EU AI Act 2026: Was KMU bis August beachten müssen

Aktualisiert am 3. November 2026. Die Digital-Omnibus-Verordnung (EU) 2026/1744 ist seit dem 27. Juli 2026 in Kraft und hat den EU AI Act (KI-Verordnung) nachgebessert: Die Pflichten für Hochrisiko-KI-Systeme gelten nach Anhang III ab dem 2. Dezember 2027, für KI in regulierten Produkten (Anhang I) ab dem 2. August 2028. Seit dem 2. August 2026 gelten vor allem die Transparenzpflichten nach Art. 50.

Der EU AI Act betrifft auch kleine und mittlere Unternehmen – oft, ohne dass sie es wissen. Dieser Überblick zeigt, welche Fristen gelten, wer betroffen ist und welche Schritte KMU jetzt gehen sollten.

Die Fristen im Überblick

• Seit 2. Februar 2025: Verbotene KI-Praktiken (Art. 5) und Anforderungen an die KI-Kompetenz der Beschäftigten (Art. 4, seit Juli 2026 in abgeschwächter Fassung).
• Seit 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck.
• Seit 2. August 2026: Transparenzpflichten nach Art. 50 – zum Beispiel muss erkennbar sein, dass ein Chatbot eine KI ist, und Deepfakes müssen gekennzeichnet werden.
• Ab 2. Dezember 2027: Pflichten für Hochrisiko-KI-Systeme nach Anhang III, etwa in der Personalauswahl oder bei der Kreditwürdigkeitsprüfung.
• Ab 2. August 2028: Pflichten für Hochrisiko-KI in Produkten, die bereits unter EU-Produktvorschriften fallen (Anhang I), etwa Maschinen oder Medizinprodukte.

Was die Digital-Omnibus-Verordnung geändert hat

Ursprünglich sollten die strengen Anforderungen an Hochrisiko-KI im August 2026 greifen. Mit der Digital-Omnibus-Verordnung hat die EU diese Fristen verschoben – auf Dezember 2027 und, für in Produkte eingebettete KI, auf August 2028. Damit reagiert die EU auf die Sorge vieler Unternehmen vor einer Doppelregulierung durch den AI Act und bestehende Produktvorschriften.

Zugleich wurde Art. 4 abgeschwächt: Unternehmen müssen Maßnahmen ergreifen, um die KI-Kompetenz ihrer Beschäftigten zu unterstützen. Eine ausdrückliche Nachweispflicht enthält das Gesetz nicht; eine Dokumentation der Maßnahmen ist trotzdem sinnvoll.

Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Die KI-Verordnung unterscheidet nicht nach der Unternehmensgröße, sondern nach der Anwendung und der Rolle. Wer KI-Dienste wie ChatGPT oder Microsoft Copilot im Geschäftsalltag einsetzt, ist in der Regel „Betreiber“ eines KI-Systems. Der AI Act stuft KI-Anwendungen nach ihrem Risiko ein:

• Unannehmbares Risiko: verboten, zum Beispiel Social Scoring oder bestimmte biometrische Überwachung.
• Hohes Risiko: strenge Auflagen, zum Beispiel KI in Personalentscheidungen oder bei der Kreditvergabe.
• Begrenztes Risiko: Transparenzpflichten, zum Beispiel muss sich ein Chatbot als KI zu erkennen geben.
• Minimales Risiko: keine besonderen Auflagen.

Was Website-Betreiber beachten sollten

Für viele KMU beginnt der AI Act auf der eigenen Website. Prüfen Sie insbesondere:

• Chatbots: Besucher müssen erkennen können, dass sie mit einer KI kommunizieren.
• KI-erzeugte Bilder, Videos und Töne: Deepfakes müssen als künstlich erzeugt gekennzeichnet werden. Mehr dazu im Beitrag zur KI-Kennzeichnungspflicht.
• Datenschutz: Verarbeitet der Chatbot personenbezogene Daten, gelten zusätzlich die Regeln der DSGVO, inklusive Information in der Datenschutzerklärung.

Welche KI-Systeme gelten als Hochrisiko?

