EU AI Act für den Mittelstand: welche Pflichten bei welchen Abläufen entstehen

Die Verordnung fragt nach dem Einsatz, nicht nach der Technik

Die KI-Verordnung der EU, Verordnung (EU) 2024/1689, ist seit dem 1. August 2024 in Kraft. Sie regelt nicht Sprachmodelle als solche, sondern was ein Unternehmen mit ihnen tut. Dasselbe Modell kann in einem Ablauf völlig unkritisch sein und in einem anderen hohe Pflichten auslösen. Ein Sprachmodell, das Produkttexte schreibt, und dasselbe Modell, das Bewerbungen in eine Rangfolge bringt, liegen in der Verordnung zwei Stufen auseinander.

Für die Einordnung genügen vier Stufen und eine Pflicht, die für alle gilt:

• Verbotene Praktiken nach Artikel 5: etwa Emotionserkennung am Arbeitsplatz, soziale Bewertung von Menschen oder manipulative Techniken, die Entscheidungen von Menschen gezielt unterlaufen. Seit dem 2. Februar 2025 untersagt.
• Hochrisiko-Systeme nach Artikel 6 in Verbindung mit Anhang III: unter anderem KI im Beschäftigungskontext, bei der Kreditwürdigkeit von Privatpersonen und in kritischer Infrastruktur. Hier liegen die eigentlichen Pflichten.
• Transparenzpflichten nach Artikel 50: wer Menschen mit einer KI sprechen lässt oder bestimmte Inhalte erzeugt, muss das offenlegen.
• Minimales Risiko: alles andere. Keine besonderen Pflichten aus der Verordnung, freiwillige Verhaltenskodizes sind möglich.
• Für alle: KI-Kompetenz nach Artikel 4. Wer KI-Systeme anbietet oder betreibt, sorgt dafür, dass die Menschen, die damit arbeiten, ausreichend verstehen, was sie tun. Gilt seit dem 2. Februar 2025.

Die gute Nachricht vorweg: Die meisten Abläufe, die im Mittelstand Arbeit sparen, liegen in der Stufe mit minimalem Risiko. Wer Texte in Menge erzeugt, Daten bereinigt oder Anfragen sortiert, hat mit der Verordnung wenig zu tun. Die Ausnahmen sind aber genau die Abläufe, die oft als Erstes auf dem Wunschzettel stehen: Bewerbungen und Personal.

Der Zeitplan, Stand Oktober 2026

Die Verordnung gilt gestaffelt. Seit Februar 2025 gelten die Verbote und die KI-Kompetenz, seit August 2025 die Pflichten für Anbieter großer Allzweckmodelle, die Ihr Unternehmen als Nutzer solcher Modelle nicht direkt treffen. Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50. Die Pflichten für Hochrisiko-Systeme hat die EU mit dem Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) verschoben: für eigenständige Systeme nach Anhang III auf den 2. Dezember 2027, für KI in Produkten, die bereits einer Produktregulierung unterliegen (Artikel 6 Absatz 1), auf den 2. August 2028. An der Einordnung Ihrer Abläufe ändert die Verschiebung nichts, nur am Datum, ab dem Versäumnisse etwas kosten. Prüfen Sie vor einer Entscheidung den aktuellen Stand, die Zeitpläne sind zuletzt mehrfach angepasst worden.

Anbieter oder Betreiber: die Frage, die oft übersehen wird

Die Pflichten hängen auch an Ihrer Rolle. Die Verordnung unterscheidet in Artikel 3 den Anbieter, der ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Betrieb nimmt, und den Betreiber, der ein System in eigener Verantwortung nutzt. Wer eine fertige Software kauft und einsetzt, ist Betreiber. Wer sich einen Ablauf nach Maß bauen lässt und ihn unter eigenem Namen betreibt, kann selbst Anbieter sein, auch wenn ein Dienstleister den Code geschrieben hat.

Bei Abläufen mit minimalem Risiko spielt das kaum eine Rolle. Bei Hochrisiko-Systemen schon: Der Anbieter trägt nach Artikel 16 die schweren Pflichten (Qualitätsmanagement, technische Dokumentation, Konformitätsbewertung, Registrierung). Artikel 25 regelt zudem, dass ein Betreiber zum Anbieter wird, wenn er ein System wesentlich verändert oder für einen Hochrisiko-Zweck einsetzt, für den es nicht gedacht war. Wer also ein allgemeines Werkzeug nachträglich auf Bewerbungen ansetzt, wechselt womöglich die Rolle, ohne es zu merken.

