EU AI Act für KMU: Was gilt ab wann?
Der EU AI Act – die europäische Verordnung über Künstliche Intelligenz, in Kraft seit 2024 – gilt grundsätzlich auch für kleine und mittlere Unternehmen (KMU), seine Pflichten greifen aber gestaffelt und treffen vor allem Anbieter von KI-Systemen, nicht deren Nutzer. Für die meisten KMU-Anwendungen wie Chatbots oder interne Dokumenten-KI gelten lediglich Transparenzanforderungen und die Pflicht, für ausreichende KI-Kompetenz im Team zu sorgen. Wer ein Inventar seiner KI-Werkzeuge führt, eine kurze Richtlinie erstellt und das Team schult, hat die wesentlichen Anforderungen für den typischen Betriebsalltag erfüllt.
In Kürze
- Der AI Act ordnet KI-Systeme in Risikoklassen: verbotene Praktiken, Hochrisiko, begrenztes Risiko, minimales Risiko.
- Die Pflichten gelten gestaffelt: Verbote seit Februar 2025, Regeln für allgemeine KI-Modelle seit August 2025, Hochrisiko-Pflichten überwiegend schrittweise ab 2026/2027.
- Die meisten internen KMU-Anwendungen – Dokumentensuche, Textassistenz, einfache Chatbots – sind minimales oder begrenztes Risiko.
- Achtung bei HR-Anwendungen: KI, die über Bewerbungen oder Beförderungen mitentscheidet, kann als Hochrisiko-System gelten.
- Die KI-Kompetenz-Pflicht (Art. 4) gilt bereits und betrifft jeden Betrieb, der KI einsetzt – sie ist mit dokumentierten Schulungen pragmatisch erfüllbar.
Wie funktioniert die Risikoklassen-Logik des AI Act?
Der AI Act reguliert nicht „die KI” pauschal, sondern nach dem Risiko der konkreten Anwendung. Je höher das Risiko für Gesundheit, Sicherheit oder Grundrechte von Menschen, desto strenger die Pflichten. Vier Stufen sind zu unterscheiden:
| Risikoklasse | Was darunter fällt (Beispiele) | Was gilt |
|---|---|---|
| Verbotene Praktiken | Manipulative Techniken, Social Scoring, bestimmte biometrische Massenüberwachung | Einsatz untersagt |
| Hochrisiko | KI in Personalauswahl und Mitarbeiterbewertung, Kreditwürdigkeitsprüfung, kritische Infrastruktur, Medizinprodukte | Umfangreiche Pflichten: Risikomanagement, Dokumentation, menschliche Aufsicht, Registrierung |
| Begrenztes Risiko | Chatbots mit Kundenkontakt, KI-generierte Inhalte | Transparenzpflichten: Menschen müssen erkennen können, dass sie mit KI interagieren bzw. dass Inhalte KI-generiert sind |
| Minimales Risiko | Interne Dokumentensuche, Rechtschreibhilfen, Spamfilter, Textassistenz | Keine besonderen Pflichten aus der Risikoklasse; allgemeine Pflichten wie KI-Kompetenz gelten trotzdem |
Wichtig ist außerdem die Rollenunterscheidung: Der AI Act unterscheidet zwischen Anbietern (die KI-Systeme entwickeln und auf den Markt bringen) und Betreibern (die sie beruflich nutzen). Die schweren Pflichtenpakete – etwa für Hochrisiko-Systeme – liegen überwiegend beim Anbieter. Ein KMU, das ein fertiges KI-Werkzeug einsetzt, ist in der Regel Betreiber und hat deutlich schlankere Pflichten.
Was gilt ab wann? Die Zeitleiste im Überblick
Der AI Act trat 2024 in Kraft, seine Pflichten gelten aber bewusst gestaffelt, damit sich Unternehmen und Behörden vorbereiten können:
| Zeitpunkt | Was gilt |
|---|---|
| Seit 2024 | Verordnung in Kraft; Übergangsfristen laufen |
| Seit Februar 2025 | Verbote bestimmter KI-Praktiken; KI-Kompetenz-Pflicht (Art. 4) |
| Seit August 2025 | Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI, z. B. große Sprachmodelle) |
| Ab August 2026 | Großteil der übrigen Pflichten, insbesondere Transparenzpflichten und weite Teile der Hochrisiko-Anforderungen |
| Ab 2027 | Restliche Hochrisiko-Pflichten für bestimmte Produktkategorien |
Für die Planung im Betrieb bedeutet das: Die für KMU relevantesten Pflichten – KI-Kompetenz und die Verbote – gelten bereits. Die Hochrisiko-Anforderungen kommen schrittweise und betreffen nur, wer tatsächlich Hochrisiko-Systeme anbietet oder betreibt. Der vollständige Verordnungstext ist über das Rechtsinformationssystem des Bundes (ris.bka.gv.at) auffindbar; aufbereitete Übersichten für Unternehmen bietet die Wirtschaftskammer (wko.at).
