EU AI Act: Was KMU ab August 2026 wirklich beachten müssen

Was der EU AI Act für dein Unternehmen tatsächlich bedeutet

Seit einiger Zeit taucht in Fachmedien immer wieder ein Datum auf: der 2. August 2026. Dann greifen weitere Teile der europäischen KI-Verordnung, besser bekannt als EU AI Act. Schnell ist von Bussgeldern, Compliance-Pflichten und neuen Risiken die Rede.

Für viele KMU klingt das erst einmal nach dem nächsten Regulierungspaket aus Brüssel. Wer ChatGPT, Microsoft Copilot oder andere KI-Werkzeuge im Unternehmen nutzt, fragt sich verständlicherweise: Betrifft uns das überhaupt? Müssen wir jetzt Schulungen, Dokumentationen und Rechtsgutachten vorbereiten?

Die kurze Antwort: Für die meisten KMU ist die Lage deutlich überschaubarer, als viele Schlagzeilen vermuten lassen. Der AI Act betrifft nicht jedes Unternehmen gleich. Es macht einen grossen Unterschied, ob ein Unternehmen ein eigenes KI-System entwickelt und auf den Markt bringt oder ob es ein bestehendes Werkzeug im Alltag nutzt.

Dieser Artikel ersetzt keine rechtliche Beratung. Er soll dir aber helfen, die wichtigsten Punkte einzuordnen, typische Missverständnisse zu vermeiden und die KI-Nutzung im Unternehmen praktisch und vernünftig vorzubereiten.

Der EU AI Act ist die europäische Verordnung für Künstliche Intelligenz. Er verfolgt einen risikobasierten Ansatz. Das bedeutet: Nicht jede KI-Nutzung wird gleich behandelt. Je höher das mögliche Risiko für Menschen, Sicherheit oder Grundrechte, desto strenger sind die Anforderungen.

Für ein KMU ist deshalb zuerst eine einfache Frage entscheidend: Entwickelst du selbst ein KI-System und bringst es auf den Markt? Oder nutzt du ein fertiges Werkzeug wie ChatGPT, Copilot, Gemini, Claude, ein KI-gestütztes CRM-Tool, einen Chatbot oder eine Marketinglösung?

Die meisten kleinen und mittleren Unternehmen sind keine Anbieter von KI-Systemen, sondern Betreiber beziehungsweise Nutzer bestehender Lösungen. Genau diese Unterscheidung ist wichtig. Die umfangreichen Pflichten wie technische Dokumentation, Konformitätsbewertung oder Risikomanagement treffen vor allem Anbieter und Entwickler bestimmter KI-Systeme. Für typische KMU-Anwendungen geht es viel häufiger um Transparenz, interne Regeln, sinnvolle Kontrolle und grundlegende KI-Kompetenz im Team.

Das nimmt dem Thema nicht jede Bedeutung. Aber es rückt die Verhältnisse gerade. Wer KI im Büro für Textentwürfe, Zusammenfassungen, interne Recherche, Marketingideen oder Prozessunterstützung einsetzt, steht nicht automatisch vor einem grossen Rechtsprojekt.

Der Zeitplan: was am 2. August 2026 wirklich wichtig wird

Der AI Act tritt nicht an einem einzigen Tag vollständig in Kraft. Die Anwendung erfolgt seit August 2024 schrittweise.

Bereits seit dem 2. Februar 2025 gelten bestimmte Verbote besonders problematischer KI-Praktiken sowie die Pflicht zur KI-Kompetenz. Seit dem 2. August 2025 gelten Regeln für Anbieter von sogenannten General-Purpose-AI-Modellen, also für Anbieter grosser KI-Basismodelle.

Der 2. August 2026 bleibt ein wichtiges Datum, weil dann die Transparenzpflichten nach Artikel 50 der Verordnung greifen. Diese können auch für KMU relevant sein, wenn KI nach aussen sichtbar eingesetzt wird, zum Beispiel bei Chatbots auf der Website, KI-generierten Inhalten oder Deepfakes.

