Am 2. August 2026 wird der EU AI Act für den Hamburger Mittelstand zum Pflichttermin. Ab diesem Stichtag greifen die Regeln für Hochrisiko-KI nach Anhang III — also genau die Systeme, die mittlerweile in jedem zweiten HR-Tool, jeder modernen Zutrittskontrolle und jedem Predictive-Maintenance-Modul stecken. Wer in Hamburg KMU-Verantwortung trägt und KI einsetzt, hat sechs Monate, um Inventar, Klassifizierung und menschliche Aufsicht zu dokumentieren. Dieser Artikel ist die operative Schwester zum Pillar EU AI Act für den Mittelstand 2026 — Definitionen und Risikoklassen stehen dort. Hier geht es darum, was Hamburger Geschäftsführer in der Praxis bis zum Stichtag erledigt haben sollten.
Am 2. August 2026 greifen die Pflichten des EU AI Act für Hochrisiko-Systeme nach Anhang III. Für Hamburger Mittelständler besonders relevant: KI-gestütztes HR-Screening (Lever, Greenhouse, Personio-KI), biometrische Zutritts- und Zeiterfassungssysteme, KI als Sicherheitsbauteil in Predictive Maintenance bei Kritis-Betreibern. Sanktionen reichen bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Bis zum Stichtag müssen KI-Inventar, Risikoklassifizierung und menschliche Aufsicht dokumentiert sein.
Inhalt in Kürze
- Stichtag 02.08.2026: Hochrisiko-Pflichten nach Anhang III greifen — keine pauschale Übergangsfrist, nur Bestandsschutz bis 02.08.2027 für vor dem Stichtag ausgerollte Systeme
- Drei Hauptthemen für Hamburger KMU: HR-Screening-Tools (Lever, Greenhouse, Personio-KI), biometrische Zutritts- und Zeiterfassung, Predictive Maintenance in Kritis
- Pflichten für Betreiber: Konformitäts-Bewertung des Anbieters prüfen, menschliche Aufsicht organisieren, Folgenabschätzung dokumentieren, Logging aktivieren, Mitarbeiter und Aufsichtsbehörde informieren
- Bußgelder bis 35 Mio. € oder 7 Prozent vom weltweiten Jahresumsatz für Hamburger Mittelstand realistisch — Verhältnismäßigkeit für KMU vorgesehen, aber nicht garantiert
- AI Literacy ist Pflicht seit Februar 2025 — arbeitsplatzbezogen, dokumentiert, nicht als Einmalvideo
- Sechs Monate vor Stichtag: Inventar, Risikoklassifizierung und Folgenabschätzungen sollten spätestens jetzt in Arbeit sein
In Hamburg sehen wir 2026 zwei Sorten von Geschäftsführern. Die einen haben den AI Act zum ersten Mal im April auf dem Radar gehabt — und sind jetzt im Stress, weil HR, IT und Datenschutz parallel an drei Stellen feststellen, dass das eingesetzte Recruiting-Tool plötzlich Anhang-III-Pflichten auslöst. Die anderen haben Anfang 2025 mit einer ehrlichen Bestandsaufnahme angefangen und sind im Mai 2026 entspannt. Welche Sorte am 3. August 2026 ruhiger schläft, ist absehbar.
Was Anhang III für Hamburger KMU bedeutet
Anhang III des EU AI Act ist die Liste der Anwendungsbereiche, in denen Künstliche Intelligenz pauschal als hochrisikobehaftet gilt. Für die meisten Hamburger Mittelständler sind drei der acht Bereiche relevant: Beschäftigungskontext, biometrische Identifizierung und kritische Infrastruktur. Wer einen Blick auf die konsolidierte AI-Act-Fassung der EU-Kommission wirft, findet die vollständige Aufzählung — die anderen fünf Bereiche (Kreditbewertung, Bildung, Strafverfolgung, Migration, Justiz) treffen wenige KMU.
Was die Bereiche eint: In allen geht es um Entscheidungen, die das Leben von Menschen substantiell beeinflussen — bekomme ich den Job, komme ich ins Gebäude, ist mein Trinkwasser sicher, bekomme ich den Kredit, werde ich studieren? Wenn KI an solchen Entscheidungen substantiell mitwirkt, will der Gesetzgeber Transparenz, Aufsicht und Haftung.
HR-Tools mit KI-Screening — der häufigste Treffer
Der Bereich, in dem 2026 die meisten Hamburger KMU-Geschäftsführer überrascht werden, ist HR. Bewerbermanagement-Systeme haben in den letzten zwei Jahren reihenweise KI-Module eingeführt — Vorauswahl von Bewerbungen, Matching-Scores, Sentiment-Analyse auf Anschreiben, Skill-Extraktion aus Lebensläufen. Personio hat 2025 KI-Bewerber-Scoring integriert, Lever und Greenhouse haben Matching-Algorithmen, HRworks bietet ein KI-Modul für CV-Auswertung, SAP SuccessFactors, Workday und Cornerstone OnDemand sind seit Jahren am Markt. Auch deutsche Anbieter wie d.vinci und rexx Systems haben nachgezogen.
Anhang III Nummer 4 erfasst alle KI-Systeme im Beschäftigungs- und Personalmanagement, die zur Auswahl, Bewertung oder Beförderungsvorbereitung beitragen. Übersetzt: Sobald die KI in einem Hamburger HR-Tool eine Bewerbung anders behandelt, höher rankt oder als Treffer markiert, ist es Hochrisiko. Für die Geschäftsführung als Betreiber heißt das ab 02.08.2026:
- Konformität des Anbieters prüfen: Liegt eine EU-Konformitätserklärung vor? Ist das System in der EU-Datenbank für Hochrisiko-KI registriert? Ohne diese Nachweise ist das System nicht rechtmäßig im Verkehr — und seine Nutzung damit ein automatischer Verstoß auf Betreiberseite.
- Menschliche Aufsicht organisieren: Bewerber dürfen nicht allein durch die KI aussortiert werden. Es braucht einen klar zuständigen Menschen, der jede negative Entscheidung der KI prüft, dokumentiert und gegebenenfalls überstimmt. Das ist mehr als nur ein „Recruiter klickt auf Approve".
- Folgenabschätzung dokumentieren: Schriftlich festhalten, welche Bewerbergruppen betroffen sind, welche Bias-Risiken bestehen, welche Maßnahmen die Risiken mindern. Das ist parallel zur DSGVO-Folgenabschätzung, aber nicht identisch.
- Mitarbeitende und Bewerber informieren: Pflicht zur Transparenz — Bewerber müssen wissen, dass KI in der Bearbeitung mitwirkt. Mitarbeitende, die das System bedienen, brauchen AI-Literacy-Schulung.
- Logging aktivieren: Mindestens sechs Monate Logs aufbewahren — KI-Entscheidungen, Eingaben, Ausgaben, manuelle Eingriffe. Bei Bewerbergleichbehandlungs-Streitigkeiten brauchen Sie die Logs, um zu belegen, was die KI getan hat und wer eingriff.
Viele HR-Verantwortliche denken: „Wir haben ja gar keine eigene KI, wir nutzen nur ein Tool — also sind wir nicht betroffen." Falsch. Der AI Act trennt scharf zwischen Anbieter und Betreiber. Sie sind Betreiber im Sinne von Artikel 3 Nummer 4, sobald Sie ein Hochrisiko-KI-System unter Ihrer Autorität verwenden. Die Betreiberpflichten gelten unabhängig von Unternehmensgröße — auch der 30-Mitarbeiter-Betrieb in Hamburg-Wandsbek mit Personio-KI-Modul ist drin.
