Der AI-Act (Verordnung EU 2024/1689) ist die erste umfassende KI-Verordnung der Europäischen Union. Sie gilt seit August 2024 schrittweise - die wichtigsten Geltungsdaten im Überblick:

  • 2. Februar 2026: Verbotene Praktiken und KI-Kompetenz-Pflichten (Artikel 4) - gilt heute bereits.
  • 2. August 2026: Regeln für allgemeine KI-Modelle (GPAI).
  • 2. August 2027: Volle Hochrisiko-Pflichten nach Anhang III.

Drei Dinge müssen Sie wissen:

Wie wir das bei uns selbst handhaben, steht offen in unserer KI-Transparenz-Erklärung.

Für den deutschen Mittelstand relevant: Die meisten Standardanwendungen - KI-gestützte Textgenerierung, Rechercheassistenten, Vorlagen-Generatoren - fallen unter begrenztes oder minimales Risiko; Transparenz-Kennzeichnung und DSGVO-Konformität reichen oft aus. Ausnahme: Systeme, die Personen bewerten oder über sie entscheiden (Mandanten-Scoring, Bewerber-Filter), können Hochrisiko sein. Laut Bitkom-Studie 2025 stellen 23 % der Unternehmen mit 20-99 Mitarbeitenden und 36 % der Unternehmen mit 100-499 Mitarbeitenden aktiv KI-Zugänge bereit; 25 % berichten von Schatten-KI.1

Use-Case-Beispiele nach Risikoklasse:

  • PIM-Daten-Pflege (Großhandel) → begrenztes Risiko
  • Vorlagen-Generator (Mikro-KMU) → minimales Risiko
  • Mail-Triage (Innendienst) → begrenztes Risiko, AVV bei Personendaten
  • Mandanten-Scoring / Bewerber-Filter → kann Hochrisiko sein (Konformitätsbewertung erforderlich)
Der EU AI-Act (Verordnung EU 2024/1689) ist das erste umfassende KI-Gesetz der Welt. Er klassifiziert KI-Systeme in vier Risikoklassen (unzulässig, Hochrisiko, begrenztes Risiko, minimales Risiko) und knüpft die Compliance-Pflichten an diese Klasse. Unternehmen, die KI-Systeme einsetzen, sind Betreiber und haben Pflichten - unabhängig von ihrer Größe.
Der AI-Act gilt schrittweise: Verbotene Praktiken und KI-Kompetenz-Pflichten (Artikel 4) gelten ab 2. Februar 2026. Die Regeln für allgemeine KI-Modelle (GPAI) gelten ab 2. August 2026. Hochrisiko-Systeme nach Anhang III unterliegen ab 2. August 2027 den vollen Pflichten.
Alle Unternehmen, die KI-Systeme einsetzen, sind Betreiber im Sinne des AI-Acts - auch Mittelstandsbetriebe, Steuerkanzleien und Handwerksbetriebe. Die konkreten Pflichten richten sich nach der Risikoklasse des eingesetzten KI-Systems. Wer ChatGPT, Microsoft Copilot oder ähnliche Tools im Betrieb nutzt, ist Betreiber.
Verboten sind KI-Systeme mit unzulässigem Risiko: Social Scoring (Bewertung von Personen durch staatliche Behörden), biometrische Echtzeit-Identifizierung im öffentlichen Raum (mit engen Ausnahmen), manipulative KI, die das Verhalten von Menschen gegen deren Willen beeinflusst, sowie KI zur Ausnutzung von Schwächen besonderer Gruppen.
Der AI-Act unterscheidet vier Klassen: (1) Unzulässig - verboten, z. B. Social Scoring. (2) Hochrisiko - strenge Pflichten, z. B. bestimmte Bewerber-Filter oder Kreditwürdigkeits-Bewertungen. (3) Begrenztes Risiko - Transparenz-Pflichten, z. B. Kennzeichnung als KI bei Chatbots. (4) Minimales Risiko - keine spezifischen AI-Act-Pflichten, aber DSGVO bleibt.
Ja. Sie sind Betreiber im Sinne des AI-Acts. Pflichten richten sich nach der Risikoklasse Ihres konkreten Use-Cases und nach Ihrem Berufsstand. Bei beratenden Berufen kommen zusätzlich Kammerregeln hinzu - etwa § 57 StBerG für Steuerkanzleien oder vergleichbare Berufsordnungen für andere freie Berufe.
Artikel 4 AI-Act: Anbieter und Betreiber von KI-Systemen müssen sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt - abgestimmt auf den konkreten Einsatzbereich. Das schließt Schulung und Dokumentation ein. Gilt seit 2. Februar 2026 - auch für kleine Kanzleien und Mittelstandsbetriebe.
Der AVV ist Pflicht bei Personendaten-Verarbeitung (DSGVO). Der AI-Act kommt zusätzlich und unabhängig davon - je nach Risikoklasse des KI-Systems. Beide Regelwerke überlagern sich, ersetzen einander aber nicht. Je nach Berufsstand kommen weitere Kammerregeln hinzu - etwa § 57 StBerG für Steuerkanzleien.
Hochrisiko-Systeme erfordern Konformitätsbewertung, CE-Kennzeichnung und Registrierung im EU-Datenbank-System. Für die meisten Mittelstands-Use-Cases gilt das nicht - aber KI-gestützte Mandanten-Bewertungen oder Bewerber-Filter können Hochrisiko sein. Wir helfen Ihnen einzuordnen, ob Sie überhaupt einen Hochrisiko-Use-Case haben.
Alle AI-Act-Fragen in der vollständigen FAQ →
1Bitkom-Pressemitteilung „Beschäftigte nutzen vermehrt Schatten-KI" (21. Oktober 2025) und Vollstudie bitkom-research.de/studien/kuenstliche-intelligenz-2025. Verifikation O1 belegt 2026-05-23 (Konzept-Renderer Stufe 3).

Alle Aussagen zu gesetzlichen Pflichten ersetzen keine Rechtsberatung. Wir empfehlen die Rückkopplung mit Ihrer Kammer, Berufshaftpflicht oder einem Fachanwalt für IT-Recht.

AI-Act-Einordnung für Ihr Unternehmen

Wir sortieren Risikoklasse und Berufsstands-Pflichten - verständlich, mit Quellen.