EU AI Act praktisch: Checkliste für KMU

1Einleitung

Die meisten Unternehmen stolpern beim EU AI Act über die falsche Frage. Nicht „Brauchen wir jetzt ein riesiges Compliance-Projekt?“, sondern: „Wo steckt KI bei uns eigentlich längst drin?“ Genau da fängt das Thema an.

Gerade hier in Aachen und der Städteregion sehe ich das ständig: Handwerksbetriebe mit Microsoft 365 Copilot, Dienstleister mit CRM-Automation, Agenturen mit Bildgeneratoren, Maschinenbau-Zulieferer mit KI-Funktionen im Support oder in Bewerbertools. Viele sagen dann: „Wir machen doch gar kein KI-Projekt.“ Ehrlich gesagt ist das oft Selbstberuhigung .

Der EU AI Act trifft nicht nur Konzerne mit eigenen Modellen. Er trifft auch dich als Betreiber, wenn du KI in Prozesse einbaust. Die gute Nachricht: Für die meisten Firmen geht es 2026 nicht um Paragrafen-Panik, sondern um eine saubere, pragmatische Basis.

2Der wichtigste Punkt: Nicht jedes KI-Tool ist ein KI-Projekt

Der EU AI Act arbeitet risikobasiert. Das ist erstmal sinnvoll, weil eben nicht jede Nutzung gleich gefährlich ist. Ein internes Tool zum Zusammenfassen von Mails ist etwas völlig anderes als KI in der Bewerberauswahl oder Kreditentscheidung.

Laut PrivacyBee gibt es vier Risikostufen: verboten, Hochrisiko, begrenztes Risiko und minimales Risiko. Für typische Nutzung wie Textentwürfe, Ideensammlungen oder interne Zusammenfassungen mit ChatGPT oder Copilot landest du meistens bei minimalem oder begrenztem Risiko – nicht automatisch bei Hochrisiko.

Kritisch wird es dort, wo KI über Menschen mitentscheidet oder in sensible Bereiche eingreift. Recruiting, Kreditvergabe, Bildung, Gesundheit, Versicherungen oder kritische Infrastruktur sind die klassischen roten Bereiche. Dann reden wir nicht mehr über „ein bisschen Prompting“, sondern über Dokumentation, Aufsicht, Logging und klare Verantwortlichkeiten.

3Fristen 2025/2026: Was schon gilt und was am 2. August 2026 scharf wird

Seit dem 2. Februar 2025 gelten Verbote bestimmter KI-Praktiken. Dazu gehören laut Haufe X360 und anderen Übersichten unter anderem manipulative Systeme und unzulässige Anwendungen wie Social Scoring. Wer so etwas einsetzt, diskutiert nicht über Formalitäten, sondern über klar untersagte Nutzung.

Ebenfalls seit 2025 ist AI Literacy relevant. Heißt auf Deutsch: Du musst sicherstellen, dass Mitarbeitende im Umgang mit KI ausreichend befähigt sind. Nicht akademisch. Aber nachweisbar, passend zum Einsatz und organisiert.

Ab dem 2. August 2026 wird es für viele Firmen richtig praktisch, weil Transparenzpflichten greifen. Laut IHK München müssen in bestimmten Fällen KI-generierte oder wesentlich KI-veränderte Texte, Bilder, Audio- und Videoinhalte klar kenntlich gemacht werden. Das betrifft nicht nur exotische Deepfakes, sondern unter Umständen auch sehr normale Marketing- und Kundenkommunikation.

Die IHK Köln weist zusätzlich auf eine Frist bis zum 2. Dezember 2026 hin: Für synthetische Audio-, Bild-, Video- oder Textinhalte, die vor dem 2. August 2026 in Verkehr gebracht wurden, gilt eine Übergangsregel zur Kennzeichnung.

4ChatGPT, Copilot & SaaS-KI: Drei typische KMU-Szenarien richtig einordnen

Schauen wir auf die drei Fälle, die ich in Projekten am häufigsten sehe.