Biometrische Zutritts- und Zeiterfassung
Der zweite Bereich, in dem Hamburger Mittelständler oft übersehen, dass sie betroffen sind: biometrische Identifizierungssysteme. Anhang III Nummer 1 erfasst biometrische Fernidentifizierungssysteme als Hochrisiko-KI — egal ob für Zutrittskontrolle, Zeiterfassung oder Sicherheits-Monitoring. Wer in Hamburg-Bergedorf seine Werkstor-Sicherung mit Gesichtserkennung gemacht hat, wer in Hammerbrook für die Zeiterfassung auf Fingerabdruck umgestellt hat, wer im Hafen den Zugang zu sicherheitskritischen Bereichen mit Iris-Scan kontrolliert — alle diese Systeme stehen ab August 2026 unter Anhang III.
Zusätzlich greift die DSGVO. Biometrische Daten sind nach Artikel 9 besondere Kategorien personenbezogener Daten — strenger geschützt als „normale” personenbezogene Daten. Und der Betriebsrat hat nach § 87 BetrVG ein Mitbestimmungsrecht bei der Einführung solcher Systeme. Wer all das gleichzeitig erfüllen will, braucht eine sauber dokumentierte Begründung: Warum ist biometrische Identifizierung in diesem konkreten Fall erforderlich? Welche weniger eingreifenden Alternativen wurden geprüft? Wie wird die menschliche Aufsicht sichergestellt? Diese Dokumentation muss bis zum 02.08.2026 stehen.
Predictive Maintenance in Kritis
Der dritte Bereich ist enger gefasst, trifft aber Hamburger Versorger, Hafenbetriebe, Großindustrie und ihre IT-Dienstleister hart. Anhang III Nummer 2 erfasst KI-Systeme, die als Sicherheitsbauteile in kritischer Infrastruktur eingesetzt werden — Strom, Gas, Wasser, Heizung, Telekommunikation, Verkehr. Wer Predictive Maintenance betreibt, bei der die KI Entscheidungen vorbereitet oder ausführt, die direkt die Verfügbarkeit der Infrastruktur beeinflussen, ist Hochrisiko.
In der Praxis ist die Grenze fließend. Klassische Wartungsplanung — KI sagt voraus, wann eine Komponente getauscht werden sollte, der Schichtleiter entscheidet — ist meist nicht Anhang III. Automatische Lastverteilung im Mittelspannungsnetz mit KI-Optimierung, automatische Pumpensteuerung in einem Wasserwerk, KI-gesteuerte Verkehrssignalisierung in einem Hafenterminal — alles Anhang III. Hamburger Energieversorger, Hafenbetreiber, Logistik-Großkunden und ihre Lieferanten sollten ihre KI-gestützten Systeme jetzt klassifizieren.
Wir haben Anfang 2026 mit einem Hamburger Mittelständler ein KI-Inventar gemacht — 18 Mitarbeiter, klein, eigentlich nichts Spektakuläres. Am Ende waren sieben KI-Systeme im Haus, von denen die Geschäftsführung drei nicht kannte. Eine davon, die Recruiting-KI, wäre ab August 2026 Hochrisiko gewesen. Genau für diese stille Schatten-KI ist das Inventar gemacht.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Conformity Assessment und Risiko-Management-System
Für ein Hochrisiko-KI-System fordert der AI Act ein dokumentiertes Risikomanagement nach Artikel 9. Wenn Sie für NIS2 bereits ein Informationssicherheits-Managementsystem aufgebaut haben, ist 70 Prozent der Arbeit erledigt — beide Frameworks verlangen denselben methodischen Kern: Risiken identifizieren, bewerten, mindern, dokumentieren, regelmäßig prüfen.
Was beim AI Act zusätzlich kommt:
- KI-spezifische Risiken aufnehmen: Bias, Drift, Halluzination, Falsch-Positive bei Sicherheitsentscheidungen, manipulative Eingaben. Diese Kategorien stehen nicht in der NIS2-Standard-Risikomatrix.
