EU AI Act für den Mittelstand 2026: Pflichten, Risikoklassen, Strafen

Der EU AI Act ist da — und der August 2026 ist der Stichtag, an dem es für mittelständische Unternehmen ernst wird. Ab dann gelten die Pflichten für Hochrisiko-KI-Systeme. Wer in Hamburg oder Norddeutschland KI einsetzt — Copilot, ChatGPT Business, Power Automate AI oder lokale LLMs — sollte spätestens jetzt prüfen, wo sein Einsatz hinfällt und welche Pflichten daraus folgen. Dieser Leitfaden bringt Geschäftsführer auf den aktuellen Stand 2026, erklärt die vier Risikoklassen, die Bußgelder und liefert eine pragmatische 5-Schritte-Compliance-Roadmap.

Inhalt in Kürze

• Stichtag 2. August 2026: Hochrisiko-KI-Pflichten nach Anhang III greifen — Recruiting, Kreditprüfung, Bildung, kritische Infrastruktur
• Vier Risikoklassen bestimmen die Pflichten: Unacceptable (verboten), High, Limited, Minimal
• AI Literacy seit Februar 2025 für alle Unternehmen mit KI-Einsatz Pflicht (Artikel 4)
• Bußgelder bis 35 Mio. € oder 7 Prozent des weltweiten Umsatzes — orientiert an der DSGVO
• Mittelstand-Realität: Copilot, ChatGPT, Power Automate AI sind meist Limited Risk — kritisch wird es bei Recruiting-KI und Entscheidungsautomatisierung
• Compliance-Roadmap in 5 Schritten — von der Inventur über die Risikoklassifizierung bis zur AI-Governance

Was ist der EU AI Act?

Der EU AI Act — offiziell Verordnung (EU) 2024/1689 — ist das weltweit erste umfassende Gesetz zur Regulierung Künstlicher Intelligenz. Er trat am 1. August 2024 in Kraft, wird aber gestaffelt anwendbar. Zweck ist ein einheitlicher Rechtsrahmen für die Entwicklung, das Inverkehrbringen und die Nutzung von KI-Systemen in der EU. Anders als die DSGVO, die personenbezogene Daten schützt, reguliert der AI Act die KI-Systeme selbst — unabhängig davon, ob personenbezogene Daten im Spiel sind.

Der Gesetzgeber verfolgt einen risikobasierten Ansatz: Je gefährlicher ein KI-System für Grundrechte, Sicherheit oder Demokratie sein könnte, desto strenger die Pflichten. KI im Spiele-Filter Ihrer Bürokaffeemaschine? Egal. KI, die entscheidet, wer einen Kredit bekommt oder zum Vorstellungsgespräch eingeladen wird? Strengstens reguliert.

Die Zeitachse der Anwendbarkeit ist gestaffelt — und genau hier passieren die meisten Missverständnisse. Viele Unternehmen denken: „Bis 2027 habe ich Zeit.” Stimmt nicht. Mehrere Pflichten gelten bereits jetzt. Andere greifen im August 2026. Die volle Anwendbarkeit kommt erst im August 2027.

Stichtage 2024 bis 2027:

• 1. August 2024: Inkrafttreten der Verordnung
• 2. Februar 2025: Verbote der inakzeptablen KI-Praktiken (Artikel 5) + AI Literacy (Artikel 4) sind verbindlich
• 2. August 2025: Pflichten für General-Purpose AI Models (GPAI) greifen — betrifft OpenAI, Anthropic, Google, Meta als Anbieter
• 2. August 2026: Pflichten für Hochrisiko-KI nach Anhang III + Governance- und Strafregeln werden anwendbar
• 2. August 2027: Vollständige Anwendbarkeit, inkl. Hochrisiko-KI in Produktsicherheitsbereichen (Anhang I)

Den vollständigen Verordnungstext finden Sie auf eur-lex.europa.eu{:rel=“noopener nofollow” target=“_blank”} unter Verordnung (EU) 2024/1689. Eine FAQ-Seite mit Code of Practice und Umsetzungshilfen pflegt die EU-Kommission unter digital-strategy.ec.europa.eu{:rel=“noopener nofollow” target=“_blank”}.

