Leitfaden EU AI Act für mittelständische Firmen

Rechtsstand: Juli 2026

Ein Chatbot im Kundenservice, ein Tool zur Bewerbervorauswahl, automatische Textvorschläge im Vertrieb oder eine KI-gestützte Qualitätskontrolle: In vielen Unternehmen ist künstliche Intelligenz bereits Teil des Arbeitsalltags. Der Leitfaden EU AI Act hilft dabei, den Einsatz rechtlich einzuordnen. Entscheidend ist nicht allein, ob ein System als KI beworben wird. Maßgeblich sind der konkrete Zweck, das damit verbundene Risiko und die Rolle des Unternehmens im Verhältnis zum System.

Für Unternehmen in Stuttgart, Fellbach und der Region sowie bundesweit gilt: Der EU AI Act ist kein reines IT-Thema. Er betrifft Einkauf, Fachabteilungen, Personal, Datenschutz, Informationssicherheit und Geschäftsleitung. Wer jetzt einen klaren Überblick schafft, kann Anforderungen gezielt umsetzen, statt später unter Zeitdruck einzelne Systeme nacharbeiten zu müssen.

Was der EU AI Act regelt

Der EU AI Act ist eine unmittelbar geltende EU-Verordnung für bestimmte KI-Systeme. Er verfolgt einen risikobasierten Ansatz: Je stärker ein KI-System Sicherheit, Gesundheit oder Grundrechte von Menschen beeinträchtigen kann, desto umfangreicher sind die rechtlichen Anforderungen.

Erfasst sein können Systeme, die ein Unternehmen selbst entwickelt, unter eigenem Namen anbietet, einkauft oder im Arbeitsalltag nutzt. Auch ein System eines externen Anbieters kann daher Pflichten für das nutzende Unternehmen auslösen. Die Verordnung unterscheidet insbesondere zwischen Anbietern, Betreibern, Importeuren, Händlern und Bevollmächtigten. Ein Unternehmen kann je nach Einsatzfall mehrere Rollen gleichzeitig einnehmen.

Nicht jede Software mit automatischen Funktionen fällt automatisch unter den EU AI Act. Die Abgrenzung hängt von der technischen Funktionsweise und dem Einsatzkontext ab. Diese Prüfung sollte dokumentiert werden, gerade wenn KI in sensiblen Unternehmensbereichen eingesetzt wird.

Der Leitfaden EU AI Act beginnt mit der Bestandsaufnahme

Der sinnvollste erste Schritt ist ein vollständiges KI-Register. Dabei geht es nicht um ein aufwendiges Bürokratieprojekt, sondern um belastbare Transparenz. Viele Unternehmen kennen nur die zentral beschafften Anwendungen. KI-Funktionen in Office-Programmen, CRM-Systemen, Recruiting-Software oder Cloud-Diensten werden dagegen oft dezentral aktiviert und übersehen.

Für jedes System sollten zumindest Zweck, Anbieter, betroffene Personengruppen, verwendete Daten, verantwortliche Fachabteilung und menschliche Kontrollmöglichkeiten festgehalten werden. Ebenfalls relevant ist, ob Ergebnisse lediglich vorbereitend genutzt werden oder Entscheidungen tatsächlich beeinflussen.

Ein Beispiel: Wird generative KI genutzt, um Entwürfe für Marketingtexte zu erstellen, ist die Risikolage regelmäßig eine andere als bei einem System, das Bewerbungen bewertet und eine Rangfolge erstellt. Im zweiten Fall können Zugang zu Beschäftigung und Gleichbehandlung betroffen sein. Die rechtliche Bewertung muss deshalb am konkreten Einsatz ansetzen, nicht am Produktnamen.

Welche Risikoklassen Unternehmen kennen müssen

Der EU AI Act kennt verbotene Praktiken, hochriskante Systeme sowie Systeme mit bestimmten Transparenzpflichten. Daneben gibt es KI-Anwendungen, für die keine besonderen Pflichten aus dem AI Act entstehen, die aber weiterhin etwa datenschutz-, arbeits- oder vertragsrechtlich relevant sein können.

Verbotene KI-Praktiken

Bestimmte Anwendungen sind untersagt. Dazu gehören unter anderem einzelne Formen manipulativer oder ausnutzender KI-Praktiken sowie bestimmte Formen des Social Scoring. Auch einzelne biometrische Anwendungen und emotionserkennende Systeme können in bestimmten Kontexten verboten oder besonders eingeschränkt sein.

