EU AI Act für den Mittelstand. Was Sie wirklich tun müssen.
Artikel 4 KI-Kompetenz gilt seit 2. Februar 2025, Artikel 50 zur Kennzeichnung seit 2. August 2026. Die Hochrisiko-Pflichten wurden im Juli 2026 auf Dezember 2027 verschoben. Hier finden Sie, was das konkret für Ihr Büro heißt, branchenspezifisch und in pragmatischer Sprache.
- 1. August 2024 gilt · Art. 113
Die Verordnung ist in Kraft getreten.
- 2. Februar 2025 gilt · Art. 113 Buchst. a
KI-Kompetenz nach Artikel 4 und die Verbote nach Artikel 5 gelten.
- 2. August 2025 gilt · Art. 113 Buchst. b
Regeln für KI-Modelle mit allgemeinem Verwendungszweck, Aufsicht und Sanktionen.
- 27. Juli 2026 gilt · VO (EU) 2026/1744
Änderungsverordnung (EU) 2026/1744 in Kraft, sie verschiebt die Hochrisiko-Pflichten.
- 2. August 2026 gilt · Art. 113
Allgemeiner Geltungsbeginn, darunter die Kennzeichnung nach Artikel 50.
- 2. Dezember 2026 kommt · Art. 111 Abs. 4 n. F., Art. 113 Buchst. a n. F.
Frist für Anbieter von Systemen, die künstliche Inhalte erzeugen und schon vor August 2026 auf dem Markt waren (Kennzeichnung nach Art. 50 Abs. 2), dazu neue Verbote in Artikel 5.
- 2. Dezember 2027 kommt · Art. 113 Buchst. c Ziff. i n. F.
Hochrisiko-Pflichten für Systeme nach Anhang III, darunter Artikel 26 für Betreiber.
- 2. August 2028 kommt · Art. 113 Buchst. c Ziff. ii n. F.
Hochrisiko-Pflichten für Systeme nach Anhang I, etwa in Produkten.
// Die drei wichtigsten Artikel
Was Sie unmittelbar betrifft.
Artikel 4
KI-Kompetenz für Mitarbeitende
Jeder Betreiber von KI-Systemen muss nachweisen, dass die Belegschaft ausreichende KI-Kompetenz besitzt. Pflicht zur Schulung, Dokumentation der Teilnahme, Themenliste angemessen zum Anwendungsfall.
- Wer ist betroffen?
- Jedes Unternehmen, das KI im Tagesgeschäft einsetzt (ChatGPT, Claude, Copilot, branchenspezifische Tools).
- Konkrete Konsequenz
- Bei Datenschutzvorfall fragt die Behörde den Schulungsnachweis ab. Versicherer (D and O, Cyber, Berufshaftpflicht) verlangen ihn zunehmend.
Artikel 26
Betreiber-Pflichten für Hochrisiko-Systeme
Erweiterte Dokumentationspflichten für Betreiber. Aufzeichnungen, Risikomanagement-Prozesse, technische Logs, Mitarbeiter-Unterrichtung gemäß Anbieter-Anweisungen.
- Wer ist betroffen?
- Betreiber von Hochrisiko-KI-Systemen. Für Standard-Büroautomatisierung (E-Mail-Triage, Dokumentenanalyse) gilt aktuell noch keine Einstufung als Hochrisiko, aber die Liste wird laufend erweitert.
- Konkrete Konsequenz
- Bei Verstoß bis zu 15 Mio. EUR oder 3 Prozent des weltweiten Jahresumsatzes. Praktisch eher selektive Durchsetzung im KMU-Bereich.
Artikel 50
Transparenz-Pflicht bei KI-Inhalten
Wenn KI-generierte Texte oder Mediendateien an Endkunden gehen, müssen sie als KI-erzeugt kennzeichenbar sein. Gilt auch für Chatbots im Kundenkontakt.
- Wer ist betroffen?
- Jeder, der KI-Output direkt an Kunden oder Externe sendet (Mail-Triage-Antworten, Chatbot-Dialoge, Vertragsentwürfe an Mandanten).
- Konkrete Konsequenz
- Implementierungspflicht in den Workflow. Häufig durch Default-Disclaimer („Dieser Entwurf wurde von einem KI-Assistenten vorbereitet und vor Versand vom Sachbearbeitenden geprüft") gelöst.
// Branchen-spezifische Wirkung
Was der EU AI Act in Ihrer Branche bedeutet.
// Zum Mitnehmen
Der erste Schritt ist eine Richtlinie, die ins Haus passt.
Sieben Seiten zum Ausfüllen: welche Werkzeuge freigegeben sind, welche Daten nie hineingehören, wer entscheidet, und eine Anwesenheitsliste für den Schulungsnachweis nach Artikel 4. Kostenlos, keine Anmeldung.
