EU AI Act 2026: 12 Punkte für kleine und mittlere Unternehmen

Der EU AI Act ist für Unternehmen kein fernes Zukunftsthema mehr. Erste Regeln gelten bereits. Weitere Vorgaben werden ab August 2026 relevant. Gleichzeitig sind Teile des Zeitplans politisch in Bewegung.

Das klingt komplizierter, als Ihr erster sinnvoller Schritt sein muss. Sie brauchen zum Start weder ein Zertifikat noch ein neues Großprojekt. Sie brauchen eine ehrliche Übersicht: Welche KI nutzen wir, in welcher Rolle, für welchen Zweck, mit welchen Risiken und mit welcher Verantwortung?

Dieser Leitfaden übersetzt die aktuellen Informationen der EU-Kommission in eine praktische EU AI Act 2026 Mittelstand Checkliste. Er ersetzt keine Rechtsberatung und keine Prüfung Ihres konkreten Einzelfalls. Stand der Recherche ist der 11. Juli 2026.

Was gilt am 11. Juli 2026 – und was kann sich noch ändern?

Die aktuelle Übersichtsseite der EU-Kommission nennt diesen Zeitplan:

• Der AI Act trat am 1. August 2024 in Kraft.
• Verbote bestimmter KI-Praktiken und Vorgaben zur KI-Kompetenz gelten seit 2. Februar 2025.
• Regeln zur Governance und Pflichten für Anbieter von General-Purpose-AI-Modellen gelten seit 2. August 2025.
• Der überwiegende Teil des AI Act soll ab 2. August 2026 anwendbar sein. Dazu gehören auch bestimmte Transparenzpflichten.
• Nach der politischen Einigung zum sogenannten AI Omnibus vom 7. Mai 2026 sollen Regeln für bestimmte Hochrisiko-Bereiche ab 2. Dezember 2027 gelten. Für KI-Systeme, die in regulierte Produkte eingebettet sind, nennt die Kommission den 2. August 2028.

Wichtig ist die Formulierung politische Einigung. Die Kommissionsseite wurde am 7. Juli 2026 aktualisiert und bildet damit den jüngeren Stand ab. Die ebenfalls offizielle FAQ „Navigating the AI Act“ enthält an einzelnen Stellen noch den älteren Vorschlags- und Zeitstand. Prüfen Sie bewegliche Omnibus- und Anwendungsdaten deshalb vor einer verbindlichen Entscheidung erneut. Dieser Artikel behandelt sie nicht als unveränderliche Endfassung.

Auch die Vorgaben zur KI-Kompetenz sind politisch in Bewegung. Die FAQ der EU-Kommission zur KI-Kompetenz beschreibt, was derzeit gilt, und weist zugleich auf vorgeschlagene Änderungen durch den Digital Omnibus hin. Für Ihre Praxis ist es vernünftig, den aktuellen Pflichtenstand ernst zu nehmen und Änderungen weiter zu beobachten.

Zuerst die eigene Rolle verstehen

Der AI Act unterscheidet unter anderem zwischen Anbietern und Betreibern von KI-Systemen. Vereinfacht beschreibt die Kommission einen Anbieter als Akteur, der ein KI-System auf den Markt bringt. Ein Betreiber nutzt ein solches System unter eigener Verantwortung, zum Beispiel im Unternehmen. Die genaue Rolle hängt aber vom konkreten System, seiner Bereitstellung und seiner Nutzung ab. Auch ein Unternehmen, das eine bestehende Lösung stark verändert oder unter eigenem Namen anbietet, sollte seine Rolle nicht vorschnell annehmen.

Die Risikoeinstufung richtet sich laut Kommission vor allem nach dem vorgesehenen Zweck und dem Einsatzkontext. Besonders genau müssen Sie hinschauen, wenn KI etwa über Zugang zu Bildung oder Beschäftigung mitentscheidet, Menschen bewertet, biometrische Merkmale verarbeitet oder in sicherheitsrelevanten Produkten eingesetzt wird. Die EU-Kommissions-FAQ zum AI Act erläutert diese Rollen und Hochrisiko-Bereiche.

Für viele alltägliche Anwendungen führt der AI Act laut Kommission nicht automatisch zu neuen Pflichten. Das ist aber kein Freibrief. Sie müssen erst wissen, welches System Sie tatsächlich verwenden und wofür. Genau dabei hilft die folgende Checkliste.

Die 12-Punkte-Checkliste für kleine und mittlere Unternehmen

Die nächsten zwölf Punkte sind eine praktische Arbeitsstruktur von Fluxward, keine amtliche Checkliste und keine vollständige Rechtsprüfung. Sie leiten sich aus den Rollen, Risikoklassen, Kompetenz- und Transparenzhinweisen der EU-Kommission ab.