- Datenqualitätsmanagement: Welche Trainingsdaten? Welche Repräsentativität? Welche Bias-Tests? Bei Hochrisiko-Anwendungen muss das dokumentiert sein — auch wenn Sie nur Betreiber sind, müssen Sie die Anbieter-Angaben prüfen.
- Menschliche Aufsicht definieren: Wer kontrolliert was, wie oft, mit welchen Eingriffsrechten? Reine „Approval-Klicks" reichen nicht — die Aufsicht muss inhaltlich wirksam sein.
- Vorfall-Meldung an die Aufsichtsbehörde: Schwere Vorfälle und Fehlfunktionen von Hochrisiko-KI müssen gemeldet werden. Der Meldepfad sollte bis August 2026 stehen — analog zur 24-Stunden-Meldepflicht bei NIS2.
Wer das mit dem ISMS aus dem NIS2-Praxis-Cluster zusammenführt, spart sich Doppelarbeit. Wir empfehlen Hamburger Mandanten, das Risikomanagement für AI Act und NIS2 in einer Tabelle zu führen — die Methodik ist gleich, nur die Risikoarten unterscheiden sich.
AI Literacy — die unterschätzte Pflicht
Artikel 4 AI Act ist seit 2. Februar 2025 verbindlich und betrifft jeden Anbieter und Betreiber von KI-Systemen — unabhängig von der Risikoklasse. Die Vorgabe ist auf den ersten Blick weich: „Sicherstellen, dass das eigene Personal über ein angemessenes Maß an KI-Kompetenz verfügt.” Auf den zweiten Blick ist sie hart, weil die Beweislast bei Aufsicht und Streitigkeiten beim Unternehmen liegt.
Was AI Literacy bei einem Hamburger KMU konkret heißt:
- Arbeitsplatzbezogen, nicht generisch: Die HR-Verantwortliche, die Lever bedient, braucht eine Schulung zu Lever — Funktionsweise, Grenzen, typische Fehler, Bias-Indizien. Ein generisches „Was ist ein Large Language Model?"-Video reicht nicht.
- Dokumentiert: Teilnehmerliste, Inhalt, Datum, Dauer. Im Streitfall müssen Sie nachweisen können, dass die konkrete Person geschult war.
- Wiederholt: KI-Systeme ändern sich quartalsweise. Die Schulung von 2024 ist 2026 veraltet. Wir empfehlen ein jährliches Update, mindestens für die Personen mit Hochrisiko-KI-Berührung.
- Bei externer Dienstleister-Nutzung: Auch externe Auftragsverarbeiter, die KI im Auftrag des Hamburger Unternehmens bedienen, brauchen Literacy-Nachweis. Vertraglich einbinden.
Wir bauen das bei unseren Mandanten in das vorhandene Awareness-Programm ein — die meisten Hamburger KMU haben das schon für Phishing und DSGVO, AI Literacy lässt sich anschließen. Stichworte aus dem Cluster Schatten-KI im Mittelstand helfen, das Bewusstsein zu schärfen.
Konkrete Roadmap für Hamburger Mittelständler
Wir empfehlen Mandanten einen pragmatischen, sechs-Schritte-Plan zum 02.08.2026:
- Schritt 1 — KI-Inventar (4 Wochen): Alle KI-Systeme im Haus erfassen. Mit allen Abteilungen sprechen, nicht nur mit der IT. Schatten-KI (ChatGPT in Einzelbereichen, KI-Module in Standardsoftware) ist die häufigste Lücke. Tabelle mit Anbieter, Einsatz, Datenkategorien, betroffene Personen, vertragliche Grundlage.
- Schritt 2 — Risikoklassifizierung (2 Wochen): Jedes System nach den vier AI-Act-Stufen einstufen. Verboten nach Artikel 5, Hochrisiko nach Anhang III, Limited Risk (Chatbots, Deepfakes), Minimal Risk. Bei jeder Hochrisiko-Einstufung: Begründung schreiben.
