mit Hochrisiko-KI-Berührung.
- Bei externer Dienstleister-Nutzung: Auch externe Auftragsverarbeiter, die KI im Auftrag des Hamburger Unternehmens bedienen, brauchen Literacy-Nachweis. Vertraglich einbinden.
Wir bauen das bei unseren Mandanten in das vorhandene Awareness-Programm ein — die meisten Hamburger KMU haben das schon für Phishing und DSGVO, AI Literacy lässt sich anschließen. Stichworte aus dem Cluster Schatten-KI im Mittelstand helfen, das Bewusstsein zu schärfen.
Konkrete Roadmap für Hamburger Mittelständler
Die Reihenfolge der Schritte ändert sich durch die Verschiebung nicht — nur der Druck auf den hinteren Teil lässt nach. Die ersten beiden Schritte sind kein Vorarbeiten auf 2027, sondern die Voraussetzung dafür, geltendes Recht überhaupt einhalten zu können.
- Schritt 1 — KI-Inventar (4 Wochen, jetzt fällig): Alle KI-Systeme im Haus erfassen. Mit allen Abteilungen sprechen, nicht nur mit der IT. Schatten-KI (ChatGPT in Einzelbereichen, KI-Module in Standardsoftware) ist die häufigste Lücke. Tabelle mit Anbieter, Einsatz, Datenkategorien, betroffene Personen, vertragliche Grundlage.
- Schritt 2 — Risikoklassifizierung (2 Wochen, jetzt fällig): Jedes System nach den vier AI-Act-Stufen einstufen. Verboten nach Artikel 5, Hochrisiko nach Anhang III oder Anhang I, Limited Risk (Chatbots, Deepfakes), Minimal Risk. Bei jeder Hochrisiko-Einstufung: Begründung schreiben und den einschlägigen Anhang vermerken — davon hängt ab, ob 2027 oder 2028 gilt.
- Schritt 3 — Artikel 4 und Artikel 50 abarbeiten (4 Wochen, jetzt fällig): KI-Kompetenz-Schulungen für alle, die KI einsetzen, mit Nachweis. Kennzeichnung überall dort, wo Kunden mit Chatbots sprechen oder KI-generierte Inhalte sehen. Beides gilt unabhängig vom Hochrisiko-Termin.
- Schritt 4 — Folgenabschätzung pro Hochrisiko-System (4–6 Wochen, bis 2027): Pro hochrisikobehaftetem System eine FRIA (Fundamental Rights Impact Assessment). Vorlage gibt es bei der EU-Kommission und in Berufsverbänden.
- Schritt 5 — Menschliche Aufsicht und Logging einrichten (4 Wochen, bis 2027): Pro Hochrisiko-System die Aufsichts-Rolle benennen, dokumentieren, Logging aktivieren. Sechs Monate Aufbewahrungsfrist als Untergrenze.
- Schritt 6 — Konformitätsbewertungen der Anbieter einholen (laufend): Für jedes Hochrisiko-System die EU-Konformitätserklärung des Anbieters anfordern und im Compliance-Ordner ablegen. Sinnvoll ist, das jetzt schon in Beschaffung und Vertragsverlängerung einzubauen — dann steht es 2027 von selbst.
Die Schritte 1 bis 3 sind zusammen rund zehn Wochen und decken die heute geltenden Pflichten ab. Die Schritte 4 bis 6 haben bis Ende 2027 Zeit — genug, um sie ohne Hektik an die nächste Vertragsrunde oder das nächste ISMS-Audit zu hängen, statt sie als Sonderprojekt zu fahren.
Sanktionen und Aufsicht in Deutschland
Die Bußgeld-Architektur ist dreistufig und an der DSGVO orientiert. Für die Hamburger Geschäftsführung relevant sind vor allem zwei Stufen:
- Bei Verstößen gegen Hochrisiko-Pflichten (Artikel 6 ff.) sind bis zu 15 Millionen Euro oder 3 Prozent vom weltweiten Jahresumsatz möglich — der höhere Betrag gilt.
- Bei falschen oder unvollständigen Auskünften an die Aufsichtsbehörde sind es bis zu 7,5 Millionen Euro oder 1 Prozent.
Für ein Hamburger KMU mit 30 Millionen Euro Umsatz wären das im schlimmsten Fall 900.000 Euro für einen Hochrisiko-Verstoß und 300.000 Euro für falsche Auskünfte. Artikel 99 lässt Verhältnismäßigkeit bei KMU zu — aber das ist eine Ermessensfrage der Behörde, kein Anspruch. Der Bußgeldrahmen für Hochrisiko-Verstöße läuft mit den Pflichten selbst an, also ab Dezember 2027 beziehungsweise August 2028. Der Rahmen für verbotene Praktiken nach Artikel 5 gilt dagegen bereits.
Zuständig in Deutschland wird voraussichtlich die Bundesnetzagentur als zentrale Marktüberwachungsbehörde, mit Beteiligung des BSI und der Datenschutz-Aufsichtsbehörden. Die endgültige Behördenstruktur war Mitte 2026 noch nicht abschließend geklärt — geplant ist eine zentrale Stelle plus sektorale Mitzuständigkeiten. Für Hamburger Unternehmen wird der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit bei AI-Act-Fragen mit DSGVO-Bezug die erste Anlaufstelle bleiben.
Wie bei NIS2 ist auch beim AI Act die Geschäftsführungsebene haftungsrelevant. Wer als Geschäftsführer trotz Kenntnis kein KI-Inventar machen lässt, keine Schulungen nach Artikel 4 organisiert und den Einsatz verbotener Praktiken nicht ausschließt, riskiert persönliche Haftung — Innenhaftung gegenüber dem Unternehmen, externe Haftung gegenüber Betroffenen und Aufsichtsbehörde. Die Verschiebung der Hochrisiko-Pflichten schützt davor nicht, weil sie diese Punkte gar nicht betrifft.
