# EU AI Act: Governance und KI-Kompetenz für den Mittelstand

> Hey2Ai setzt die Anforderungen des EU AI Act für mittelständische Unternehmen um, die KI einsetzen: Bestandsaufnahme aller KI-Anwendungen, Einordnung in Risikoklassen, Maßnahmen zur KI-Kompetenz nach Artikel 4 und eine KI-Richtlinie mit klaren Zuständigkeiten. Das Ergebnis ist eine dokumentierte KI-Governance, die zu deiner Betriebsgröße passt und dein Team nicht ausbremst.

Quelle: https://hey2.ai/eu-ai-act/ · Stand: 24.10.2026 · Hey2Ai, München

## Das Wichtigste in Kürze

- Seit 2. Februar 2025: verbotene KI-Praktiken und Pflicht zu Maßnahmen der KI-Kompetenz (Art. 4)
- Seit 2. August 2026: Transparenzpflichten nach Art. 50, etwa für Chatbots und KI-generierte Inhalte
- Hochrisiko-Systeme nach Anhang III: Pflichten gelten ab 2. Dezember 2027 (Digital Omnibus 2026)
- Bußgelder bis 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken
- Ein AI Officer ist gesetzlich nicht vorgeschrieben, aber ein praktischer Weg, die Maßnahmen nach Art. 4 umzusetzen
- Der Inhaber von Hey2Ai ist zertifizierter AI Officer

## Was ist der EU AI Act?

Der EU AI Act ist die Verordnung (EU) 2024/1689 über künstliche Intelligenz. Sie gilt unmittelbar in allen Mitgliedstaaten, ist am 1. August 2024 in Kraft getreten und regelt KI nach ihrem Risiko: Bestimmte Praktiken sind verboten, Hochrisiko-Systeme unterliegen strengen Pflichten, für viele andere Anwendungen gelten Transparenzpflichten.

Die Verordnung unterscheidet zwischen **Anbietern**, die ein KI-System entwickeln oder unter eigenem Namen in Verkehr bringen, und **Betreibern**, die ein KI-System in eigener Verantwortung beruflich nutzen. Die meisten mittelständischen Unternehmen sind Betreiber, etwa weil sie ChatGPT, Copilot oder einen KI-Agenten einsetzen.

Mit dem Digital Omnibus on AI, der Verordnung (EU) 2026/1744, hat die EU einige Fristen verschoben und kleine und mittlere Unternehmen entlastet. Sie ist am 27. Juli 2026 in Kraft getreten.

## Welche Pflichten ab wann gelten

Stand Oktober 2026, nach Inkrafttreten des Digital Omnibus on AI.

| Datum | Was gilt | Betrifft im Mittelstand |
|---|---|---|
| 2. Februar 2025 | Verbotene KI-Praktiken (Art. 5), Maßnahmen zur KI-Kompetenz (Art. 4) | Alle Unternehmen, die KI einsetzen |
| 2. August 2025 | Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, Sanktionen | Vor allem Modellanbieter |
| 2. August 2026 | Transparenzpflichten (Art. 50), zum Beispiel Kennzeichnung von Chatbots und KI-generierten Inhalten | Unternehmen mit Chatbots oder KI-generierten Inhalten |
| 2. Dezember 2027 | Pflichten für Hochrisiko-Systeme nach Anhang III, etwa in Personalwesen oder Kreditwürdigkeitsprüfung | Unternehmen mit KI in sensiblen Bereichen |
| 2. August 2028 | Pflichten für Hochrisiko-Systeme nach Anhang I (Produkte unter EU-Harmonisierungsrecht) | Hersteller regulierter Produkte |

## Was mittelständische Unternehmen konkret tun müssen

### Niemand weiß, welche KI im Einsatz ist

Mitarbeitende nutzen eigene KI-Konten, Fachabteilungen bauen Copilot-Agenten oder Automatisierungen, ohne dass es dokumentiert ist.

So lässt sich das lösen: Ein [Agent Estate Review](https://hey2.ai/agent-estate-review/) erfasst alle KI-Anwendungen mit Zweck, Daten, Verantwortlichen und Risikoklasse.

### KI-Kompetenz nach Artikel 4

Seit Februar 2025 müssen Anbieter und Betreiber Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern. Der Digital Omnibus hat klargestellt, dass kein bestimmtes Kompetenzniveau garantiert werden muss.

So lässt sich das lösen: Nutzungsregeln und Dokumentation an deinen echten Anwendungsfällen, abgestuft nach Rolle.

### Ist meine Anwendung hochriskant?

Hochriskant sind unter anderem KI-Systeme für Personalauswahl, Kreditwürdigkeit sowie Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung (Anhang III).

So lässt sich das lösen: Jeder Use Case wird nach Anhang III geprüft. Für Hochrisiko-Fälle werden die Betreiberpflichten nach Art. 26 vorbereitet.

### Chatbot auf der Website

Seit 2. August 2026 gelten die Transparenzpflichten nach Art. 50: Menschen müssen erkennen können, dass sie mit einer KI interagieren. Formal ist es Pflicht des Anbieters; als Betreiber solltest du sicherstellen, dass der Hinweis erfolgt (bei Telefon zu Beginn und bei längeren Gesprächen auch zwischendurch).

So lässt sich das lösen: Kennzeichnung, Hinweistexte und Protokollierung werden beim Bau eingeplant, nicht nachgerüstet.

## Brauchen Unternehmen einen AI Officer?

Der EU AI Act schreibt keinen AI Officer vor, anders als die DSGVO beim Datenschutzbeauftragten. In der Praxis braucht aber jedes Unternehmen, das KI einsetzt, eine Person oder Stelle, die den Überblick hat: Welche KI ist im Einsatz, wer ist eingewiesen, welche Daten sind erlaubt, welche Anwendung ist hochriskant.

