AI Act und KMU: Was wirklich gilt und was sich durch eine lokale KI ändert
Aktualisiert: November 2026
AI Act: Was muss ein KMU tun?
Weniger als man liest, aber nicht nichts.
Für die meisten KMUs verlangt der AI Act heute drei Dinge: die Teams zu schulen, verbotene Anwendungen zu vermeiden und bestimmte Inhalte zu melden. Die strengen Regeln gelten für Hochrisikoanwendungen, wie die Sortierung von Lebensläufen, und werden auf den 2. Dezember 2027 verschoben.
Eine lokale KI entzieht Sie nicht dem AI Act. Die Verordnung zielt auf die Nutzung der KI ab, nicht auf den Ort, an dem sie läuft. Sie vereinfacht jedoch einen großen Teil der Arbeit, insbesondere bei den Daten. Hier ist der aktuelle Stand nach der im Juli 2026 veröffentlichten Omnibus-Verordnung.
Der Zeitplan nach der Omnibus-Verordnung vom Juli 2026
Die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli in Kraft. Sie verschiebt die Hochrisikoanwendungen mit festen Daten. Sie betrifft weder die bereits geltenden Verbote noch die Transparenz.
Verbotene Praktiken und Kontrolle der KI durch das Personal. Bereits in Kraft.
Verpflichtungen der Anbieter von Modellen für allgemeine Zwecke. Sie zielen nicht auf das Unternehmen ab, das ein Modell nutzt.
Transparenz gemäß Artikel 50. Bereits in Kraft. Die nationalen Behörden können auch die Kontrolle der KI prüfen.
Neue Verbote für nicht einwilligende intime Inhalte und pornografische Kinderdarstellungen. Ende der Frist für Anbieter von bereits auf dem Markt befindlichen generativen Systemen für die Kennzeichnung.
Hochrisikosysteme des Anhangs III: Beschäftigung, Kredit, Bildung, Biometrie.
In regulierte Produkte integrierte Hochrisikosysteme (Anhang I).
Sie sind fast immer „Bereitsteller“
Der AI Act unterscheidet zwei Rollen. Der Anbieter entwickelt ein System und bringt es auf den Markt. Der Bereitsteller nutzt es in seiner Tätigkeit. Ein KMU, das ChatGPT, Copilot oder ein Open-Source-Modell auf seinem Rechner nutzt, ist Bereitsteller.
Die Tatsache, dass Sie das Modell bei sich installieren, macht Sie nicht zum Anbieter. Achten Sie jedoch darauf, wenn Sie ein KI-Tool unter Ihrem Namen weiterverkaufen oder dessen vorgesehene Nutzung ändern: Dann können Sie die Verpflichtungen eines Anbieters übernehmen. Dies ist ein Punkt, den Sie mit einem Juristen prüfen sollten.
Ihre Nutzung: Wo steht sie?
| Nutzung | Niveau | Was dies bedeutet |
|---|---|---|
| Dokumente zusammenfassen, Texte verfassen, übersetzen, in Ihren Unterlagen suchen | Minimales Risiko | Keine eigene Verpflichtung, abgesehen von der Kontrolle der KI. |
| Chat-Assistent auf Ihrer Website | Transparenz | Die Person muss wissen, dass sie mit einer KI spricht. Diese Verpflichtung liegt beim Anbieter des Systems. Wenn das Tool für Sie gemacht ist, prüfen Sie, ob es dies anzeigt. |
| Veröffentlichung eines realistischen manipulierten Bildes oder Videos | Transparenz | Sie müssen angeben, dass der Inhalt generiert oder manipuliert wurde. |
| Veröffentlichung eines von KI generierten Textes von öffentlichem Interesse | Transparenz | Zu kennzeichnen, es sei denn, es erfolgt eine redaktionelle Überprüfung unter der Verantwortung einer identifizierten Person. |
| Sortierung von Lebensläufen, Entscheidung über Beförderungen, Leistungsüberwachung | Hochrisiko | Verpflichtungen des Bereitstellers ab dem 2. Dezember 2027, darunter die vorherige Information der Arbeitnehmer und ihrer Vertretungen. |
| Kreditwürdigkeit einer Person, Lebens- oder Krankenversicherungstarif | Hochrisiko | Gleiche Fristen. Eine Betrugserkennung ist für Kredite nicht betroffen. |
| Ableitung von Emotionen eines Arbeitnehmers bei der Arbeit | Verboten | Seit dem 2. Februar 2025 verboten, außer aus medizinischen oder sicherheitsrelevanten Gründen. |
Was Sie bereits tun müssen
Unterstützen Sie die Kontrolle der KI durch Ihre Teams
Artikel 4 wurde gelockert. Sie müssen Maßnahmen ergreifen, damit Ihre Arbeitnehmer das Tool verstehen, ohne dass Sie für jeden ein genaues Niveau garantieren müssen. Wir wechseln von einer Erfolgsverpflichtung zu einer Mittelverpflichtung. Eine kurze Schulung und schriftliche, datierte Anweisungen sind ein guter Anfang.
Verbotene Anwendungen ausschließen
Manipulation, Social Scoring, Ableitung von Emotionen bei der Arbeit, sensible biometrische Kategorisierung. Ein KMU berührt dies fast nie, aber prüfen Sie die Funktionen der von Ihnen gekauften HR-Tools.
Kennzeichnen, was gekennzeichnet werden muss
Realistische manipulierte Inhalte und nicht überarbeitete Texte von öffentlichem Interesse. Fügen Sie den Hinweis in Ihre Veröffentlichungsverfahren ein.
