Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Es gibt keine Größenschwelle. Die Kompetenzpflicht nach Artikel 4 gilt seit dem 2. Februar 2025 für jedes Unternehmen, das KI im beruflichen Kontext einsetzt, auch für Betriebe mit wenigen Beschäftigten.

Sind wir Anbieter oder Betreiber?

Betreiber, wenn Sie KI-Systeme unter eigener Verantwortung nutzen. Anbieter, wenn Sie ein KI-System entwickeln oder unter eigenem Namen in Verkehr bringen, es wesentlich verändern oder umzwecken.

Welche Pflichten treffen den Mittelstand konkret?

In der Regel drei: KI-Kompetenz nach Artikel 4, Transparenz nach Artikel 50 und die allgemeinen Sorgfalts- und Datenschutzpflichten. Hochrisiko-Pflichten greifen nur bei entsprechenden Anwendungsfällen, etwa im Personalbereich.

Was passiert bei einer Prüfung durch die Marktüberwachungsbehörde?

Typischerweise wird nach Systeminventar, Verantwortlichkeiten und Kompetenznachweisen gefragt. Wer diese Unterlagen strukturiert vorlegen kann, ist auskunftsfähig.

Wie schnell lässt sich ein sauberer Stand herstellen?

Inventar und Rollenmatrix sind in einer Woche machbar. Schulung und Nachweis folgen mit einem zweitägigen Termin. Realistisch sind vier bis sechs Wochen von null zu einem belastbaren Stand.

Ersetzt diese Checkliste eine Rechtsberatung?

Nein. Sie ist eine Selbsteinschätzung aus der Beratungspraxis. Für verbindliche Bewertungen im Einzelfall ist juristische Beratung erforderlich.

Selbsteinschätzung

EU AI Act Checkliste für den Mittelstand: Wo stehen wir wirklich?

Für die meisten mittelständischen Unternehmen sind fünf Punkte entscheidend: die eigene Rolle als Betreiber, ein vollständiges Inventar der genutzten KI-Systeme, die Kompetenzpflicht nach Artikel 4, die Transparenzpflichten nach Artikel 50 und eine dokumentierte interne Regelung. Wer diese fünf Punkte belegen kann, ist beim EU AI Act praktisch handlungsfähig.

Anbieter entwickelt oder lässt entwickeln und bringt ein KI-System unter eigenem Namen in Verkehr. Betreiber nutzt ein KI-System unter eigener Verantwortung im beruflichen Kontext. Die Rolle entscheidet über den Umfang der Pflichten und ist deshalb die erste Frage.

Achtung bei einem Grenzfall: Wer ein fremdes Modell als eigenes Produkt anbietet, ein System wesentlich verändert oder unter eigenem Namen weitergibt, kann in die Anbieterrolle rutschen. Ein KI-Chatbot auf der eigenen Website unter eigener Marke ist typischerweise noch Betreibernutzung; ein verkauftes KI-Feature im eigenen Softwareprodukt ist es nicht.

Der häufigste Befund in Projekten: Die offizielle Liste hat drei Einträge, die Realität zwölf. Schatten-KI entsteht nicht aus Böswilligkeit, sondern weil Arbeit erledigt werden muss. Eine anonyme Abfrage in den Abteilungen bringt in zwei Tagen mehr als ein halbes Jahr Governance-Diskussion.

Artikel 4 ist der Punkt, der jedes Unternehmen trifft, unabhängig von Risikoklasse und Größe. Der Maßstab ist nicht, ob geschult wurde, sondern ob das Kompetenzniveau zum Einsatzkontext passt und ob sich das belegen lässt.

Artikel 50 verlangt, dass Menschen erkennen, wenn sie mit einem KI-System interagieren, und dass künstlich erzeugte oder manipulierte Bild-, Audio- und Videoinhalte als solche gekennzeichnet werden. Für Marketing, Website und Bewerbermanagement ist das der praxisnächste Teil der Verordnung.

Regelung und Nachweis sind zwei Seiten derselben Sache. Eine Richtlinie ohne Dokumentation der Vermittlung wirkt nicht; eine Dokumentation ohne Regelung beschreibt einen Zustand, den niemand verantwortet.

Grün, wenn Sie alle fünf Blöcke überwiegend mit Ja beantworten: Halten Sie den Stand mit jährlicher Auffrischung und Inventarpflege. Gelb, wenn Inventar und Richtlinie stehen, aber Schulung oder Nachweis fehlen: Das ist eine Frage von Wochen, nicht Monaten — Schulungstermin setzen und Nachweise sichern.

Rot, wenn Sie kein Inventar haben: Beginnen Sie dort und nirgendwo anders. Ohne zu wissen, welche Systeme genutzt werden, ist jede weitere Maßnahme Spekulation. Für die Blöcke 3 und 5 zusammen ist das zweitägige Zündstoff-Seminar der schnellste Weg, weil Schulung und ablagefähige Dokumentation gleichzeitig entstehen.

Häufige Fragen

Gilt der EU AI Act auch für kleine Unternehmen?: Ja. Es gibt keine Größenschwelle. Die Kompetenzpflicht nach Artikel 4 gilt seit dem 2. Februar 2025 für jedes Unternehmen, das KI im beruflichen Kontext einsetzt, auch für Betriebe mit wenigen Beschäftigten.
Sind wir Anbieter oder Betreiber?: Betreiber, wenn Sie KI-Systeme unter eigener Verantwortung nutzen. Anbieter, wenn Sie ein KI-System entwickeln oder unter eigenem Namen in Verkehr bringen, es wesentlich verändern oder umzwecken.
Welche Pflichten treffen den Mittelstand konkret?: In der Regel drei: KI-Kompetenz nach Artikel 4, Transparenz nach Artikel 50 und die allgemeinen Sorgfalts- und Datenschutzpflichten. Hochrisiko-Pflichten greifen nur bei entsprechenden Anwendungsfällen, etwa im Personalbereich.
Was passiert bei einer Prüfung durch die Marktüberwachungsbehörde?: Typischerweise wird nach Systeminventar, Verantwortlichkeiten und Kompetenznachweisen gefragt. Wer diese Unterlagen strukturiert vorlegen kann, ist auskunftsfähig.
Wie schnell lässt sich ein sauberer Stand herstellen?: Inventar und Rollenmatrix sind in einer Woche machbar. Schulung und Nachweis folgen mit einem zweitägigen Termin. Realistisch sind vier bis sechs Wochen von null zu einem belastbaren Stand.
Ersetzt diese Checkliste eine Rechtsberatung?: Nein. Sie ist eine Selbsteinschätzung aus der Beratungspraxis. Für verbindliche Bewertungen im Einzelfall ist juristische Beratung erforderlich.