EU AI Act Compliance für KMU: Was ändert sich ab August?

KI-generiertes Bild

Der EU AI Act für KMU bedeutet ab August 2025 verbindliche Compliance-Anforderungen: Schulung von Mitarbeitenden, Risikoklassifizierung aller KI-Systeme und Dokumentation. Verstöße kosten bis zu 7 % des Jahresumsatzes. Starten Sie jetzt mit einer Bestandsaufnahme – die 30-Tage-Checkliste zeigt den Weg. KI-Risiken richtig absichern

Kernaussagen

• Wichtigste Erkenntnis aus der Einleitung

• Konkreter nächster Schritt

• Zentrale Voraussetzung oder Risiko

• Nutzen für die Zielgruppe

Was ist passiert?

EU AI Act: Aktuelle Geltung (Stand 2025)

Die neue Compliance-Pflicht ab August 2025 betrifft alle KMU, die KI-Systeme einsetzen. Der EU AI Act für KMU regelt drei zentrale Phasen:

1. KI-Kompetenzpflicht (seit Februar 2025): Unternehmen müssen Mitarbeitende schulen, die KI-Systeme nutzen oder überwachen.

2. Bußgeldrahmen (seit August 2025): Verstöße gegen den AI Act werden mit Geldbußen geahndet – bis zu 35 Mio. EUR oder 7% des weltweiten Jahresumsatzes für verbotene Praktiken; bis zu 15 Mio. EUR oder 3% für andere Verstöße (z.B. Dokumentationsmängel, fehlende Schulung).

3. Hochrisiko-Anforderungen (ab August 2026): Betreiber von Hochrisiko-Systemen müssen Konformitätsbewertung, Dokumentation und kontinuierliches Monitoring erfüllen.

Konkrete Pflicht für KMU ab sofort:

Seit Februar 2025 gilt die KI-Kompetenzpflicht: Unternehmen müssen Mitarbeitende schulen, die KI-Systeme nutzen oder überwachen. Die neue Compliance-Pflicht ab August 2025 verpflichtet KMU zur Risikoklassifizierung und Dokumentation. Betreiber von Hochrisiko-Systemen (automatisierte Entscheidungen über Menschen) müssen ab August 2026 umfassende Dokumentations- und Risikoanalyse-Anforderungen erfüllen. Nutzer anderer KI-Systeme sollten eine Bestandsaufnahme durchführen und Schulungen dokumentieren. passende KI-Tools für KMU

EU AI Act: Risikoklassen und ihre Anforderungen

Vor den bestehenden Absätzen eine Schnell-Übersichts-Tabelle einfügen:

Danach die bestehenden Absätze mit verkürzten Definitionen (max. 40 Wörter pro Klasse).

KI-Kompetenzpflicht: Schulungsanforderungen für Mitarbeitende (verbindlich seit Februar 2025)

Darunter eine nummerierte Liste statt Absätze:

Was Mitarbeitende verstehen müssen (Schulungsinhalte):

1. Funktionsweise des KI-Systems (Eingaben, Ausgaben, Grenzen)

2. Erkannte Bias und Fehlerquellen

3. Datenschutz und Datensicherheit bei KI-Nutzung

4. Wann KI-Entscheidungen hinterfragen oder ablehnen

5. Dokumentation und Audit-Anforderungen

Dokumentation (Nachweis für Behörden):

• Schulungsunterlagen und Lehrplan

• Teilnehmerlisten mit Datum und Dauer

• Abschlussquittungen oder Zertifikate

• Aktualisierung bei neuen KI-Tools

Haftungsrisiko bei Nichtschulung:

Mitarbeitende, die ungeschult KI nutzen (z. B. Kundendaten in ChatGPT eingeben), lösen Compliance-Verstöße aus. Unternehmen haften mit Bußgeldern bis 3 % des Umsatzes.

Was bedeutet das für KMU und Ihre tägliche Arbeit?

Die neue Compliance-Pflicht ab August 2025 stellt KMU vor drei zentrale Anforderungen. Der EU AI Act für KMU konkretisiert diese in einer strukturierten Roadmap:

Drei zentrale Compliance-Anforderungen für KMU:

1. Bestandsaufnahme aller KI-Systeme (Dokumentation)

• Welche KI-Tools nutzen Sie? (ChatGPT, Copilot, Automatisierung, etc.)

