Wer in den vergangenen Monaten Artikel zum EU AI Act gelesen hat, kennt das: Eine Standard-Einordnung zur Bedeutung der Regulierung, die Aufzählung der vier Risikoklassen, angereichert mit ein paar schockierende Zahlen zu möglichen Bußgeldern und - eine irgendwie geartete "werdet jetzt aktiv"-Handlungsaufforderung. Klingt dringend, wird deshalb wahrscheinlich auch gut gelesen. Eine ehrliche Einordnung klingt jedoch etwas anders. Was meistens fehlt, ist eine Frage, die für jedes mittelständische Unternehmen entscheidend wäre: Was kommt durch den AI Act eigentlich wirklich neu auf uns zu - und was wäre sowieso schon nötig gewesen?

Eine Klärung dieser Frage ist wichtiger, als die hundertste Wiederholung der Risikoklassen. Denn der AI Act fügt sich in ein bestehendes europäisches Regulierungsgefüge ein, das in vielen Bereichen schon vorher bestimmte Anforderungen gestellt hat. Wer DSGVO (Datenschutz-Grundverordnung) ernsthaft umgesetzt hat, wer Produkthaftungsrecht beachtet, wer Verbraucherschutz und Diskriminierungsrecht respektiert, hat einen Teil der AI-Act-Anforderungen längst erfüllt. Was wirklich hinzukommt, ist deutlich präziser zu bestimmen - und entlastet manche Unternehmen mehr, als die schrillen Schlagzeilen glauben machen.

Bevor wir aber zu dieser Differenzierung kommen, sollten wir kurz darüber sprechen, was der AI Act überhaupt ist, wie er funktioniert und welche Fristen gelten?

Disclaimer: Ich bin kein Jurist. Auf diesem Hintergrund darf ich keine rechtsverbindlichen Empfehlungen aussprechen.

Die Architektur des AI Act in drei Sätzen

Der AI Act (offiziell Verordnung 2024/1689) ist seit dem 1. August 2024 in Kraft. Er reguliert nicht KI an sich, sondern KI-Systeme, die in der EU angeboten oder eingesetzt werden - unabhängig davon, wo der Anbieter sitzt. Er folgt einem risikobasierten Ansatz mit vier Klassen:

  • verbotene Anwendungen (etwa Social Scoring durch Behörden),
  • Hochrisiko-Systeme (etwa KI im Bereich kritische Infrastruktur, Bildung, Beschäftigung, wesentliche Dienstleistungen),
  • Systeme mit Transparenzpflichten (etwa Chatbots, Deepfakes),
  • und schließlich Systeme mit minimalem Risiko, die keinen besonderen Verpflichtungen unterliegen.

Hinzu kommt eine eigene Kategorie für General-Purpose AI (GPAI) - also die großen Allzweck-Modelle wie GPT, Claude oder Gemini. Diese Modelle werden gesondert reguliert, weil sie zunehmend Bestandteil unzähliger Anwendungen werden und deshalb ganz spezifische Transparenz- und Dokumentationspflichten benötigen.

Die Strafen sind hoch. Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes - höher als bei der DSGVO mit 20 Millionen Euro oder 4 Prozent. Für KMU gelten gestaffelte Grenzen, aber auch für sie kann es bei schweren Verstößen teuer werden.

Der Zeitplan - und aktuelle Verzögerungen

Die wichtigste Eigenheit des AI Act ist seine gestaffelte Anwendung. Er gilt nicht ab einem Stichtag, sondern in mehreren Wellen. Das ist für Unternehmen eine Erleichterung - aber auch eine Falle, weil viele die Übergangsfristen unterschätzen.

Die wichtigsten Termine im Überblick: Seit Februar 2025 gelten die Verbote bestimmter KI-Anwendungen und die Pflicht zur AI-Literacy (also dazu, dass Beschäftigte, die mit KI arbeiten, angemessen geschult sind). Seit August 2025 gelten die Pflichten für GPAI-Modelle, parallel mussten die Mitgliedstaaten ihre nationalen Aufsichtsbehörden benennen. Zum 2. August 2026 sollte eigentlich der Großteil der Hochrisiko-Vorschriften wirksam werden. Im November 2025 wurde aber das sogenannte Digital Omnibus Package verabschiedet, das einige dieser Hochrisiko-Pflichten an die Verfügbarkeit unterstützender Standards koppelt. Im Klartext: Wenn die nötigen technischen Standards nicht rechtzeitig vorliegen, verschieben sich Teile der Gesetzesanwendung. Ab August 2027 greifen dann die Pflichten für KI-Komponenten in regulierten Produkten (etwa Spielzeug oder Medizinprodukten), und 2028 bis 2030 folgen weitere Detailfristen.

Für ein KMU heißt das: Der Druck ist real, aber er ist nicht so akut wie manchmal dargestellt wird. Es lohnt sich, den Stand der Verschiebungen aktiv zu verfolgen, statt vorschnell auf eine eigene Compliance-Initiative zu setzen, deren Anforderungen sich immer noch verändern können.

