AI-Act für den Mittelstand im Detail

Der AI-Act (Verordnung EU 2024/1689) gilt seit August 2024 schrittweise. Drei Stichtage sind für Sie relevant:

  • 2. Februar 2026: Verbotene Praktiken + Artikel 4 KI-Kompetenz-Pflicht
  • 2. August 2026: Regeln für allgemeine KI-Modelle (GPAI)
  • 2. August 2027: Pflichten für Hochrisiko-Systeme nach Anhang III

Bitkom-Studie 2025: 23 % der Unternehmen mit 20-99 Mitarbeitern und 36 % der Unternehmen mit 100-499 Mitarbeitern stellen aktiv KI-Zugänge bereit.1 Wer ChatGPT oder Microsoft Copilot im Betrieb einsetzt, ist AI-Act-Betreiber - unabhängig von der Unternehmensgröße.

Grundlagen zur KI-Verordnung finden Sie im AI-Act-Überblick →

Die meisten Mittelstands-Use-Cases liegen in den unteren beiden Klassen. Aber nicht alle. Wir ordnen Ihre konkreten Use-Cases im Workshop ein.

Seit 2. Februar 2026 müssen Anbieter und Betreiber von KI-Systemen sicherstellen, dass ihr Personal über ausreichende „KI-Kompetenz" verfügt. Das gilt auch für kleine Betriebe.

Was „ausreichende KI-Kompetenz" praktisch heißt:

  • Mitarbeiter wissen, was Sprachmodelle können und was nicht
  • Mitarbeiter erkennen Halluzinationen und prüfen Ergebnisse nach
  • Mitarbeiter kennen den Unterschied zwischen DSGVO-konformen und US-Cloud-Tools
  • Dokumentation: Schulungs-Nachweis, Use-Case-Liste, AVV-Prüfung

Wie der Halbtag-Workshop Artikel 4 mit-bedient: Der Compliance-Block (45 Minuten) dokumentiert die Schulung. Sie nehmen den Schulungs-Nachweis mit nach Hause.

Workshop-Details & Festpreis-Staffel ansehen →

Wenn Ihre Mitarbeiter ChatGPT, Microsoft Copilot oder Google Gemini einsetzen - auch privat auf dem Diensthandy - sind Sie Betreiber eines KI-Systems im Sinne des AI-Acts.

Drei sofortige Schritte:

  1. Bestandsaufnahme - was nutzt Ihre Mannschaft heute schon? Klartext, keine Schuld-Frage.
  2. DSGVO-Prüfung - Kunden- und Lieferantendaten in US-Cloud sind oft DSGVO-Verstoß.
  3. Ersatz oder AVV - eigener KI-Zugang auf deutschen Servern oder AVV mit dem US-Anbieter (selten praktikabel).

Stand: Juni 2026. Die Angaben ersetzen keine Rechtsberatung - bei konkreten Compliance-Fragen empfehlen wir die Rückkopplung mit einem spezialisierten Rechtsanwalt.

Vom AI Act (EU 2024/1689) sind alle Unternehmen betroffen, die KI-Systeme in der EU anbieten oder betreiben - also auch Mittelständler, die ChatGPT, Microsoft Copilot oder Google Gemini einsetzen. Sie gelten dann als „Betreiber" im Sinne der Verordnung. Pflichten richten sich nach der Risikoklasse des jeweiligen KI-Systems.
Die KI-Verordnung gilt für Anbieter (die KI-Systeme entwickeln oder in Verkehr bringen) und Betreiber (die KI-Systeme beruflich nutzen). Mikro-KMU sind als Betreiber eingestuft, sobald ihre Mitarbeiter KI-Tools wie ChatGPT nutzen - auch ohne eigene KI-Entwicklung.
Ja. Wer ChatGPT, Microsoft Copilot oder vergleichbare Dienste im Unternehmen beruflich einsetzt, ist Betreiber im Sinne des AI-Acts. Pflichten richten sich nach der Risikoklasse und dem Personendaten-Bezug der jeweiligen Anwendung.
Seit 2. Februar 2026 müssen Betreiber von KI-Systemen sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt: Mitarbeiter müssen wissen, was Sprachmodelle können und was nicht, Halluzinationen erkennen und den Unterschied zwischen DSGVO-konformen und US-Cloud-Tools kennen. Dokumentiert wird das durch Schulungs-Nachweis, Use-Case-Liste und AVV-Prüfung.
Ein AVV ist Pflicht, sobald personenbezogene Daten durch ein KI-System verarbeitet werden. Der AI-Act kommt zusätzlich dazu - je nach Risikoklasse des Systems kommen weitere Pflichten hinzu (z. B. Transparenz-Kennzeichnung oder Konformitätsbewertung).
Hochrisiko-Systeme (z. B. KI-gestützte Bewerber-Filter oder Kreditwürdigkeits-Bewertung) erfordern Konformitätsbewertung, CE-Kennzeichnung und Registrierung. In der Praxis haben die meisten Mittelstands-Use-Cases kein Hochrisiko - eine ehrliche Einordnung hilft, unnötigen Aufwand zu vermeiden.
Im Awareness-Workshop erhalten Sie eine Risikoklassen-Einordnung für 3-5 Ihrer konkreten Use-Cases als Festpreis. Details und Staffel nach Unternehmensgröße auf der Workshop-Seite.
← Zurück zum AI-Act-Überblick

Bereit, Ihre Use-Cases einzuordnen?

Im Vorgespräch klären wir, welche Ihrer KI-Use-Cases in welche Risikoklasse fallen.

Viele Grüße aus Reutlingen - Jan Schulz und Stefan Schmitt.

1 Quelle: Bitkom-Pressemitteilung „Beschäftigte nutzen vermehrt Schatten-KI" (21. Oktober 2025). Vollstudie: bitkom-research.de/studien/kuenstliche-intelligenz-2025.