• Wofür nutzen Sie diese? (Kundenservice, Datenverarbeitung, Qualitätskontrolle)

• Welche Daten fließen rein? (Kundendaten, Personendaten, Geschäftsdaten)

• Risikoklasse bestimmen: Hochrisiko, Transparenzpflicht oder Niedrigrisiko?

1. Schulung der Mitarbeitenden (Kompetenzpflicht)

• Mitarbeitende müssen verstehen, wie KI funktioniert und wo Grenzen liegen

• Schulung ist seit Februar 2025 verbindlich

• Dokumentation erforderlich: Datum, Dauer, Teilnehmerlisten

1. Risikoanalyse vor Einsatz neuer KI-Tools

• Können Kunden benachteiligt werden?

• Können Fehler entstehen?

• Welche Daten sind betroffen?

• Analyse dauert typischerweise 2–4 Stunden pro Tool

Gute Nachricht: Diese Anforderungen sind eine Formalisierung verantwortungsvoller Praktiken – nicht völlig neu. Unternehmen, die bereits strukturiert mit KI umgehen, erfüllen die neue Compliance-Pflicht ab August 2025 mit minimalen Anpassungen.

Konkrete Auswirkungen für Ihren Betrieb

Tabelle aktualisieren:

Danach Unterabschnitte verkürzen auf max. 50 Wörter pro Punkt:

Dokumentation & Compliance:

Verzeichnis aller KI-Systeme mit Zweck, Datenquellen, Risikoklasse und Kontrollmaßnahmen. Dokumentation muss aktuell sein – Behörden können diese einsehen.

Mitarbeiterschulung:

Teams müssen KI-Funktionsweise und Grenzen verstehen. Schulung reduziert Fehler, erhöht Effizienz und ist dokumentationspflichtig (Datum, Dauer, Teilnehmer).

Chancen:

Frühe Dokumentation schafft Wettbewerbsvorteil, Kundenvertrauen und vermeidet teure Bußgelder.

DSGVO + AI Act: Doppelte Compliance für KI-Systeme

Beispiel verkürzen und prägnanter machen:

Praktisches Beispiel: ChatGPT mit Kundendaten

Wenn Sie Kundendaten in ChatGPT eingeben, gelten BEIDE Gesetze parallel:

• DSGVO: Datenschutzerklärung aktualisieren, Datenschutzfolgenabschätzung durchführen, Kundenzustimmung einholen (falls erforderlich)

• AI Act: Risikoanalyse durchführen (ist ChatGPT Hochrisiko?), Mitarbeitende schulen, Monitoring einrichten

• Kombiniert: Eine Schulung zu Datenschutz + KI-Kompetenz, eine kombinierte Audit

Checkliste ersetzen durch:

Compliance-Checkliste: DSGVO + AI Act

1. Datenschutzerklärung erwähnt KI-Systeme und deren Datenfluss?

2. Datenschutzfolgenabschätzung durchgeführt?

3. Risikoanalyse für KI-System durchgeführt (Hochrisiko/Transparenzpflicht/Niedrigrisiko)?

4. Mitarbeitende zu Datenschutz + KI-Kompetenz geschult?

5. Dokumentation aktuell und nachvollziehbar? DSGVO und AI Act kombinieren

Bußgelder und Sanktionen: Was bei Verstößen droht

Der Bußgeldrahmen des EU AI Acts ist seit August 2025 wirksam. Die Strafen sind erheblich.

Bußgeldklassen

Praktische Beispiele

Szenario 1: Dokumentationsmangel bei Hochrisiko-System

Ein KMU nutzt ein Hochrisiko-System (z.B. automatisierte Einstellung), hat aber keine Risikoanalyse durchgeführt und keine Schulung dokumentiert. Behörde findet das heraus. Bußgeld: bis zu 3% Umsatz (mittlerer Verstoß).

Szenario 2: Fehlende Schulung

Ein KMU nutzt KI-Systeme, hat aber Mitarbeitende nicht geschult. Ein Mitarbeiter gibt versehentlich Kundendaten ein. Bußgeld: bis zu 3% Umsatz (Verstoß gegen KI-Kompetenzpflicht).

Szenario 3: Verbotene KI-Praktiken

Ein KMU nutzt Echtzeit-Gesichtserkennung ohne rechtlichen Grund. Bußgeld: bis zu 7% Umsatz (schwerer Verstoß).