Erstens: interne Produktivität. Wenn Mitarbeitende mit ChatGPT oder Copilot E-Mails formulieren, Texte kürzen, Protokolle strukturieren oder Brainstorming machen, ist das meist minimales Risiko. Laut Kigazon ist diese Nutzung regelmäßig nicht meldepflichtig. Aber ganz ehrlich: Das heißt nicht „einfach laufen lassen“.

Du brauchst trotzdem Regeln zu Daten, Freigaben und Quellenprüfung. Sonst landet schnell ein Kundenvertrag, ein Angebot oder eine Personalinfo in einem öffentlichen Tool. Und das eigentliche Risiko ist in meiner Praxis selten der AI Act selbst, sondern die heimliche Nutzung ohne Datenregeln .

Zweitens: kundengerichtete Chatbots. Wenn Nutzer mit einer KI interagieren, muss das erkennbar sein. Das ist kein Drama, sondern eine saubere Transparenzfrage. Ein kurzer Hinweis im Chatfenster reicht oft weiter als ein seitenlanges Juristendeutsch.

Drittens: KI-generierte Marketinginhalte. Ab 2. August 2026 wird Kennzeichnung bei bestimmten Inhalten relevant, wenn sie für menschlich erstellt gehalten werden könnten. Das betrifft Texte, Bilder, Audio und Video. Wer heute schon automatisiert Content baut, sollte das jetzt in seinen Veröffentlichungsprozess einbauen.

Und dann gibt es noch den Bereich, den viele unterschätzen: HR. Sobald KI in Bewerberauswahl oder Eignungsbewertung eingreift, bist du schnell bei Hochrisiko-Beispielen. Pearl Cohen nennt hier die vollen Anforderungen rund um Risikomanagement, technische Dokumentation, Record-Keeping, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit. Da reicht keine lockere „Bitte verantwortungsvoll nutzen“-Mail mehr.

Wenn du solche Themen gerade sortierst, ist oft ein pragmatischer Governance-Start sinnvoller als das nächste Tool-Experiment. Genau dabei hilft saubere KI-Automatisierung mehr als blindes SaaS-Sammeln.

5Die praktische 100-Tage-Basis: KI-Inventar statt Paragrafen-Panik

TÜV Rheinland bringt es gut auf den Punkt: Die nächsten 100 Tage sind nicht für das perfekte System da, sondern für eine belastbare Grundlage. Genau das ist auch meine Erfahrung aus der Beratung im Mittelstand rund um Aachen.

Viele Firmen verschwenden Wochen mit der Frage, welche Richtlinie auf Seite 17 stehen soll. Gleichzeitig weiß niemand, dass im CRM, im HR-Tool und in Microsoft 365 schon drei KI-Funktionen aktiv sind. Das ist die falsche Reihenfolge.

Mein pragmatischer Ansatz ist simpel: Erst ein KI-Inventar, dann eine Ampellogik. Nicht schön für die Hochglanz-Präsentation, aber wirksam.

Grün heißt: interne Assistenz ohne sensible Daten. Also etwa Formulierungshilfe, Zusammenfassungen, Ideensammlung oder interne Wissenssuche.

Gelb heißt: Kundenkontakt oder Kennzeichnungsthema. Dazu zählen Website-Chatbots, automatische Antwortvorschläge im Support oder KI-generierte Marketinginhalte.

Rot heißt: HR, Kredit, biometrische Nutzung, sicherheitskritische Prozesse oder alles, was rechtlich und operativ tief eingreift. Da brauchst du vor Freigabe eine echte Prüfung.