Welche Risikoklasse haben typische KMU-Anwendungen?
Die meisten KI-Anwendungen im KMU-Alltag sind unkritisch – mit einer wichtigen Ausnahme im Personalbereich:
- Interne Dokumenten-KI und Wissensdatenbanken: Eine KI, die firmeneigene Dokumente durchsucht und Fragen dazu beantwortet, ist typischerweise ein System mit minimalem Risiko. Sie trifft keine Entscheidungen über Menschen, sondern findet Informationen. Zu beachten bleiben die DSGVO (bei personenbezogenen Daten in den Dokumenten) und die interne Transparenz, dass ein KI-System im Einsatz ist.
- Chatbots mit Kundenkontakt: Begrenztes Risiko. Die zentrale Pflicht ist Transparenz – Kundinnen und Kunden müssen erkennen können, dass sie mit einer KI kommunizieren. Ein klarer Hinweis im Chat-Fenster erfüllt das.
- Textassistenz und Übersetzung: Minimales Risiko. Hier gelten vor allem interne Qualitäts- und Datenschutzregeln.
- HR-Tools – der Achtung-Fall: KI-Systeme, die Bewerbungen vorsortieren, Kandidaten bewerten oder Entscheidungen über Beförderung und Kündigung beeinflussen, können als Hochrisiko-Systeme gelten. Wer solche Werkzeuge einsetzt, sollte den Anbieter nach dessen AI-Act-Konformität fragen, menschliche Letztentscheidung sicherstellen und den Einsatz dokumentieren. Im Zweifel gilt: vor der Einführung fachlichen Rat einholen.
Wie setzen KMU die KI-Kompetenz-Pflicht pragmatisch um?
Art. 4 AI Act verpflichtet Anbieter und Betreiber von KI-Systemen, für ein ausreichendes Maß an „KI-Kompetenz” bei ihrem Personal zu sorgen – also bei allen, die KI-Systeme bedienen oder mit deren Ergebnissen arbeiten. Die Verordnung schreibt kein bestimmtes Format vor; entscheidend ist, dass die Maßnahmen zur Rolle der Mitarbeiter und zum eingesetzten System passen.
Für einen typischen Betrieb genügt ein schlankes Paket:
- Kurzschulung (ein bis zwei Stunden): Was können die eingesetzten KI-Werkzeuge, was können sie nicht? Warum können KI-Antworten falsch sein und müssen geprüft werden? Welche Daten dürfen eingegeben werden, welche nicht?
- Schriftliche Kurzrichtlinie: Die wichtigsten Regeln auf ein bis zwei Seiten, für alle zugänglich.
- Dokumentation: Festhalten, wer wann geschult wurde. Das ist im Fall von Rückfragen der Nachweis, dass der Betrieb seiner Pflicht nachgekommen ist.
- Auffrischung bei Änderungen: Neue Werkzeuge oder neue Einsatzzwecke bedeuten eine kurze Nachschulung.
Der Aufwand ist überschaubar – und die Schulung zahlt sich doppelt aus, weil sie zugleich die häufigsten Datenschutzfehler (etwa Kundendaten in öffentlichen Chatbots) verhindert.
Was sollten KMU jetzt konkret tun?
Panik ist nicht angebracht, Nichtstun aber auch nicht. Vier Schritte bringen einen Betrieb auf einen soliden Stand:
- KI-Inventar erstellen: Listen Sie alle KI-Werkzeuge auf, die im Betrieb genutzt werden – auch die inoffiziellen (privat genutzte Chatbots von Mitarbeitern gehören dazu). Ohne Überblick keine Bewertung.
- Risikoklasse grob einordnen: Für jedes Werkzeug klären: Trifft es Entscheidungen über Menschen (Achtung, möglicherweise Hochrisiko)? Interagiert es mit Kunden (Transparenzpflicht)? Oder arbeitet es nur intern mit Dokumenten (in der Regel unkritisch)?
- KI-Richtlinie und Schulung umsetzen: Wie im vorigen Abschnitt beschrieben – damit ist die Kompetenz-Pflicht abgedeckt.