Für Unternehmen ist vor allem wichtig, den Zweck genau zu prüfen. Eine Funktion zur Erkennung von Emotionen am Arbeitsplatz oder in Bildungseinrichtungen kann beispielsweise erhebliche rechtliche Risiken auslösen. Ein bloßer Hinweis des Anbieters, das Produkt sei konform, ersetzt keine eigene Bewertung des vorgesehenen Einsatzes.

Hochrisiko-KI

Als hochriskant können KI-Systeme eingestuft werden, wenn sie in besonders sensiblen Bereichen eingesetzt werden. Dazu zählen je nach Einzelfall Systeme im Beschäftigungskontext, etwa zur Bewerberauswahl, Leistungsbewertung oder Aufgabenverteilung. Auch Systeme in Bereichen wie Bildung, kritischer Infrastruktur, Zugang zu bestimmten Leistungen oder Strafverfolgung können betroffen sein.

Für hochriskante Systeme gelten weitreichende Anforderungen. Dazu gehören ein Risikomanagement, geeignete Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Anforderungen an Genauigkeit und Cybersicherheit sowie ein Qualitätsmanagementsystem. Unternehmen, die ein solches System einsetzen, müssen es entsprechend den Anweisungen nutzen, die menschliche Aufsicht sicherstellen und Auffälligkeiten ernst nehmen.

Ob ein Recruiting-Tool tatsächlich als hochriskant einzuordnen ist, lässt sich nicht abstrakt beantworten. Relevant sind unter anderem Funktion, Entscheidungseinfluss und die konkrete Verwendung im Unternehmen.

Transparenzpflichten und generative KI

Bei bestimmten KI-Systemen müssen Menschen erkennen können, dass sie mit einer KI interagieren. Das betrifft etwa Chatbots, wenn die Interaktion nicht offensichtlich ist. Für künstlich erzeugte oder manipulierte Inhalte können Kennzeichnungs- und Informationspflichten relevant sein, insbesondere wenn sie den Eindruck erwecken können, echt zu sein.

Wer generative KI für Texte, Bilder oder Videos nutzt, sollte daher klare interne Regeln schaffen. Dazu gehören Freigabeprozesse, die Prüfung faktischer Aussagen und der Umgang mit KI-generierten Inhalten. Bei externen Veröffentlichungen kann Transparenz erforderlich sein. Ob und in welcher Form, hängt vom Einzelfall und der Art des Inhalts ab.

Pflichten hängen von der Rolle des Unternehmens ab

Viele mittelständische Unternehmen sind vor allem Betreiber. Sie nutzen ein KI-System eines externen Anbieters für eigene Zwecke. Dann ist es besonders wichtig, die Nutzungsanweisungen einzuhalten, die vorgesehenen menschlichen Kontrollen tatsächlich auszuüben und relevante Ereignisse nachvollziehbar zu dokumentieren.

Anders sieht es aus, wenn ein Unternehmen ein Modell selbst entwickelt, erheblich verändert oder ein fremdes System unter eigenem Namen vermarktet. Dann kann es als Anbieter gelten. Die Anforderungen steigen deutlich, etwa bei Konformitätsbewertung, technischer Dokumentation und Marktüberwachung.

Auch Verträge mit KI-Anbietern verdienen Aufmerksamkeit. Sie sollten klären, welche Partei welche Informationen, Dokumentationen und Unterstützungsleistungen bereitstellt. Gerade bei cloudbasierten Anwendungen ist außerdem zu prüfen, wie Daten verarbeitet werden, wo sie gespeichert werden und ob personenbezogene Daten in Eingaben oder Ergebnissen vorkommen.

KI-Kompetenz ist bereits eine konkrete Aufgabe

Seit Februar 2025 gilt die Pflicht, ein ausreichendes Maß an KI-Kompetenz bei den Personen sicherzustellen, die KI-Systeme bedienen oder überwachen. Gemeint sind keine pauschalen Schulungen für alle Beschäftigten mit identischem Inhalt. Erforderlich ist ein angemessenes Verständnis, das sich an Rolle, Risiko, Vorkenntnissen und konkretem System orientiert.

Für Mitarbeitende im Kundenservice kann es etwa um die Prüfung von KI-Antworten, den Umgang mit personenbezogenen Daten und Eskalationswege gehen. Für die Personalabteilung stehen mögliche Diskriminierungsrisiken, menschliche Letztentscheidungen und nachvollziehbare Auswahlprozesse im Vordergrund. Führungskräfte sollten zudem wissen, welche Systeme im Unternehmen eingesetzt werden und wer für Freigaben verantwortlich ist.