Einordnungstabelle: typische Abläufe im Mittelstand

Die folgende Tabelle ordnet Abläufe ein, die wir in Analysen regelmäßig sehen. Sie ersetzt keine Prüfung im Einzelfall, zeigt aber, wo Sie genauer hinsehen müssen und wo nicht.

Zwei Muster fallen auf. Erstens: Wo die KI mit Sachdaten arbeitet: Texten, Produktdaten, Firmendaten, bleibt es fast immer bei minimalem Risiko. Zweitens: Sobald sie über Menschen urteilt, über Bewerber, Mitarbeiter oder Privatkunden, steigt die Stufe. Das ist die einfachste Faustregel für die erste Einordnung.

Die Ausnahme in Artikel 6 Absatz 3

Nicht jedes System, das in einem Bereich aus Anhang III arbeitet, ist automatisch hochriskant. Artikel 6 Absatz 3 nimmt Systeme aus, die kein erhebliches Risiko bergen, etwa weil sie nur eine eng begrenzte Verfahrensaufgabe erledigen, das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit verbessern oder eine Bewertung durch Menschen nur vorbereiten. Ein Ablauf, der Anhänge aus Bewerbungsmails ausliest und Name, Stelle und Unterlagen in das Bewerberwerkzeug überträgt, kann darunter fallen.

Zwei Einschränkungen sind wichtig. Die Ausnahme gilt nie, wenn das System Profile von Personen erstellt. Und wer sich auf sie beruft, muss die Einschätzung vor der Inbetriebnahme dokumentieren und auf Verlangen vorlegen. In der Praxis heißt das: Die Grenze zwischen "Unterlagen sortieren" und "Bewerber vorsortieren" gehört schriftlich in die Beschreibung des Ablaufs, und der Ablauf muss technisch so gebaut sein, dass er sie nicht überschreitet.

Was bei Hochrisiko-Abläufen auf den Betreiber zukommt

Setzen Sie ein Hochrisiko-System ein, etwa eine zugekaufte Software zur Bewerbervorauswahl, regelt Artikel 26 Ihre Pflichten als Betreiber. Die wichtigsten in der Reihenfolge, in der sie im Betrieb anfallen:

1. Das System nach der Gebrauchsanweisung des Anbieters einsetzen und nicht für andere Zwecke.
2. Die menschliche Aufsicht Personen übertragen, die dafür kompetent, geschult und befugt sind.
3. Soweit Sie die Eingabedaten steuern: dafür sorgen, dass sie zum Zweck passen und repräsentativ sind.
4. Den Betrieb überwachen und bei Risiken oder schwerwiegenden Vorfällen den Anbieter und die Behörde informieren.
5. Die automatisch erzeugten Protokolle mindestens sechs Monate aufbewahren, soweit sie unter Ihrer Kontrolle stehen.
6. Vor der Inbetriebnahme am Arbeitsplatz die Arbeitnehmervertreter und die betroffenen Beschäftigten informieren (Artikel 26 Absatz 7).
7. Die Angaben des Anbieters für Ihre Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO nutzen.

Bei Verstößen sieht Artikel 99 Bußgelder vor; am höchsten sind sie bei verbotenen Praktiken, mit bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes. Wichtiger als die Höchstbeträge: Ohne diese Ordnung übersteht ein Hochrisiko-Ablauf selten die Prüfung durch Betriebsrat und Datenschutz.

KI-Kompetenz nach Artikel 4: was praktisch reicht

Artikel 4 verlangt keine Zertifikate und keinen bestimmten Kurs. Er verlangt Maßnahmen, die zum Einsatz, zum Vorwissen der Beschäftigten und zu den Betroffenen passen. Für ein mittelständisches Unternehmen hat sich bewährt:

• Eine Übersicht, wer welche KI-Systeme nutzt, einschließlich der Chatfenster, die einzelne Abteilungen auf eigene Faust verwenden.
• Eine kurze Schulung je Rolle: Wer Ausgaben eines Ablaufs freigibt, muss wissen, welche Fehler typisch sind und worauf er achtet. Wer nur das Ergebnis sieht, braucht weniger.
• Eine Nutzungsregel für allgemeine Chat-Werkzeuge: welche Daten hinein dürfen und welche nicht.
• Ein Nachweis, wer wann geschult wurde. Er kostet wenig und ist das Erste, wonach gefragt wird, wenn etwas schiefgeht.