Was wurde schon vorher reguliert

Hier kommt die eigentlich interessante Frage. Was der AI Act regelt, ist nicht alles wirklich neu. Vieles davon war bereits über andere EU-Regulierungen abgedeckt, und ein Unternehmen, was dort bereits sauber arbeitet, hat einen erheblichen Teil seiner AI-Act-Compliance bereits erledigt.

Die DSGVO regelt seit 2018 den Umgang mit personenbezogenen Daten. Wenn ein KI-System personenbezogene Daten verarbeitet - und das tun viele -, gelten alle DSGVO-Anforderungen weiter: Rechtsgrundlage für die Verarbeitung, Transparenz gegenüber Betroffenen, Datenminimierung, Zweckbindung, Recht auf Auskunft, Datenschutz-Folgenabschätzung. Der AI Act ändert daran nichts. Er ergänzt es. Ein Unternehmen, das eine ordentliche DSGVO-Architektur hat, hat bei Hochrisiko-KI-Systemen schon vieles erledigt.

Die Produkthaftungsrichtlinie verlangt seit langem, dass Hersteller für fehlerhafte Produkte haften. Wer KI in Produkte einbaut, ist davon betroffen. Eine fehlerhafte KI-Komponente in einem industriellen Steuerungssystem fällt schon heute unter Produkthaftung, ganz unabhängig vom AI Act. Im Dezember 2024 wurde zudem eine überarbeitete Richtlinie verabschiedet, die KI-spezifische Haftung ganz explizit aufnimmt.

Antidiskriminierungsrecht verbietet bereits, dass Personalentscheidungen, Kreditvergaben oder Versicherungsangebote auf Basis geschützter Merkmale diskriminieren - egal, ob menschlich oder algorithmisch getroffen. Wer eine KI-gestützte Bewerbungsvorsortierung einsetzt, durfte sie schon vor dem AI Act nicht so gestalten, dass sie systematisch Frauen oder ältere Bewerber benachteiligt. Das gilt weiterhin.

Verbraucherschutz und Transparenzpflichten existierten ebenfalls bereits für viele unterschiedliche Bereiche. Wer einen Chatbot betreibt, durfte schon vor dem AI Act nicht so tun, als wäre er ein Mensch. Wer automatisierte Entscheidungen über Verbraucher trifft, musste schon nach DSGVO Artikel 22 darüber informieren.

Sektorspezifisches Recht in Finanzen, Medizin, Verkehr und anderen regulierten Branchen hat schon lange Anforderungen, die KI-Anwendungen erfassen. Ein medizinisches Bildgebungsverfahren mit KI-Unterstützung musste bereits die Medical Device Regulation einhalten, lange bevor der AI Act dazukam.

Wer all das zusammenrechnet, wird feststellen: Der größte Teil dessen, was der AI Act verlangt, ergänzt bestehendes Recht, statt es zu ersetzen. Ein Unternehmen, das bei DSGVO, Produkthaftung, Verbraucherschutz und sektoraler Regulierung vernünftig aufgestellt ist, hat einen erheblichen Vorsprung.

Das ist wirklich neu

Die Frage lautet also: Was kommt durch den AI Act tatsächlich hinzu, das nicht schon vorher galt? Hier sind die wichtigsten echten Neuerungen.

Erstens, die Risikoklassifikation selbst. Vor dem AI Act gab es keine systematische Pflicht, KI-Systeme nach Risiko zu klassifizieren. Dass eine Personalvorsortierungs-KI als Hochrisiko-System gilt und eine bestimmte Reihe von Pflichten auslöst, ist konzeptionell neu. Die Klassifikationspflicht wirkt zunächst banal, hat aber praktische Konsequenzen: Jedes Unternehmen muss für jedes eingesetzte oder angebotene KI-System eine Einordnung vornehmen und dokumentieren.

Zweitens, das Fundamental Rights Impact Assessment (FRIA). Die DSGVO kennt die Datenschutz-Folgenabschätzung (DPIA) für riskante Verarbeitungen. Der AI Act führt mit dem FRIA eine weitere Folgenabschätzung ein, die nicht nur Datenschutz, sondern allgemeine Grundrechte betrifft. Bei vielen Hochrisiko-Systemen müssen beide Assessments durchgeführt werden - das ist ein erheblicher zusätzlicher Dokumentationsaufwand.

Drittens, die Konformitätsbewertung vor Markteinführung. Anders als die DSGVO, die primär auf laufende Rechenschaft setzt, verlangt der AI Act bei Hochrisiko-Systemen eine Konformitätsbewertung bevor das System auf den Markt kommt. Und das ist tatsächlich ein Paradigmenwechsel: nicht nachträgliche Kontrolle, sondern Vorabprüfung. Das ähnelt eher der Produkthaftung als der DSGVO.

