EU AI Act für KMU: Was ab August 2026 wirklich zu tun ist

Der EU AI Act betrifft euch auch dann, wenn ihr nie eine eigene KI gebaut habt.
Sobald ihr ChatGPT, Copilot oder ein KI-Modul in eurer CRM- oder HR-Software nutzt, seid ihr „Betreiber" im Sinne des Gesetzes — und damit in der Pflicht. Ab dem 2. August 2026 setzen die Behörden das durch. Ich sehe bei Gesprächen mit anderen Gründern und Geschäftsführern immer wieder dasselbe Muster: Man weiß, dass „irgendwas mit AI Act" kommt, aber nicht, was konkret zu tun ist. Deshalb hier die kurze Version. Betrifft mich das, wenn ich KI nur nutze, nicht entwickle? Ja. Der AI Act unterscheidet zwischen Anbietern und Betreibern, nicht zwischen groß und klein. Es gibt keine Ausnahme für KMU — nur vereinfachte Dokumentationspflichten und niedrigere Bußgeldobergrenzen. Die wichtigsten Fristen: Seit Februar 2025 sind verbotene KI-Praktiken untersagt und die Pflicht zur KI-Kompetenz (Art. 4) gilt bereits. Ab August 2026 wird das aktiv geprüft. Hochrisiko-Pflichten sollen laut Digital Omnibus auf Ende 2027 verschoben werden — beschlossen ist das aber noch nicht, und ich würde mich darauf nicht verlassen. Was ihr als normales KMU wirklich tun müsst: 1. KI-Inventar führen. Welche Tools sind bei euch überhaupt im Einsatz — nicht nur ChatGPT, sondern auch die KI-Funktion, die längst in eurem CRM oder Ticketsystem steckt. 2. Team-Grundwissen sicherstellen. Halluzinationen, Datenschutz, Urheberrecht, Umgang mit vertraulichen Daten. Der Digital Omnibus hat das von einer Nachweis- zu einer Förderpflicht abgeschwächt — meiner Meinung nach ändert das an der Praxis wenig, denn genau hier werden Prüfungen zuerst ansetzen. Dafür habe ich extra ein KI Trainer Agent für ADGENTIC-AI gebaut, den jeder nutzen kann, um auf spielerischen Art und Weise mit einem Quiz regelmäßig seine Mitarbeiter zur Schule und diese Schulung auch dokumentieren zu können. 3. KI-Inhalte kennzeichnen. Text, Bild oder Video aus der KI veröffentlicht? Muss als solches erkennbar sein. Machen wir bei ADGENTIC-AI automatisch für euch mit. 4. Hochrisiko-Fälle prüfen. Betrifft die wenigsten von euch — relevant wird es bei Bewerberauswahl, Kreditvergabe, medizinischen oder biometrischen Anwendungen. 5. Eine verantwortliche Person benennen. Kein eigener AI Officer nötig, aber jemand muss Nutzung, Freigaben und Dokumentation koordinieren. Und wenn ich nichts mache? Bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. Euro oder 3 % bei Hochrisiko-Verstößen. Für KMU gelten niedrigere Obergrenzen — das Risiko bleibt trotzdem real. Der Punkt, an dem die meisten hängen bleiben: Sie wissen, dass sie schulen sollen, aber nicht, wie sie das strukturiert und nachweisbar tun, ohne eine Compliance-Abteilung aufzubauen. ADGENTIC ist eine KI-native Werbe&Marketing-Plattform, die autonome KI-Agenten für Werbe- und Marketing-Workflows im deutschsprachigen Mittelstand einsetzt — genau aus diesem Praxisbedarf heraus haben wir einen KI-Trainer gebaut, der Mitarbeitende regelmäßig zu den relevanten Grundlagen schult und zertifiziert, mit automatischer Dokumentation, wer wann geschult wurde. Kein Compliance-Theater, sondern ein Nachweis, der im Zweifel auch einer Prüfung standhält.

Wo steht ihr bei dem Thema?