Der EU AI Act für den Mittelstand: was für Sie gilt, und ab wann

Die meisten Mittelständler bauen keine KI-Modelle. Sie nutzen sie: ein Chatbot auf der Website, ein Assistent im Vertrieb, Copilot in der IDE, vielleicht ein Tool, das Bewerbungen vorsortiert. Damit sind sie in der Sprache des AI Act Betreiber, und die Pflichten für Betreiber sind deutlich leichter, als die Schlagzeilen vermuten lassen, mit einigen wichtigen Ausnahmen. Seit der AI Omnibus am 27. Juli 2026 in Kraft getreten ist, haben sich zudem die Termine für Hochrisiko-Systeme verschoben. Hier die praktische Fassung: welche Rolle Sie haben, welche Ihrer Anwendungsfälle in welche Risikoklasse fallen, was heute schon gilt und worauf Sie sich bis Dezember 2027 vorbereiten sollten. Es ist der Überblick eines Engineers, keine Rechtsberatung.

Dominik Heinrich

8. November 202611 Min. Lesezeit

2. Jeden Anwendungsfall einer von vier Risikoklassen zuordnen

Der Act arbeitet mit vier Stufen. Unannehmbares Risiko ist schlicht verboten: Social Scoring, Manipulation, die Schwächen ausnutzt, ungezieltes Sammeln von Gesichtsbildern, Emotionserkennung am Arbeitsplatz oder in der Bildung, und seit dem Omnibus auch KI, die nicht einvernehmliche intime Bilder erzeugt. Hohes Risiko umfasst Bereiche, in denen KI-Entscheidungen das Leben von Menschen betreffen: Einstellung und Führung von Personal, Zugang zu Bildung, Kreditscoring, kritische Infrastruktur und KI in regulierten Produkten wie Maschinen oder Spielzeug. Transparenzrisiko betrifft Chatbots und KI-erzeugte Inhalte. Alles andere, vom Spamfilter bis zum internen Assistenten, der E-Mails entwirft, ist minimales Risiko ohne besondere Regeln.

Für einen typischen Mittelständler ist das ehrliche Bild: Die meisten Anwendungsfälle sind minimales oder Transparenzrisiko, und einer oder zwei streifen hohes Risiko, meist im HR. Dort liegt die Arbeit. Das Diagramm zeigt die vier Stufen neben den jeweils geltenden Terminen, damit Sie sehen, was wann fällig ist.

In voller Grösse öffnen

Schliessen

AI inventory (one row per use case)
use case          | tool / model         | role      | data            | risk class   | owner   | due
website chatbot   | own guide on Gemini  | deployer  | visitor input   | transparency | sales   | done: AI note
coding assistant  | Copilot / Claude Code| deployer  | source code     | minimal      | CTO     | policy + training
CV pre-screening  | HR SaaS vendor       | deployer  | applicant data  | HIGH (Annex III) | HR  | 2 Dec 2027
product chatbot   | sold to customers    | PROVIDER  | customer data   | transparency | product | marking + docs

Fazit

Für die meisten Mittelständler ist der AI Act eine Transparenz- und Governance-Aufgabe, kein Compliance-Grossprojekt: die eigene Rolle kennen, Chatbots kennzeichnen, Mitarbeitende schulen und den ein, zwei Hochrisiko-Fällen einen Plan bis Dezember 2027 geben.