Typische Aufgaben eines AI Officers sind: KI-Inventar führen, KI-Richtlinie pflegen, Maßnahmen zur KI-Kompetenz organisieren, neue Use Cases einordnen und Ansprechpartner für Geschäftsführung und Betriebsrat sein. Der Inhaber von Hey2Ai ist zertifizierter AI Officer. Mehr zur Rolle im Ratgeber [KI-Beauftragter](https://hey2.ai/ki-beauftragter/).

## So setzt Hey2Ai KI-Governance um

1. **Erfassen** (KI-Inventar): Alle KI-Werkzeuge, Agenten und Automatisierungen mit Zweck, Daten und Verantwortlichen.
2. **Einordnen** (Risikoklassen): Prüfung auf verbotene Praktiken, Hochrisiko nach Anhang III und Transparenzpflichten nach Art. 50.
3. **Regeln** (KI-Richtlinie): Erlaubte Werkzeuge und Daten, Freigaberegeln, Zuständigkeiten, Umgang mit neuen Use Cases.
4. **Dokumentieren** (Maßnahmen nach Art. 4): Nutzungsregeln und Nachweise zur KI-Kompetenz, rollenbezogen, dokumentiert und an deinen echten Anwendungen.

## Fragen zum EU AI Act

### Was muss ich als mittelständisches Unternehmen jetzt wegen des EU AI Act tun?

Drei Dinge gelten bereits: keine verbotenen KI-Praktiken einsetzen, Maßnahmen zur KI-Kompetenz der Mitarbeitenden ergreifen (Art. 4, seit Februar 2025) und seit August 2026 die Transparenzpflichten nach Art. 50 beachten, etwa bei Chatbots. Der erste Schritt ist ein Überblick, welche KI im Unternehmen genutzt wird.

### Gilt der EU AI Act auch, wenn ich nur ChatGPT oder Microsoft Copilot nutze?

Ja. Wer ein KI-System beruflich in eigener Verantwortung nutzt, ist Betreiber im Sinne der Verordnung. Für die Nutzung von ChatGPT oder Copilot gelten vor allem die Pflicht zu Maßnahmen der KI-Kompetenz und, je nach Einsatz, die Transparenzpflichten.

### Wurde der EU AI Act verschoben?

Teilweise. Mit dem Digital Omnibus on AI, Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026, gelten die Pflichten für Hochrisiko-Systeme nach Anhang III erst ab 2. Dezember 2027 und nach Anhang I ab 2. August 2028. Verbote, KI-Kompetenz und Transparenzpflichten wurden nicht verschoben.

### Ist ein AI Officer nach dem EU AI Act Pflicht?

Nein, der EU AI Act verlangt keinen AI Officer. Er verlangt aber Maßnahmen zur KI-Kompetenz und je nach Risikoklasse weitere Pflichten. Eine benannte verantwortliche Person ist der einfachste Weg, diese Pflichten nachweisbar zu erfüllen.

### Welche Bußgelder drohen nach dem EU AI Act?

Bei verbotenen KI-Praktiken bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, bei Verstößen gegen andere Pflichten bis zu 15 Millionen Euro oder 3 %. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge (Art. 99).

### Ist KI in meinem Maklerbüro nach dem EU AI Act hochriskant?

Nicht grundsätzlich. Hochriskant sind nach Anhang III KI-Systeme für die Risikobewertung und Preisbildung bei natürlichen Personen in der Lebens- und Krankenversicherung. Ein KI-Agent, der Kundenanfragen sortiert oder Termine vorbereitet, fällt nicht darunter. Mehr dazu auf der Seite [KI für Versicherungsmakler](https://hey2.ai/versicherungsmakler/).

### Wie hängen EU AI Act und DSGVO zusammen?

Beide gelten nebeneinander. Die DSGVO regelt die Verarbeitung personenbezogener Daten, der EU AI Act regelt KI-Systeme nach ihrem Risiko. Ein KI-Agent, der Kundendaten verarbeitet, muss beide Regelwerke erfüllen.

## Kostenlose Vorlagen

Per E-Mail nach der Anmeldung zum Hey2Ai-Newsletter, als PDF und als Datei zum Bearbeiten:

- EU AI Act Checkliste (PDF und Word): Die acht Punkte zum Abhaken, mit allen Fristen nach dem Digital Omnibus 2026 und Platz für Datum und Zuständigkeit.
- Vorlage KI-Inventar (PDF und Excel): Alle KI-Werkzeuge, Agenten und Automatisierungen auf einen Blick, mit Ausfüllhilfe und Spalten für Rolle und Risikoklasse.
- Vorlage KI-Richtlinie (PDF und Word): Muster mit Werkzeugen, Datenklassen, erlaubten Zwecken, Prüfpflicht, Freigabe und Zuständigkeit, zum Ausfüllen.

## Quellen

- [Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689)
- [Digital Omnibus on AI, Verordnung (EU) 2026/1744, Übersicht und konsolidierte Änderungen](https://artificialintelligenceact.eu/ai-act-explorer/digital-omnibus/)
- [EU AI Act, Anhang III: Hochrisiko-KI-Systeme](https://artificialintelligenceact.eu/annex/3/)
- [EU AI Act, Artikel 99: Sanktionen](https://artificialintelligenceact.eu/article/99/)

## Kontakt

Kostenlose KI-Analyse (30 Minuten): https://cal.com/hey2ai-ki-check/termin · E-Mail: info@hey2.ai