Die Sanktionen und die Regel für KMUs
| Verstoß | Allgemeine Obergrenze | Für ein KMU |
|---|---|---|
| Verbotene Praktiken | 35 Mio. € oder 7 % des weltweiten Umsatzes, je nachdem, was höher ist | Der niedrigere der beiden Beträge |
| Verpflichtungen des Bereitstellers, Transparenz | 15 Mio. € oder 3 %, je nachdem, was höher ist | Der niedrigere der beiden Beträge |
| Unrichtige Angaben gegenüber den Behörden | 7,5 Mio. € oder 1 %, je nachdem, was höher ist | Der niedrigere der beiden Beträge |
Die Omnibus-Verordnung hat diese Obergrenzen nicht geändert. Sie hat Erleichterungen für KMUs und kleine mittelständische Unternehmen hinzugefügt, insbesondere auf Anbieterseite: vereinfachte technische Dokumentation und verhältnismäßiges Qualitätsmanagement. In Frankreich war die Benennung der Kontrollbehörden bei unserer letzten Überprüfung im Oktober 2026 noch nicht abgeschlossen.
Was eine lokale KI ändert und was nicht
| Thema | Mit einem Online-Dienst | Mit einer lokalen KI |
|---|---|---|
| Risikoniveau der Nutzung | Hängt von der Nutzung ab | Gleiches gilt: Hängt von der Nutzung ab |
| Kontrolle der KI durch das Personal | Zu tun | Zu tun |
| Personenbezogene Daten (DSGVO) | Unterauftragsverarbeiter, Übertragungen zu prüfen | Sie bleiben bei Ihnen, weniger Unterauftragsverarbeitung zu regeln |
| Nutzungsprotokolle | Je nach Angebot des Anbieters | Bei Ihnen, mit der von Ihnen festgelegten Dauer |
| Modelländerung | Der Anbieter kann es ändern | Es ändert sich nur, wenn Sie es entscheiden |
Der Fünf-Schritte-Plan
1. Listen Sie Ihre Anwendungen auf
Jedes KI-Tool, wer es nutzt, mit welchen Daten. Auch persönliche ChatGPT-Konten, die bei der Arbeit genutzt werden.
2. Ordnen Sie sie ein
Mit der obigen Tabelle. Isolieren Sie alles, was mit Rekrutierung, Mitarbeitern, Krediten und Versicherungen zu tun hat.
3. Geben Sie schriftliche Anweisungen
Was erlaubt ist, was nicht, welche Daten niemals in einen Online-Dienst eingefügt werden dürfen.
4. Schulen Sie und halten Sie es fest
Datum, Inhalt, Teilnehmer. Das ist Ihr Nachweis über die Mittelverpflichtung gemäß Artikel 4.
5. Holen Sie sensible Daten aus der Cloud
Für Kundendossiers, Patientendossiers oder Mitarbeiterdossiers lassen Sie die KI bei sich laufen. Sehen Sie sich an, wie viel eine lokale KI im Unternehmen kostet.
Ihre KI auf Ihrem Rechner installieren
Wir installieren die KI bei Ihnen und entwickeln die Tools, die Sie benötigen, Hardware und Software. Kostenloser, unverbindlicher Kostenvoranschlag.
Häufig gestellte Fragen
Gilt der AI Act für ein KMU?
Ja, sobald es ein KI-System in seiner Tätigkeit nutzt. Aber für die meisten KMUs sind die Verpflichtungen gering: Unterstützung der Kontrolle der KI durch das Personal, Vermeidung verbotener Praktiken und Kennzeichnung bestimmter Inhalte.
Wann gelten die Regeln für Hochrisikoanwendungen?
Am 2. Dezember 2027 für die Systeme des Anhangs III, wie Rekrutierung, Kredit oder Bildung. Am 2. August 2028 für KI, die in regulierte Produkte integriert ist. Diese Daten stammen aus der Verordnung (EU) 2026/1744, die am 27. Juli 2026 in Kraft trat.
Entzieht sich eine lokale KI dem AI Act?
Nein. Die Verordnung zielt auf die Nutzung ab, nicht auf den Ort der Ausführung. Eine lokale KI, die zur Sortierung von Lebensläufen verwendet wird, bleibt Hochrisiko. Sie vereinfacht jedoch die Verarbeitung personenbezogener Daten und die Dokumentation des verwendeten Modells.
Macht mich die Nutzung eines Open-Source-Modells zum Anbieter?
Im Allgemeinen nein: Sie bleiben Bereitsteller. Sie können die Verpflichtungen eines Anbieters übernehmen, wenn Sie ein System unter Ihrem Namen auf den Markt bringen oder dessen vorgesehene Nutzung ändern. Lassen Sie diesen Fall von einem Juristen prüfen.
Welche Strafe droht einem KMU?
Die Obergrenzen reichen von 7,5 Millionen Euro oder 1 % des Umsatzes bis zu 35 Millionen oder 7 %. Für ein KMU gilt der niedrigere der beiden Beträge.
Müssen alle Arbeitnehmer geschult werden?
Es müssen geeignete Maßnahmen für die Personen ergriffen werden, die die KI nutzen. Seit der Omnibus-Verordnung verlangt der Text nicht, dass für jeden ein genaues Niveau garantiert wird. Eine kurze Schulung, schriftliche Anweisungen und ein datiertes Protokoll sind eine vernünftige Grundlage.
Quellen: Verordnung (EU) 2026/1744, konsolidierter Text; ActuIA, geltende Verpflichtungen und Verschiebungen; Orrick, acht Änderungen der Omnibus-Verordnung; Personenbezogene Daten, neuer Zeitplan. Zusammenfassung aktualisiert im November 2026, ohne Rechtsberatungswert.
