EU AI Act 2026: Diese Pflichten gelten jetzt für den Mittelstand
Im Juli 2026 hat die EU den AI Act an mehreren Stellen geändert. Einige Fristen sind verschoben, die KI-Kompetenzpflicht ist entschärft. Was heute für den Mittelstand gilt und was Sie konkret tun sollten.
Der EU AI Act ist für viele Geschäftsführer im Mittelstand vor allem ein großes Fragezeichen. Dazu kommt: Im Juli 2026 hat die EU die Verordnung an mehreren Stellen geändert. Fristen wurden verschoben, die KI-Kompetenzpflicht wurde entschärft, und viele Übersichten im Netz sind damit veraltet. Dieser Beitrag ordnet ein, was für ein typisches mittelständisches Unternehmen heute gilt, was später kommt und was Sie jetzt konkret tun sollten.
Was sich im Juli 2026 am EU AI Act geändert hat
Am 27. Juli 2026 ist die Verordnung (EU) 2026/1744 in Kraft getreten, der sogenannte KI-Omnibus. Sie ändert die KI-Verordnung (EU) 2024/1689 an drei Stellen, die für den Mittelstand wichtig sind.
Erstens wurden die Fristen für Hochrisiko-KI verschoben. Zweitens wurde die KI-Kompetenzpflicht in Artikel 4 neu gefasst. Drittens gibt es für bestimmte Kennzeichnungspflichten bei KI-generierten Inhalten eine Übergangsfrist bis Dezember 2026. Der Grundaufbau des EU AI Act bleibt dagegen gleich: Je höher das Risiko einer KI-Anwendung, desto strenger die Regeln.
Was für Ihr Unternehmen heute schon gilt
Für die meisten Mittelständler gelten heute vor allem drei Regeln. Alle drei betreffen auch Unternehmen, die nur Standard-Tools wie ChatGPT oder Claude nutzen.
Verbotene KI-Praktiken
Seit dem 2. Februar 2025 sind bestimmte KI-Anwendungen verboten, etwa manipulative Systeme oder Emotionserkennung am Arbeitsplatz, von eng begrenzten Ausnahmen abgesehen. Im normalen Büroalltag spielt das selten eine Rolle. Es lohnt sich aber, bei neuen Tools kurz zu prüfen, was sie tatsächlich tun.
Die KI-Kompetenzpflicht
Seit Februar 2025 müssen Unternehmen, die KI einsetzen, etwas für die KI-Kompetenz ihrer Mitarbeitenden tun. Seit der Neufassung vom Juli 2026 heißt das: Sie müssen Maßnahmen ergreifen, die diese Kompetenz fördern. Ein bestimmtes Niveau je Person wird nicht mehr verlangt. Was das für Schulung und Dokumentation bedeutet, lesen Sie im Beitrag KI-Kompetenzpflicht 2026: Was HR jetzt wirklich nachweisen muss.
Transparenzpflichten
Seit dem 2. August 2026 gelten die Transparenzregeln aus Artikel 50. Wer Menschen mit einem KI-System interagieren lässt, etwa über einen Chatbot auf der Website, muss erkennbar machen, dass sie mit einer KI sprechen. Deepfakes müssen als solche gekennzeichnet werden. Für die technische Kennzeichnung KI-generierter Inhalte durch die Anbieter von Systemen, die schon vor August 2026 auf dem Markt waren, gilt eine Übergangsfrist bis zum 2. Dezember 2026.
Welche Fristen verschoben wurden
Die strengsten Regeln des EU AI Act betreffen Hochrisiko-KI. Dazu zählen unter anderem KI-Systeme, die bei Personalentscheidungen eingesetzt werden, etwa zur Vorauswahl von Bewerbungen. Diese Pflichten sollten ursprünglich ab dem 2. August 2026 gelten.
Mit dem KI-Omnibus gilt jetzt: Für Hochrisiko-Systeme nach Anhang III, zu denen auch der Personalbereich gehört, greifen die Anforderungen ab dem 2. Dezember 2027. Für KI in Produkten, die unter andere EU-Produktvorschriften fallen (Anhang I), ab dem 2. August 2028.
Für einen Mittelständler heißt das nicht, dass das Thema bis 2027 warten kann. Wer heute ein KI-Tool für die Bewerberauswahl einführt, sollte es gleich so auswählen und einsetzen, dass es die späteren Anforderungen erfüllen kann. Mehr zu diesem Einsatzfeld lesen Sie im Beitrag KI im Recruiting.
Sind Sie überhaupt betroffen?
Die meisten KMU entwickeln keine KI-Systeme, sondern nutzen sie. Im Sprachgebrauch des EU AI Act sind sie Betreiber, nicht Anbieter. Für Betreiber sind die Pflichten deutlich geringer. Die umfangreichen Betreiberpflichten aus Artikel 26, etwa zu Überwachung und Protokollen, gelten nur für Hochrisiko-Systeme.