1. Alle eingesetzten KI-Systeme erfassen

Listen Sie nicht nur bekannte Chatbots auf. Prüfen Sie auch KI-Funktionen in Office-Paketen, CRM, Bewerbermanagement, Kundenservice, Analysewerkzeugen und Fachsoftware. Halten Sie pro System Zweck, Nutzerkreis, Anbieter und verantwortlichen Bereich fest.

Das passt zur Kommissionsanforderung, für die KI-Kompetenz zunächst zu verstehen, welche KI im Unternehmen verwendet wird, welche Chancen sie bietet und welche Gefahren bestehen können.

2. Anbieter- oder Betreiberrolle klären

Notieren Sie für jedes System, ob Sie es nur nutzen, selbst entwickeln, wesentlich verändern, in ein eigenes Produkt einbauen oder unter Ihrem Namen bereitstellen. Wenn die Zuordnung unklar ist, markieren Sie sie als offenen Prüfpunkt. Eine falsche Rollenannahme kann die gesamte weitere Bewertung verzerren.

3. Verbotene Praktiken ausschließen

Prüfen Sie, ob ein Einsatz in die von der Kommission beschriebenen Verbote fallen könnte. Dazu zählen etwa schädliche Manipulation, Social Scoring, bestimmte Formen biometrischer Kategorisierung, ungezieltes Sammeln von Gesichtsbildern sowie grundsätzlich Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen. Die Verbote gelten bereits seit Februar 2025. Bei jeder Nähe zu einem solchen Fall gehört die Nutzung pausiert und fachkundig geprüft.

4. Zweck und Risikokontext schriftlich festhalten

„Wir nutzen KI im Vertrieb“ ist zu ungenau. Besser ist: „Das System erstellt einen ersten Entwurf aus freigegebenen Produktinformationen; eine Person prüft ihn vor dem Versand.“ Der konkrete Zweck entscheidet mit darüber, welche Risikokategorie und Pflichten relevant sein können. Beschreiben Sie deshalb Eingabe, Aufgabe, Ausgabe, betroffene Personen und Entscheidungspunkt.

5. KI-Kompetenz passend zur Aufgabe aufbauen

Seit Februar 2025 verlangt Artikel 4 nach der aktuellen Kommissionsdarstellung angemessene Maßnahmen für ein ausreichendes Maß an KI-Kompetenz. Dabei zählen Vorwissen, Erfahrung, Ausbildung, Nutzungskontext und betroffene Personen. Ein Marketingteam braucht andere Inhalte als IT, Führung oder Personalabteilung.

Ein allgemeiner Vortrag allein reicht deshalb nicht immer. Verbinden Sie Grundlagen mit den tatsächlich eingesetzten Werkzeugen, typischen Fehlern, internen Regeln und klaren Eskalationswegen. Mehr dazu finden Sie in unserem Leitfaden zur KI-Schulung im Unternehmen.

6. Daten- und Tool-Regeln festlegen

Definieren Sie, welche Werkzeuge freigegeben sind und welche Daten dort verarbeitet werden dürfen. Trennen Sie mindestens öffentliche, interne, vertrauliche und personenbezogene Informationen. Klären Sie zudem, wer neue Tools freigibt und wie mit Testzugängen umgegangen wird.

Dieser Schritt ist unsere praktische Governance-Empfehlung; er ersetzt keine Datenschutzprüfung. Für den Datenpfad hilft unser Beitrag DSGVO und KI im Mittelstand. Eine kompakte Betriebsregel können Sie mit der KI-Richtlinie für den Mittelstand aufbauen.

7. Informationen des Anbieters prüfen

Dokumentieren Sie Zweckbeschreibung, Bedienhinweise, bekannte Grenzen und verfügbare Sicherheits- oder Transparenzinformationen des Systems. Bei Hochrisiko-Systemen beschreibt die Kommission konkrete Pflichten für Anbieter und Betreiber, darunter verständliche Informationen, Nutzung gemäß Anleitung, Überwachung und angemessene menschliche Aufsicht.

Für normale Werkzeuge ist diese Dokumentation nicht automatisch in gleicher Tiefe gesetzlich vorgeschrieben. Sie ist dennoch eine hilfreiche Grundlage, um Einsatz und Risiken nachvollziehbar zu bewerten.

8. Menschliche Prüfung wirklich organisieren

„Human in the loop“ ist erst dann belastbar, wenn klar ist, wer was prüft und was bei Zweifeln passiert. Legen Sie fest, welche Ausgaben nur Entwürfe sind, wer fachlich freigibt und wann ein Ergebnis verworfen werden muss. Bei Hochrisiko-Systemen nennt die Kommission menschliche Aufsicht ausdrücklich als zentrale Anforderung.

