Das Wichtigste in Kürze
Ab dem 2. August 2026 kann das Europäische KI-Büro die Regeln des EU AI Act (Verordnung (EU) 2024/1689) für General-Purpose-KI aktiv durchsetzen – mit Bußgeldern von bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes. Betroffen sind nicht nur KI-Anbieter, sondern auch Unternehmen, die Microsoft Copilot, ChatGPT oder ähnliche Tools im Arbeitsalltag nutzen. Die Verordnung sieht unter anderem ein KI-Inventar, eine Risikoeinstufung sowie Transparenz- und Kompetenznachweise vor.
Unterschätzt, unterschätzt, unterschätzt
Kaum ein Gesetz wird im Mittelstand so unterschätzt wie der EU AI Act. „Das betrifft doch nur die großen Tech-Konzerne“ – diese Annahme ist weit verbreitet, trifft aber nicht zu. Sobald in einem Unternehmen ein Team Microsoft Copilot für E-Mails nutzt oder ChatGPT einen Vertragsentwurf formuliert, fällt das Unternehmen als Betreiber in den Anwendungsbereich. Dieser Beitrag ordnet zum Stichtag 2. August 2026 die Fakten ein: Fristen, Zahlen und die Frage, welche Dokumentation die Verordnung vorsieht.
Was ist der EU AI Act – und warum ist der 2. August 2026 entscheidend?
Der EU AI Act ist die weltweit erste umfassende Regulierung für Künstliche Intelligenz. Er ist als Verordnung (EU) 2024/1689 am 1. August 2024 in Kraft getreten und gilt unmittelbar in allen Mitgliedstaaten – ohne nationales Umsetzungsgesetz. Seine Pflichten greifen jedoch gestaffelt.
Die wichtigsten Stufen im Überblick:
Erkenntnis: Der 2. August 2026 ist der Moment, ab dem aus „geltendem Recht auf dem Papier“ ein durchsetzbares Recht mit Sanktionen wird. Genau darauf sollten Sie hinarbeiten.
Betrifft mich das? Warum auch Copilot-Nutzer im Anwendungsbereich sind
Ja – mit hoher Wahrscheinlichkeit betrifft es Sie. Der AI Act unterscheidet zwischen Anbietern (die KI-Systeme entwickeln oder in Verkehr bringen) und Betreibern („Deployer“, die KI unter eigener Verantwortung nutzen). Die entscheidende Erkenntnis für den Mittelstand: Auch Betreiber haben Pflichten.
Wer Microsoft Copilot, ChatGPT Enterprise oder vergleichbare Assistenten für Kundenkommunikation, Textentwürfe, Recherche oder Personalprozesse einsetzt, gilt als Betreiber eines General-Purpose-KI-Systems. Damit greifen unter anderem die Transparenzpflichten und die Pflicht zur KI-Kompetenz der Beschäftigten – unabhängig von der Unternehmensgröße.
Wichtig zur Einordnung: Als Betreiber müssen Sie nicht die technischen Anbieterpflichten erfüllen – diese liegen beim Hersteller des KI-Modells (etwa Microsoft oder OpenAI). Ihre Verantwortung betrifft vor allem KI-Kompetenz, Transparenz und den verantwortungsvollen Einsatz im eigenen Haus.
Hinweis: Der AI Act kennt keine generelle Bagatellgrenze nach Mitarbeiterzahl. Ausschlaggebend ist, wie und wofür ein Unternehmen KI einsetzt – nicht seine Größe.
Die vier Risikoklassen – wo steht Ihre KI?
Der AI Act stuft jedes KI-System nach seinem Risiko ein. Diese Einordnung entscheidet, welche Pflichten für Sie gelten – deshalb steht sie am Anfang, noch vor der eigentlichen Umsetzung.
z. B. Social Scoring oder manipulative Systeme – diese Anwendungen sind untersagt.
z. B. KI in Personalauswahl, Kreditvergabe oder kritischer Infrastruktur – hier gelten die strengsten Pflichten.
z. B. Chatbots und KI-Textassistenten wie Microsoft Copilot oder ChatGPT – hier greift vor allem die Transparenzpflicht.
