EU AI Act 2026: was KMU jetzt vorbereiten müssen

Einordnung

Abschnitt 01

Die 4 Risikoklassen

Der AI-Act unterscheidet 4 Risiko-Klassen mit unterschiedlichen Pflichten. (1) Verboten: Systeme mit unannehmbarem Risiko (Social Scoring, Manipulation von Personen, biometrische Echtzeit-Identifizierung im öffentlichen Raum mit Ausnahmen). Sind seit August 2024 verboten. (2) Hochrisiko: KI-Systeme in 8 Anwendungs-Bereichen (Bildung, HR, Strafrechtspflege, Migration, Grenz-Management, Demokratie, kritische Infrastruktur, Sicherheit von Personen). Strenge Pflichten zu Risiko-Management, Daten-Governance, Transparenz, Aufsicht. Ab August 2026. (3) Begrenzt: KI-Systeme mit Transparenz-Anforderungen (Chatbots müssen sich als KI offenbaren, Deep-Fakes müssen gekennzeichnet sein). (4) Minimal: alles andere — keine spezifischen AI-Act-Pflichten.

Abschnitt 02

KMU-KI-Anwendungen pro Klasse

Welche typischen KMU-KI-Anwendungen fallen in welche Klasse? Hochrisiko: KI-basiertes CV-Screening (HR, Art. 6 Abs. 2), KI-Bewertung von Schülern (Bildung), KI-basierte Kreditwürdigkeits-Prüfung (Finanz-Service), KI-Entscheidung über Versicherungs-Prämien (Versicherung). Begrenzt: Chatbots auf Webseite (Transparenz-Pflicht), KI-generierte Marketing-Bilder (Kennzeichnung), KI-Voice-Reception. Minimal: KI-Mail-Triage (für interne Use), KI-Buchhaltung-Auto, KI-OCR für Belege, KI-Übersetzung. Wichtig: ein und dieselbe Anwendung kann je nach Einsatz-Kontext in unterschiedliche Klassen fallen. CV-Screening ist hochrisiko, Mail-Triage ist minimal.

Abschnitt 03

Pflichten bei Hochrisiko-KI

Wer Hochrisiko-KI einsetzt, muss erfüllen: (a) Risiko-Management-System dokumentieren, regelmäßig aktualisieren. (b) Daten-Governance mit klarer Daten-Quellen-Dokumentation und Bias-Bewertung. (c) Technische Dokumentation mit detaillierten Architektur-, Daten- und Algorithmen-Beschreibungen. (d) Aufzeichnungs-Pflichten (logging) für Auditierbarkeit. (e) Transparenz gegenüber Benutzern über Funktionsweise. (f) Menschliche Aufsicht zur Korrektur von KI-Fehlern. (g) Robustheit, Genauigkeit, Cybersecurity. (h) Konformitäts-Bewertung VOR Markt-Einführung mit CE-Kennzeichnung. (i) Registrierung in EU-Datenbank für Hochrisiko-KI. Aufwand: 18-25k € für eine Standard-Anwendung, plus jährliche Kontroll-Kosten.

Abschnitt 04

CV-Screening-Pflichten konkret

Da CV-Screening für KMU eine der häufigsten Hochrisiko-Anwendungen ist: konkrete Anforderungen. Bias-Tests: gegen Geschlecht, Alter, Herkunft, Behinderung. Dokumentierte Daten-Quellen für Training. Erklärbarkeits-Funktion: Kandidat muss verstehen können, warum KI ihn aussortiert hat. Recht auf menschliche Überprüfung bei abweichendem Wunsch. Menschliche Endentscheidung — KI darf nicht alleine entscheiden. CE-Kennzeichnung der eingesetzten KI-Lösung. Bei Verstoß: Bußgeld bis 30 Mio € oder 6% des Umsatzes. Praktische Konsequenz: KI-CV-Screening-Tools müssen einen klaren Bias-Audit-Report vorlegen können. CV-Screening wird Q3 2026 mit Bias-Audit ausgestattet.

Abschnitt 05

Chatbot-Transparenz

Für KMU mit Chatbot auf Webseite oder Voice-KI gilt seit August 2025: der Chatbot muss sich als KI offenbaren. "Hallo, ich bin der KI-Bot von Firma X" ist ausreichend. Bei Voice-KI mit menschlich klingender Stimme: zusätzlich Hinweis am Anrufanfang, z.B. "Sie sprechen mit einem KI-Assistenten von Firma X". Bei Bilder/Videos mit KI-Generierung (z.B. Marketing-Content): Kennzeichnung als "KI-generiert". Verstoß: Bußgeld bis 7.5 Mio €. Praktischer Tipp: Standard-Disclaimer in den Chatbot-Begrüßungs-Text integrieren.

