EU AI Act: Was KMU nach dem AI Omnibus prüfen müssen

Der EU AI Act gilt stufenweise. Artikel 4 zur KI-Kompetenz gilt seit dem 2. Februar 2025; der Großteil des Rechtsrahmens gilt seit dem 2. August 2026. Der seit 27. Juli 2026 geltende AI Omnibus verschiebt bestimmte Hochrisikoregeln: auf den 2. Dezember 2027 für Systeme nach Anhang III und auf den 2. August 2028 für produktbezogene Systeme nach Anhang I. Für KMU bleibt entscheidend, welche Rolle sie bei welchem System und welchem konkreten Einsatz haben.

Die Verschiebung einzelner Hochrisikofristen bedeutet nicht, dass der gesamte AI Act vertagt wurde. Sie bedeutet aber ebenso wenig, dass jedes Unternehmen mit einem ChatGPT-, Copilot- oder Chatbot-Einsatz automatisch alle Betreiber- und Transparenzpflichten erfüllen muss. Zuerst sind Rolle, Systemtyp, Risikoklasse und Nutzungsszenario zu klären.

Sortieren wir das also in Ruhe: was tatsächlich verschoben wurde, was bleibt, und was Sie jetzt anpacken sollten.

Worum es beim EU AI Act überhaupt geht

Der EU AI Act auf EUR-Lex staffelt Pflichten nach Risiko, Rolle und Nutzung. Verbotene Praktiken bilden eine rote Linie. Hochrisikosysteme können umfangreiche Anforderungen auslösen, etwa Risikomanagement, technische Dokumentation und menschliche Aufsicht. Für bestimmte Systeme und Inhalte gelten Transparenzpflichten. Viele alltägliche Funktionen bleiben demgegenüber im Bereich minimalen Risikos. Die Einordnung muss am konkreten System und Einsatz erfolgen; ein Produktname allein genügt nicht.

Wenn Sie sich aus diesem Stufenbau nur eines merken: Eine pauschale Einordnung „des Unternehmens“ reicht nicht. Ein KMU kann parallel Systeme mit unterschiedlichen Rollen und Risikoklassen nutzen; jeder relevante Use Case braucht seine eigene Prüfung.

Der wichtigste Punkt für KMU: Sind Sie Anbieter oder Betreiber?

Bevor man sich in einzelnen Pflichten verliert, sollte die Rolle je System geklärt sein. Anbieter ist vereinfacht, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Betreiber („Deployer“) verwenden ein KI-System unter eigener Verantwortung, ausgenommen rein persönliche, nicht berufliche Tätigkeiten. Bei ChatGPT, Copilot oder einem zugekauften Chatbot ist deshalb der konkrete betriebliche Einsatz zu betrachten; der Produktname allein entscheidet weder Rolle noch Pflichten.

Das ist erst einmal eine Entlastung, denn die wirklich aufwendigen Pflichten, allen voran die Konformitätsbewertung der Hochrisiko-Systeme, liegen beim Anbieter und nicht bei dessen Kunden. Sorglos zurücklehnen sollten Sie sich trotzdem nicht. Auch Betreiber haben Pflichten, und die Rolle ist nicht in Stein gemeißelt: Wer ein System wesentlich umbaut, es unter eigenem Namen weiterverkauft oder für einen Hochrisiko-Zweck einspannt, kann unversehens selbst zum Anbieter werden, mit allen Konsequenzen. Deshalb beginnt jede sinnvolle Auseinandersetzung mit dem Thema bei einer nüchternen Bestandsaufnahme: Was setzen wir ein, und in welcher Rolle stecken wir dabei?

Was die Fristverschiebung wirklich bedeutet

Der AI Omnibus ist seit dem 27. Juli 2026 in Kraft. Er verschiebt den Beginn bestimmter Hochrisikoregeln auf den 2. Dezember 2027 für Systeme nach Anhang III und auf den 2. August 2028 für in regulierte Produkte eingebettete Systeme nach Anhang I.

Der frühere Stand einer nur vorläufigen Einigung ist damit überholt. Maßgeblich sind die geltende Verordnung, der Omnibus-Rechtsakt und die aktuelle Übersicht der EU-Kommission.

Was dabei gern überlesen wird: Nicht der gesamte AI Act wurde verschoben. Bereits anwendbare Bestimmungen laufen weiter; andere Pflichten greifen nur, wenn ihre jeweiligen Voraussetzungen erfüllt sind.

Was jetzt schon gilt und 2026 in Kraft tritt

Drei Bereiche sollten Sie unabhängig von jedem Verschiebungsbeschluss im Blick behalten. Der erste ist die KI-Kompetenz nach Artikel 4. Diese Bestimmung gilt seit dem 2. Februar 2025 für Anbieter und Betreiber. Nach den Fragen und Antworten der EU-Kommission sind Kontext, Kenntnisse, Erfahrung, Ausbildung und konkrete Nutzung zu berücksichtigen; vorgeschrieben sind weder ein bestimmtes Zertifikat noch ein einheitliches Schulungsformat. Praktisch sollten Personen, die KI bedienen oder Ergebnisse verwenden, die Möglichkeiten, Grenzen und Datenrisiken ihres konkreten Einsatzes verstehen.

Daneben stehen die verbotenen Praktiken aus Artikel 5, ebenfalls seit Februar 2025 untersagt. Für die allermeisten Betriebe ist das kein Alltagsthema, aber man sollte zumindest wissen, dass es diese rote Linie gibt.