Gleichzeitig wurde der Zeitplan für bestimmte Hochrisiko-KI-Systeme entschärft. Nach dem politischen AI-Omnibus-Paket sollen die Regeln für Hochrisiko-Systeme in bestimmten Bereichen wie Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Migration, Asyl und Grenzkontrolle erst ab 2. Dezember 2027 gelten. Für KI-Systeme, die in regulierte Produkte wie Aufzüge oder Spielzeug eingebettet sind, ist der 2. August 2028 vorgesehen.

Für die meisten KMU bedeutet das: Der 2. August 2026 ist kein Grund zur Panik. Aber er ist ein guter Anlass, die eigene KI-Nutzung einmal sauber zu ordnen.

Anbieter oder Betreiber: warum diese Rolle entscheidend ist

Der AI Act unterscheidet unter anderem zwischen Anbietern und Betreibern von KI-Systemen.

Anbieter sind Unternehmen, die ein KI-System entwickeln oder unter eigenem Namen auf den Markt bringen. Betreiber sind Unternehmen, die ein KI-System in eigener Verantwortung einsetzen. Ein KMU, das ChatGPT für Textentwürfe nutzt, Copilot in Microsoft 365 einsetzt oder ein fertiges KI-Tool im Kundensupport verwendet, ist in der Regel Betreiber.

Diese Rolle ist entscheidend, weil Anbieter deutlich umfangreichere Pflichten haben. Sie müssen je nach System technische Dokumentation, Risikomanagement, Qualitätsmanagement und weitere Nachweise sicherstellen. Betreiber müssen vor allem darauf achten, KI-Systeme sinnvoll, zweckgerecht und verantwortungsvoll einzusetzen.

Für den Alltag heisst das: Nicht jedes KMU braucht eine eigene KI-Compliance-Abteilung. Was viele Unternehmen aber brauchen, ist eine klare interne Linie. Welche Tools werden genutzt? Welche Daten dürfen eingegeben werden? Wer prüft KI-Ausgaben, bevor sie an Kunden, Bewerber, Lieferanten oder die Öffentlichkeit gehen? Und wo muss offengelegt werden, dass KI im Einsatz ist?

Genau hier beginnt die praktische Vorbereitung.

Transparenzpflichten: worauf es bei Chatbots und KI-Inhalten ankommt

Die Transparenzpflichten nach Artikel 50 gehören zu den Punkten, die ab August 2026 für viele Unternehmen praktisch relevant werden können. Dabei geht es nicht darum, jede interne KI-Nutzung öffentlich zu erklären. Es geht vor allem um Situationen, in denen Menschen mit KI interagieren oder KI-generierte Inhalte nach aussen wirken.

Ein typischer Fall ist ein Chatbot auf der Website. Wenn ein Besucher mit einem KI-System spricht, sollte klar erkennbar sein, dass er nicht mit einem Menschen kommuniziert. Das muss nicht dramatisch formuliert sein. Ein einfacher Hinweis wie „Dieser Assistent verwendet Künstliche Intelligenz" kann in vielen Fällen der richtige Ansatz sein.

Ein weiterer Bereich sind KI-generierte oder KI-manipulierte Inhalte. Hier muss sauber unterschieden werden: Die technische, maschinenlesbare Kennzeichnung betrifft vor allem Anbieter entsprechender KI-Systeme. Für KMU als Anwender ist besonders relevant, ob KI-generierte Inhalte in der öffentlichen Kommunikation offengelegt werden müssen. Das kann zum Beispiel bei Deepfakes, synthetischen Bildern, Audio- oder Videoinhalten oder bei KI-generierten Texten zu Themen von öffentlichem Interesse eine Rolle spielen.

Nicht jedes mit KI unterstützte Marketingbild und nicht jeder überarbeitete Text wird dadurch automatisch zum Problem. Entscheidend ist, ob beim Publikum ein falscher Eindruck entstehen kann oder ob Inhalte so eingesetzt werden, dass Transparenz erforderlich ist. Wer KI als Unterstützung nutzt, die Ergebnisse menschlich prüft und redaktionell verantwortet, steht anders da als jemand, der künstlich erzeugte Inhalte ungekennzeichnet als echt erscheinen lässt.

