EU AI Act 2026: Was KMU bis August beachten müssen

Der 2. August 2026 ist ein zentraler Stichtag für alle Unternehmen, die künstliche Intelligenz einsetzen. Ab diesem Datum müssen die Mitgliedsstaaten ihre nationalen Aufsichtsstrukturen für KI fertiggestellt haben — und gleichzeitig greifen die strengen Pflichten für sogenannte Hochrisiko-KI-Systeme. Auch kleine und mittlere Unternehmen sind betroffen, oft ohne es zu wissen.

Welche KI-Systeme gelten als Hochrisiko?

Der EU AI Act stuft KI-Anwendungen anhand ihres Risikopotenzials ein. Als Hochrisiko-Systeme gelten ab August 2026 unter anderem:

• Personalauswahl und Bewerbungsverfahren: Tools, die Lebensläufe vorsortieren oder Kandidaten bewerten
• Bonitätsprüfungen: KI-gestützte Scoring-Verfahren bei der Kreditvergabe
• Mitarbeiterbewertung: Systeme zur Leistungsmessung oder Verhaltensanalyse
• Zugangskontrollen: Biometrische Identifikation am Arbeitsplatz

Viele KMU nutzen solche Systeme bereits — etwa über HR-Software, Cloud-Dienste oder Bewerber-Plattformen. Der Einsatz ist nicht verboten, aber an klare Anforderungen geknüpft.

Was Unternehmen jetzt umsetzen müssen

Wer Hochrisiko-KI einsetzt, muss eine Reihe von Pflichten erfüllen. Dazu gehören ein dokumentiertes Risikomanagementsystem, lückenlose Prüfpfade, menschliche Aufsicht („Human in the Loop“) und transparente Information der Betroffenen. Mitarbeitende müssen wissen, wenn sie von einer KI beurteilt werden — und sie haben das Recht auf eine Erklärung der Entscheidung.

Hinzu kommen die bekannten Anforderungen aus der DSGVO: Rechtsgrundlage für die Verarbeitung, Datenschutzfolgenabschätzung (DSFA) und Eintrag im Verarbeitungsverzeichnis. Beide Regelwerke greifen ineinander, was die Compliance für KMU besonders herausfordernd macht.

Praktische Schritte für die nächsten Wochen

Eine pragmatische Vorbereitung gelingt in vier Schritten:

1. Bestandsaufnahme: Welche KI-Tools sind im Unternehmen im Einsatz? Auch versteckte Funktionsbausteine in CRM-, HR- oder Marketing-Software zählen dazu.
2. Klassifizierung: Welche dieser Systeme fallen unter Hochrisiko? Hier hilft ein Blick auf die offizielle Anhang-III-Liste des AI Acts.
3. Dokumentation: Risikoanalyse, DSFA und ein internes KI-Verzeichnis aufbauen — parallel zum bestehenden Verarbeitungsverzeichnis.
4. Schulung: Seit Februar 2025 gilt die KI-Kompetenzpflicht für alle Mitarbeitenden, die mit KI arbeiten. Diese muss nachweisbar erfüllt sein.

Bußgelder: Warum das Risiko real ist

Die Durchsetzungsbehörden — in Deutschland übernimmt die Bundesnetzagentur (BNetzA) die zentrale Rolle — verfügen über empfindliche Sanktionsmöglichkeiten. Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes sind möglich. Auch wenn solche Höhen primär Konzerne treffen: Behörden zeigen seit Monaten, dass sie auch bei kleineren Unternehmen genau hinschauen, sobald Hinweisgebermeldungen oder Datenpannen vorliegen.

Fazit: Jetzt handeln, nicht im August

Drei Monate vor dem Stichtag bleibt noch Zeit für eine strukturierte Vorbereitung. Wer jetzt mit der Bestandsaufnahme beginnt, hat realistische Chancen, die Pflichten bis August fristgerecht umzusetzen. Wichtig ist, das Thema nicht isoliert zu betrachten: AI Act, DSGVO und IT-Sicherheit gehören zusammengedacht.

Sie benötigen Unterstützung beim Datenschutz oder bei der KI-Compliance? Die Experten von Datenschutz Einfach helfen Ihnen gerne weiter — von der Datenschutzauditierung bis zur Begleitung als externer Datenschutzbeauftragter. Kontaktieren Sie uns für eine unverbindliche Erstberatung.