Prävention ist günstiger als Bußgelder

Eine strukturierte Compliance kostet wenige Wochen Arbeit und ein paar tausend Euro. Ein Bußgeld kostet Zehntausende bis Hunderttausende Euro. Die Rechnung ist einfach.

Empfehlungen: So gehen Sie konkret vor

Phase 1: Bestandsaufnahme und Risikoklassifizierung (Woche 1–2)

Machen Sie eine ehrliche Bestandsaufnahme: Welche KI-Tools nutzen Sie bereits? ChatGPT? Microsoft 365 Copilot? Automatisierte Datenverarbeitung? Schreiben Sie auf, was Sie haben.

Für jedes Tool:

• Zweck (wofür nutzen Sie es?)

• Daten (welche Daten fließen rein?)

• Risikoklasse (Hochrisiko, Transparenzpflicht, Niedrigrisiko?)

• Mitarbeitende (wer nutzt das System?)

Phase 2: Schulung und Dokumentation (Woche 2–4)

Ihre Mitarbeitenden müssen verstehen, wie KI funktioniert und wo sie sinnvoll ist. Das braucht keine monatelangen Programme. 2–3 Stunden intensive, praxisnahe Schulung reichen aus, um Sicherheit zu schaffen.

Wichtig: Die Schulung muss auf Ihre konkreten Prozesse zugeschnitten sein – nicht auf generische KI-Konzepte. Ihre Mitarbeitenden arbeiten direkt mit den Tools, die sie nutzen – nicht mit Theorie, sondern mit echten Prompts und echten Aufgaben.

Dokumentation aufbauen:

• Schulungsunterlagen speichern

• Teilnehmerlisten führen

• Abschlussquittungen ausstellen

• Datum und Dauer dokumentieren

Phase 3: Monitoring und Updates (laufend)

KI entwickelt sich schnell. Neue Tools kommen hinzu. Alte Tools werden aktualisiert. Überprüfen Sie regelmäßig (monatlich), ob Ihre Dokumentation noch stimmt.

Checkliste: 30-Tage-Plan zur AI Act Compliance

Woche 1: Bestandsaufnahme

• Alle KI-Tools auflisten (ChatGPT, Copilot, Automatisierung, etc.)

• Für jedes Tool: Zweck, Daten, Mitarbeitende dokumentieren

• Verantwortliche Person für Compliance benennen

• Zeitplan für nächste Schritte erstellen

Woche 1–2: Risikoklassifizierung

• Für jedes Tool: Risikoklasse bestimmen (Hochrisiko, Transparenzpflicht, Niedrigrisiko)

• Hochrisiko-Systeme identifizieren (automatisierte Entscheidungen?)

• Transparenzpflicht-Systeme identifizieren (Chatbots, Empfehlungen?)

• Dokumentation starten

Woche 2–3: Schulung planen und durchführen

• Schulungsinhalte definieren (Funktionsweise, Grenzen, Risiken, Datenschutz)

• Schulungstermine festlegen

• Alle Mitarbeitenden einladen, die KI-Systeme nutzen

• Schulung durchführen (2–3 Stunden, praxisnah)

• Teilnehmerlisten und Abschlussquittungen ausstellen

Woche 3–4: Dokumentation aufbauen

• Risikoanalyse für Hochrisiko-Systeme durchführen

• Dokumentation für alle Systeme aufbauen (Zweck, Daten, Risiken, Kontrollmaßnahmen)

• Schulungsunterlagen speichern

• Verzeichnis aller KI-Systeme erstellen

• Dokumentation intern verfügbar machen

Woche 4+: Monitoring und Updates

• Monatliche Überprüfung einplanen

• Neue Tools vor Einsatz prüfen

• Schulung bei neuen Mitarbeitenden durchführen

• Dokumentation aktualisieren

• Behörden-Anfragen beantworten (falls erforderlich)

Häufig gestellte Fragen

Frage 1: Muss ich alle meine KI-Systeme sofort umstellen?

Nein. Der EU AI Act hat Übergangsphasen. Aber: Warten Sie nicht bis zur letzten Minute. Die KI-Kompetenzpflicht gilt seit Februar 2025, die neue Compliance-Pflicht ab August 2025. Unternehmen, die jetzt anfangen, sparen Zeit und Geld. Außerdem: Die Anforderungen sind nicht neu – sie sind nur jetzt verbindlich. Verantwortungsvolle Unternehmen machen das ohnehin.

Frage 2: Was ist die KI-Kompetenzpflicht?