Hochrisiko-KI: wichtig, aber meist nicht der Normalfall

Hochrisiko-KI-Systeme sind Anwendungen, die erheblichen Einfluss auf Menschen, Sicherheit oder Grundrechte haben können. Dazu gehören bestimmte KI-Systeme in Bereichen wie Beschäftigung, Bildung, kritische Infrastruktur, Migration, biometrische Identifikation oder Zugang zu wesentlichen privaten und öffentlichen Leistungen.

Für klassische KMU-Anwendungen ist das meist nicht der Normalfall. Wer KI für Texte, interne Organisation, Ideensammlung, Kundenkommunikation oder einfache Automatisierung nutzt, bewegt sich in der Regel nicht automatisch im Hochrisiko-Bereich.

Aufpassen sollten Unternehmen aber bei sensiblen Einsatzfeldern. Beispiele sind KI-gestützte Vorauswahl von Bewerbern, automatisierte Bewertung von Mitarbeitenden, Bonitätsentscheidungen, Zugangskontrollen mit biometrischer Analyse oder Systeme, die Menschen rechtlich oder wirtschaftlich erheblich beeinflussen.

Hier geht es nicht darum, sofort in Panik zu geraten. Durch die Verschiebung bleibt für viele Hochrisiko-Themen mehr Zeit. Aber solche Anwendungsfälle sollten frühzeitig erkannt und nicht nebenbei eingeführt werden.

KI-Kompetenz im Team: die oft übersehene Pflicht

Ein Punkt gilt bereits seit Februar 2025: Unternehmen müssen dafür sorgen, dass Personen, die mit KI-Systemen arbeiten, über ein ausreichendes Mass an KI-Kompetenz verfügen.

Das klingt grösser, als es in vielen KMU sein muss. Der AI Act schreibt keine bestimmte Schulungsdauer, kein bestimmtes Zertifikat und kein starres Format vor. Entscheidend ist, dass Mitarbeitende verstehen, was KI leisten kann, wo ihre Grenzen liegen und welche Risiken im konkreten Arbeitsalltag entstehen können.

Dazu gehören zum Beispiel einfache Grundregeln:

• Keine vertraulichen Kundendaten ungeprüft in beliebige KI-Tools eingeben.
• KI-Ergebnisse nicht ungeprüft übernehmen.
• Fakten, Zahlen, Quellen und rechtliche Aussagen kontrollieren.
• KI-generierte Inhalte vor Veröffentlichung menschlich prüfen.
• Bei sensiblen Themen besonders vorsichtig sein.

Für viele KMU reicht als erster Schritt eine kurze, verständliche Einführung mit einer einfachen internen KI-Richtlinie. Wichtig ist, dass nicht nur darüber gesprochen wird, sondern dass diese Grundlage nachvollziehbar dokumentiert ist.

Datenschutz, Vertraulichkeit und Verantwortung nicht vergessen

Der AI Act ist nicht die einzige Ebene. Gerade im KMU-Alltag sind Datenschutz, Geschäftsgeheimnisse und vertragliche Vertraulichkeit oft mindestens genauso wichtig.

Wenn Mitarbeitende Kundendaten, interne Kalkulationen, Verträge, Bewerbungsunterlagen oder Zugangsdaten in KI-Tools eingeben, kann das unabhängig vom AI Act problematisch werden. Deshalb sollte eine KI-Richtlinie nicht nur auf die neue EU-Verordnung schauen, sondern auch auf praktische Datenschutz- und Sicherheitsfragen.

Eine sinnvolle Richtlinie beantwortet zum Beispiel:

• Welche KI-Tools dürfen im Unternehmen genutzt werden?
• Welche Daten dürfen dort eingegeben werden?
• Welche Inhalte müssen anonymisiert werden?
• Wer ist für die Prüfung von KI-Ausgaben verantwortlich?
• Für welche Bereiche ist KI ausdrücklich nicht freigegeben?
• Wann muss ein Mensch entscheiden?

Das ist keine Angstmacherei. Es ist normale digitale Sorgfalt.

Regulierung und Innovation: der Zielkonflikt bleibt

Der AI Act verfolgt ein nachvollziehbares Ziel: KI soll sicher, transparent und vertrauenswürdig eingesetzt werden. Gerade wenn Menschen nicht erkennen können, ob sie mit einem Menschen oder einer Maschine kommunizieren, ist Transparenz sinnvoll.

