Handeln statt warten: Warum der EU AI Act trotz Verschiebung Chefsache bleibt
EU-Regulierung einfach erklärt
- Der EU AI Act wird aktuell überarbeitet und leicht entschärft, doch das ändert nichts am großen Ganzen: Unternehmen müssen die von ihnen genutzten KI-Anwendungen erfassen, Risiken bewerten und regulatorische Vorgaben proaktiv erfüllen, um drohenden Bußgeldern zu entgehen.
- Wer im Mittelstand heute auf den Aufbau von KI-Kompetenz und die Umsetzung praxisnaher Compliance-Strukturen setzt, sichert sich nicht nur Rechtssicherheit, sondern positioniert das Unternehmen als vertrauenswürdigen Vorreiter im Wettbewerb.
- Vereinfachte Dokumentationshilfen und spezielle Service-Desks unterstützen gezielt kleine und mittlere Unternehmen dabei, regulatorischen Druck in Wachstumschancen zu verwandeln und dauerhaft einen Vorsprung zu sichern. Service-Desks sind zentrale Anlaufstellen, die Firmen praxisnahe Beratung, technische Unterstützung und Informationen zu den gesetzlichen Anforderungen bieten.
Der „EU AI Act“ ist im Alltag des deutschen Mittelstands angekommen und zwingt zum Handeln. Auch wenn auf EU-Ebene aktuell über Reformen dieses neuen europäischen Gesetzes zur Regulierung Künstlicher Intelligenz verhandelt wird, sind schon zu Beginn des Jahres erste Verbote in Kraft getreten. Einige Verpflichtungen, Kontrollen und Berichtspflichten könnten im Laufe des Jahres zwar wieder fallen oder abgeschwächt werden. Doch die große Linie ist klar: Die Nutzung von KI wird strenger geregelt.
Nachdem prominente Unternehmen und Konzerne die öffentliche Bühne gesucht hatten, um eine Überarbeitung des Gesetzes zu fordern, zeigte sich die EU-Kommission einsichtig: Im November 2025 hat sie das sogenannte „Digital Omnibus“-Paket vorgelegt, das den EU AI Act an mehreren Stellen verändert und neue Übergangsfristen schafft. Die Diskussionen darüber in den europäischen Institutionen dürften noch einige Zeit andauern. Die Wirtschaft findet die Anpassungen positiv, Datenschutz-Aktivist:innen fordern indessen, an den bisher vorgesehenen, strengen Regeln und Fristen festzuhalten. Für Unternehmen ist Abwarten aber keine Option. Erstens sind viele Regeln des AI Act bereits in Kraft. Zweitens sollten Unternehmen ohnehin besser proaktiv umsteuern, wenn es um diese neue Basistechnologie geht.
Mittelstand besonders betroffen: Bürokratie, Kosten und Unsicherheit
Auch mit den Anpassungen durch „Digital Omnibus“ stellt der EU AI Act für kleine und mittlere Unternehmen eine große Herausforderung dar. Der Anteil der KMU in Deutschland, die KI-Technologien nutzen, ist in den vergangenen Jahren gestiegen: Zwischen 2023 und 2024 erhöhte sich der Anteil um 8 Prozentpunkte auf 20 Prozent. Dennoch bleiben sie deutlich hinter den Großunternehmen zurück, von denen inzwischen fast jedes zweite solche Technologien anwendet. Und KMU drohen weiter abgehängt zu werden. Ein maßgeblicher Grund: Während Großkonzerne über eigene Rechts- und Compliance-Abteilungen verfügen, fehlt es vielen Mittelständlern an Ressourcen, um die komplexen Vorschriften europaweit umzusetzen.
Verstärkt wird die Unsicherheit durch einen weiteren Faktor: Es gibt noch keine eindeutig definierten Normen. Die europäischen Normungsorganisationen CEN und CENELEC haben im Oktober 2025 angekündigt, dass die ursprünglich für August 2025 geplanten technischen Standards – eine eigentlich zentrale Stütze der rechtssicheren KI-Anwendung – wohl erst Ende des Jahres, im vierten Quartal 2026, verfügbar sein werden. Unternehmen sollen dennoch bereits jetzt Compliance-Maßnahmen umsetzen.