Die KI-Kompetenzpflicht besagt: Unternehmen müssen sicherstellen, dass Mitarbeitende, die KI-Systeme nutzen oder überwachen, geschult sind. Das ist seit Februar 2025 verbindlich. Schulung muss dokumentiert werden (Datum, Dauer, Teilnehmer). Verstöße können zu Bußgeldern bis zu 3% des Umsatzes führen.

Frage 3: Welche Bußgelder drohen?

Die Bußgelder sind gestaffelt:

• Schwere Verstöße (z.B. verbotene KI-Praktiken): bis zu 35 Mio. EUR oder 7% des weltweiten Jahresumsatzes

• Mittlere Verstöße (z.B. Dokumentationsmängel, fehlende Schulung): bis zu 15 Mio. EUR oder 3% des weltweiten Jahresumsatzes

• Leichte Verstöße (z.B. unvollständige Dokumentation): bis zu 5 Mio. EUR oder 1% des weltweiten Jahresumsatzes

Praktisches Beispiel: Ein KMU mit 5 Mio. EUR Umsatz und Dokumentationsmangel zahlt bis zu 150.000 EUR Bußgeld.

Frage 4: Kostet Compliance nicht eine Menge Zeit und Geld?

Ja, wenn Sie es falsch angehen. Nein, wenn Sie strukturiert vorgehen. Eine gute Bestandsaufnahme und Schulung dauert wenige Wochen. Die Dokumentation läuft dann nebenbei. Und: Die Kosten für Compliance sind deutlich niedriger als die Kosten für Bußgelder oder Datenschutzverletzungen.

Frage 5: Wie schule ich meine Mitarbeitenden richtig?

Nicht mit Theorie, sondern mit Praxis. Ihre Teams müssen die Tools anfassen, mit ihnen arbeiten, Fehler machen und daraus lernen. Das funktioniert in wenigen Stunden intensiver Schulung besser als in wochenlangen Online-Kursen. Wichtig: Die Schulung muss auf Ihre konkreten Prozesse zugeschnitten sein – nicht auf generische KI-Konzepte. Und: Schulung muss dokumentiert werden (Datum, Dauer, Teilnehmer, Inhalte).

Frage 6: Was ist der Unterschied zwischen DSGVO und AI Act?

DSGVO regelt Datenschutz (wie Personendaten erfasst, gespeichert und genutzt werden). AI Act regelt KI-Risiken (wie KI-Systeme transparent, fair und sicher sein müssen). Wenn Sie Personendaten in KI-Systemen nutzen, gelten BEIDE Gesetze. Das bedeutet: DSGVO-Datenschutzfolgenabschätzung + AI Act Risikoanalyse.

Frage 7: Welche KI-Tools sind Hochrisiko?

Hochrisiko-Systeme sind KI-Anwendungen, die automatisierte Entscheidungen über Menschen treffen. Beispiele:

• Automatisierte Einstellungsentscheidungen

• Automatisierte Kreditvergabe

• Automatisierte Kundenbetreuungs-Routing (ChatGPT entscheidet, welcher Mitarbeiter den Kunden bekommt)

• Automatisierte Qualitätskontrolle mit Konsequenzen für Menschen

Wenn Sie unsicher sind, ob Ihr System Hochrisiko ist, führen Sie eine Risikoanalyse durch.

Was Sie jetzt konkret tun sollten

Die gute Nachricht: Der Einstieg ist einfacher, als Sie denken. Beginnen Sie mit einer ehrlichen Bestandsaufnahme. Schreiben Sie auf, welche KI-Tools Sie nutzen. Dann schulen Sie Ihre Teams – praxisnah, konkret, mit den Tools, die sie täglich nutzen. Und dokumentieren Sie, was Sie tun.

Mit diesem Wissen treffen Sie keine Entscheidungen mehr ins Blaue, sondern handeln strukturiert, fundiert und mit klarem Ziel vor Augen: Compliance zu erreichen und gleichzeitig von KI zu profitieren. Der EU AI Act für KMU ist kein Hindernis, sondern eine Chance, Vertrauen und Effizienz zu schaffen.

Die 30-Tage-Checkliste oben zeigt Ihnen den Weg. Starten Sie diese Woche – nicht nächste Woche. Jeder Tag, den Sie warten, erhöht das Risiko von Bußgeldern und Compliance-Lücken.