Ein typisches Szenario: Ein Großhändler mit 80 Mitarbeitenden nutzt ChatGPT für Angebotstexte und Claude für die Auswertung von Ausschreibungen. Für dieses Unternehmen gelten heute im Kern die KI-Kompetenzpflicht und, sobald ein Chatbot auf der Website dazukommt, die Transparenzpflicht. Hochrisiko-Pflichten betreffen es erst, wenn KI zum Beispiel über Bewerbungen mitentscheidet.
Bußgelder und Aufsicht
Der EU AI Act sieht für Verstöße teils hohe Bußgelder vor, gestaffelt nach Schwere. Die höchsten Beträge betreffen verbotene Praktiken. Für die KI-Kompetenzpflicht aus Artikel 4 ist in der Bußgeldvorschrift (Artikel 99) kein eigener Tatbestand vorgesehen. In Deutschland liegt die zentrale Aufsicht bei der Bundesnetzagentur. Der Bundestag hat das nationale Durchführungsgesetz dazu im Juni 2026 beschlossen.
Die konkreten Hausaufgaben
Für die meisten Mittelständler reicht eine überschaubare Liste. Sie ist kein IT-Großprojekt, sondern eine Frage sauberer Organisation.
- Bestandsaufnahme: Welche KI-Tools nutzt wer, wofür und mit welchen Daten?
- Schulung: Mitarbeitende, die mit KI arbeiten, bekommen eine praxisnahe Schulung, die Sie dokumentieren.
- Richtlinie: Legen Sie schriftlich fest, welche Tools erlaubt sind und welche Daten nicht hineingehören.
- Transparenz: Chatbots und Deepfakes kennzeichnen, KI-generierte Inhalte im Zweifel offen ausweisen.
- Hochrisiko prüfen: Vor jeder KI-Einführung im Personalbereich klären, ob sie unter Anhang III fällt.
Einen kompakten Überblick zur KI-Kompetenzpflicht finden Sie auf der Seite KI-Kompetenzpflicht.
Häufige Fragen
Gilt der EU AI Act auch für kleine Unternehmen, die nur ChatGPT nutzen?
Ja. Der EU AI Act gilt für alle Unternehmen, die KI-Systeme in der EU einsetzen, unabhängig von der Größe. Für reine Nutzer von Standard-Tools wie ChatGPT oder Claude sind die Pflichten aber überschaubar. Im Kern geht es um die KI-Kompetenzpflicht nach Artikel 4, die Einhaltung der Verbote und um Transparenz, sobald Kunden direkt mit einer KI interagieren.
Wann gelten die Regeln für Hochrisiko-KI?
Nach der Änderung durch die Verordnung (EU) 2026/1744 gelten die Anforderungen für Hochrisiko-Systeme nach Anhang III, etwa im Personalbereich, ab dem 2. Dezember 2027. Für KI in Produkten, die unter andere EU-Produktvorschriften fallen, gelten sie ab dem 2. August 2028. Ursprünglich war dafür der 2. August 2026 beziehungsweise 2027 vorgesehen.
Muss ich KI-generierte Texte auf meiner Website kennzeichnen?
Das hängt vom Inhalt ab. Eine Kennzeichnungspflicht besteht nach Artikel 50 vor allem für Deepfakes und für KI-generierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, sofern kein Mensch sie redaktionell verantwortet. Für normale Werbe- und Fachtexte, die ein Mensch prüft und verantwortet, gilt das in der Regel nicht. Offenheit schadet trotzdem selten.
Fazit
Der EU AI Act ist nach dem KI-Omnibus für den Mittelstand übersichtlicher geworden. Heute zählen vor allem die KI-Kompetenzpflicht, die Verbote und die Transparenzregeln. Die strengen Hochrisiko-Pflichten kommen erst Ende 2027, betreffen dann aber gerade den Personalbereich. Der sinnvollste nächste Schritt ist eine kurze Bestandsaufnahme: Welche KI nutzt Ihr Unternehmen heute, und wofür?
Zwischen Verordnungstext und Arbeitsalltag liegt meist nur eine gute Übersicht und eine klare Regel fürs Team. Ich bin David Hirschhäuser, KI-Berater und Gründer von DH Studio Consulting in Bünde, und helfe mittelständischen Unternehmen, genau diese Ordnung herzustellen, auf Wunsch als externer KI-Beauftragter. Wenn Sie wissen möchten, wo Ihr Unternehmen steht, melden Sie sich gern.
Quellen: Verordnung (EU) 2026/1744 (EUR-Lex), KI-Verordnung (EU) 2024/1689 (EUR-Lex), KPMG: Digital Omnibus on AI, KI-Forum: Digital Omnibus zur KI. Stand: September 2026.
Ein Thema betrifft Sie direkt?
Im kostenlosen Erstgespräch am Telefon klären wir, was es für Ihr Unternehmen bedeutet. 20 Minuten, ohne Verkaufsdruck.
David Hirschhäuser
KI-Berater und Gründer von DH Studio Consulting in Bünde. Über 30 Jahre Vertrieb, IHK-zertifiziert im Bereich KI. Er begleitet mittelständische Unternehmen dabei, KI dort einzusetzen, wo sie im Tagesgeschäft wirklich zählt.
Mehr über David