Abschnitt 06

DSGVO-Wechsel-Wirkung

AI-Act und DSGVO überlappen oft. DSGVO regelt Datenschutz, AI-Act regelt KI-spezifische Risiken. Für die meisten KMU-Anwendungen heißt das: BEIDE Verordnungen sind anwendbar. KI-CV-Screening hat DSGVO-Anforderungen (Bewerber-Einwilligung, Daten-Schutz) PLUS AI-Act-Anforderungen (Bias-Audit, Erklärbarkeit). Wer beide Verordnungen einzeln dokumentiert, schafft Doppel-Arbeit. Empfohlen: integrierte Compliance-Dokumentation, die beide Verordnungen abdeckt. DSGVO-Audit wird Q4 2026 um AI-Act-Modul erweitert.

Abschnitt 07

Konformitäts-Bewertung im Detail

Vor Markt-Einführung einer Hochrisiko-KI ist eine Konformitäts-Bewertung erforderlich. Zwei Wege: (1) Interne Bewertung — wenn die KI in den Bereich "Sicherheit von Produkten und Personen" fällt und harmonisierte Standards existieren. (2) Notified-Body-Bewertung — externe akkreditierte Bewertungsstelle für komplexere Fälle. Die Bewertung dauert typisch 4-8 Wochen, Kosten 8-25k € je nach Komplexität. Erfolgreiche Bewertung führt zur CE-Kennzeichnung. Bei Änderungen am KI-System muss die Bewertung erneuert werden — daher ist es wichtig, das System stabil zu halten und Änderungen dokumentiert vorzunehmen.

Abschnitt 08

Was passiert bei nicht-konformer KI

Drei Szenarien: (1) Im laufenden Betrieb wird festgestellt, dass eine Hochrisiko-KI nicht konform ist: Markt-Rückruf möglich, Bußgeld, Korrektur-Pflicht. (2) Bei Kunden-Beschwerde oder Sicherheitsvorfall: behördliche Untersuchung, mögliche Bußgelder und Schadensersatz-Forderungen. (3) Bei systematischen Verstößen: Untersagung der weiteren Anwendung, hohe Bußgelder bis 30 Mio €. Wichtig: die Pflicht zur Konformitäts-Bewertung trifft den Anbieter der KI. Wer eine Standard-Lösung wie Personalentwicklungs-KI einsetzt, kann sich auf die CE-Kennzeichnung des Anbieters berufen — falls vorhanden.

Abschnitt 09

Vorbereitungs-Roadmap für KMU

Phase 1 (jetzt): Inventory aller KI-Systeme in der Firma. Klassifizierung pro System nach AI-Act-Risikoklasse. Lücken-Analyse: welche Pflichten erfüllt das System schon, welche nicht. Phase 2 (Q3 2026): Konformitäts-Pakete pro Hochrisiko-System aufbauen. Bias-Audits, Erklärbarkeits-Features, Aufzeichnungs-Logs. Phase 3 (Q4 2026): Konformitäts-Bewertungen durchführen, CE-Kennzeichnung beantragen. Phase 4 (laufend): Monitoring, Aktualisierung der Compliance bei Modell-Updates. Aufwand für ein 50-MA-KMU mit 2-3 Hochrisiko-KI-Systemen: 35-65k € im ersten Jahr, danach 15-25k € jährlich.

Abschnitt 10

DripBack als AI-Act-Begleiter

DripBack erweitert DSGVO-Audit ab Q4 2026 um AI-Act-Modul mit folgenden Funktionen: automatisches KI-Inventory aus IT-Asset-Discovery, Risikoklassen-Klassifizierung, Lücken-Analyse pro Hochrisiko-System, Bias-Audit-Templates für Standard-Fälle, Konformitäts-Bewertungs-Vorbereitung. Plus Beratungs-Begleitung durch DripBack-Partner-Anwälte mit KI-Recht-Spezialisierung. Setup-Paket AI-Act für ein 50-MA-KMU: Audit einmalig 4.999-14.999 € je nach Zahl der Hochrisiko-Systeme, danach Continuous Governance ab 1.499 €/Mo (inklusive Betrieb der DSGVO-KI-Audit-Suite). Kosten im ersten Jahr bei kleinem Audit-Umfang: rund 23.000 € (4.999 € Audit plus zwölf Monate Governance zu 1.499 €).