EU AI Act Compliance für KMU: Was ändert sich ab August?

KI-generiertes Bild

Zuletzt aktualisiert: 10. September 2026

Was KMU ab August 2025 konkret tun müssen: EU AI Act Compliance in der Praxis

Der EU AI Act verpflichtet Anbieter und Betreiber von KI-Systemen seit Februar 2025 zur AI-Literacy und ab 2. August 2025 gelten die Pflichten für Anbieter von General-Purpose AI-Modellen gemäß Kapitel V. KMU müssen Maßnahmen ergreifen, um ein angemessenes Niveau an KI-Kompetenz (AI Literacy) ihrer Mitarbeitenden sicherzustellen. Hochrisiko-Systeme folgen gestaffelt ab 2. Dezember 2027 (Annex III) und 2. August 2028 (Annex I). Bußgelder reichen bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) für verbotene Praktiken, mit niedrigeren Stufen für andere Verstöße. Dieser Leitfaden zeigt konkrete Schritte zur Compliance: Bestandsaufnahme, Risikoklassifizierung, Schulung und laufendes Monitoring.

Detaillierte Fristen: Ab 2. August 2025 gelten erweiterte Pflichten für GPAI-Anbieter (Art. 113 EU AI Act); Hochrisiko-Systeme folgen gestaffelt ab 2. Dezember 2027 und 2. August 2028 (Art. 113 EU AI Act). Seit 2. Februar 2025 ist die AI-Literacy-Pflicht verbindlich (Art. 4 EU AI Act). Verstöße können nach Schwere gestaffelt sanktioniert werden: bis zu 7,5 Mio. EUR oder 1,5 % (falsche Informationen), 15 Mio. EUR oder 3 % (Compliance-Verstöße) und 35 Mio. EUR oder 7 % (verbotene Praktiken) des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist (Art. 99 Abs. 3–5 EU AI Act).

KI-generiertes Bild

Quelle: EU AI Act (Verordnung (EU) 2024/1689), Art. 99 – EUR-Lex Volltext

Kernaussagen

• Der EU AI Act verpflichtet Anbieter und Betreiber von KI-Systemen ab Februar 2025 zur AI-Literacy. Dies betrifft auch KMU, die KI-Systeme einsetzen. Hochrisiko-Compliance: Systeme gemäß Annex III ab 2. Dezember 2027, Annex I ab 2. August 2028 (gemäß Art. 113 EU AI Act – Übergangsbestimmungen)

• Bußgelder reichen je nach Schwere von 7,5 Mio. EUR oder 1,5 % bis zu 35 Mio. EUR oder 7 % des globalen Jahresumsatzes – je nachdem, welcher Betrag höher ist (Art. 99 Abs. 3–5 EU AI Act, Verordnung (EU) 2024/1689). Eine strukturierte Vorbereitung spart Zeit und Kosten.

• Dokumentation und Mitarbeiterschulung sind die ersten konkreten Schritte

• Frühzeitige Umsetzung reduziert Compliance-Risiken und schafft Wettbewerbsvorteil

Was ist passiert?

Struktur umbauen:

EU AI Act: Drei Phasen der Umsetzung (2025–2028)

Der EU AI Act tritt in drei gestaffelten Phasen in Kraft:

1. Phase 1 (seit 2. Februar 2025): AI-Literacy-Pflicht für Anbieter und Betreiber. Mitarbeitende müssen grundlegende KI-Kompetenz erhalten (Art. 4 EU AI Act).

2. Phase 2 (ab 2. August 2025): Erweiterte Pflichten für General-Purpose-AI-Modelle (GPAI) gemäß Kapitel V. Anbieter müssen Compliance-Dokumentation und Risikoanalysen durchführen.

3. Phase 3 (ab 2. Dezember 2027 / 2. August 2028): Hochrisiko-Systeme (Annex III und Annex I) unterliegen vollständigen Compliance-Anforderungen mit kontinuierlichem Monitoring.

Für KMU bedeutet das: Sofortige Dokumentation und Schulung (Phase 1), Risikoklassifizierung neuer Tools (Phase 2), umfassende Risikoanalyse für Hochrisiko-Systeme (Phase 3).

