EU AI Act: was der Mittelstand wirklich tun muss

Der EU AI Act klingt nach Konzern-Thema, nach Compliance-Abteilung und Anwaltskanzlei. Ist es aber nicht. Auch ein KMU, das einen Chatbot auf der Website betreibt oder KI im Recruiting einsetzt, fällt darunter. Die gute Nachricht: für die meisten ist der Aufwand überschaubar — wenn man die Risikoklasse versteht.

Das Wichtigste in einem Satz

Der AI Act denkt in Risikostufen. Die meisten Mittelstands-Use-Cases sind „minimales Risiko“ — da reicht Transparenz: Nutzer müssen wissen, dass sie mit einer KI sprechen und nicht mit einem Menschen. Ein Hinweis am Chat-Fenster genügt oft schon.

Sobald es sensibler wird, steigt die Pflicht. Bewerber-Screening, Bonitätsbewertung, alles, was Menschen direkt betrifft, gilt schnell als „hohes Risiko“ — mit Dokumentations-, Transparenz- und Aufsichtspflichten. Verbotene Praktiken (etwa Social Scoring) sind ohnehin tabu.

80 % der Arbeit ist dokumentieren, was ihr ohnehin wissen solltet.

Was wir Kunden raten

Macht eine simple Inventur: Welche KI-Systeme nutzt ihr, wofür, mit welchen Daten, und wer trägt die Verantwortung für das Ergebnis? Schon diese eine Tabelle deckt 80 % der Anforderungen ab — und ist gleichzeitig einfach gute Praxis, völlig unabhängig vom Gesetz.

Zweitens: „Human in the loop“, wo es zählt. Lasst die KI Vorschläge machen, aber die Entscheidung trifft ein Mensch. Drittens: wisst, wo eure Daten liegen. Wer auf eigener Infrastruktur in Deutschland hostet, hat einen großen Teil der Datenschutz-Frage schon beantwortet.

Kein Grund zur Panik

Der AI Act ist kein Innovations-Stopp, sondern ein Rahmen. Wer KI bewusst, transparent und nachvollziehbar einsetzt, erfüllt das Meiste fast nebenbei. Schwierig wird es nur für die, die KI als Black Box laufen lassen und hoffen, dass niemand fragt.