Bewegung in der Ausgestaltung des EU AI Acts: Praxisnahe Erleichterungen statt Gesetzesreform
Eine grundlegende Überarbeitung oder gar Aussetzung des EU AI Act steht ohnehin nicht im Raum. Mit ihrem „Digital Omnibus“-Paket will die EU-Kommission lediglich Hürden für die Wirtschaft abbauen, Berichts- und Dokumentationspflichten vereinfachen sowie gezielt auf die Bedürfnisse von KMU eingehen.
Inzwischen gibt es für KMU auch Rat und Hilfe: Deutschland hat im Juli 2025 mit dem „KI Service Desk“ bei der Bundesnetzagentur eine nationale Anlaufstelle geschaffen. Das Angebot umfasst einen interaktiven „KI Compliance Kompass" zur ersten Selbstbewertung und richtet sich gezielt an KMU. Im Oktober 2025 startete die EU-Kommission ihren eigenen „AI Act Service Desk“, zunächst nur auf Englisch, Französisch und Deutsch, seit Anfang 2026 in allen 24 EU-Amtssprachen. Zusätzlich hat die Kommission vereinfachte Dokumentationsformulare für KMU entwickelt und bietet spezielle Schulungen an.
Checkliste: Was mittelständische Unternehmen jetzt konkret tun sollten
Um den neuen gesetzlichen Anforderungen rund um den Einsatz Künstlicher Intelligenz gerecht zu werden, zählt für Unternehmen jetzt vor allem eins: Klarheit schaffen, Handlungsfähigkeit sichern und (Förder-)Chancen gezielt nutzen. Nur wer dabei strukturiert und proaktiv vorgeht, bleibt auf Kurs und wandelt den regulatorischen Druck in nachhaltige Wettbewerbsvorteile um.
Aufgabe 1: Bestandsaufnahme und Risikobewertung – sofort handeln
Die erste und wichtigste Aufgabe ist eine systematische Erfassung aller KI-Anwendungen im Unternehmen. Viele Mittelständler nutzen bereits KI, ohne es zu realisieren – etwa durch ChatGPT, Microsoft Copilot oder KI-Features in Office 365. Diese Systeme müssen identifiziert und nach dem risikobasierten Ansatz des AI Acts kategorisiert werden.
Der AI Act unterscheidet vier Risikostufen:
- Minimales Risiko: Systeme wie Spam-Filter (keine besonderen Pflichten)
- Begrenztes Risiko: Chatbots und Kundenservice-KI (Transparenzpflichten)
-
Hohes Risiko: KI in Personalwesen, Kreditvergabe oder Sicherheitssystemen (umfassende Compliance-Anforderungen; das Inkrafttreten dieser Pflichten wird mit „Digital Omnibus“ auf frühestens Dezember 2027 verschoben)
- Unannehmbares Risiko: Social Scoring, Emotionserkennung am Arbeitsplatz (verboten seit Februar 2025, Verstöße werden mit Strafen von bis zu 7 Prozent des weltweiten Jahresumsatzes geahndet)
Aufgabe 2: KI-Kompetenz aufbauen – gesetzliche Pflicht unter Vorbehalt
Seit dem 1. Februar 2025 sind alle Unternehmen verpflichtet, ihren Mitarbeitenden ein „ausreichendes Maß an KI-Kompetenz" zu vermitteln. Diese Pflicht betrifft alle, die mit KI-Systemen arbeiten oder deren Ergebnisse nutzen. Die erforderlichen Kompetenzen umfassen: Technisches Grundverständnis der eingesetzten KI-Systeme, ethische und rechtliche Aspekte im Umgang mit KI sowie sichere und verantwortungsvolle Anwendung der Technologie.
Allerdings ist das eine Pflicht unter Vorbehalt: Das „Digital Omnibus“-Paket sieht vor, die KI-Kompetenzpflicht weitgehend abzuschaffen, außer für die Betreiber von Hochrisiko-KI-Systemen. Selbst wenn es bei der Vorschrift bleibt, gibt es keine direkten Sanktionen für Unternehmen, die sich nicht daran halten. Es können jedoch Haftungsrisiken entstehen, und die Reputation eines Unternehmens könnte leiden, wenn unnötige Fehler durch falschen Umgang mit KI passieren – ganz unabhängig davon, ob der AI Act das Thema noch regelt oder nicht.