EU AI Act: Risikoklassen und ihre Anforderungen

Nach der Tabelle einen neuen Absatz hinzufügen:

Wie Sie Ihre KI-Systeme richtig klassifizieren:

Die meisten KMU-Tools fallen in die Kategorien Transparenzpflicht oder Niedrigrisiko. Hochrisiko-Systeme sind selten, aber kritisch:

• Ihr Chatbot für Kundenservice? → Transparenzpflicht (muss offenlegen: "Ich bin ein KI-Chatbot").

• ChatGPT für interne Texte? → Niedrigrisiko (keine Personendaten, keine automatisierten Entscheidungen).

• Automatisierte Bewertung von Bewerbungen? → Hochrisiko (trifft Entscheidungen über Menschen).

• KI-gestützte Kreditvergabe oder Versicherungseinstufung? → Hochrisiko (finanzielle Auswirkungen).

Zweifeln Sie, ob Ihr System Hochrisiko ist? Fragen Sie: Trifft die KI automatisiert Entscheidungen über eine Person, die deren Rechte oder Sicherheit beeinflusst? Wenn ja → Hochrisiko.

KI-Kompetenzpflicht: Schulungsanforderungen für Mitarbeitende

Nach "Verbindlich seit Februar 2025" einen neuen Absatz einfügen:

Schulungsdauer und Häufigkeit (Mindeststandards):

Der EU AI Act schreibt keine exakte Stundenzahl vor, aber Best Practice und Behördenerwartungen deuten auf:

• Einführungsschulung: Mindestens 2–4 Stunden für alle Mitarbeitenden, die KI-Tools nutzen.

• Auffrischung: Jährliche Wiederholung oder bei Einführung neuer Tools.

• Rollen-spezifisch: Entscheidungsträger (z. B. HR-Leiter bei Bewerbungssystemen) benötigen tiefere Schulung (4–8 Stunden) als Nutzer.

• Dokumentation: Schulungsunterlagen, Teilnehmerlisten, Daten und Unterschriften müssen mindestens 3 Jahre aufbewahrt werden (Audit-Anforderung).

Ein KMU mit 20 Mitarbeitenden sollte mit 1–2 Tagen Schulungsaufwand rechnen; größere Unternehmen mit entsprechend mehr.

Was bedeutet das für KMU und Ihre tägliche Arbeit?

Umstrukturieren zu:

Drei zentrale Compliance-Anforderungen für KMU (Übersicht):

Der EU AI Act verpflichtet KMU zu drei Schritten:

1. Bestandsaufnahme: Inventar aller KI-Systeme mit Risikoklassifizierung.

2. Schulung: Mitarbeitende müssen KI-Grundlagen verstehen (seit Februar 2025 verbindlich).

3. Risikoanalyse: Vor Einsatz neuer Tools prüfen, ob Hochrisiko-Anforderungen greifen.

Diese Anforderungen sind eine Formalisierung verantwortungsvoller Praktiken – nicht völlig neu.

Detaillierte Schritte:

[Dann die bestehenden 3 Punkte mit Bullet-Points, aber prägnanter]

Konkrete Auswirkungen für Ihren Betrieb

Dokumentation & Compliance:

Verzeichnis aller KI-Systeme mit Zweck, Datenquellen, Risikoklasse und Kontrollmaßnahmen. Dokumentation muss aktuell sein – Behörden können diese einsehen.

Mitarbeiterschulung:

Teams müssen KI-Funktionsweise und Grenzen verstehen. Schulung reduziert Fehler, erhöht Effizienz und ist dokumentationspflichtig (Datum, Dauer, Teilnehmer).

Chancen:

Frühe Dokumentation schafft Wettbewerbsvorteil, Kundenvertrauen und vermeidet teure Bußgelder.