Die 4 Risikoklassen 2026

Das Herzstück des AI Act ist die Klassifizierung in vier Risikostufen. Jede Stufe zieht ein eigenes Pflichtenset nach sich. Wer als Geschäftsführer wissen will, was auf ihn zukommt, muss zuerst seine KI-Systeme in diese Klassen einordnen.

Unacceptable Risk — das sind die roten Linien. Diese KI-Anwendungen sind in der EU schlicht verboten. Konkret: Sie dürfen kein System einsetzen, das das Verhalten von Personen über unterschwellige Techniken manipuliert (Artikel 5 Abs. 1 lit. a). Sie dürfen keine soziale Bewertung von Personen durch öffentliche Stellen vornehmen. Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen ist tabu — mit Ausnahmen für medizinische oder Sicherheitszwecke. Auch das biometrische Kategorisieren nach sensiblen Merkmalen (Religion, politische Überzeugung, sexuelle Orientierung) ist verboten.

High Risk — hier wird es für den Mittelstand relevant. Anhang III listet acht Bereiche, in denen KI als Hochrisiko gilt: Biometrie, kritische Infrastruktur, allgemeine und berufliche Bildung, Beschäftigung und Personalmanagement, Zugang zu wesentlichen privaten und öffentlichen Diensten, Strafverfolgung, Migration und Asyl, Justiz und demokratische Prozesse. Praxisbeispiel: Wer ein KI-Tool nutzt, das Bewerbungen scrennt oder Kandidaten rankt, fällt in Anhang III. Wer KI für die Leistungsbewertung von Mitarbeitenden einsetzt, ebenfalls. Wer eine KI nutzt, die entscheidet, ob ein Kunde einen Kredit oder eine Versicherung bekommt — Hochrisiko.

Limited Risk — Transparenzpflichten. Wer einen KI-Chatbot auf seiner Website einsetzt, muss Nutzer darüber informieren, dass sie mit einer KI sprechen. Wer KI-generierte Bilder oder Texte veröffentlicht, muss diese als „KI-erzeugt” kennzeichnen. Deepfakes sind besonders heikel — die Kennzeichnungspflicht ist hier streng. Für die meisten Mittelständler heißt das: Bei Chatbots auf Hinweis achten, bei KI-generierten Social-Media-Inhalten kennzeichnen.

Minimal Risk — praktisch alle übrigen KI-Anwendungen. Spamfilter, KI-Empfehlungen, KI-Übersetzungen, Routing-Algorithmen. Hier gibt es keine spezifischen AI-Act-Pflichten — bis auf eine: AI Literacy nach Artikel 4 gilt für jeden Einsatz von KI im Unternehmen, also auch hier.

Welche Pflichten ab August 2026 für den Mittelstand?

Der Stichtag 2. August 2026 trifft den Mittelstand vor allem über drei Pflichtenpakete: Hochrisiko-Pflichten (sofern relevant), AI Literacy (gilt seit Februar 2025, wird verschärft durchgesetzt) und Transparenzpflichten für Limited Risk.

Wenn Sie Anbieter sind — also selbst ein KI-System entwickeln oder unter Ihrem Namen verkaufen — und das System Hochrisiko ist:

1. Risikomanagementsystem einrichten. Über den gesamten Lebenszyklus des KI-Systems. Risiken identifizieren, bewerten, mindern, dokumentieren. Kein einmaliges Projekt, sondern fortlaufender Prozess.
2. Datenqualität sicherstellen. Trainings-, Validierungs- und Testdaten müssen relevant, repräsentativ, fehlerfrei und vollständig sein. Bias-Tests dokumentieren. Datenschutzaspekte berücksichtigen.
3. Technische Dokumentation nach Anhang IV. Architektur, Trainingsverfahren, Leistung, Genauigkeit, Robustheit. Diese Doku muss jederzeit für Aufsichtsbehörden bereitliegen.
4. Logs aufbewahren. Automatische Aufzeichnungen über die Lebensdauer des Systems — mindestens 6 Monate, oft länger. Zweck: Nachvollziehbarkeit von Entscheidungen.
5. Menschliche Aufsicht ermöglichen. Das System muss so gestaltet sein, dass ein Mensch eingreifen kann. Override-Funktion, klare Verantwortlichkeiten, Schulung.
6. Genauigkeit, Robustheit, Cybersicherheit. Das System muss präzise, ausfallsicher und gegen Angriffe geschützt sein. Inklusive Schutz vor Data Poisoning und Model Theft.
7. Konformitätsbewertung und CE-Kennzeichnung. Vor Inverkehrbringen. EU-Konformitätserklärung erstellen, in EU-Datenbank für Hochrisiko-KI eintragen.