Branchenspezifische Anforderungen: Beispiele für KMU

• Handwerk & Produktion: KI in Qualitätskontrolle (Hochrisiko), Wartungsplanung (Niedrigrisiko)

• Einzelhandel & E-Commerce: Chatbots (Transparenzpflicht), Empfehlungsalgorithmen (Transparenzpflicht), Preisoptimierung (Hochrisiko?)

• Dienstleistungen & Beratung: ChatGPT für Kundenanfragen (Transparenzpflicht), automatisierte Angebotserstellung (Niedrigrisiko)

• Gesundheit & Soziales: KI-gestützte Diagnose (Hochrisiko), Terminplanung (Niedrigrisiko)

• Tabelle: Branche | KI-Einsatz | Risikoklasse | Konkrete Anforderung

30-Tage-Implementierungs-Roadmap für KMU

• Woche 1: Bestandsaufnahme (Welche KI-Tools nutzen wir? Welche Daten fließen rein?)

• Woche 2: Risikoklassifizierung (Hochrisiko/Transparenzpflicht/Niedrigrisiko pro Tool)

• Woche 3: Schulungsplan erstellen (Inhalte, Teilnehmer, Termine)

• Woche 4: Dokumentation aufbauen (Verzeichnis, Risikoanalysen, Schulungsnachweise)

• Bonus: Monatliches Monitoring (Updates, neue Tools, Audit)

Häufige Fehler bei AI Act Compliance (und wie Sie diese vermeiden)

• Fehler 1: Kundendaten in ChatGPT eingeben ohne Schulung → Risiko: DSGVO + AI Act Verstoß

• Fehler 2: Keine Dokumentation von KI-Systemen → Risiko: Behörden können nicht nachvollziehen, ob Compliance erfüllt ist

• Fehler 3: Mitarbeitende schulen, aber nicht dokumentieren → Risiko: Schulung zählt nicht als Nachweis

• Fehler 4: Hochrisiko-System ohne Risikoanalyse einführen → Risiko: Bußgeld bis 6 % Umsatz

• Fehler 5: Chatbot ohne Offenlegung, dass KI am Werk ist → Risiko: Transparenzpflicht-Verstoß

Kosten und ROI: Was AI Act Compliance kostet

• Interne Kosten: Bestandsaufnahme (4–8 Stunden), Schulung (2–4 Stunden pro Mitarbeiter), Dokumentation (8–16 Stunden)

• Externe Kosten: Beratung (optional, 2.000–5.000 €), Schulungsanbieter (optional, 500–2.000 €)

• Gesamtbudget für KMU (10–50 Mitarbeiter): 3.000–10.000 € (intern + extern)

• ROI: Vermeidung von Bußgeldern (bis 7 % Umsatz = 70.000–700.000 € für KMU), Kundenvertrauen, Effizienzgewinne

---

Haftungsausschluss / Disclaimer – Keine Rechtsberatung

Die auf dieser Website / in diesem Dokument bereitgestellten Informationen dienen ausschließlich allgemeinen Informationszwecken. Sie stellen keine Rechtsberatung dar und können eine individuelle rechtliche Beratung durch einen qualifizierten Rechtsanwalt nicht ersetzen.

Obwohl die Inhalte mit größtmöglicher Sorgfalt erstellt wurden, wird keine Gewähr für die Richtigkeit, Vollständigkeit und Aktualität der bereitgestellten Informationen übernommen. Die Nutzung der Inhalte erfolgt auf eigene Gefahr des Nutzers.

Zwischen dem Anbieter dieser Informationen und dem Nutzer entsteht durch die Nutzung dieser Inhalte kein Mandatsverhältnis und keine anwaltliche Beratungsbeziehung.

Für die Klärung individueller Rechtsfragen wenden Sie sich bitte an einen zugelassenen Rechtsanwalt Ihres Vertrauens. Eine Haftung für Schäden, die durch die Nutzung oder Nichtnutzung der dargebotenen Informationen entstehen, ist – soweit gesetzlich zulässig – ausgeschlossen.

Über den Autor

Nikita Schmitke

Gründer & Geschäftsführer

Gründer und Geschäftsführer von KI Kapitän sowie Gründer und Geschäftsführer der Firma Deutscher Fortbildungsservice UG. Mit Erfahrung in leitender Position von über 100 Mitarbeitern eines KMU im Gesundheitsbereich, wo er durch ChatGPT-Einsatz rund 50% seiner Büroarbeitszeit einsparte.

Zum vollständigen Artikel