EU AI Act Beratung für Mittelständler

Warum der EU AI Act jeden Mittelständler betrifft

Der EU AI Act ist seit August 2024 in Kraft und gilt für jeden Anbieter und Betreiber von KI-Systemen, der diese Systeme in der Europäischen Union in den Verkehr bringt oder dort einsetzt. Das bedeutet konkret, dass praktisch jedes mittelständische Unternehmen betroffen ist, sobald es KI-Tools wie ChatGPT, Microsoft Copilot, automatisierte Texterstellung oder KI-gestützte Datenanalyse im Geschäftsbetrieb einsetzt.

Die Verordnung definiert vier Risikoklassen, von denen die meisten Mittelstands-Anwendungen in die Kategorie begrenztes oder minimales Risiko fallen. Das klingt entspannt, ist es aber nicht, denn auch begrenzte und minimale Risiken bringen konkrete Pflichten mit sich, insbesondere Transparenzpflichten gegenüber Mitarbeitern und Kunden sowie Dokumentationspflichten für den Fall einer behördlichen Anfrage. Wer diese Pflichten ignoriert, riskiert Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes.

Die vier Risikoklassen im Überblick

Unzulässige Risiken sind klar definiert und betreffen Mittelständler nur selten, etwa Social Scoring, biometrische Echtzeit-Identifikation im öffentlichen Raum oder manipulative Techniken, die die Entscheidungsfreiheit Dritter unterlaufen. Hochriskante Systeme finden sich vor allem in HR (KI-gestütztes Recruiting und Performance-Management), Kreditvergabe, Versicherung, kritischer Infrastruktur und medizinischen Geräten. Wer in diesen Bereichen arbeitet, hat ab August 2026 deutlich erhöhte Pflichten.

Begrenztes Risiko betrifft die meisten Mittelständler. Dazu zählen Chatbots, KI-gestützte Texterstellung, Bilderzeugung und ähnliche generative Anwendungen. Hier gilt vor allem die Transparenzpflicht, also die klare Information an Nutzer und betroffene Personen, dass sie mit einer KI interagieren oder dass Inhalte KI-generiert sind. Minimales Risiko umfasst Standardanwendungen wie Spam-Filter und Routineklassifikation, hier gelten keine spezifischen AI-Act-Pflichten.

Der zeitliche Anwendungsrahmen

Die Anwendung erfolgt gestaffelt. Seit Februar 2025 gelten die Verbote unzulässiger KI-Praktiken sowie die Pflicht zur KI-Kompetenz im Unternehmen, also die Pflicht, Mitarbeiter im verantwortungsvollen Umgang mit KI zu schulen. Seit August 2025 gelten die Transparenzpflichten für GPAI-Anbieter. Ab August 2026 greifen die vollständigen Compliance-Pflichten für hochriskante KI-Systeme.

Das bedeutet praktisch, dass Mittelständler im Jahr 2026 vor zwei klar getrennten Aufgaben stehen. Erstens müssen sie bis August 2026 eine Compliance-Roadmap haben, wenn sie hochriskante KI-Systeme einsetzen. Zweitens müssen sie schon jetzt Transparenz- und Schulungspflichten erfüllen, weil diese seit 2025 anwendbar sind. Eine Beratung sollte daher beide Aufgaben gleichzeitig adressieren.

Was eine AI-Act-Compliance-Beratung konkret liefert

Wir beginnen jede AI-Act-Beratung mit einem strukturierten KI-System-Inventar, also einer Bestandsaufnahme aller im Unternehmen aktiv genutzten KI-Tools. Daraus entsteht ein Compliance-Score pro System mit klarer Risikoklasse, einer Gap-Analyse der bestehenden Dokumentation und einem priorisierten Maßnahmenplan. Der Plan enthält drei bis fünf konkrete Aktionen, die innerhalb der nächsten sechs bis zwölf Monate umgesetzt werden müssen, und eine Aufwandsschätzung pro Aktion.

Das Ergebnis dieser Beratung ist gleichzeitig der BAFA-Beratungsbericht, sodass die geförderte Beratung doppelten Nutzen hat. Der Mandant erhält eine konkrete, prüffähige Compliance-Roadmap, und das BAFA erhält den Verwendungsnachweis für die Förderung. Bei einem typischen Honorar von 3.500 Euro netto reduziert sich der Eigenanteil in den alten Bundesländern auf 1.750 Euro.