Wenn Sie Betreiber sind — und das werden die meisten Mittelständler in Hamburg sein —, und Hochrisiko-KI einsetzen:

• Anweisungen des Anbieters befolgen. Sie müssen die Gebrauchsanleitung des KI-Anbieters lesen und einhalten. Klingt trivial, ist es aber nicht — die Anleitungen werden umfangreich.
• Menschliche Aufsicht sicherstellen. Eine konkrete Person mit Kompetenz und Autorität muss das System überwachen. Nicht delegierbar an „den Praktikanten nebenbei".
• Inputdaten kontrollieren. Daten, die Sie ins System eingeben, müssen für den Zweck geeignet und repräsentativ sein. Bei Bewerbungsdaten heißt das: keine diskriminierenden Filter.
• Betroffene informieren. Wenn Hochrisiko-KI Entscheidungen über Personen trifft (Bewerber, Kunden, Mitarbeiter), müssen diese Personen das wissen — und ggf. das Recht auf Erklärung haben.
• Logs aufbewahren. Mindestens 6 Monate, in vielen Fällen länger. Sie müssen nachweisen können, was das System wann gemacht hat.
• Datenschutz-Folgenabschätzung (DSFA) erweitern. Zusätzlich zur DSGVO-DSFA verlangt der AI Act bei bestimmten Hochrisiko-Anwendungen eine eigene Fundamental Rights Impact Assessment (FRIA).
• Vorfälle melden. Schwerwiegende Vorfälle (Fehlentscheidungen mit erheblichen Folgen, Datenlecks aus KI-Systemen) sind binnen 15 Tagen an die zuständige Aufsichtsbehörde zu melden.

Für alle — auch bei Limited und Minimal Risk:

• AI Literacy (Artikel 4): Sie müssen sicherstellen, dass Ihre Mitarbeitenden, die mit KI arbeiten, ein angemessenes Verständnis haben. Pflicht seit Februar 2025. Dokumentation der Schulungen empfohlen.
• Transparenz bei Limited Risk: Chatbot-Hinweise, Deepfake-Kennzeichnung, Kennzeichnung KI-generierter Inhalte.

Mittelstands-Realität: Welche KI-Tools fallen wohin?

Theorie ist das eine — die konkrete Frage „Was bedeutet das für meinen Copilot?” das andere. Hier eine pragmatische Einordnung der KI-Tools, die in der Hamburger Mittelstandspraxis am häufigsten auftauchen.

Microsoft Copilot (Microsoft 365 Copilot, Copilot für Excel/Word/Outlook): Im Standardeinsatz Limited Risk. Mitarbeitende schreiben Texte, fassen Mails zusammen, erstellen Präsentationen. Pflichten: AI Literacy schulen, intern transparent machen, dass Copilot eingesetzt wird, KI-generierte Inhalte ggf. kennzeichnen. Microsoft als Anbieter des zugrundeliegenden GPAI-Modells erfüllt die GPAI-Pflichten seit August 2025. Wer tiefer einsteigen will, findet praktische Anwendungsfälle in unserem Beitrag 4 Möglichkeiten für kleine Unternehmen, Copilot für Microsoft 365 zu nutzen{:title=“Konkrete Copilot-Einsatzszenarien für KMU — von Mail-Zusammenfassung bis Excel-Auswertung”}.

ChatGPT Business / ChatGPT Enterprise: Wie Copilot in den meisten Fällen Limited Risk. Wichtig: Die Business- und Enterprise-Versionen sind die DSGVO-konformere Variante — Daten werden nicht für Modelltraining genutzt, EU-Hosting möglich. AI Act ändert daran nichts, aber der saubere DSGVO-Vertrag erleichtert die Compliance erheblich. Pflichten: AI Literacy, Transparenz, ggf. Kennzeichnung.