DSGVO + AI Act: Doppelte Compliance für KI-Systeme

Praktisches Beispiel: ChatGPT mit Kundendaten

Wenn Sie Kundendaten in ChatGPT eingeben, gelten BEIDE Gesetze parallel:

• DSGVO: Datenschutzerklärung aktualisieren, Datenschutzfolgenabschätzung durchführen, Kundenzustimmung einholen (falls erforderlich)

• AI Act: Risikoanalyse durchführen (ist ChatGPT Hochrisiko?), Mitarbeitende schulen, Monitoring einrichten

• Kombiniert: Eine Schulung zu Datenschutz + KI-Kompetenz, eine kombinierte Audit

Compliance-Checkliste: DSGVO + AI Act

1. Datenschutzerklärung erwähnt KI-Systeme und deren Datenfluss?

2. Datenschutzfolgenabschätzung durchgeführt?

3. Risikoanalyse für KI-System durchgeführt (Hochrisiko/Transparenzpflicht/Niedrigrisiko)?

4. Mitarbeitende zu Datenschutz + KI-Kompetenz geschult?

5. Dokumentation aktuell und nachvollziehbar?

Weiterführende Ressource: DSGVO und AI Act kombinieren

Bußgelder und Sanktionen: Was bei Verstößen droht

Neuer Abschnitt nach "Konkrete Auswirkungen für Ihren Betrieb":

Bußgelder und Sanktionen: Was bei Verstößen droht

Bußgeldstaffeln nach Schwere (Art. 99 Abs. 3–5 EU AI Act):

Konkrete Szenarien für KMU:

• Szenario 1: Mitarbeitende geben Kundendaten in ChatGPT ein, ohne Schulung erhalten zu haben → Compliance-Verstoß → Bis 3 % Umsatz Bußgeld.

• Szenario 2: KMU setzt automatisiertes Bewerbungssystem ein, ohne Risikoanalyse durchzuführen → Hochrisiko-Verstoß → Bis 3 % Umsatz Bußgeld.

• Szenario 3: KMU nutzt Echtzeit-Gesichtserkennung zur Mitarbeiterkontrolle ohne Rechtsgrund → Verbotene Praktik → Bis 7 % Umsatz Bußgeld.

Für ein KMU mit 1 Mio. EUR Jahresumsatz bedeutet das:

• Compliance-Verstoß: Bis 30.000 EUR

• Hochrisiko-Verstoß: Bis 30.000 EUR

• Verbotene Praktik: Bis 70.000 EUR

Zusätzlich drohen Reputationsschäden und Verfahrenskosten.

Empfehlungen: So gehen Sie konkret vor

Die Umsetzung erfolgt in drei Phasen, deren Dauer je nach Anzahl der KI-Systeme und Teamgröße variiert: Bestandsaufnahme und Risikoklassifizierung, Schulung und Dokumentation, Monitoring und Updates (laufend). Jede Phase baut auf der vorherigen auf und schafft nachvollziehbare Compliance.

Phase 1: Bestandsaufnahme und Risikoklassifizierung (Woche 1–2)

Machen Sie eine ehrliche Bestandsaufnahme: Welche KI-Tools nutzen Sie bereits? ChatGPT? Microsoft 365 Copilot? Automatisierte Datenverarbeitung? Schreiben Sie auf, was Sie haben.

Für jedes Tool:

• Zweck (wofür nutzen Sie es?)

• Daten (welche Daten fließen rein?)

• Risikoklasse (Hochrisiko, Transparenzpflicht, Niedrigrisiko?)

• Mitarbeitende (wer nutzt das System?)

Phase 2: Schulung und Dokumentation (Woche 2–4)

Ihre Mitarbeitenden müssen verstehen, wie KI funktioniert und wo sie sinnvoll ist. Das braucht keine monatelangen Programme. Eine praxisnahe Schulung richtet sich nach der Systemkomplexität – von kompakten Einführungen für Basis-Tools bis zu intensiven Trainings für Hochrisiko-Systeme.

Wichtig: Die Schulung muss auf Ihre konkreten Prozesse zugeschnitten sein – nicht auf generische KI-Konzepte. Ihre Mitarbeitenden arbeiten direkt mit den Tools, die sie nutzen – nicht mit Theorie, sondern mit echten Prompts und echten Aufgaben.