- Anbieter-Fragen stellen: Fragen Sie jeden KI-Anbieter, wie er den AI Act erfüllt, wo die Daten verarbeitet werden, ob sie zum Training genutzt werden und ob ein Auftragsverarbeitungsvertrag (AV-Vertrag, die nach Art. 28 DSGVO erforderliche Vereinbarung bei Datenverarbeitung im Auftrag) vorliegt. Seriöse Anbieter beantworten das schriftlich; wie ein strukturierter Einführungsprozess aussehen kann, zeigt beispielhaft die Seite Ablauf der KI-Wissensdatenbank.
Da AI Act und DSGVO nebeneinander gelten, lohnt sich der Blick auf beide Regelwerke gemeinsam: Die Datenschutz-Grundlagen für den KI-Einsatz – von der Rollenverteilung bis zur Anbieter-Checkliste – behandelt ausführlich der Beitrag KI und DSGVO in Österreich.
Warum ist der AI Act für die meisten Betriebe kein Grund zur Sorge?
Die Grundarchitektur der Verordnung arbeitet für KMU, nicht gegen sie: Streng reguliert wird, was Menschen ernsthaft schaden kann – automatisierte Personalentscheidungen, Kreditvergabe, kritische Infrastruktur. Die alltäglichen Produktivitätsanwendungen kleiner Betriebe, allen voran die interne Suche und Auswertung eigener Dokumente, bleiben bewusst in den untersten Risikoklassen. Der AI Act sieht zudem ausdrücklich Erleichterungen und Unterstützungsangebote für kleine Unternehmen vor.
Wer heute ein KI-Inventar führt, sein Team nachweislich schult und bei der Anbieter-Auswahl auf EU-Standort, Trainingsausschluss und AV-Vertrag achtet, erfüllt die aktuell geltenden Pflichten und ist für die noch kommenden Stufen gut vorbereitet. Verstöße können zwar empfindliche Geldbußen nach sich ziehen, doch für die typischen Betreiber-Pflichten eines KMU ist das Risiko mit einfachen Mitteln beherrschbar. Dieser Artikel gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung im Einzelfall – bei Hochrisiko-Verdacht oder Spezialfragen empfiehlt sich juristische Begleitung.
Häufige Fragen
Gilt der EU AI Act auch für kleine Unternehmen?
Ja. Der AI Act kennt keine generelle Ausnahme für KMU. Die meisten Pflichten treffen aber Anbieter von KI-Systemen; Betriebe, die KI nur nutzen, haben vor allem die KI-Kompetenz-Pflicht und Transparenzanforderungen zu erfüllen.
Ist eine interne Dokumenten-KI ein Hochrisiko-System?
Typischerweise nein. Hochrisiko-Anwendungen betreffen Bereiche wie Personalauswahl, Kreditwürdigkeitsprüfung oder kritische Infrastruktur. Eine KI, die interne Dokumente durchsucht und Fragen beantwortet, fällt in der Regel in die Kategorie mit minimalem oder begrenztem Risiko.
Was verlangt die KI-Kompetenz-Pflicht nach Art. 4 AI Act konkret?
Betriebe müssen sicherstellen, dass Personen, die mit KI-Systemen arbeiten, über ausreichende Kenntnisse verfügen. In der Praxis genügt für typische KMU-Anwendungen eine dokumentierte Schulung zu Möglichkeiten, Grenzen und internen Regeln der eingesetzten Werkzeuge.
Seit wann gelten die Verbote des AI Act?
Die Verbote bestimmter KI-Praktiken – etwa manipulative Techniken oder Social Scoring – gelten seit Februar 2025. Sie betreffen Anwendungen, die in normalen KMU-Betrieben ohnehin nicht vorkommen.
Ersetzt der AI Act die DSGVO?
Nein, beide gelten nebeneinander. Die DSGVO regelt den Umgang mit personenbezogenen Daten, der AI Act stellt Anforderungen an KI-Systeme selbst. Wer KI mit Firmendaten einsetzt, muss beide Regelwerke beachten.
Drohen KMU bei Verstößen gegen den AI Act Strafen?
Ja, der AI Act sieht empfindliche Geldbußen vor, wobei bei der Bemessung auf die Größe des Unternehmens Rücksicht genommen wird. Für typische Nutzer-Pflichten wie die KI-Kompetenz ist das Risiko mit einfachen, dokumentierten Maßnahmen gut beherrschbar.