Die Übergabe eines Ablaufs ist dafür der natürliche Zeitpunkt. Wer den Ablauf künftig prüft und anpasst, lernt dabei genau das, was Artikel 4 meint.

Die DSGVO gilt daneben weiter

Die KI-Verordnung ersetzt den Datenschutz nicht, sie kommt hinzu. Für die meisten Abläufe ist die DSGVO sogar die strengere Prüfung. Drei Stellen sind regelmäßig entscheidend: Artikel 28 verlangt einen Auftragsverarbeitungsvertrag mit jedem Dienstleister und Modellanbieter, der personenbezogene Daten in Ihrem Auftrag verarbeitet. Artikel 35 verlangt eine Datenschutz-Folgenabschätzung, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Betroffene birgt, was bei KI im Personalbereich fast immer zu prüfen ist. Und Artikel 22 gibt Menschen das Recht, keiner ausschließlich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden. Eine automatische Absage an Bewerber ist ein Beispiel dafür.

Wo die Daten verarbeitet werden, ob im Haus, in einem europäischen Rechenzentrum oder über ein Cloud-Modell unter Vertrag, ist dagegen keine Frage der KI-Verordnung. Darüber entscheiden Sie je Ablauf nach Sensibilität der Daten; wie, steht auf unserer Seite zur Datensouveränität und im Artikel über die drei Betriebsarten.

Wie ein Ablauf die Pflichten erfüllt, statt sie zu umgehen

Die Pflichten der Verordnung lassen sich auf drei Dinge zurückführen: Man muss wissen, was das System tut, ein Mensch muss eingreifen können, und es muss nachvollziehbar sein, was passiert ist. Genau das sind die Bestandteile, die ein ordentlich gebauter Ablauf ohnehin hat. Bei uns hat jeder Ablauf ein Regelwerk, das festlegt, was er darf und was er einem Menschen vorlegt, einen Prüfschritt, der Ausgaben gegen diese Regeln prüft, und ein Protokoll je Vorgang. Die Freigabe von Texten, Daten und Kundenkontakten bleibt bei Ihnen.

Ein Beispiel aus der Beratung im Vertrieb: Bei einem Technologie-Distributor beantwortet ein Chatbot mit eigener Wissensdatenbank Produktfragen in fünf Sprachen, mit Quellenbezug, und übergibt an menschliche Experten, wenn es konkret wird. Der Hinweis, dass Besucher mit einer KI sprechen, ist dort eine Zeile Text; die Übergabe an Menschen ist der Teil, der Arbeit macht. Wie wir solche Abläufe bauen, steht unter Vertrieb und Kommunikation.

Dieser Artikel gibt den Stand Oktober 2026 wieder und ersetzt keine Rechtsberatung. Für die verbindliche Einordnung eines Ablaufs ziehen Sie Ihre Rechtsabteilung oder eine Kanzlei hinzu; die Tabelle macht dieses Gespräch kurz.

Was das für Sie heißt

Für die meisten Abläufe, die im Mittelstand Arbeit sparen, entstehen aus der KI-Verordnung wenige Pflichten: KI-Kompetenz der Beteiligten, ein Hinweis im Chatfenster, eine saubere Dokumentation. Aufwendig wird es erst, wenn eine KI über Bewerber, Mitarbeiter oder Privatkunden urteilt. Diese Abläufe sollten Sie bewusst angehen, mit Betriebsrat und Datenschutz von Anfang an am Tisch, oder so schneiden, dass die Entscheidung beim Menschen bleibt. Der sinnvollste erste Schritt ist eine Liste: Welche KI-Systeme laufen bei Ihnen heute schon, und in welcher Zeile der Tabelle steht jedes davon? Unsere Checkliste führt Sie in sechs Abschnitten durch diese und die übrigen Fragen der Einführung: Checkliste KI rechtssicher einführen.

Weiterlesen

• KI einführen mit dem Betriebsrat: Mitbestimmung, Betriebsvereinbarung, was ein Ablauf protokollieren darf
• Im Haus, in Europa oder in der Cloud: wo KI-Modelle für welche Daten laufen sollten
• Leistung: Vertrieb und Kommunikation
• Häufige Fragen zu KI im Betrieb
• Branche: KI in der Distribution, mit Beratung per Chat und Anfragen-Routing