Artikel 50 gilt seit dem 2. August 2026. Welche Transparenzpflicht greift, hängt von System, Rolle und Inhalt ab. Beispielsweise können Informationspflichten bei bestimmten Systemen zur direkten Interaktion mit Menschen und Kennzeichnungspflichten bei bestimmten künstlich erzeugten oder manipulierten Inhalten bestehen. Ein allgemeiner interner KI-Einsatz löst nicht automatisch jede dieser Pflichten aus.

Entlastungen für KMU, aber kein Freifahrtschein

Dass ein Betrieb mit fünfzehn Leuten keine Compliance-Abteilung unterhält, hat der Gesetzgeber durchaus gesehen und ein paar Erleichterungen vorgesehen. Die Bußgelder sind für KMU und Start-ups gedeckelt, damit kleinere Unternehmen nicht unverhältnismäßig hart getroffen werden; beim Zugang zu den sogenannten Regulatory Sandboxes, also behördlich begleiteten Testumgebungen für KI, werden sie bevorzugt behandelt; und es sind vereinfachte Dokumentationsvorlagen geplant, deren genaue Form mit dem Vereinfachungspaket noch abgestimmt wird.

Ein Freifahrtschein ist das nicht. Wo eine Bestimmung anwendbar ist, gelten die gesetzlichen Anforderungen auch für KMU; zugleich enthält die Verordnung besondere Regeln zur Bemessung von Geldbußen für Unternehmen und KMU. Die konkrete Sanktion hängt von Tatbestand, Rolle und Umständen ab und sollte nicht aus einem allgemeinen Höchstbetrag abgeleitet werden.

In sechs Schritten zur strukturierten Prüfung

Der Pflichtteil lässt sich mit überschaubarem Aufwand erledigen, wenn man ihn in der richtigen Reihenfolge angeht. Diese sechs Schritte haben sich bewährt:

1. KI-Inventar erstellen. Erst der ehrliche Kassensturz: Welche KI-Tools laufen tatsächlich im Haus, auch die über private Accounts? Ohne diesen Überblick bleibt alles Weitere Stückwerk. Das geht Hand in Hand mit dem Eindämmen von Shadow AI im Mittelstand.

2. Rollen klären. Gehen Sie die Liste durch: Sind Sie beim jeweiligen System Anbieter oder Betreiber, und steckt irgendwo ein Hochrisiko-Zweck dahinter, etwa eine KI-gestützte Personalauswahl?

3. KI-Kompetenz angemessen fördern. Schulen Sie die Personen, die mit KI arbeiten, passend zu Vorkenntnissen, Kontext und konkreter Nutzung. Artikel 4 schreibt weder Zertifikate noch ein einheitliches Schulungsformat vor. Eine interne Dokumentation hilft, Maßnahmen später nachzuvollziehen.

4. Interne KI-Richtlinie aufsetzen. Schreiben Sie auf, welche Tools erlaubt sind, welche Daten nicht in externe KI-Dienste gehören und wofür der Einsatz ausdrücklich erwünscht ist. Die Richtlinie unterstützt Governance und Datenschutzprüfung, ersetzt aber keine Einzelfallbewertung.

5. Transparenzpflichten prüfen. Für jedes System und jeden veröffentlichten Inhalt klären, ob Artikel 50 eine Information oder Kennzeichnung verlangt, und anwendbare Pflichten umsetzen.

6. Verantwortlichkeit benennen. Eine Person sollte das Thema KI-Compliance führen und dranbleiben, wenn sich die Rechtslage weiterbewegt. Das lässt sich gut mit den Pflichten aus NIS2 und der Cybersicherheits-Checkliste zusammenlegen.

Die Verschiebung ist ein Vorlauf, kein Schlussstrich

Unterm Strich verschafft der AI Omnibus bei bestimmten Hochrisikosystemen mehr Zeit. Artikel 4 gilt dagegen bereits seit Anfang 2025, und der Großteil des Rechtsrahmens gilt seit August 2026. Für KMU ist jetzt keine pauschale Checkliste, sondern ein aktuelles Inventar mit Rollen-, Risiko- und Nutzungseinordnung entscheidend.

Sinnvoller ist der umgekehrte Reflex: die gewonnene Zeit als Vorlauf nehmen, ein Inventar erstellen, die Leute schulen, eine Richtlinie verabschieden und anwendbare Transparenzpflichten umsetzen. Das schafft eine belastbare Grundlage für einen kontrollierten KI-Einsatz, ohne ein bestimmtes Compliance-Ergebnis zu versprechen.

Wenn Sie unsicher sind, welche dieser Pflichten konkret auf Ihren Betrieb zutreffen und wie Sie sie ohne Bürokratie-Overkill umsetzen, sehen wir uns das gern gemeinsam an. In meiner IT-Sicherheitsberatung entwickeln wir einen Fahrplan, der zu Ihrer Größe und Ihrem tatsächlichen KI-Einsatz passt.

Hinweis: Dieser Beitrag wurde am 22. August 2026 anhand von EUR-Lex und den aktuellen Veröffentlichungen der EU-Kommission geprüft. Er bietet eine technische und organisatorische Orientierung und ersetzt keine Rechtsberatung. Maßgeblich sind der konkrete Einsatz und die geltenden amtlichen Texte.