Dokumentation aufbauen:

• Schulungsunterlagen speichern

• Teilnehmerlisten führen

• Abschlussquittungen ausstellen

• Datum und Dauer dokumentieren

Phase 3: Monitoring und Updates (laufend)

KI entwickelt sich schnell. Neue Tools kommen, alte werden aktualisiert. Richten Sie ein monatliches Review ein:

• Welche neuen KI-Tools wurden eingeführt?

• Haben sich Risiken verändert?

• Sind Schulungen aktuell?

• Ist die Dokumentation vollständig?

Checkliste: Strukturierter Umsetzungsplan in vier Phasen

Woche 1: Bestandsaufnahme

• Liste aller genutzten KI-Tools erstellen

• Zweck und Datenfluss dokumentieren

• Risikoklasse bestimmen (Hochrisiko/Transparenzpflicht/Niedrigrisiko)

• Verantwortliche benennen

Woche 2: Risikoanalyse

• Für jedes Hochrisiko-System: Risikoanalyse durchführen

• Bias und Fehlerquellen identifizieren

• Kontrollmaßnahmen definieren

• Dokumentation erstellen

Woche 3: Schulung

• Schulungsplan erstellen

• Schulungsmaterialien vorbereiten

• Mitarbeitende schulen (intensive, praxisnahe Schulung)

• Teilnehmerlisten und Zertifikate ausstellen

Woche 4: Monitoring und Prozesse

• Monitoring-Prozess einrichten (monatliches Review)

• Compliance-Verantwortlichen benennen

• Dokumentation finalisieren

• Erste Audit durchführen

Häufig gestellte Fragen

Was ändert sich konkret ab August 2025?

Ab 2. August 2025 gelten erweiterte Pflichten für GPAI-Anbieter (General Purpose AI). Hochrisiko-Systeme folgen gestaffelt ab 2027/2028. Die AI-Literacy-Pflicht gilt bereits seit Februar 2025. Der EU AI Act für KMU: Was bedeutet die neue Compliance-Pflicht ab August konkret? Unternehmen müssen ihre KI-Systeme dokumentieren, Mitarbeitende schulen und Risikoanalysen durchführen. Der EU AI Act für KMU: Was bedeutet die neue Compliance-Pflicht ab August konkret? Unternehmen müssen ihre KI-Systeme dokumentieren, Mitarbeitende schulen und Risikoanalysen durchführen.

Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Der EU AI Act gilt für Anbieter und Betreiber von KI-Systemen in der EU – unabhängig von der Größe. KMU haben keine Ausnahme, aber die Anforderungen sind proportional zum Risiko. Die neue Compliance-Pflicht ab August betrifft auch kleinere Betriebe, die ChatGPT, Copilot oder andere KI-Tools einsetzen. Die neue Compliance-Pflicht ab August betrifft auch kleinere Betriebe, die ChatGPT, Copilot oder andere KI-Tools einsetzen.

Was passiert, wenn ich ChatGPT für interne Notizen nutze?

Wenn keine personenbezogenen oder geschäftskritischen Daten verarbeitet werden, ist das Risiko niedrig. Trotzdem müssen Sie dokumentieren, dass Sie ChatGPT nutzen, und Mitarbeitende schulen. Dies ist Teil der Compliance-Anforderungen, die der EU AI Act für KMU vorsieht.

Muss ich für jedes KI-Tool eine separate Risikoanalyse machen?

Ja, für jedes Hochrisiko-System. Für Niedrigrisiko-Systeme reicht eine grundlegende Dokumentation. Die Risikoklassifizierung ist ein zentraler Schritt bei der Umsetzung des EU AI Act für KMU.

Wie lange dauert die Umsetzung?

Für ein typisches KMU erfordert die Bestandsaufnahme, Risikoanalyse und Schulung je nach Anzahl der KI-Systeme und Teamgröße unterschiedlichen Aufwand. Danach ist laufendes Monitoring erforderlich. Die Compliance-Pflicht ab August erfordert kontinuierliche Aufmerksamkeit, nicht nur einmalige Anstrengung.

Kann ich externe Dienstleister beauftragen?

