EU AI Act KMU 2026: Was jetzt konkret für Mittelstand gilt

Was sich 2026 für KMU am EU AI Act konkret geändert hat

Für kleine und mittlere Unternehmen ist seit August 2026 vor allem die Kennzeichnungspflicht für Chatbots und öffentlich sichtbare KI-Inhalte relevant. Das betrifft jedes KI-System, das mit Kunden oder der Öffentlichkeit interagiert – von automatisierten Chat-Assistenten auf der Website bis zu generativen Texten, die nach außen gehen. Die Pflicht: Jeder Nutzer muss auf Anhieb erkennen, dass er mit KI spricht oder liest.

Viele Mittelständler hatten Sorge vor umfangreichen Hochrisiko-Anforderungen. Hier kam mit dem Digital Omnibus (in Kraft seit 27. Juli 2026) die Entwarnung: Die strengeren Pflichten für Hochrisiko-Systeme wurden verschoben. Wer Standard-KI nutzt, etwa für interne Prozesse oder Marketing, bleibt aktuell im „Normalbereich“. Dennoch gilt für alle: Maßnahmen zur KI-Kompetenz im Team sind Pflicht, und ein KI-Inventar mit Risikoeinstufung ist dringend zu empfehlen – nur so lässt sich belegen, welche Pflichten überhaupt greifen.

Welche Pflichten jetzt für den Mittelstand gelten

Seit August 2026 müssen KMU konkrete Vorgaben erfüllen, auch wenn viele Details weniger aufwendig als befürchtet sind. Die wichtigsten Punkte auf einen Blick:

• KI-Kennzeichnung: Chatbots und sichtbar KI-generierte Inhalte müssen für Nutzer klar erkennbar sein.
• KI-Inventar: Welche KI-Systeme sind im Einsatz? Jedes Unternehmen muss eine aktuelle Übersicht führen.
• Risikoklassifizierung: Einfache Einordnung, ob Systeme Grundanforderungen ("Normal") oder erweiterte Pflichten ("Hochrisiko") erfüllen müssen. Letzteres betrifft aktuell kaum typische KMU-Anwendungen.
• KI-Kompetenz: Das Team muss nachweisbar Grundkenntnisse zur Funktionsweise und zu Risiken von KI haben. Wie das erreicht wird, ist nicht vorgeschrieben.
• Dokumentation: Verarbeitung und Herkunft von Daten, Lieferantendokumente und Umsetzungsstand müssen nachvollziehbar dokumentiert sein.

Ein eigenes Compliance-Konzept für KI ist für den Mittelstand zwar neu, aber mit einer Acht-Wochen-Checkliste oft gut umsetzbar.

Was wurde verschoben – und was nicht

Viele KMU haben mit Hochdruck an Hochrisiko-Anforderungen gearbeitet. Doch: Die wirklich strengen Pflichten betreffen erst ab Dezember 2027 eigenständige KI-Systeme und ab August 2028 produktintegrierte Lösungen. Das regelt der Digital Omnibus (Verordnung (EU) 2026/1744), in Kraft seit 27. Juli 2026.

Für die meisten Mittelständler heißt das: Die aktuelle Anwendung – ob Chatbot, KI-gestützter Vertrieb oder Textgenerator – fällt nicht unter die Hochrisiko-Regeln. Was aber nicht verschoben wurde, sind:

• Kennzeichnungspflicht für Chatbots und KI-Inhalte
• Führung eines KI-Inventars (empfohlen)
• Mindestrisiko-Bewertung und Dokumentation
• Kompetenzaufbau im Team

Wer KI einsetzt, muss also jetzt handeln und darf sich nicht auf die Verschiebung der Hochrisiko-Fristen verlassen.

Beispiel: So sieht ein KI-Inventar im KMU 2026 aus

Ein typisches KI-Inventar für ein mittelständisches Unternehmen 2026 ist kein Hexenwerk. Es reicht eine strukturierte Tabelle, die folgende Felder erfasst:

• Name und Anbieter des KI-Systems (z. B. "GPT-4 Chatbot", "Microsoft Copilot")
• Einsatzzweck (z. B. Bewerberkommunikation, Angebotsgenerierung)
• Art der Datenverarbeitung (z. B. personenbezogen, öffentlich)
• Risiko-Kategorie ("Normal", "Hochrisiko")
• Verantwortliche Person im Unternehmen
• Letzte Aktualisierung und Dokumentationsstand

Ein Beispiel aus der Praxis: Eine B2B-Agentur führt fünf KI-Anwendungen im Inventar. Vier davon sind als "Normal" gelistet, eine als "potenziell hochriskant" (z. B. automatisierte Bonitätsprüfung) – letzteres mit Vermerk auf die spätere Umsetzung der verschobenen Pflichten. Wichtig: Einmal im Quartal sollte das Inventar überprüft werden.

Strafen und Durchsetzung: Was beim EU AI Act 2026 für KMU droht

Verstöße gegen den AI Act werden ab 2026 ernsthaft sanktioniert. Für KMU gilt: Bei Verstößen gegen verbotene KI-Praktiken können bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes fällig werden – es zählt immer der niedrigere Wert. Bei Verstößen gegen Hochrisiko- oder Transparenzpflichten sind es bis zu 15 Mio. € oder 3 % – für ein KMU mit 20 Mio. € Umsatz also höchstens 600.000 €.

Wer dokumentierte Strukturen und einen klaren Nachweis zur Umsetzung der Pflichtaufgaben hat, landet bei Sanktionen meist am unteren Rand des Strafrahmens. Das deutsche KI-MIG benennt die Bundesnetzagentur als zuständige Aufsichtsbehörde. Sie kann nicht nur Bußgelder verhängen, sondern auch KI-Systeme vom Markt nehmen oder den Betrieb untersagen.

Fazit: Wer jetzt sauber dokumentiert, Pflichtfelder erfüllt und die neuen Kennzeichnungsvorgaben ernst nimmt, ist auf der sicheren Seite.