// EU AI Act FAQ
Die häufigsten Fragen zur Verordnung.
Was ist der EU AI Act?
Die EU-Verordnung 2024/1689 über Künstliche Intelligenz. Trat im August 2024 in Kraft, gilt schrittweise: Artikel 4 (KI-Kompetenz) seit Februar 2025, Artikel 50 (Transparenz) seit August 2026. Die Betreiber-Pflichten für Hochrisiko-Systeme nach Artikel 26 gelten nach einer Änderung vom Juli 2026 erst ab Dezember 2027 (Anhang III) beziehungsweise August 2028 (Anhang I). Zu den Sanktionen ein wichtiger Hinweis: Artikel 4 ist in Artikel 99 nicht bußgeldbewehrt. Die genannten Summen von bis zu 35 Mio. Euro betreffen die verbotenen Praktiken nach Artikel 5, die bis zu 15 Mio. Euro andere, einzeln aufgezählte Pflichten.
Bin ich von der EU-KI-Verordnung betroffen, wenn ich nur ChatGPT nutze?
Ja. Sie sind Betreiber, sobald Sie KI im Unternehmen produktiv einsetzen, unabhängig davon ob Sie ein Modell trainieren oder nur nutzen. Artikel 4 (KI-Kompetenz-Schulung) gilt für jeden Betreiber ab dem ersten Mitarbeitenden, der KI im Job einsetzt.
Wann tritt der EU AI Act vollständig in Kraft?
Stufenweise. Artikel 4 zur KI-Kompetenz und die verbotenen Praktiken nach Artikel 5 seit 2. Februar 2025. Die Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit 2. August 2025. Artikel 50 (Transparenz) seit 2. August 2026. Hochrisiko-Systeme sind übrigens nicht verboten, sie unterliegen nur besonderen Pflichten. Diese Pflichten, darunter Artikel 26 für Betreiber, gelten nach der Änderungsverordnung (EU) 2026/1744 ab 2. Dezember 2027 für Systeme nach Anhang III und ab 2. August 2028 für Systeme nach Anhang I.
Was kostet ein Verstoß gegen den EU AI Act?
Bis 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes bei Verstößen gegen die KI-Verbote in Artikel 5. Bis 15 Mio. Euro oder 3 Prozent bei sonstigen Verstößen (Betreiber-Pflichten, Transparenz). KMU-Sanktionen werden aktuell selektiv durchgesetzt, aber die Aufsicht baut Kapazitäten auf.
Welche KI-Kompetenz-Schulung erfüllt EU AI Act Artikel 4?
Eine strukturierte Schulung mit Datum, Teilnehmerliste, Dauer, Themen und Materialien, dazu die Dokumentation darüber. „Angemessen für den Anwendungsfall" heißt: zugeschnitten auf das, was im Haus benutzt wird. Eine Liste angesehener Videos reicht nicht. Modul 2 bei Sven Seele ist auf Artikel 4 ausgerichtet, Teilnehmende bekommen eine Teilnahmebescheinigung mit Themenliste.
Brauche ich einen KI-Beauftragten im Unternehmen?
Nicht zwingend. Der EU AI Act schreibt keinen KI-Beauftragten wie der DSGVO den Datenschutzbeauftragten vor. Aber: Sie brauchen organisatorische Zuständigkeit für die KI-Compliance. In der Praxis übernimmt das oft die IT-Leitung oder der Datenschutzbeauftragte zusätzlich.
Sind Hausverwaltungs-KI-Helfer Hochrisiko-Systeme?
Aktuell nicht. Standard-KI-Anwendungen für Büroautomatisierung (E-Mail-Triage, Dokumentenanalyse, Standardantworten) fallen unter Standard-Risiko. Hochrisiko sind nach Anhang III explizit aufgeführte Einsatzbereiche (kritische Infrastruktur, Justiz, Strafverfolgung, etc.). Das gilt analog für Versicherungsmakler und Kanzleien.
Wie dokumentiere ich KI-Einsatz im Unternehmen rechtssicher?
Vier Bausteine. Erstens: Inventar aller eingesetzten KI-Tools mit Zweck und Datenklassifikation. Zweitens: AVV mit dem Anbieter, EU-Hosting bevorzugt. Drittens: Schulungs-Protokoll für Mitarbeitende. Viertens: Audit-Trail aller produktiven KI-Aktionen (Prompt, Output, menschliche Freigabe). Diese vier Bausteine richte ich in einem Piloten mit ein. Ob Ihre Dokumentation im Ernstfall genügt, hängt daran, was Sie sonst noch einsetzen.
// Bereit für den ersten Schritt?