EU AI Act. Was die KI-Verordnung für KMU, Verbände und Kommunen bedeutet. 

Stichtags-Übersicht – was wann gilt

Für die meisten KMU, Verbände und Kommunen ist die wichtigste Pflicht jetzt: Art. 4 – KI-Kompetenz. Diese gilt seit dem 02.02.2025 ohne Übergangsfrist.

Art. 4 – die KI-Kompetenzpflicht im Detail

Wortlaut der Verordnung (sinngemäß): Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um nach besten Kräften ein ausreichendes Niveau an KI-Kompetenz ihrer Mitarbeitenden und anderer Personen sicherzustellen, die in ihrem Auftrag mit dem Betrieb und der Nutzung der KI-Systeme befasst sind.

Was das praktisch heißt:

• Wer ist „Betreiber"? Jedes Unternehmen, das KI im operativen Betrieb nutzt – auch wenn die KI von einem externen Anbieter (OpenAI, Microsoft, Google) bereitgestellt wird.
• Wer ist „Mitarbeitender"? Jede Person, die KI im Auftrag des Unternehmens nutzt – egal ob ChatGPT für E-Mails, Copilot für Textgenerierung oder DeepSeek für Recherche.
• Was ist „ausreichende KI-Kompetenz"? Verständnis der Funktionsweise, der Grenzen, der Risiken und der rechtlichen Rahmenbedingungen – angemessen zum Einsatzkontext.
• Wie weisen Sie das nach? Mit dokumentierten Schulungen, Teilnahmebescheinigungen und Verfahrens-Dokumentation.

Die Verordnung schreibt keine konkrete Schulungsdauer vor. Die Praxis hat sich auf 2–4 Stunden Präsenz-Schulung als angemessenes Minimum eingependelt – entsprechend den Handlungsleitlinien des Beratungszentrums für Künstliche Intelligenz (BeKI) am Bundesministerium für Digitales und Staatsmodernisierung.

z1Digital arbeitet exakt nach diesen Leitlinien. Mehr unter KI-Grundschulung für Unternehmen – 240 €/TN und für Verbände – 195 €/TN.

Wer von der Verordnung betroffen ist – die KMU-Perspektive

Drei Fallgruppen, die im Mittelstand fast immer greifen:

Fall 1 – Mitarbeitende nutzen ChatGPT, Copilot oder Ähnliches

Wenn auch nur ein Mitarbeiter eines Ihrer Tools (Microsoft 365 mit Copilot, ChatGPT-Pro, Google Workspace mit Gemini) einsetzt – und das tut in der Praxis fast jeder – sind Sie Betreiber im Sinne der Verordnung. Die Schulungspflicht greift.

Fall 2 – Sie nutzen branchenspezifische KI-Tools

• KI-gestützte Bewerber-Filterung in HR-Software
• KI-Texterstellung im Marketing-Tool
• KI-Übersetzung in Customer-Support-Software
• KI-Buchhaltungs-Vorschläge in DATEV oder sevdesk

Wenn das Tool KI-Funktionen anbietet, sind die nutzenden Mitarbeiter schulungspflichtig.

Fall 3 – Sie planen eine eigene KI-Anwendung

Beispiel: Sie führen CompanyGPT ein oder bauen einen KI-Chatbot für Ihre Website. Dann sind Sie sowohl Betreiber als auch (eingeschränkt) Anbieter – mit erweiterten Pflichten.

Die fünf Risikoklassen – und wo Ihre KI-Anwendung landet

Die Verordnung unterscheidet vier Risikoklassen plus Sonderregeln für generelle KI:

1. Verbotene KI (Art. 5) – gilt seit 02.02.2025

Bestimmte KI-Anwendungen sind komplett verboten. Für KMU praktisch irrelevant – die meisten betreffen Behörden oder Massendaten-Verarbeitung:

• Social Scoring (China-Modell)
• biometrische Echtzeit-Identifikation in öffentlichen Räumen (mit engen Ausnahmen)
• Emotion-Recognition am Arbeitsplatz und im Bildungsbereich (außer medizinisch oder sicherheits-bedingt)
• manipulative Systeme, die schutzbedürftige Gruppen ausnutzen

2. Hochrisiko-KI – Konformität ab 02.08.2026

Hochrisiko-Anwendungen brauchen ab 02.08.2026 eine vollständige Konformitäts-Bewertung. Für KMU relevant:

• HR-Auswahlsysteme (Bewerber-Filterung, automatische CV-Bewertung)
• Kreditscoring und Versicherungs-Risiko-Bewertung
• Bildungs-Bewertungssysteme (in Schulen und Bildungsträgern)
• kritische Infrastruktur (Wasser, Strom, Verkehr)

Wer solche Anwendungen einsetzt, braucht Risiko-Management, Qualitätssicherung, technische Dokumentation, Transparenz und Aufsicht durch Menschen.

3. Begrenztes Risiko mit Transparenz-Pflichten

Hier fallen die meisten KMU-Anwendungen rein:

• Chatbots – Nutzer muss erkennen können, dass er mit KI interagiert
• KI-generierte Bilder/Videos/Audio (Deepfakes) – müssen als KI-Erzeugnis gekennzeichnet sein
• Emotion-Recognition oder biometrische Kategorisierung außerhalb verbotener Kontexte – Information der Betroffenen

4. Minimales Risiko – die meisten Anwendungen

KI-Spam-Filter, KI-Suchfunktionen, KI-Vorschläge in normaler Bürosoftware – minimales Risiko, keine besonderen Pflichten (außer Art. 4 Schulungspflicht).

5. GPAI – General-Purpose AI

Anbieter generischer KI-Modelle (OpenAI mit GPT-4, Anthropic mit Claude, Google mit Gemini) bekommen ab 02.08.2025 erweiterte Pflichten – Transparenz über Trainingsdaten, Energieverbrauch, systemische Risiken. Als KMU-Betreiber sind Sie nicht direkt betroffen, können aber von Ihren Anbietern Auskunft verlangen.

Bußgelder – was bei Verstoß droht

Die Bußgeld-Höhe hängt vom Verstoß ab – der höhere von Festbetrag oder Prozentsatz des weltweiten Jahresumsatzes greift:

Bei KMU sind die Bußgelder niedriger gedeckelt – Faustregel: das Geringere von Festbetrag und 1–3 % vom KMU-Jahresumsatz.

Aber: Auch wenn die nominalen Höchstwerte selten erreicht werden, ist der Reputations-Schaden bei einem Bußgeld-Verfahren erheblich. Ein KMU mit einem aktiven Verfahren wegen KI-Verstößen verliert Kunden-Vertrauen, Versicherungs-Konditionen und Recruiting-Attraktivität.

Was z1Digital für die EU-AI-Act-Umsetzung anbietet

Drei zusammenhängende Bausteine – vom Compliance-Check über die Art.-4-Grundschulung bis zur jährlichen Auffrischung: