EU AI Act · Quellen geprüft am 29. Juli 2026
EU AI Act für KMU: System, Rolle und Frist prüfen
Listen Sie jedes KI-System auf, das Ihr Unternehmen nutzt oder verkauft. Halten Sie Rolle, betroffene Personen, Nachweise und den nächsten Prüftermin fest.
Die Entscheidung
- Beginnen Sie mit einem System und seinem Verwendungszweck. Ihr Unternehmen kann bei Copilot Betreiber, bei einem eigenen KI-Produkt Anbieter und in einem dritten Fall Produkthersteller sein.
- Definitionen, Maßnahmen zur KI-Kompetenz und die ersten verbotenen Praktiken gelten seit 2. Februar 2025. Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gelten seit 2. August 2025. Grundlage ist die EU-KI-Verordnung.
- Die Transparenzpflichten aus Artikel 50 gelten ab 2. August 2026. Der endgültige Digital-Omnibus zur KI verschob die Hochrisiko-Regeln für Anhang III auf 2. Dezember 2027 und für Produkte nach Anhang I auf 2. August 2028.
- Für KMU gibt es Unterstützung und einzelne Vereinfachungen. Es gibt keine pauschale Ausnahme für kleine Unternehmen.
- Führen Sie eine System- und Rollenliste mit Nachweisen und Prüftermin. Eine allgemeine KI-Richtlinie beantwortet diese Fragen nicht für das einzelne System.
Aktueller Zeitplan
Die nächste Frist hängt von der Vorschrift ab.
| Datum | Was gilt | Was ein KMU zeigen sollte |
|---|---|---|
| 2. Feb. 2025 | Definitionen, Maßnahmen zur KI-Kompetenz und erste verbotene Praktiken | Systemliste, Nutzungskontext, beteiligte Personen, Unterweisung oder Review und Prüfung auf Verbote |
| 2. Aug. 2025 | Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck und EU-Aufsicht | Rollenentscheidung, falls das Unternehmen selbst ein solches Modell entwickelt oder in der EU anbietet |
| 2. Aug. 2026 | Großteil der weiteren Vorschriften, Durchsetzung anwendbarer Regeln und Transparenzpflichten nach Artikel 50 | Entscheidung je Transparenzfall, erforderlicher Hinweis oder Kennzeichnung, Prüfung und Verantwortlicher |
| 2. Dez. 2027 | Hochrisiko-Regeln für Systeme nach Anhang III | Rechtliche Einstufung und Nachweise des Anbieters oder Betreibers für gelistete Einsatzfälle |
| 2. Aug. 2028 | Hochrisiko-Regeln für KI in regulierten Produkten nach Anhang I | Produkteinstufung, Rollen in der Lieferkette, technische Unterlagen und Konformitätsweg |
Rolle bestimmen
Beschaffung, Änderung und Verkauf ändern Ihre Rolle.
| Situation | Zu prüfende Rolle | Nächster Nachweis |
|---|---|---|
| Beschäftigte nutzen ein Tool eines Lieferanten | Betreiber | Lieferant, Zweck, Anleitung, Nutzer, Daten, menschliche Prüfung, Transparenzfall und Änderungsprotokoll |
| Sie verkaufen ein KI-System unter Ihrem Firmennamen | Anbieter | Zweck, Systembeschreibung, Einstufung, technische Unterlagen, Lieferantennachweise, Freigabe und Kundenanleitung |
| Sie ändern Zweck oder System wesentlich | Anbieterpflichten können auf Ihr Unternehmen übergehen | Schriftliche Änderungsgrenze, Stand vorher und nachher, Lieferantenvertrag und neue Einstufung |
| Sie bringen ein System aus einem Drittstaat in der EU in Verkehr | Einführer | Anbieter, erforderliche Konformitätsnachweise, Anleitung, Rückverfolgbarkeit und Kontaktweg zur Behörde |
| Sie stellen ein System in der Lieferkette bereit | Händler | Lieferanten- und Konformitätsprüfung, Lagerung oder Handhabung, Aufzeichnungen und Eskalationsweg |
| Sie integrieren KI als Sicherheitsbauteil in ein reguliertes Produkt | Produkthersteller und möglicher Anbieter | Produktweg nach Anhang I, Sicherheitsfunktion, Zweck und Zuständigkeit für Konformität |
| Sie entwickeln und vertreiben ein KI-Modell mit allgemeinem Verwendungszweck | Anbieter eines solchen Modells | Eigener Prüfpfad; die normale Nutzung einer API begründet diese Rolle allein nicht |
Systemliste
Sieben Felder für jedes KI-System.
✓
**System und Lieferant:** Produkt, Version, Modell oder eingebettete Funktion, Vertrag und Geschäftskontakt.
✓
**Verwendungszweck:** genaue Aufgabe, Eingabe, Ausgabe, Entscheidung oder Aktion und betroffene Personen.
✓
**Rolle des Unternehmens:** Anbieter, Betreiber, Einführer, Händler, Produkthersteller oder mehrere Rollen.
✓
**Geltungsbereich und Verbote:** Begründung zur KI-System-Definition, EU-Bezug und mögliche verbotene Praxis nach Artikel 5.
✓
**Mögliche Pflicht:** Transparenzfall nach Artikel 50, Nutzung nach Anhang III, Produkt nach Anhang I, Modellanbieterpflicht oder bei dieser Vorprüfung keine besondere Pflicht gefunden.
✓
**Nachweis und Verantwortlicher:** Lieferantenunterlagen, Anleitung, Tests, Nutzerhinweis, menschliche Prüfung, Maßnahme zur KI-Kompetenz, Vorfälle und Zuständigkeit.
✓
**Nächste Prüfung:** Datum und Auslöser wie neues Modell, neue Vertragsbedingung, Funktion, Zweck, Nutzergruppe, Markt oder Rechtsänderung.
Typische Fälle im KMU
Der Produktname entscheidet die Einstufung nicht.
| Einsatz | Erste Frage | Sinnvoller nächster Schritt |
|---|---|---|
| ChatGPT oder Copilot für Entwürfe und Zusammenfassungen | Welche Daten fließen ein, wer prüft die Ausgabe und beeinflusst sie eine gelistete Entscheidung? | Lieferant, Nutzer, erlaubte Aufgaben, Datengrenze, Prüfung und Maßnahme zur KI-Kompetenz festhalten |
| Chatbot für Kunden | Interagiert das System direkt mit Menschen und ist der KI-Einsatz für sie bereits offensichtlich? | Hinweispflicht aus Artikel 50 prüfen, Hinweis barrierefrei umsetzen und Freigabetest speichern |
| Lebenslauf-Screening oder Kandidaten-Ranking | Fällt der Zweck unter den Beschäftigungsbereich in Anhang III und greift eine Ausnahme? | Zweck festschreiben und rechtlich einstufen lassen, bevor Sie mit dem 2. Dezember 2027 planen |
| Eigene KI-Software auf Basis einer Modell-API | Bringen Sie ein KI-System unter Ihrem Namen in Verkehr oder ändern Sie seinen Zweck? | Anbieterrolle offen prüfen; Modell-, System-, Test-, Kunden- und Änderungsnachweise sammeln |
| KI-Text im Marketing | Geht es um Information von öffentlichem Interesse, einen Deepfake oder redaktionell geprüften Werbetext? | Den passenden Fall und mögliche Ausnahme aus Artikel 50 prüfen. Eine pauschale Kennzeichnung aller Texte ist nicht vorgesehen. |
| KI in einer Maschine oder einem anderen regulierten Produkt | Ist die KI ein Sicherheitsbauteil oder selbst das Produkt nach einer Vorschrift aus Anhang I? | KI- und Produktkonformität gemeinsam planen und den 2. August 2028 prüfen |
Artikel 50
Transparenz hängt vom konkreten Fall ab.
Artikel 50 trennt mehrere Pflichten. Anbieter bauen Hinweise in Systeme ein, die direkt mit Menschen interagieren, und maschinenlesbare Kennzeichnungen in Systeme für synthetische Inhalte. Betreiber haben eigene Hinweispflichten bei Emotionserkennung, biometrischer Kategorisierung, Deepfakes und bestimmten Texten von öffentlichem Interesse. Maßgeblich ist der Wortlaut von Artikel 50.
Daraus folgt keine pauschale Kennzeichnung aller KI-unterstützten Texte. Für Texte von öffentlichem Interesse besteht eine Ausnahme bei menschlicher Prüfung oder redaktioneller Kontrolle, wenn eine Person oder ein Unternehmen die redaktionelle Verantwortung trägt. Halten Sie Fall, Ausnahme, Text des Hinweises, Barrierefreiheitsprüfung, Freigabetest und Zuständigkeit fest.
Nächster Schritt: Compliance
Compliance-Check zu: EU AI Act für KMU
Schicken Sie uns den aktuellen Stand Ihrer Website. Wir antworten mit den Risiken, die wirklich zählen, nicht mit einer generischen Checkliste.
Nachweise
Speichern Sie, wie die Entscheidung zustande kam.
Legen Sie Systemeintrag, Zweck, Rollenbegründung, Lieferantenunterlagen, Vertrag, Datengrenze, anwendbare Vorschrift, Tests, Nutzerhinweis, menschliche Prüfung, Maßnahme zur KI-Kompetenz, Vorfallweg und Freigabe zusammen ab. Datieren Sie Quellen und Entscheidung.
Prüfen Sie den Eintrag bei Änderungen an Modell, Lieferant, Funktion, Zweck, betroffener Gruppe, Selbstständigkeit des Systems, Markt, Vertrag oder Recht. Legen Sie zusätzlich einen festen Prüftermin fest. Der Überblick der Kommission und ihr laufender Zeitplan sind die ersten Quellen für die erneute Prüfung.
Fragen aus dem Freigabegespräch
Kurze Antworten für die nächste Entscheidung.
Wir nutzen nur ChatGPT und Copilot. Was müssen wir tun?
Erfassen Sie jeden Einsatz einzeln. Der Produktname allein reicht nicht. Halten Sie Aufgabe, Nutzer, Daten, Prüfung der Ausgabe, betroffene Personen, Lieferantenbedingungen und Maßnahme zur KI-Kompetenz fest. Prüfen Sie danach, ob gerade dieser Einsatz ein Verbot, eine Transparenzpflicht oder einen Hochrisiko-Fall berührt.
Sind KMU vom EU AI Act ausgenommen?
Nein. Es gibt Unterstützung und einzelne Vereinfachungen, etwa vereinfachte technische Unterlagen in bestimmten Anbieterfällen. Geltungsbereich, Rolle, Verbote, Transparenz und Hochrisiko-Einstufung hängen weiterhin vom System und seinem Zweck ab.
Welche Bußgelder gelten für KMU?
Artikel 99 setzt Höchstgrenzen je Verstoß. Bei KMU gilt der niedrigere Betrag aus fester Summe und Umsatzprozentsatz. Die Behörde berücksichtigt außerdem die Umstände des Einzelfalls. Für eine aktuelle rechtliche Bewertung zählt der Gesetzestext. Eine Schlagzeile mit dem höchsten Betrag reicht dafür nicht.
Wurde die Hochrisiko-Frist im August 2026 verschoben?
Ja. Die Verordnung (EU) 2026/1744 verschob die Hochrisiko-Regeln für Anhang III auf 2. Dezember 2027 und für KI in Produkten nach Anhang I auf 2. August 2028. Transparenzpflichten nach Artikel 50 und andere anwendbare Vorschriften starten weiterhin am 2. August 2026.
Wer sollte entscheiden, ob unser System hochriskant ist?
Fachbereich und Technik halten zuerst die Tatsachen fest: Zweck, Nutzer, betroffene Personen, Entscheidungen, Aktionen, Produktbezug, Lieferant und Änderungen. Eine qualifizierte Rechtsberatung kann diesen Fall einstufen. Danach setzt die Technik die erforderlichen Kontrollen um und testet sie.
Was sollen wir für eine Prüfung bereitstellen?
Senden Sie einen Systemeintrag, Vertrag oder Bedingungen des Lieferanten, Zweck, Datenfluss, Bildschirmfotos, Nutzerhinweis, Regel zur Prüfung der Ausgabe, betroffene Gruppen und bekannte Änderungen. Wir ordnen technische Nachweise und Umsetzungslücken und markieren Fragen für die Rechtsberatung.
Umsetzung
Aus der rechtlichen Entscheidung werden Systemkontrollen.
Some Tech Work kann die Systemliste aufbauen, Lieferanten und Datenflüsse zuordnen, barrierefreie Hinweise einbauen, menschliche Prüfungen festlegen, Modell- oder Prompt-Änderungen protokollieren und den Freigabeweg testen. Das Ergebnis sind technische Nachweise für Ihr Team und Ihre Rechtsberatung. Es ist keine Rechtsberatung oder Zertifizierung.
Für mehrere Systeme starten Sie mit einer KI-Beratung. Bei einem einzelnen Prozess senden Sie Aufgabe, Tools, Daten, betroffene Personen und heutigen Prüfschritt an unseren Service für KI-Automatisierung.
Verfasst von
Vineet Talwar
Co-Founder, Tech & Operations bei Some Tech Work. WordCamp-Speaker in Europa und Asien und Host des WP-Shoutout-Podcasts.
Hier starten
Bereit fürs Gespräch.Buchen Sie eine kurze Diagnose.
Sagen Sie uns, was nicht läuft
Wir lesen jedes Briefing und antworten innerhalb eines Werktags.
Lieber erst sprechen?oder Tech-Stack-Audit anfragen →oder direkt per E-Mail →
Unklar, wo Sie anfangen sollen? Schicken Sie die hängende Entscheidung, den Workflow oder die Seite. Wir sagen, ob ein Diagnosegespräch, ein Tech-Stack-Audit oder ein anderer erster Schritt passt.