Aus der Praxis — wie wir das in Hamburg aufsetzen
Wir haben Anfang 2026 mit drei Hamburger Mittelständlern den kompletten AI-Act-Compliance-Aufbau gemacht — ein Logistiker in Wilhelmsburg mit 80 Mitarbeitern, eine Unternehmensberatung in der HafenCity mit 50 Mitarbeitern, ein Maschinenbauer in Bergedorf mit 120 Mitarbeitern. Drei sehr unterschiedliche Profile, dieselbe Methode.
Bei allen dreien fanden wir zwischen fünf und elf KI-Systeme im Unternehmen — die Geschäftsführung schätzte vor der Inventur jeweils zwei bis drei. Beim Logistiker landeten zwei Systeme in Anhang III (Personio-KI für Recruiting, Predictive Maintenance für die Hafenkran-Wartung — Letzteres in einem Sicherheits-Kritis-Kontext). Bei der Beratung war es nur eines (das Lever-KI-Modul für Bewerber-Screening). Beim Maschinenbauer drei (Personio-KI, biometrische Zutrittskontrolle, Predictive Maintenance an der Produktionslinie als potenzielles Sicherheitsbauteil).
Der wichtigste Ertrag dieser Projekte war nicht der Aktenordner für den Stichtag, sondern der Überblick. Genau der bleibt auch nach der Verschiebung wertvoll — und er ist die Voraussetzung dafür, die seit Februar 2025 geltenden Pflichten überhaupt erfüllen zu können.
Wir dachten ehrlich, wir haben kaum KI. Erst beim Inventar wurde klar, dass unsere HR Personio mit den KI-Modulen nutzt, dass die Produktion eine Lösung hat, die uns Wartungstermine vorschlägt, und dass die Schweißroboter ein eigenes Lern-Modul haben. Die Geschäftsführung war überrascht — und wir waren froh, das überhaupt zu wissen.
Der Aufwand war bei allen dreien überschaubar: rund 6 bis 12 Wochen vom ersten Workshop bis zur fertigen Dokumentation, mit zwei bis vier Stunden Geschäftsführungszeit pro Woche und 8 bis 15 Stunden externer Unterstützung pro Woche. Kosten: zwischen 12.000 und 25.000 Euro netto einmalig, plus rund 200 bis 400 Euro pro Monat laufende Pflege. Mit dem neuen Zeitplan lässt sich derselbe Umfang deutlich entspannter über mehrere Quartale verteilen.
Häufige Einwände — und unsere Antwort
„Der Stichtag ist verschoben — dann können wir das Projekt doch stoppen.” Nur den hinteren Teil. Artikel 4, Artikel 5 und Artikel 50 sind nicht verschoben worden. Ohne Inventar und Klassifizierung können Sie nicht belegen, dass Sie diese Pflichten erfüllen. Wer das Projekt komplett einstellt, spart zwei Wochen Arbeit und behält ein Risiko, das schon heute besteht.
„Wir sind doch nur 30 Mitarbeiter — gilt das wirklich für uns?” Ja. Der AI Act kennt keine Mittelstandsausnahme. Verhältnismäßigkeit bei Bußgeldern ja, Befreiung von Pflichten nein.
„Wir nutzen nur Standardsoftware — die ist doch konform?” Vielleicht. Sie sind als Betreiber trotzdem verpflichtet, die Konformitätserklärung des Anbieters anzufordern und im Hause zu halten. Bauen Sie das jetzt in Beschaffung und Vertragsverlängerung ein, dann liegt es 2027 ohne Sonderprojekt vor.
„Wir warten erst mal ab, was die Behörde sagt.” Schlechte Idee. Die Fristen laufen unabhängig davon, ob die Behörde anklopft, und als Geschäftsführung sind Sie zur vorherigen Prüfung verpflichtet, nicht zur Reaktion. Gerade KMU sind dankbare Stichproben.
KI-Inventar und Risikoklassifizierung sauber aufsetzen?
Wir machen den Sechs-Schritte-Plan im Festpreis — Workshop, Inventar, FRIA-Vorlagen, Schulungsmodule. 15 Minuten Erstgespräch kostenlos, ohne Vertriebsdruck.
Erstgespräch buchen →Ihr nächster Schritt
Der EU AI Act ist nicht der nächste Compliance-Hype, sondern eine Dauerpflicht — und der Digital Omnibus hat daran weniger geändert, als die Schlagzeilen nahelegen. Verschoben wurde der Termin für die Vollkonformität bei Hochrisiko-Systemen. Nicht verschoben wurden die Pflichten, die seit 2025 laufen. Wer in Hamburg ein KMU führt und KI in HR, Zutrittskontrolle oder Wartung einsetzt, kommt deshalb weiterhin nicht am Inventar vorbei. Wir kombinieren das in unseren Mandaten mit der vorhandenen NIS2 & Compliance-Beratung in Hamburg und der allgemeinen Cybersecurity-Begleitung — das spart Doppelarbeit und schafft eine konsolidierte Governance.
Wer KI strategisch nutzen will, ohne im Compliance-Sumpf zu versinken, kann das mit unserer hagel one ai aufsetzen. Wer als Hamburger IT-Systemhaus einen einzigen Ansprechpartner für Sicherheit, Compliance und KI haben möchte, findet bei uns das ganze Paket im Festpreis.
Aus sechs Monaten sind rund sechzehn geworden. Das ist ein guter Zeitpunkt, die Sache ordentlich zu machen, statt sie noch einmal zu vertagen.