Hier stehen die meistenz. B. Spamfilter oder KI in Software-Standardfunktionen – weitgehend frei nutzbar.
Für die meisten Mittelständler liegt der Schwerpunkt bei begrenztem Risiko – also bei Transparenz und KI-Kompetenz. Zur Einordnung: Große Sprachmodelle selbst (sogenannte General-Purpose-KI) unterliegen zusätzlich einem eigenen Regelwerk. Für Betreiber zählt jedoch die Einordnung des konkreten Einsatzes – nicht das Modell dahinter.
Die neuen Pflichten ab dem 2. August 2026
Die für Betreiber relevantesten Pflichten lassen sich in drei Blöcke fassen. Sie sind der Kern dessen, was ab dem Stichtag nachweisbar sein muss.
1. Transparenz (Art. 50)
- Menschen müssen erkennen können, dass sie mit einem KI-System interagieren.
- KI-generierte oder -manipulierte Inhalte (Texte, Bilder, Audio) sind zu kennzeichnen.
2. KI-Kompetenz (Art. 4)
- Mitarbeitende, die mit KI arbeiten, müssen Chancen, Grenzen und Risiken verstehen.
- Diese Pflicht gilt bereits seit Februar 2025 und wird jetzt Teil der Prüfkriterien.
3. Verantwortungsvolle Nutzung & Aufsicht
- KI-Systeme bestimmungsgemäß einsetzen und menschliche Aufsicht gewährleisten.
- Datenschutz wahren – sensible Personen- oder Geschäftsdaten gehören nicht ungeprüft in einen Prompt.
Welche Dokumentation der AI Act vorsieht
Dokumentation ist der rote Faden des AI Act. Die Verordnung sieht im Kern die folgenden sieben Nachweise vor – häufig als „KI-Akte“ zusammengefasst:
Die „KI-Akte": sieben Nachweise
- KI-Inventar: Welche KI-Systeme sind im Einsatz (z. B. Microsoft Copilot, ChatGPT), zu welchem Zweck, in welchen Abteilungen?
- Risikoeinstufung: Klassifizierung jedes Systems nach den AI-Act-Risikoklassen (verboten, hochrisiko, begrenzt, minimal).
- Rollenklärung: Sind Sie Anbieter oder Betreiber des jeweiligen Systems? Davon hängen Ihre Pflichten ab.
- Nachweis KI-Kompetenz: Schulungen und Unterweisungen der Mitarbeitenden, dokumentiert mit Datum und Teilnehmenden.
- Transparenz-Regelung: Wo und wie kennzeichnen Sie KI-Interaktion und KI-generierte Inhalte?
- KI-Nutzungsrichtlinie: Eine interne Policy zu erlaubten Anwendungen, Datenschutz und menschlicher Aufsicht.
- Datenschutz-Verzahnung: Auftragsverarbeitungsverträge mit den Anbietern und klare Prompt-Regeln für sensible Daten.
Bestandteile einer KI-Nutzungsrichtlinie
Die Nutzungsrichtlinie ist ein zentrales Element der KI-Governance. Typische Bestandteile sind:
- zugelassene KI-Tools und erlaubte Einsatzzwecke
- klare Tabus – etwa sensible Personen- oder Geschäftsdaten in Prompts
- Kennzeichnungspflicht für KI-generierte Inhalte
- Regeln zur menschlichen Kontrolle vor Veröffentlichung oder Entscheidung
- Zuständigkeiten und Ansprechpartner:innen für KI-Fragen
Bußgelder und Haftung: die Zahlen
Die Sanktionen des AI Act sind gestaffelt – und sie sind hoch. Ab dem 2. August 2026 kann das EU-KI-Büro sie aktiv verhängen. Jeweils gilt der höhere der beiden Werte.