Eine kurze, dokumentierte und praxisbezogene Schulung ist meist hilfreicher als eine allgemeine Präsentation ohne Bezug zum Arbeitsalltag. Schulungen sollten aktualisiert werden, wenn sich Systeme oder Einsatzbereiche wesentlich ändern.

Fristen richtig einordnen

Der EU AI Act gilt stufenweise. Verbote bestimmter KI-Praktiken und die Regelungen zur KI-Kompetenz sind bereits anwendbar. Regelungen für KI-Modelle mit allgemeinem Verwendungszweck gelten ebenfalls bereits. Der überwiegende Teil der Verordnung wird ab dem 2. August 2026 anwendbar. Für bestimmte hochriskante KI-Systeme, die mit regulierten Produkten verbunden sind, gelten längere Übergangsfristen bis 2027.

Die zeitliche Einordnung darf aber nicht dazu verleiten, Prüfungen aufzuschieben. Wer erst kurz vor dem nächsten Stichtag mit der Bestandsaufnahme beginnt, muss technische, organisatorische und vertragliche Fragen oft gleichzeitig lösen. Besonders bei Personal-KI, sensiblen Daten oder komplexen Lieferketten braucht eine belastbare Umsetzung Zeit.

Sechs Schritte für eine praxistaugliche Umsetzung

1. KI-Systeme erfassen: Erstellen Sie ein zentrales Register aller eingesetzten und geplanten KI-Anwendungen, einschließlich Funktionen innerhalb bestehender Software.

2. Einsatzfälle bewerten: Prüfen Sie Zweck, betroffene Personen, Entscheidungseinfluss und mögliche Risiken. Priorisieren Sie Personal, Kundenentscheidungen, Sicherheit und sensible Daten.

3. Rollen bestimmen: Klären Sie, ob Ihr Unternehmen Betreiber oder möglicherweise Anbieter ist. Das ist für den Pflichtenumfang entscheidend.

4. Verträge und Unterlagen prüfen: Fordern Sie von Anbietern relevante Informationen, Nutzungsanweisungen und Dokumentationen an. Prüfen Sie auch datenschutzrechtliche Vereinbarungen.

5. Regeln und Zuständigkeiten festlegen: Definieren Sie Freigaben, menschliche Kontrolle, Meldewege bei Fehlern und verbindliche Vorgaben für Mitarbeitende.

6. Kompetenz nachweisen: Schulen Sie die betroffenen Teams passend zum jeweiligen Einsatzbereich und halten Sie Inhalte, Teilnehmende und Aktualisierungen nachvollziehbar fest.

Typische Fehler bei der Umsetzung

Ein häufiger Fehler ist, nur neu angeschaffte KI zu prüfen. Bereits genutzte Software kann durch Updates neue KI-Funktionen erhalten. Ebenso problematisch ist es, die Verantwortung vollständig auf den Anbieter zu verlagern. Anbieterinformationen sind wichtig, doch das nutzende Unternehmen bleibt für seinen eigenen Einsatzbereich verantwortlich.

Kritisch ist auch eine rein technische Betrachtung. Ein System kann technisch gut funktionieren und dennoch arbeitsrechtliche, datenschutzrechtliche oder diskriminierungsrechtliche Fragen aufwerfen. Gerade bei Beschäftigtenvertretung, Bewerberdaten und Leistungsbeurteilungen sollten Unternehmen die angrenzenden Rechtsgebiete frühzeitig mitdenken.

Der EU AI Act verlangt keine vorschnelle Abschaltung sinnvoller KI-Anwendungen. Er verlangt einen kontrollierten und nachvollziehbaren Einsatz. Wer Zuständigkeiten, Dokumentation und Schulung ernst nimmt, schafft eine tragfähige Grundlage für Innovation und Rechtssicherheit.

Bei Fragen zur Einordnung konkreter KI-Systeme, zu Verträgen mit Anbietern oder zur Vorbereitung einer KI-Governance unterstützt die Quteco Rechtsanwaltsgesellschaft Unternehmen aus der Region Stuttgart und bundesweit im Rahmen einer individuellen rechtlichen Prüfung. Recht braucht mehr als Beratung: Es braucht klare Entscheidungen, die zum tatsächlichen Einsatz im Unternehmen passen.