9. Transparenzfälle identifizieren

Ab 2. August 2026 sollen Menschen in bestimmten Fällen darüber informiert werden, dass sie mit einem KI-System interagieren oder bestimmten KI-generierten beziehungsweise manipulierten Inhalten begegnen. Die Kommission nennt unter anderem Interaktionen mit KI-Systemen, Deepfakes, bestimmte Veröffentlichungen zu Themen von öffentlichem Interesse sowie Emotions- oder biometrische Kategorisierung.

Die Kommission veröffentlichte dazu im Mai 2026 zunächst Entwürfe für Transparenzleitlinien. Behandeln Sie diese Entwürfe nicht als endgültige Leitlinie. Prüfen Sie für Ihren konkreten Fall den dann aktuellen Stand und legen Sie fest, wo Hinweise technisch und redaktionell erscheinen.

10. Entscheidungen und Maßnahmen angemessen dokumentieren

Dokumentieren Sie nicht „alles“, sondern die Punkte, die Ihren Einsatz erklärbar machen: System, Zweck, Rolle, Risikoannahme, Freigabe, Schulungsmaßnahme, menschliche Kontrolle und offene Fragen. Für Hochrisiko-Systeme nennt die Kommission deutlich weitergehende Pflichten wie Protokollierung und technische Dokumentation. Für KI-Kompetenz sagt sie ausdrücklich, dass interne Aufzeichnungen über Schulungen oder andere Leitlinien geführt werden können.

11. Stopp- und Eskalationsregeln definieren

Legen Sie fest, wann ein KI-Ablauf angehalten wird: etwa bei unerwartetem Verhalten, falschen Ergebnissen mit Außenwirkung, unklarer Datenverarbeitung oder einem möglichen verbotenen beziehungsweise hochriskanten Einsatz. Bei Hochrisiko-Systemen beschreibt die Kommission Überwachungs- und Reaktionspflichten. Für andere Systeme ist eine einfache Stopp-Regel eine praktische Vorsichtsmaßnahme, keine von uns behauptete allgemeine Einzelpflicht.

12. Verantwortung und Prüfrhythmus benennen

Artikel 4 verlangt nach der Kommissions-FAQ weder ein bestimmtes KI-Gremium noch eine spezielle Rolle namens „AI Officer“. Trotzdem sollte intern eine Person koordinieren, wer das Verzeichnis pflegt, Schulungen anstößt und offene Fälle weitergibt. Das ist eine Organisationsentscheidung, keine erfundene Rollenpflicht.

Setzen Sie zusätzlich einen festen Review-Termin, zum Beispiel bei einem neuen Tool, einem neuen Einsatzbereich oder einer relevanten Änderung offizieller Vorgaben. So bleibt Ihre Dokumentation näher an der tatsächlichen Nutzung.

KI-Kompetenz: Was Sie nicht nachweisen müssen

Rund um Artikel 4 entstehen schnell falsche Erwartungen. Die offizielle FAQ zur KI-Kompetenz ist hier deutlich:

• Es gibt keine allgemeine Zertifikatspflicht für KI-Kompetenz.
• Es gibt kein vorgeschriebenes Einheitsformat für alle Unternehmen.
• Eine bestimmte Governance-Struktur ist für Artikel 4 nicht vorgeschrieben.
• Interne Aufzeichnungen über Schulungen oder andere Leitmaßnahmen können als Dokumentation dienen.

Das bedeutet nicht, dass ein ungelesenes PDF immer genügt. Die Kommission erwartet einen kontext- und risikobasierten Ansatz. Inhalt und Tiefe sollen zur Rolle, zum System, zum Vorwissen und zum Einsatz passen. Prüfen Sie außerdem weiter, wie das laufende Omnibus-Verfahren diese Regelung verändert.

Ein pragmatischer 30-Tage-Plan

Dieser Plan ist keine gesetzliche Frist und kein Compliance-Versprechen. Er ist ein umsetzbarer Vorschlag, um aus verstreuter KI-Nutzung eine prüfbare Arbeitsgrundlage zu machen.

Woche 1: Sichtbarkeit schaffen

• KI-Systeme und integrierte KI-Funktionen erfassen
• Zweck, Nutzerkreis und verantwortlichen Bereich notieren
• offensichtliche Verbots- und Hochrisiko-Nähe markieren
• Anbieter- oder Betreiberrolle als erste Arbeitshypothese festhalten

Ergebnis: ein kompaktes KI-Verzeichnis mit offenen Prüfpunkten.