Trotzdem bleibt ein echter Zielkonflikt. Europäische Unternehmen stehen ohnehin unter hohem wirtschaftlichem Druck. Neue Regeln, unklare Zuständigkeiten und ständig wechselnde Fristen können Innovation ausbremsen, besonders bei kleinen Unternehmen ohne eigene Rechts- oder Compliance-Abteilung.

Die Entschärfung des Zeitplans zeigt, dass auch auf EU-Ebene erkannt wurde, dass Umsetzung und Wettbewerbsfähigkeit zusammen gedacht werden müssen. Für KMU ist deshalb eine pragmatische Haltung sinnvoll: Die Regulierung ernst nehmen, aber nicht überdramatisieren. Nicht jedes KI-Experiment ist ein Risiko. Aber unkontrollierte KI-Nutzung ohne klare Linie ist auch keine gute Idee.

Der beste Weg liegt dazwischen: KI bewusst einsetzen, einfache Regeln schaffen, Mitarbeitende befähigen und sensible Anwendungsfälle erkennen.

So bereitest du dich sinnvoll vor

Der erste Schritt ist eine Bestandsaufnahme. Welche KI-Werkzeuge werden im Unternehmen tatsächlich genutzt? Nicht nur offiziell, sondern auch im Alltag einzelner Mitarbeitender. Oft ist mehr im Einsatz, als die Geschäftsleitung denkt.

Danach folgt die Einordnung: Handelt es sich um normale Unterstützungswerkzeuge oder um sensible Anwendungsfälle? Gibt es einen Chatbot auf der Website? Werden KI-generierte Inhalte veröffentlicht? Wird KI im Recruiting, bei Bewertungen oder in anderen heiklen Entscheidungen eingesetzt?

Im nächsten Schritt sollte eine einfache KI-Richtlinie entstehen. Kein vierzigseitiges Papier, sondern eine verständliche Arbeitsgrundlage: erlaubte Tools, verbotene Daten, Prüfpflichten, Transparenzhinweise und Verantwortlichkeiten.

Ergänzend braucht das Team eine kurze Einführung. Nicht als abstrakte Rechtsschulung, sondern praktisch: Was kann KI? Wo irrt sie? Welche Daten bleiben intern? Wann muss geprüft werden? Und wo darf KI nicht allein entscheiden?

Damit ist für viele KMU bereits viel gewonnen. Nicht, weil damit jede Rechtsfrage abschliessend geklärt wäre, sondern weil die KI-Nutzung aus der Grauzone in einen geordneten Rahmen kommt.

Fazit: kein Grund zur Panik, aber ein guter Zeitpunkt für Ordnung

Der EU AI Act ist für KMU kein Grund, KI wieder aus dem Unternehmen zu verbannen. Wer bestehende Werkzeuge wie ChatGPT, Copilot oder ähnliche Lösungen nutzt, ist meistens nicht Anbieter, sondern Betreiber. Die grossen technischen Pflichten treffen daher in vielen Fällen nicht das KMU selbst, sondern die Anbieter der Systeme.

Relevant bleiben trotzdem drei Punkte: KI-Kompetenz im Team, Transparenz bei sichtbarer KI-Nutzung und eine klare interne Linie für Daten, Prüfung und Verantwortung.

Genau hier liegt der praktische Nutzen: Wer seine KI-Nutzung jetzt sauber strukturiert, reduziert Unsicherheit und kann KI entspannter einsetzen. Nicht aus Angst vor Brüssel, sondern weil klare Regeln im Unternehmen ohnehin sinnvoll sind.

WebStrategen bietet keine Rechtsberatung zum EU AI Act an. Wir unterstützen KMU aber dabei, ihre KI-Nutzung praktisch zu strukturieren: Welche Tools sind im Einsatz? Wo entstehen Risiken? Welche einfachen Regeln braucht das Team? Und wie lässt sich KI sinnvoll in bestehende Website-, CRM- und Prozesslandschaften integrieren?

Wenn du deine KI-Nutzung nicht dem Zufall überlassen willst, ist jetzt ein guter Zeitpunkt für eine nüchterne Bestandsaufnahme.