Ja. Viele KMU arbeiten mit Compliance-Beratern oder Datenschutzbeauftragten zusammen, um die Anforderungen des EU AI Act für KMU umzusetzen. Die Verantwortung bleibt aber beim Unternehmen selbst.

Was ist, wenn ich keine Hochrisiko-Systeme nutze?

Dann sind die Anforderungen geringer. Sie müssen trotzdem dokumentieren, welche KI-Tools Sie nutzen, und Mitarbeitende schulen – sofern Sie diese Tools bereitstellen oder in geschäftskritischen Prozessen einsetzen.

Fazit und nächste Schritte

Der EU AI Act ist keine abstrakte Regulierung mehr – er ist seit Februar 2025 verbindlich. KMU müssen jetzt handeln:

1. Bestandsaufnahme: Welche KI-Tools nutzen Sie?

2. Risikoklassifizierung: Hochrisiko, Transparenzpflicht oder Niedrigrisiko?

3. Schulung: Mitarbeitende müssen KI-Kompetenz nachweisen

4. Dokumentation: Alles muss nachvollziehbar sein

5. Monitoring: Monatliches Review einrichten

Nächste Schritte:

• Buchen Sie eine kostenlose Erstberatung

• Lesen Sie unseren KI-Datenschutz-Leitfaden

Frühzeitige Compliance spart Zeit, Geld und Nerven. Starten Sie heute.

Quellen

• EUR-Lex: Verordnung (EU) 2024/1689 (EU AI Act) – https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689

• Europäische Kommission: AI Act – Offizielle Informationsseite – https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai

• Bundesministerium für Wirtschaft und Klimaschutz: KI-Regulierung für KMU – https://www.bmwk.de/Redaktion/DE/Dossier/kuenstliche-intelligenz.html

• Bundesdatenschutzbeauftragter: Informationen zu Künstlicher Intelligenz und Datenschutz

• Bitkom: Publikationen und Leitfäden zum EU AI Act

• TÜV Süd: Zertifizierung und Compliance für KI-Systeme

EU AI Act vs. DSGVO: Unterschiede und Überschneidungen

• DSGVO regelt Datenschutz (Verarbeitung personenbezogener Daten); EU AI Act regelt KI-Risiken (unabhängig von Daten)

• Überschneidung: KI-Systeme, die Personendaten verarbeiten, müssen BEIDE erfüllen

• Beispiel: Chatbot mit Kundendaten → DSGVO (Datenschutz) + EU AI Act (Transparenzpflicht)

• Praktisch: Datenschutz-Folgenabschätzung (DPIA) + KI-Risikoanalyse durchführen

• Checkliste: Welche Daten? (DSGVO) + Welches Risiko? (EU AI Act)

Häufige Fehler bei der EU-AI-Act-Umsetzung (und wie Sie sie vermeiden)

• Fehler 1: "Wir nutzen nur ChatGPT, das ist nicht unser Problem" → Falsch: KMU sind Betreiber, nicht nur Anbieter

• Fehler 2: "Schulung ist zu teuer" → Falsch: Bußgelder sind teurer; 2–4 Stunden Schulung kostet weniger

• Fehler 3: "Wir haben keine Hochrisiko-Systeme" → Falsch: Automatisierte Bewerbungssysteme, Kreditvergabe sind Hochrisiko

• Fehler 4: "DSGVO reicht aus" → Falsch: EU AI Act ist zusätzlich erforderlich

• Fehler 5: "Wir dokumentieren später" → Falsch: Dokumentation muss VOR Einsatz erfolgen

Ressourcen und Unterstützung für KMU

• Offizielle Ressourcen: EUR-Lex (Verordnung (EU) 2024/1689), Europäische Kommission AI Act Guidance

• Nationale Ressourcen: BfDI (Bundesbeauftragter für Datenschutz), IHK-Verbände

• Kostenlose Tools: EU AI Act Compliance Checklisten, Risikoklassifizierungs-Templates

• Beratung: Externe Compliance-Berater, Rechtsanwälte mit AI-Schwerpunkt

• Schulungsangebote: Online-Kurse, Webinare, Branchenverbände