- Schritt 3 — Folgenabschätzung pro Hochrisiko-System (4–6 Wochen): Pro hochrisikobehaftetem System eine FRIA (Fundamental Rights Impact Assessment). Vorlage gibt es bei der EU-Kommission und in Berufsverbänden.
- Schritt 4 — Menschliche Aufsicht und Logging einrichten (4 Wochen): Pro Hochrisiko-System die Aufsichts-Rolle benennen, dokumentieren, Logging aktivieren. Sechs Monate Aufbewahrungsfrist als Untergrenze.
- Schritt 5 — AI Literacy ausrollen (4 Wochen): Schulungsmodule pro Tool und pro Rolle. Bei Hochrisiko-KI mit Nachweis und Test.
- Schritt 6 — Konformitätsbewertungen der Anbieter einholen (laufend): Für jedes Hochrisiko-System die EU-Konformitätserklärung des Anbieters anfordern und im Compliance-Ordner ablegen. Ohne diese Erklärung darf das System ab 02.08.2026 nicht produktiv eingesetzt werden.
Wer Anfang Februar 2026 mit Schritt 1 startet, ist Anfang August fertig. Wer im Juni 2026 anfängt, hat ein Problem.
Sanktionen und Aufsicht in Deutschland
Die Bußgeld-Architektur ist drei-stufig, an der DSGVO orientiert und wirksam. Für die Hamburger Geschäftsführung relevant sind vor allem zwei Stufen:
- Bei Verstößen gegen Hochrisiko-Pflichten (Artikel 6 ff.) sind bis zu 15 Millionen Euro oder 3 Prozent vom weltweiten Jahresumsatz möglich — der höhere Betrag gilt.
- Bei falschen oder unvollständigen Auskünften an die Aufsichtsbehörde sind es bis zu 7,5 Millionen Euro oder 1 Prozent.
Für ein Hamburger KMU mit 30 Millionen Euro Umsatz wären das im schlimmsten Fall 900.000 Euro für einen Hochrisiko-Verstoß und 300.000 Euro für falsche Auskünfte. Artikel 99 lässt Verhältnismäßigkeit bei KMU zu — aber das ist eine Ermessensfrage der Behörde, kein Anspruch.
Zuständig in Deutschland wird voraussichtlich die Bundesnetzagentur als zentrale Marktüberwachungsbehörde, mit Beteiligung des BSI und der Datenschutz-Aufsichtsbehörden. Die genaue Behördenstruktur ist im Mai 2026 noch in Klärung — geplant ist eine zentrale Stelle plus sektorale Mitzuständigkeiten. Für Hamburger Unternehmen wird der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit bei AI-Act-Fragen mit DSGVO-Bezug die erste Anlaufstelle bleiben.
Wie bei NIS2 ist auch beim AI Act die Geschäftsführungsebene haftungsrelevant. Wer als Geschäftsführer trotz Kenntnis kein KI-Inventar machen lässt, keine Folgenabschätzungen anfordert und keine menschliche Aufsicht organisiert, riskiert persönliche Haftung — Innenhaftung gegenüber dem Unternehmen, externe Haftung gegenüber Betroffenen und Aufsichtsbehörde.
Aus der Praxis — wie wir das in Hamburg aufsetzen
Wir haben Anfang 2026 mit drei Hamburger Mittelständlern den kompletten AI-Act-Compliance-Aufbau gemacht — ein Logistiker in Wilhelmsburg mit 80 Mitarbeitern, eine Unternehmensberatung in der HafenCity mit 50 Mitarbeitern, ein Maschinenbauer in Bergedorf mit 120 Mitarbeitern. Drei sehr unterschiedliche Profile, dieselbe Methode.