Für den Mittelstand ist oft weniger das Bußgeld das Problem als der Vertrauens- und Reputationsschaden – etwa wenn ein Großkunde im Rahmen seiner eigenen Compliance einen Nachweis Ihrer KI-Governance verlangt und Sie nichts vorlegen können.
Die Vorbereitung: fünf typische Schritte
Die Vorbereitung auf den AI Act läuft üblicherweise in fünf Schritten ab:
Alle im Einsatz befindlichen KI-Tools erfassen – auch die „inoffiziellen“, die Teams eigenständig nutzen (Schatten-KI).
Jedes System einer Risikoklasse zuordnen und die eigene Rolle (Anbieter/Betreiber) bestimmen.
Eine KI-Nutzungsrichtlinie aufsetzen – was ist erlaubt, was nicht, wer beaufsichtigt?
Mitarbeitende schulen und die KI-Kompetenz nachweisbar dokumentieren.
KI-Inventar, Einstufungen, Richtlinie und Schulungen in einer prüffähigen Akte bündeln – und aktuell halten.
Gut zu wissen: Viele dieser Schritte überschneiden sich mit dem, was Sie ohnehin für NIS2 und die DSGVO benötigen. Ein integriertes Vorgehen spart doppelte Arbeit.
Fazit
Der 2. August 2026 macht den EU AI Act für den Mittelstand verbindlich – auch für Unternehmen, die Microsoft Copilot oder ChatGPT nutzen. Wer die Fristen, die vier Risikoklassen und die vorgesehene Dokumentation kennt, kann das Thema strukturiert einordnen. Dieser Beitrag gibt dazu einen sachlichen Überblick; die Details regelt die Verordnung (EU) 2024/1689 selbst.
FAQ
Gilt der EU AI Act auch für kleine Unternehmen?
Ja. Der AI Act stellt nicht auf die Mitarbeiterzahl ab, sondern auf Art und Zweck des KI-Einsatzes. Auch kleine Unternehmen, die General-Purpose-KI wie Microsoft Copilot oder ChatGPT nutzen, gelten als Betreiber und müssen Transparenz- und Kompetenzpflichten erfüllen.
Was passiert konkret am 2. August 2026?
Ab diesem Datum sind die Regeln für General-Purpose-KI durchsetzbar und die Aufsicht durch das EU-KI-Büro greift. Verstöße können mit Bußgeldern von bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes geahndet werden.
Müssen wir die Nutzung von ChatGPT oder Copilot kennzeichnen?
Wo KI im Kundenkontakt eingesetzt wird, verlangt der AI Act Transparenz: Menschen müssen erkennen können, dass sie mit einem KI-System interagieren, und KI-generierte Inhalte sind zu kennzeichnen.
Was ist der Unterschied zwischen Anbieter und Betreiber?
Ein Anbieter entwickelt ein KI-System oder bringt es in Verkehr. Ein Betreiber (Deployer) nutzt ein KI-System unter eigener Verantwortung. Die meisten Mittelständler sind Betreiber – etwa wenn sie Copilot einsetzen – und haben vor allem Transparenz-, Kompetenz- und Aufsichtspflichten.
Wie fangen wir am besten an?
Mit einer Bestandsaufnahme aller eingesetzten KI-Tools und einer Risikoeinstufung. Darauf aufbauend folgen Nutzungsrichtlinie, Mitarbeiterschulung und die prüffähige Dokumentation.
Rechtlicher Hinweis: Dieser Beitrag dient der allgemeinen Information über den EU AI Act, stellt keine Rechtsberatung dar und nimmt keine Bewertung einzelner Anwendungsfälle vor. Für die verbindliche Einordnung eines konkreten KI-Einsatzes wenden Sie sich bitte an eine fachkundige Rechtsberatung.
Quellen: Verordnung (EU) 2024/1689 (EU AI Act); Europäische Kommission / Europäisches KI-Büro – Fristen und Sanktionsrahmen. Angaben zu Fristen und Bußgeldern nach aktuellem Stand; im Einzelfall ist eine rechtliche Prüfung ratsam.