1. 1
   1. KI-Inventar anlegen

   Erfasse jedes Tool: ChatGPT, Copilot, Claude, Gemini und eingebettete KI in CRM, ERP, HR, Website oder Ticketsystem.
2. 2
   2. Pro Tool Steckbrief ausfüllen

   Zweck, Nutzergruppen, Datenarten, Anbieter, Speicherort, Datentransfer, Risikoklasse, Verantwortliche und Freigabeprozess dokumentieren.
3. 3
   3. Ampel setzen

   Grün für interne Assistenz, Gelb für Kundenkontakt oder Kennzeichnung, Rot für sensible oder hochriskante Einsätze.
4. 4
   4. Maßnahmen starten

   Richtlinie, Schulung, Kennzeichnungsprozess und Eskalationsweg für rote Fälle festlegen.

6Schulungspflicht: Was ein KMU realistisch dokumentieren sollte

Bei der Schulungspflicht herrscht gerade viel Theater. Manche tun so, als müsste jetzt jeder Mitarbeiter einen KI-Führerschein machen. Das halte ich für überzogen.

Entscheidend ist, ob du AI Literacy als Organisationspflicht ernst nimmst. Laut Brandauer Rechtsanwälte reicht für ein KMU oft eine schriftliche KI-Nutzungsrichtlinie, eine zweistündige interne Schulung pro Halbjahr mit Anwesenheitsliste und eine kurze Onboarding-Einheit für neue Mitarbeitende. Das ist machbar und vor allem nachweisbar.

Auch Haufe X360 betont: Schulungen sollten nicht nur stattfinden, sondern nachvollziehbar dokumentiert werden. Genau daran scheitern viele Firmen später, wenn sie im Ernstfall zeigen sollen, dass Regeln nicht nur auf Papier existieren.

Was sollte in so eine Schulung rein? Keine Geschäftsgeheimnisse in öffentliche KI-Tools. Personenbezogene Daten nur nach Freigabe. Ergebnisse nicht blind übernehmen. Quellen und Fakten prüfen. KI-generierte Inhalte kennzeichnen, wenn der Fall es verlangt. Das ist keine Raketenwissenschaft , sondern saubere Betriebsorganisation.

7Bußgelder und Geschäftsrisiko: Warum Abwarten teurer ist als ein kleines KI-Governance-Set

Ja, die Bußgelder sind hoch. Laut Kigazon drohen bei verbotenen KI-Praktiken bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Für Hochrisiko-Verstöße sind es bis zu 15 Millionen Euro oder 3 Prozent.

Aber ich sage dir offen: Für die meisten kleineren und mittleren Unternehmen ist nicht das Maximalbußgeld das Hauptproblem. Gefährlicher sind Reputationsschäden, Ärger mit Kunden, fehlende Nachweise bei Prüfungen und das Chaos, wenn plötzlich jemand merkt, dass im HR-Prozess ein kritisches Tool ohne Freigabe lief.

Der pragmatische Mindestumfang für 2026 ist überschaubar. Du brauchst ein KI-Inventar, eine einfache Risikoklassifizierung, eine Mitarbeiter-Richtlinie, Schulungsnachweise, einen Kennzeichnungsprozess für relevante Inhalte und einen klaren Eskalationsweg für rote Fälle. Mehr ist im ersten Schritt oft nicht nötig. Weniger ist meistens fahrlässig.

8Meine Einschätzung

Der EU AI Act ist kein Grund, KI im Unternehmen abzuwürgen. Aber er ist auch kein Papier, das man bis kurz vor Frist ignorieren sollte.

Für die meisten Firmen in Aachen, Würselen, Eschweiler oder der übrigen Städteregion ist die Aufgabe 2026 ziemlich klar: rausfinden, wo KI heute schon genutzt wird, diese Nutzung sortieren und drei bis fünf einfache Regeln verbindlich machen. Wer das sauber macht, ist den meisten schon weit voraus.

Ich halte wenig von überladenen Compliance-Projekten, die mehr Folien als Wirkung produzieren. Ein ehrliches KI-Inventar, eine Ampellogik und dokumentierte Schulung bringen in der Praxis oft mehr Sicherheit als jede Hochglanz-Governance. Und genau darum geht’s am Ende.