Woche 2: Leitplanken setzen

• freigegebene und nicht freigegebene Tools benennen
• erlaubte Datenarten und rote Linien definieren
• menschliche Prüf- und Freigabepunkte beschreiben
• Stopp- und Eskalationsweg festlegen

Ergebnis: eine kurze, alltagstaugliche KI-Richtlinie statt unverbundener Einzelregeln.

Woche 3: Menschen befähigen

• Zielgruppen nach Aufgaben und Risiken bilden
• Grundlagen, Tool-Nutzung, Grenzen und interne Regeln vermitteln
• Verständnis mit realen Arbeitssituationen prüfen
• Teilnahme und bereitgestellte Leitlinien intern festhalten

Ergebnis: passende KI-Kompetenzmaßnahmen mit einfachem Nachweis, ohne erfundene Zertifikatspflicht.

Woche 4: Transparenz und Nachweise schließen

• mögliche Transparenzfälle prüfen
• Anbieterinformationen und bekannte Grenzen ablegen
• offene Rechts- oder Risikofragen priorisieren
• Verantwortliche und nächsten Review-Termin festlegen

Ergebnis: eine belastbare Ausgangsbasis für die weitere Prüfung und Umsetzung – keine pauschale Bestätigung vollständiger Konformität.

Welche Unterlagen sollten Sie griffbereit haben?

Ein bestimmter „AI-Act-Ordner“ ist für alle Unternehmen nicht pauschal vorgeschrieben. Als praktische Arbeitsmappe empfehlen wir:

• aktuelles KI-Verzeichnis
• Zweck- und Rollenbeschreibung je relevantem System
• Tool- und Datenregeln
• dokumentierte Kompetenzmaßnahmen
• Prüf-, Freigabe- und Eskalationsweg
• Anbieterinformationen und bekannte Systemgrenzen
• Liste offener Fragen mit Verantwortlichen
• Datum und Quelle der letzten regulatorischen Prüfung

Diese Unterlagen helfen, Entscheidungen intern zu erklären und gezielt mit Datenschutz, IT, Fachbereichen oder Rechtsberatung weiterzuarbeiten. Je höher das Risiko eines Systems, desto genauer muss die konkrete Prüfung ausfallen.

Wann Sie fachkundige Rechtsberatung einbinden sollten

Holen Sie qualifizierte Unterstützung, wenn Ihre Rolle unklar bleibt, ein Anwendungsfall nahe an verbotenen Praktiken liegt oder ein Hochrisiko-System möglich ist. Das gilt besonders, wenn KI Menschen bewertet, über Beschäftigung oder Zugangschancen mitentscheidet, biometrische Verfahren nutzt oder Teil eines regulierten Produkts ist. Diese Bereiche führt die EU-Kommission ausdrücklich als verboten oder potenziell hochriskant auf.

Auch eine gute interne Checkliste kann die rechtliche Einordnung nicht ersetzen. Ihr Wert liegt darin, dass Sie die entscheidenden Fakten vorbereitet haben und dadurch schneller zu einer belastbaren Bewertung kommen.

Der beste nächste Schritt ist Klarheit, nicht Perfektion

Der Mittelstand muss den EU AI Act weder ignorieren noch in ein monatelanges Papierprojekt verwandeln. Beginnen Sie mit dem tatsächlichen Einsatz: Systeme, Rollen, Zwecke, Menschen, Daten und Entscheidungen. Daraus entstehen passende Leitplanken, Schulungen und Nachweise.

Wenn Sie Ihre Ausgangslage in einem klaren Rahmen sortieren möchten, starten Sie mit der KI-Potenzialanalyse. Für Teams, die Kompetenz und Regeln gemeinsam aufbauen wollen, ist unser KI-Enablement der passende nächste Schritt. Bei einer noch offenen Grundsatzfrage hilft ein kostenloses Orientierungsgespräch.

Quellen und Aktualität

Für diesen Beitrag wurden ausschließlich diese Primärinformationen der EU-Kommission verwendet:

• EU-Kommission: AI Act – Überblick, Risikostufen und Zeitplan
• EU-Kommission: Navigating the AI Act
• EU-Kommission: AI Literacy – Questions & Answers
• EU-Kommission: Entwurf der Leitlinien zu Transparenzpflichten

Stand: 11. Juli 2026. Omnibus-, Hochrisiko- und Anwendungsdaten können sich durch den weiteren Gesetzgebungs- und Umsetzungsprozess ändern. Prüfen Sie vor rechtlich oder wirtschaftlich wesentlichen Entscheidungen die aktuellen Primärquellen und Ihren konkreten Einzelfall.