Viertens, die spezifischen GPAI-Pflichten. Anbieter großer Sprachmodelle müssen Trainingsdaten dokumentieren, Urheberrecht respektieren, eine Zusammenfassung der Trainingsinhalte veröffentlichen und mit Behörden kooperieren. Das ist eine Form der Regulierung, die vorher schlicht nicht existierte, weil es solche Modelle in dieser Form noch nicht gab. Es wird hier spannend zu beobachten, wie OpenAI, Anthropic, Goolge - und insbesondere Meta mit den Anforderungen umgehen werden.

Fünftens, AI Literacy. Der AI Act verlangt, dass Beschäftigte, die mit KI arbeiten, angemessen geschult sind. Diese Pflicht ist ein wenig schwammig formuliert, aber sie ist neu - kein anderes EU-Recht verlangt eine spezifische Schulungspflicht für eine Technologie-Klasse.

Sechstens, eigene Aufsichtsstrukturen. Der AI Act wird nicht von den Datenschutzbehörden durchgesetzt, sondern von neu geschaffenen Marktaufsichtsbehörden. Auf EU-Ebene wurde das AI Office geschaffen, in den Mitgliedstaaten mussten eigene Stellen benannt werden. Das ist ein nicht unerheblicher Neubau von Institutionen.

Diese sechs Punkte sind das wirklich Neue. Alles andere - Transparenz, Risikomanagement, Dokumentation, Aufsicht durch Menschen - sind Ausweitungen oder Spezifizierungen bestehender Anforderungen.

Wo es komplexer wird

Eine Stelle verdient besondere Aufmerksamkeit, weil sie viele KMU verunsichert: das Verhältnis zwischen DSGVO und AI Act. Beide Regelwerke gelten parallel, wenn ein KI-System personenbezogene Daten verarbeitet - was bei den meisten KI-Anwendungen der Fall ist.

Praktisch heißt das: Wer eine KI-Software einsetzt, die Mitarbeiterdaten verarbeitet, muss sowohl die DSGVO als auch den AI Act beachten. Beide haben eigene Behörden (Datenschutzbehörden für DSGVO, Marktaufsichtsbehörden für AI Act). Beide können Bußgelder verhängen, allerdings nicht für dieselbe Verletzung - Artikel 99 Absatz 8 des AI Act verhindert Doppelbestrafung. Aber unterschiedliche Verstöße unter den beiden Gesetzen können sehr wohl beide bestraft werden.

Die DSGVO-Vorbereitung ist deshalb eine Voraussetzung, aber kein Ersatz für AI-Act-Compliance. Wer die DSGVO ordentlich umgesetzt hat, der hat einen besseren Stand - aber er hat noch nicht alle Hausaufgaben erledigt. Was hinzukommt, sind die oben genannten sechs Punkte: Risikoklassifikation, FRIA (zusätzlich zu DPIA), Konformitätsbewertung, GPAI-Pflichten (wenn relevant), AI Literacy, und die Berücksichtigung beider genannten Aufsichtsbehörden.

Was Sie jetzt einordnen sollten

Was folgt daraus für ein mittelständisches Unternehmen? Drei einfache Schritte zur Vorbereitung:

Erstens, ein einfaches Inventar der KI-Systeme, die im Unternehmen tatsächlich verwendet werden - vom Marketing-Tool über die Recruiting-Software bis zur internen Vibe-Coding-Praxis. Viele Unternehmen wissen selbst nicht, wie viele KI-Komponenten bereits im Einsatz sind. Ohne Inventar ist keine Klassifikation möglich.

Zweitens, eine erste Einordnung in die Risikoklassen. Welche der eingesetzten Systeme könnten Hochrisiko-Systeme sein? Welche fallen in die Transparenz-Kategorie? Welche spielen nur eine untergeordnete Rolle? Diese Einordnung muss nicht perfekt sein - sondern sie muss überhaupt erst einmal stattfinden. Bei den meisten KMU werden die wenigsten Systeme als Hochrisiko gelten, und das ist eine wichtige Erkenntnis.

Drittens, eine Lücken-Analyse gegen den bestehenden Compliance-Stand. Wer die bereits bekannten Aspekte berücksichtigt, die mit DSGVO einhergingen, kann nun konkret prüfen, welche der AI-Act-spezifischen Anforderungen tatsächlich neu hinzukommen. Mit Hilfe dieser Untersuchung lassen sich diffuse Sorgen, die rund um das Thema aufkommen, in konkrete Aufgaben und Handlungen überführen.

Was sicher nicht erforderlich ist: panisch in teure Beratung zu investieren, bevor man die eigene Lage geklärt hat. Der AI Act ist ein Compliance-Thema, kein Existenz-Thema - jedenfalls für die meisten Unternehmen, die keine Hochrisiko-Systeme entwickeln oder einsetzen. Wer einen kühlen Kopf bewahrt und die Differenzierung zwischen "wirklich neu" und "ohnehin schon nötig" sauber zieht, kommt deutlich entspannter durch die Übergangsphase als wer dem allgemeinen Alarmismus folgt.