Power Automate AI / Power Platform AI Builder: Hängt vom Anwendungsfall ab. Workflow-Automatisierung („KI extrahiert Rechnungsdaten aus PDFs”) ist meist Limited oder Minimal Risk. Sobald die KI aber autonom Entscheidungen über Personen trifft (Genehmigung von Anträgen, Klassifizierung von Kunden), kann es Richtung Hochrisiko gehen. Beispiel für sauberen Einsatz: KI extrahiert, Mensch genehmigt — bleibt Limited Risk.

Lokale LLMs (Llama 3.3, Qwen, Mistral) on-premise: Das eingesetzte Modell selbst ist neutral. Risikoklasse bestimmt sich am Anwendungsfall, nicht am Modell. Vorteil lokaler Modelle: Sie sind selbst die datenverarbeitende Stelle, keine Drittlandsübermittlung in die USA. Das vereinfacht DSGVO-Themen erheblich und gibt Ihnen Kontrolle über Logs und Updates — was die AI-Act-Dokumentation erleichtert. Nachteil: technischer Aufwand. Wer das ernsthaft prüft, sollte vorab unsere KI-Entscheidungsfindung 2026{:title=“Wann KI-gestützte Entscheidungsfindung für Geschäftsführer sinnvoll ist — Use Cases und Grenzen”} lesen.

KI-Recruiting-Tools (Personio Smart Match, HireVue, Eightfold etc.): Klassisches Hochrisiko-Beispiel nach Anhang III. Wer solche Tools einsetzt, muss ab August 2026 die volle Betreiberpflicht erfüllen: menschliche Aufsicht, Folgenabschätzung, Bewerber-Information, Logs, Anbieter-Anweisungen befolgen. Empfehlung: vor einem Kauf prüfen, ob der Anbieter CE-Konformität nachweisen kann.

KI-Buchhaltung (DATEV Smart, sevDesk KI, Lexware AI): Meist Limited Risk, weil die KI Vorschläge macht und ein Mensch genehmigt. Kritisch wird es nur, wenn die KI ohne menschliche Aufsicht final entscheidet — das ist in der Buchhaltung praktisch nie der Fall.

KI-Chatbots auf der eigenen Website: Limited Risk. Pflicht: deutlicher Hinweis, dass es sich um einen Bot handelt. Wer den Chatbot zusätzlich für Kreditprüfung oder Vertragsabschluss nutzt, kann in Hochrisiko rutschen.

KI-Bildgenerierung (DALL-E, Midjourney, Stable Diffusion): Limited Risk mit Transparenzpflicht. KI-generierte Bilder müssen erkennbar sein — etwa durch Metadaten, sichtbare Kennzeichnung oder Hinweis im Begleittext.

Die meisten Mittelständler in Hamburg, die wir betreuen, haben 5 bis 15 KI-Tools im Einsatz — und 90 Prozent davon sind harmlos. Das eine kritische Tool — meist ein Recruiting-Helper oder eine Bonitätsprüfung — finden wir in einer Stunde. Genau dort muss dann sauber dokumentiert werden, nicht überall.

Jens HagelGeschäftsführer, hagel IT-Services GmbH

Bußgelder und Haftung

Die Bußgelder orientieren sich an der DSGVO und sind in drei Stufen organisiert. Anders als die DSGVO unterscheidet der AI Act allerdings stärker nach Schwere des Verstoßes.

Stufe 1 — Verbotene KI (Artikel 5): Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes des Vorjahres — je nachdem, was höher ist. Diese Stufe greift, wenn Sie eine verbotene KI-Anwendung einsetzen oder anbieten. Praxisrelevanz für den Mittelstand: gering, weil verbotene Praktiken (Social Scoring, Emotionserkennung am Arbeitsplatz) selten sind. Aber: Wer Kameras mit Emotionserkennung in Großraumbüros einsetzt, ist in der gefährlichen Zone.

