„Müssen wir wegen des EU AI Act jetzt etwas tun?" — diese Frage hören wir gerade in fast jedem Erstgespräch. Die ehrliche Antwort: ja, aber deutlich weniger, als die Panik-Schlagzeilen vermuten lassen. Und der gefürchtete Stichtag im August 2026 ist für die meisten gerade vom Tisch. Hier ist die nüchterne Einordnung für den Mittelstand.
Die gute Nachricht zuerst: die großen Fristen sind verschoben
Lange galt der 2. August 2026 als der große Stichtag — ab dann sollten die strengen Pflichten für Hochrisiko-KI greifen. Im Mai 2026 haben sich die EU-Institutionen im sogenannten Digital Omnibus aber auf eine deutliche Verschiebung geeinigt:
- Eigenständige Hochrisiko-Systeme (Anhang III) müssen die Pflichten erst ab dem 2. Dezember 2027 erfüllen — rund 16 Monate später als geplant.
- In Produkte eingebettete Systeme (Anhang I) haben sogar bis zum 2. August 2028 Zeit.
Rechtskräftig wird die Verschiebung mit der Veröffentlichung im EU-Amtsblatt, die noch vor August 2026 erwartet wird — bis dahin bleibt der alte Termin formal bestehen, die politische Einigung gilt aber als sicher. Für dich heißt das: Der Zeitdruck, der viele Anbieter gerade zu teuren „AI-Act-Paketen" drängt, ist erst einmal raus.
Vier Risikoklassen — und warum du wahrscheinlich in der harmlosen sitzt
Der AI Act sortiert KI nicht pauschal, sondern nach Risiko. Das ist die wichtigste Unterscheidung — und der Grund, warum die meisten Mittelständler gelassen bleiben können.
- Unzulässiges Risiko — verboten. Dinge wie Social Scoring oder manipulative KI. Gilt schon seit Februar 2025 und betrifft seriöse Unternehmen praktisch nie.
- Hochrisiko — die strenge Klasse mit Risikomanagement, Dokumentation und Aufsicht. Gemeint ist KI in sensiblen Feldern wie Personalauswahl, Kreditvergabe, Medizin oder kritischer Infrastruktur. Hier greifen die eben verschobenen Fristen.
- Begrenztes Risiko — Transparenzpflichten. Setzt du einen Chatbot ein oder veröffentlichst du KI-generierte Inhalte, musst du das kenntlich machen. Mehr nicht.
- Minimales Risiko — keine besonderen Pflichten. Hier landet der Großteil des Alltags: Texte entwerfen, Angebote zusammenfassen, Bilder generieren, Daten sortieren.
Wenn du KI vor allem nutzt — ChatGPT, Copilot, ein paar Automatisierungen — statt selbst ein Hochrisiko-System zu bauen, bewegst du dich fast immer in den unteren beiden Klassen.
Was jetzt schon gilt (und gern übersehen wird)
Zwei Dinge gelten unabhängig von allen Verschiebungen — seit dem 2. Februar 2025:
1. KI-Kompetenz. Wer KI im Betrieb einsetzt, muss dafür sorgen, dass die damit arbeitenden Mitarbeitenden sie auch verstehen — Grundlagen, Grenzen, Datenschutz. Das ist Pflicht und soll nachweisbar sein. Die Entwarnung: Gemeint ist keine Zertifizierung, sondern angemessene Schulung. Eine kompakte Einweisung plus eine zweiseitige Nutzungsrichtlinie — ein halber Tag Arbeit, kein Compliance-Großprojekt. Eine solche Richtlinie erstellst du in Minuten.
2. Transparenz. Setzt du einen Chatbot ein, müssen Nutzer wissen, dass sie mit einer Maschine sprechen. Veröffentlichst du KI-generierte Texte oder Bilder, kennzeichne sie. Unkompliziert — aber oft vergessen.
Wofür du (vorerst) kein Geld ausgeben musst
Die ehrliche Warnung: Der AI Act ist gerade ein bequemes Verkaufsargument für teure Beratung und Software, die viele gar nicht brauchen. Wenn du kein Hochrisiko-System betreibst — und das tun die wenigsten Mittelständler —, ist das schwere Pflichtenpaket aus Audits und Dokumentation für dich schlicht nicht relevant. Der Digital Omnibus senkt die Hürden zusätzlich: Für kleinere Unternehmen (die geplante Kategorie reicht bis 750 Mitarbeitende und 150 Mio. € Umsatz) soll die technische Dokumentation in reduziertem Umfang genügen. Kauf dir also kein „AI-Act-Komplettpaket", bevor du nicht weißt, ob dich die strengen Regeln überhaupt betreffen.
Pragmatisch in drei Schritten
Erstens, schreib auf, welche KI bei euch wofür im Einsatz ist. Zweitens, deck die zwei Pflichten ab, die heute schon gelten — kurze Schulung und eine klare Nutzungsrichtlinie. Drittens, prüf einmal sauber, ob eine eurer Anwendungen in die Hochrisiko-Klasse fällt.
Genau für den dritten Schritt haben wir einen kostenlosen EU-AI-Act-Risiko-Check gebaut — in wenigen Minuten weißt du, wo du stehst. Bleibst du danach unsicher, sprich uns an: Du bekommst eine ehrliche Einschätzung, keine Angst-Verkaufe. (Dieser Beitrag ordnet ein, ersetzt aber keine Rechtsberatung.)