Als Hochrisiko-Systeme gelten unter anderem – die Pflichten dafür greifen nach der Digital-Omnibus-Verordnung ab dem 2. Dezember 2027:

• Personalauswahl und Bewerbungsverfahren: Tools, die Lebensläufe vorsortieren oder Kandidaten bewerten
• Bonitätsprüfungen: KI-gestützte Scoring-Verfahren bei der Kreditvergabe
• Mitarbeiterbewertung: Systeme zur Leistungsmessung oder Verhaltensanalyse
• Zugangskontrollen: Biometrische Identifikation am Arbeitsplatz

Viele KMU nutzen solche Systeme bereits – etwa über HR-Software, Cloud-Dienste oder Bewerber-Plattformen. Der Einsatz ist nicht verboten, aber an klare Anforderungen geknüpft. Dazu gehören ein dokumentiertes Risikomanagement, nachvollziehbare Prüfpfade, menschliche Aufsicht („Human in the Loop“) und die Information der Betroffenen.

Sechs Schritte, die KMU jetzt gehen sollten

1. Bestandsaufnahme: Erfassen Sie alle KI-Tools im Unternehmen – auch inoffiziell genutzte Dienste, kostenlose Tools, Browser-Erweiterungen und KI-Funktionen in CRM-, HR- oder Marketing-Software.
2. Risiko einordnen: Ordnen Sie jeden Anwendungsfall einer Risikoklasse zu. Für Hochrisiko-Fälle hilft ein Blick auf die Liste in Anhang III der KI-Verordnung.
3. Transparenz herstellen: Prüfen Sie Chatbots und veröffentlichte KI-Inhalte auf die Pflichten nach Art. 50 – diese gelten bereits.
4. KI-Kompetenz unterstützen: Schulen Sie die Beschäftigten, die mit KI arbeiten, und halten Sie die Maßnahmen schriftlich fest.
5. Datenschutz prüfen: Klären Sie, wo personenbezogene Daten betroffen sind, ergänzen Sie das Verarbeitungsverzeichnis und prüfen Sie, ob eine Datenschutz-Folgenabschätzung nötig ist.
6. Lieferanten prüfen: Fragen Sie Ihre KI-Anbieter, wie sie die Anforderungen des AI Act erfüllen.

EU AI Act und DSGVO: zwei Regelwerke, ein Prozess

Der AI Act ersetzt die DSGVO nicht, er ergänzt sie. Sobald ein KI-System personenbezogene Daten verarbeitet – etwa bei der Auswertung von Kundenanfragen oder Bewerbungen –, gelten beide Regelwerke parallel: Rechtsgrundlage für die Verarbeitung, Eintrag im Verarbeitungsverzeichnis und gegebenenfalls eine Datenschutz-Folgenabschätzung. Auch die technischen und organisatorischen Maßnahmen sollten den KI-Einsatz abdecken. Eine Grundlage dafür bietet unser DSGVO-Ratgeber für KMU.

Aufsicht und Bußgelder

In Deutschland ist für die Marktüberwachung nach der KI-Verordnung die Bundesnetzagentur (BNetzA) zuständig, im Finanzsektor die BaFin. Die KI-Verordnung sieht empfindliche Sanktionen vor: Bei verbotenen KI-Praktiken sind Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes möglich. Auch wenn solche Höhen vor allem Konzerne treffen: Spätestens nach einer Beschwerde oder einer Datenpanne schauen Behörden auch bei kleineren Unternehmen genau hin.

Fazit: Aufschub nutzen, nicht aufschieben

Die Hochrisiko-Fristen sind verschoben, die Transparenzpflichten gelten bereits. Wer jetzt mit der Bestandsaufnahme beginnt und KI-Einsatz und Datenschutz zusammen denkt, ist für Dezember 2027 vorbereitet und vermeidet teure Nachbesserungen.

Sie benötigen Unterstützung beim Datenschutz oder bei der KI-Compliance? Die Experten von Datenschutz Einfach helfen Ihnen gerne weiter – von der Datenschutzauditierung bis zur Begleitung als externer Datenschutzbeauftragter. Kontaktieren Sie uns für eine unverbindliche Erstberatung.