Stufe 2 — Verstöße gegen Pflichten für Anbieter und Betreiber: Bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Hier landen die meisten realistischen Verstöße: fehlende Dokumentation bei Hochrisiko-KI, keine menschliche Aufsicht, Verletzung der Transparenzpflicht, fehlende AI Literacy bei Mitarbeitenden, kein Risikomanagement.

Stufe 3 — Falsche oder unvollständige Informationen an Behörden: Bis zu 7,5 Millionen Euro oder 1 Prozent des weltweiten Jahresumsatzes. Greift, wenn Sie auf Anfrage der Aufsichtsbehörde lückenhafte oder unzutreffende Auskünfte geben.

Aufsichtsbehörde in Deutschland: Stand Mai 2026 wird voraussichtlich die Bundesnetzagentur die zentrale Aufsicht übernehmen. Daneben behalten BSI (für IT-Sicherheitsaspekte), BfDI (für DSGVO-Schnittstellen) und Marktüberwachungsbehörden der Länder eigene Zuständigkeiten. Die finale Behördenstruktur klärt das deutsche Umsetzungsgesetz, das bis August 2026 vorliegen muss.

Haftung der Geschäftsführung: Anders als bei NIS-2 ist die persönliche Haftung der Geschäftsführer im AI Act nicht direkt geregelt. Aber: Wer als Geschäftsführer KI einsetzt und gegen den AI Act verstößt, riskiert Schadensersatzforderungen geschädigter Personen (Bewerber, Kunden), Bußgelder gegen das Unternehmen — und in Extremfällen organisationale Haftung nach § 130 OWiG, wenn Aufsichtspflichten vernachlässigt wurden. Wer KI als Geschäftsführer einsetzt und nicht dokumentiert, dass er sich gekümmert hat, hat ein Problem.

Compliance-Roadmap in 5 Schritten

Statt in Panik zu verfallen, hilft ein pragmatischer Fahrplan. Diese fünf Schritte führen den Mittelständler bis August 2026 ans Ziel — ohne Großkonzern-Aufwand. Wer parallel den produktiven Einsatz von Copilot, ChatGPT & Co. sauber aufsetzen will, findet die Geschäftsführer-Sicht im Praxis-Leitfaden KI im Mittelstand 2026.

1. KI-Inventur durchführen. Wer nutzt welche KI wofür? Liste aller Tools, Anwendungsfälle, beteiligten Daten, eingebundenen Mitarbeitenden. Schatten-KI nicht vergessen: ChatGPT-Privataccounts, kostenlose Browser-Plug-ins, KI-Funktionen in bestehenden SaaS-Tools.
2. Risikoklassifizierung. Jede KI-Anwendung den 4 Risikoklassen zuordnen. Bei Unsicherheit lieber höher klassifizieren als zu niedrig. Hochrisiko-Anwendungen markieren — das sind Ihre Sorgenkinder.
3. AI Literacy umsetzen. 2-stündige Schulung für alle KI-Nutzer (Basics: Funktionsweise, Grenzen, Datenschutz, Bias, sicherer Umgang). Dokumentation der Teilnahme. Wiederholung mindestens jährlich. Integration in bestehende Awareness-Programme (Phishing, NIS-2, DSGVO).
4. Hochrisiko-KI sauber dokumentieren. Für jede Hochrisiko-Anwendung: technische Dokumentation, menschliche Aufsicht definieren, Folgenabschätzung durchführen, Betroffene informieren, Logs einrichten, Anbieter-Konformität prüfen. Hier liegt der Hauptaufwand — aber nur für die wenigen kritischen Anwendungen.
5. AI Governance etablieren. Verantwortliche Person benennen (oft kombiniert mit Datenschutz- und Informationssicherheitsbeauftragten). Prozess für die Einführung neuer KI-Tools (Risikobewertung vor Roll-out). Prozess für Vorfälle und Meldungen. Jährlicher Review.