Aufgabe 3: Compliance-Strukturen etablieren – seit August 2025 relevant
Mit dem 2. August 2025 sind weitere zentrale Pflichten in Kraft getreten, insbesondere für sogenannte „General Purpose AI“-Modelle – das sind KI-Systeme, die sehr breit einsetzbar sind und nicht nur für eine spezielle Aufgabe entwickelt wurden, sondern vielfältige Anwendungsbereiche abdecken. Beispiele dafür sind Sprachmodelle zur automatisierten Textgenerierung (etwa ChatGPT oder Gemini) oder multimodale KI-Plattformen wie Microsoft Copilot oder Google Gemini, die Text, Bild und Sprache kombinieren können. Die EU-Regulierung stellt deshalb für diese besonders mächtigen und vielseitigen Modelle erweiterte Transparenz-, Prüf- und Dokumentationspflichten auf.
Um frühzeitig die notwendigen Compliance Strukturen zu etablieren, müssen Unternehmen schon jetzt anfangen, folgende Punkte zu realisieren:
- Risikomanagement-Systeme einrichten und kontinuierlich aufrechterhalten
- Technische Dokumentation erstellen und aktuell halten
- Automatische Protokollierung von KI-Entscheidungen gewährleisten
- Transparenz-Anforderungen erfüllen und Nutzer informieren
- Menschliche Aufsicht über KI-Systeme sicherstellen
Bei Verstößen gegen diese zentralen Risiko- und Compliance-Pflichten sind bisher Bußgelder von bis zu drei Prozent des weltweiten Jahresumsatzes vorgesehen, die „Digital Omnibus“-Reform wird für KMU aber sowohl den Dokumentationsaufwand senken als auch die Strafen abmildern. Bei den vollständigen Anforderungen für Hochrisiko-KI-Systeme haben Unternehmen einen Aufschub erhalten. Wann genau „Digital Omnibus“ verabschiedet werden wird, ist noch unklar, zum August 2026 wie ursprünglich geplant, kommen die Pflichten aber definitiv nicht.
Aufgabe 4: Staatliche Unterstützung nutzen
Eine weitere zentrale Aufgabe, die gerade mittelständische Unternehmen frühzeitig angehen sollten, ist konsequent Unterstützungsangebote zu nutzen. Dazu gehören vor allem:
- Vorrangiger und kostenloser Zugang zu regulatorischen Sandboxes: Regulatorische Sandboxes sind sichere Testräume, in denen Unternehmen innovative KI-Anwendungen gemeinsam mit Aufsichtsbehörden ausprobieren können – und das unter realen Bedingungen, aber ohne das Risiko sofortiger Sanktionen. So lassen sich Compliance-Anforderungen praxisnah kennenlernen und erfüllen.
- Vereinfachte Dokumentationsformulare und praxisnahe Leitfäden: Die EU entwickelt speziell für KMU verständliche Vorlagen und kompakte Handreichungen, mit denen sich die umfangreichen Dokumentations- und Nachweispflichten des AI Act Schritt für Schritt erfüllen lassen.
- Individuelle Beratungsangebote über die neuen EU-weiten und nationalen Service-Desks: Spezialisierte Anlaufstellen wie der „AI Act Service Desk“ beraten bei allen Fragen rund um Recht, Technik und Förderung – unkompliziert und gezielt für mittelständische Unternehmen.
Fazit: Gestalten statt verwalten – und Chancen auf Wettbewerbsvorteile nutzen
Der EU AI Act ist Pflicht, aber gleichzeitig die große Chance für mittelständische Innovatoren. Nutzen Sie die aktuell verfügbaren Unterstützungsmöglichkeiten, stärken Sie systematisch die KI-Kompetenz in Ihrem Unternehmen und legen Sie so den Grundstein für nachhaltige Wettbewerbsvorteile. Denn Unternehmen, die jetzt handeln, können sich entscheidende Marktvorteile sichern. Schließlich wird vertrauenswürdige KI zunehmend zu einem Verkaufsargument gegenüber Kunden und Geschäftspartnern. Zusätzlich verringern frühzeitige Compliance-Maßnahmen das Risiko von Bußgeldern. Gleichzeitig schaffen sie Rechtssicherheit für Investitionen und Geschäftsentscheidungen.