Bei allen dreien fanden wir zwischen fünf und elf KI-Systeme im Unternehmen — die Geschäftsführung schätzte vor der Inventur jeweils zwei bis drei. Beim Logistiker landeten zwei Systeme in Anhang III (Personio-KI für Recruiting, Predictive Maintenance für die Hafenkran-Wartung — Letzteres in einem Sicherheits-Kritis-Kontext). Bei der Beratung war es nur eines (das Lever-KI-Modul für Bewerber-Screening). Beim Maschinenbauer drei (Personio-KI, biometrische Zutrittskontrolle, Predictive Maintenance an der Produktionslinie als potenzielles Sicherheitsbauteil).
Wir dachten ehrlich, wir haben kaum KI. Erst beim Inventar wurde klar, dass unsere HR Personio mit den KI-Modulen nutzt, dass die Produktion eine Lösung hat, die uns Wartungstermine vorschlägt, und dass die Schweißroboter ein eigenes Lern-Modul haben. Die Geschäftsführung war überrascht — und wir waren froh, das nicht erst im August zu merken.
Der Aufwand war bei allen dreien überschaubar: rund 6 bis 12 Wochen vom ersten Workshop bis zur fertigen Dokumentation, mit zwei bis vier Stunden Geschäftsführungszeit pro Woche und 8 bis 15 Stunden externer Unterstützung pro Woche. Kosten: zwischen 12.000 und 25.000 Euro netto einmalig, plus rund 200 bis 400 Euro pro Monat laufende Pflege.
Häufige Einwände — und unsere Antwort
„Wir sind doch nur 30 Mitarbeiter — gilt das wirklich für uns?” Ja. Der AI Act kennt keine Mittelstandsausnahme. Verhältnismäßigkeit bei Bußgeldern ja, Befreiung von Pflichten nein.
„Wir nutzen nur Standardsoftware — die ist doch konform?” Vielleicht. Sie sind als Betreiber trotzdem verpflichtet, die Konformitätserklärung des Anbieters anzufordern und im Hause zu halten. Ohne dieses Dokument können Sie im Audit nicht nachweisen, dass Sie geprüft haben.
„Wir warten erst mal ab, was die Behörde sagt.” Schlechte Idee. Erstens beginnt der Stichtag am 02.08.2026, nicht erst, wenn die Behörde anklopft. Zweitens sind Sie als Geschäftsführung verpflichtet, vorab zu prüfen, nicht reaktiv. Drittens fängt die Aufsichtsbehörde nicht zwingend bei der größten Firma an — gerade KMU sind dankbare Stichproben.
KI-Inventar und Risikoklassifizierung bis August 2026 fertig haben?
Wir machen den Sechs-Schritte-Plan im Festpreis — Workshop, Inventar, FRIA-Vorlagen, Schulungsmodule. 15 Minuten Erstgespräch kostenlos, ohne Vertriebsdruck.
Erstgespräch buchen →Ihr nächster Schritt
Der EU AI Act ist nicht der nächste Compliance-Hype, sondern eine neue Dauerpflicht — und 2026 ist sie zum ersten Mal operativ scharfgestellt. Wer in Hamburg ein KMU führt und KI in HR, Zutrittskontrolle oder Wartung einsetzt, kommt nicht mehr am Inventar vorbei. Wir kombinieren das in unseren Mandaten mit der vorhandenen NIS2 & Compliance-Beratung in Hamburg und der allgemeinen Cybersecurity-Begleitung — das spart Doppelarbeit und schafft eine konsolidierte Governance.
Wer KI strategisch nutzen will, ohne im Compliance-Sumpf zu versinken, kann das mit unserer hagel one ai aufsetzen. Wer als Hamburger IT-Systemhaus einen einzigen Ansprechpartner für Sicherheit, Compliance und KI haben möchte, findet bei uns das ganze Paket im Festpreis.
Der August 2026 kommt — und er kommt schneller, als die meisten Hamburger Geschäftsführer denken. Sechs Monate sind genug, wenn Sie jetzt anfangen.