Realistischer Zeitbedarf für einen Mittelständler mit 30-50 Mitarbeitern:

• Inventur + Klassifizierung: 2-4 Tage (intern oder mit externer Begleitung)
• AI Literacy einführen: 4 Wochen für Schulungskonzept + Roll-out
• Hochrisiko-Dokumentation: 5-10 Personentage pro Anwendung (oft externe Unterstützung)
• Governance aufsetzen: 1-2 Wochen für Prozesse und Rollen

Wer im Mai 2026 anfängt, ist bis August 2026 fertig — ohne Hektik. Wer im Juli 2026 anfängt, lebt eine Weile im Risiko.

Aus der Hamburger Praxis

In Gesprächen mit Geschäftsführern in Hamburg und Umland kristallisieren sich vier typische Ausgangslagen heraus.

Der vorsichtige Skeptiker. Bisher noch kein KI-Einsatz. Hat Berührungsängste wegen Datenschutz und Compliance. Empfehlung: Mit kontrollierten Pilotanwendungen starten (Copilot in der Buchhaltung, ChatGPT für Marketing-Texte). AI Literacy aufbauen, parallel Governance entwickeln. So entsteht Sicherheit ohne Stillstand.

Der heimliche Anwender. KI ist bereits im Einsatz — aber dezentral und undokumentiert. Mitarbeitende nutzen ChatGPT privat im Browser, Marketing experimentiert mit Midjourney, der Vertrieb hat sich eine KI-Lead-Bewertung gebaut. Risiko: unkontrollierte Schatten-IT. Empfehlung: Inventur, klare Richtlinien, freigegebene Werkzeuge, AI Literacy.

Der ambitionierte Optimierer. KI ist Teil der Strategie. Copilot überall, eigene RAG-Anwendung mit den Firmenbestandsdaten, Power Automate AI für Workflows. Aber: Dokumentation hinkt hinterher, Hochrisiko-Anwendungen sind nicht sauber klassifiziert. Empfehlung: AI-Act-Audit, Hochrisiko-Anwendungen identifizieren, sauber dokumentieren, Governance verfestigen.

Der ungewollte Hochrisiko-Anwender. Setzt KI im Recruiting oder in der Kundenbewertung ein, oft ohne zu wissen, dass das Hochrisiko nach Anhang III ist. Hier ist der Handlungsdruck am höchsten — bis August 2026 muss die Dokumentation stehen, sonst drohen Bußgelder.

In allen vier Konstellationen ist die Lösung dieselbe: Erst Klarheit schaffen, dann handeln. Wer ein verlässliches IT-Fundament hat — etwa über einen Managed-IT-Vertrag{:title=“Managed IT Hamburg — IT-Betrieb zum Festpreis mit Monitoring, Patch-Management und Helpdesk”} — bekommt die meisten technischen Voraussetzungen (Logging, Identitätsmanagement, Patch-Stand, Backup) schon mitgeliefert. Was bleibt, sind Klassifizierung, Dokumentation und Governance — und genau das deckt eine fokussierte AI-Act-Beratung{:title=“Co-Managed IT — externe IT-Expertise als Ergänzung zum internen IT-Team”} ab.

Die meisten Mittelständler unterschätzen den AI Act, weil das Wort „Künstliche Intelligenz" so groß klingt. In der Praxis ist es ein überschaubares Compliance-Thema — wenn man früh anfängt und sich nicht von Anhang III erschlagen lässt. Wer im Mai 2026 startet, ist im August fertig.

Jens HagelGeschäftsführer, hagel IT-Services GmbH

Wie sich AI Act, NIS-2 und DSGVO ergänzen

Drei Regelwerke, eine integrierte Compliance — so lautet die pragmatische Antwort für den Mittelstand. Die drei Verordnungen überlappen in vielen Punkten, aber jede setzt einen anderen Schwerpunkt.

DSGVO schützt personenbezogene Daten. Greift, sobald KI mit Namen, Mails, Bewerberinformationen, Kundendaten arbeitet. Pflichten: Rechtsgrundlage, Zweckbindung, Datenminimierung, Betroffenenrechte, Datenschutz-Folgenabschätzung. Wer KI nutzt, braucht praktisch immer einen sauberen DSGVO-Rahmen.

NIS-2 schützt die Sicherheit von Netz- und Informationssystemen in kritischen Sektoren und im Mittelstand. Greift bei Cybersicherheit, Risikomanagement, Incident Response, Lieferkettensicherheit. KI-Systeme sind Teil der zu schützenden IT — wer NIS-2 umsetzt, schützt automatisch auch seine KI-Infrastruktur. Details und Praxisleitfaden in der NIS-2 Beratung Hamburg{:title=“NIS-2 Beratung Hamburg — Compliance-Beratung mit Festpreis, Geschäftsführer-Schulung und Audit-Vorbereitung”}.

AI Act schützt vor Risiken der KI selbst. Greift unabhängig davon, ob personenbezogene Daten betroffen sind. Pflichten: Risikoklassifizierung, Dokumentation, menschliche Aufsicht, Transparenz, AI Literacy. Wer alle drei Regelwerke einzeln aufzieht, vergeudet Ressourcen.

Was Sie diese Woche tun sollten

Sie haben den Artikel bis hierher gelesen. Konkret nächste Schritte:

1. Diese Woche: KI-Inventur intern starten. Fragen Sie Geschäftsführungsteam, IT, Marketing, Personal: „Welche KI nutzt ihr aktuell?” Erste Liste in 1-2 Stunden möglich.
2. In den nächsten 4 Wochen: Risikoklassifizierung. Welche der gelisteten Anwendungen sind Hochrisiko nach Anhang III? Bei Unsicherheit Rat einholen.
3. Bis Juli 2026: AI Literacy schulen, Hochrisiko-Anwendungen dokumentieren, Governance etablieren.
4. August 2026: Compliant sein — und mit ruhigem Gewissen weiter KI einsetzen.

Offizielle Quellen und Lesetipps

• EU-Verordnungstext: eur-lex.europa.eu/eli/reg/2024/1689{:rel=“noopener nofollow” target=“_blank”} — Verordnung (EU) 2024/1689 im Volltext.
• EU-Kommission Übersicht: digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai{:rel=“noopener nofollow” target=“_blank”} — FAQ, Zeitplan, Code of Practice.
• BSI Orientierung: bsi.bund.de{:rel=“noopener nofollow” target=“_blank”} — KI-Sicherheit, Verzahnung mit NIS-2.
• Bitkom Leitfaden EU AI Act: bitkom.org{:rel=“noopener nofollow” target=“_blank”} — praxisnah und KMU-tauglich.
• DIHK-Stellungnahme: dihk.de{:rel=“noopener nofollow” target=“_blank”} — Mittelstandsperspektive, Umsetzungshilfen.
• AI Pact der EU-Kommission: Freiwillige Selbstverpflichtungen und Best Practices der Industrie.

Wer tiefer in KI-Themen einsteigen will, findet weiterführende Beiträge in unserem Blog: KI deaktivieren in Windows 11, Edge & Chrome{:title=“Anleitung zum gezielten Deaktivieren von KI-Funktionen in Microsoft- und Google-Produkten”} (für alle, die selektiv aussteigen wollen), KI und Big Data im Mittelstand{:title=“KI und Big Data im Mittelstand — Datenstrategie, Tools und realistische Use Cases”} (für Datenstrategie) und KI-gestützte Kundenanalyse für KMU 2026{:title=“KI-Kundenanalyse für KMU — Tools, Datenschutz, konkrete Vorgehensweise”} (für Vertrieb).

Ihr nächster Schritt

Sie wissen jetzt, wohin Ihre KI-Tools fallen — oder zumindest, wo Sie genauer hinschauen müssen. Was fehlt, ist die Hand am Steuer.

Sprechen Sie mit uns. 15 Minuten, kostenlos, ohne Vertriebsdruck. Wir schauen mit Ihnen auf Ihre KI-Landschaft und sagen Ihnen ehrlich: Wo sind Sie schon AI-Act-konform? Wo nicht? Was sind die nächsten 3 Schritte?

Wir sind seit über 20 Jahren IT-Dienstleister in Hamburg. Wir kennen die Realität mittelständischer Geschäftsführung — und wir bauen Compliance-Lösungen, die in Ihren Alltag passen. Keine Großkonzern-Bürokratie, sondern pragmatische Umsetzung mit Festpreis.

Ein kurzer Anruf reicht. Wir freuen uns auf Ihre Nachricht.