EU AI Act für den Mittelstand: Was 2026 gilt, was verschoben wurde und worauf Du jetzt achten musst

Der EU AI Act klingt für viele mittelständische Unternehmen nach einem großen, teuren Bürokratie-Monster. Die gute Nachricht vorweg: Für die meisten kleinen und mittleren Unternehmen ist er das nicht. Wichtiger als Panik ist, die wenigen Punkte zu kennen, die Dich wirklich betreffen, und den Rest gelassen zu nehmen.

2026 ist dabei ein besonderes Jahr. Über den sogenannten Digital Omnibus wurden Ende Juni 2026 zentrale Fristen verschoben, und die viel diskutierte KI-Schulungspflicht wurde entschärft. Dieser Artikel sortiert für Dich, was heute gilt, was verschoben wurde, wovor Du keine Angst haben musst, und worauf Du jetzt trotzdem achten solltest.

Autor: Rasso Reng, KI-Berater für den Online-Handel, 10+ Jahre an der Schnittstelle von E-Commerce, Marketing, Daten und Automatisierung. Baut KI-Anwendungen, die im Alltag funktionieren. Profil: /#ueber-mich | Aktualisiert: Juli 2026

Kurz zusammengefasst: Der EU AI Act gilt seit August 2024 und wird stufenweise scharf gestellt. Der Digital Omnibus hat Ende Juni 2026 die strengen Hochrisiko-Pflichten auf den 2. Dezember 2027 (eigenständige Systeme) und 2. August 2028 (produktintegrierte Systeme) verschoben. Die KI-Kompetenzpflicht nach Art. 4 wird dabei nicht abgeschafft, sondern praxisnäher: Unternehmen müssen geeignete Maßnahmen ergreifen, die den Aufbau von KI-Kompetenz unterstützen, aber kein bestimmtes Schulungsformat nachweisen. Für die meisten KMU heißt das: Die üblichen KI-Anwendungen sind keine Hochrisiko-Anwendungen, Grund zur Panik besteht daher nicht. Relevant bleiben vor allem drei Dinge: keine verbotenen Praktiken, ein sauberer Umgang mit Daten, und ein Team, das KI sicher einsetzen kann. Laut Bitkom-Studienbericht 2026 (Befragung 2025) setzen 36 Prozent der Unternehmen bereits KI ein, gebremst vor allem durch fehlendes technisches Know-how (53 Prozent) und rechtliche Unsicherheit (53 Prozent).

Auf einen Blick: Das erwartet Dich in diesem Artikel

1. Ab wann der EU AI Act gilt
2. Was der Digital Omnibus 2026 geändert hat
3. Ob KMU überhaupt betroffen sind
4. Wovor Du keine Angst haben musst
5. Worauf Du wirklich achten musst
6. Die KI-Schulungspflicht nach Art. 4
7. Welche Schulungen Dein Team braucht
8. Wie Du sinnvoll anfängst

Ab wann gilt der EU AI Act?

Kurzantwort: Der EU AI Act ist seit dem 1. August 2024 in Kraft und wird in Stufen scharf gestellt. Verbotene Praktiken und die KI-Kompetenzpflicht gelten seit Februar 2025, Regeln für allgemeine KI-Modelle seit August 2025.

Der AI Act ist eine EU-Verordnung, die KI nach Risiko einstuft: von minimalem Risiko (die allermeisten Anwendungen) über begrenztes Risiko (etwa Chatbots) bis zu Hochrisiko und verbotenen Praktiken. Je höher das Risiko, desto mehr Pflichten.

Wichtig für Dich: Die Verordnung gilt nicht auf einen Schlag, sondern gestaffelt. Was heute schon greift, ist überschaubar. Die umfangreichsten Pflichten betreffen Anbieter von Hochrisiko-Systemen. Aber auch Unternehmen, die ein solches System einsetzen, können als Betreiber eigene Pflichten haben. Bei den üblichen Anwendungen wie Textentwürfen, Zusammenfassungen oder interner Recherche ist das normalerweise nicht der Fall. Wer ChatGPT, Microsoft Copilot oder Gemini im Alltag nutzt, ist in aller Regel Anwender ("Betreiber"), kein Hochrisiko-Anbieter.

Was hat sich 2026 durch den Digital Omnibus geändert?

Kurzantwort: Der EU-Rat hat am 29. Juni 2026 den Digital Omnibus final beschlossen. Er verschiebt die strengen Hochrisiko-Pflichten auf den 2. Dezember 2027 und den 2. August 2028 und entlastet gezielt den Mittelstand.

Der Ablauf: Nach einer politischen Einigung am 7. Mai 2026 billigte das Europäische Parlament den Text am 16. Juni, am 29. Juni 2026 folgte die endgültige Zustimmung des Rats. Danach kamen Veröffentlichung im Amtsblatt und Inkrafttreten.

Der ursprüngliche Termin für die Hochrisiko-Pflichten war der 2. August 2026, dieser wurde verschoben. Zusätzlich sieht der Omnibus gezielte Erleichterungen für kleinere Unternehmen und sogenannte Small Mid-Caps vor: einfachere Verfahren, geringere Dokumentationspflichten und Bußgeldreduktionen. Die genaue Größenabgrenzung ist komplexer als eine reine Mitarbeiter- oder Umsatzgrenze und umfasst mehrere Kriterien, im Zweifel lohnt hier eine kurze Einzelfallprüfung.

Hier die wichtigsten Fristen im Überblick:

Pflichtbereich	Bisheriger Termin	Aktueller Stand
Verbotene Praktiken	2. Februar 2025	gilt
KI-Kompetenz nach Art. 4	2. Februar 2025	gilt in geänderter, abgeschwächter Form
Allgemeine KI-Modelle (GPAI)	2. August 2025	gilt grundsätzlich, Übergangsregeln beachten
Hochrisiko, eigenständige Systeme	2. August 2026	2. Dezember 2027
Hochrisiko, in regulierten Produkten	2. August 2027	2. August 2028
Transparenzpflichten nach Art. 50	2. August 2026	grundsätzlich 2. August 2026
Technische Markierung bestehender Systeme	Übergangsfrist	2. Dezember 2026

Kurz gesagt: Der zeitliche Druck bei den aufwendigen Hochrisiko-Pflichten ist raus, aber die Richtung bleibt. Wer jetzt aufräumt, hat mehr Zeit und weniger Stress.

Betrifft der EU AI Act überhaupt kleine und mittlere Unternehmen?

Kurzantwort: Ja, aber meist nur in seiner mildesten Form. Die meisten alltäglichen KI-Anwendungen im Mittelstand sind keine Hochrisiko-Anwendungen. Entscheidend ist nicht der Name des Tools, sondern der konkrete Einsatzzweck.

Der AI Act unterscheidet Rollen: Anbieter entwickeln oder bringen KI-Systeme in Verkehr, Betreiber nutzen sie im eigenen Betrieb. Als Mittelständler, der fertige Tools wie ChatGPT, Copilot oder Gemini einsetzt, bist Du in fast allen Fällen Betreiber. Wichtig: Auch als Betreiber kannst Du eigene Pflichten haben, etwa wenn Du ein fremdes Hochrisiko-System einsetzt oder es unter eigenem Namen wesentlich veränderst.

Ob etwas hochriskant ist, hängt vom Einsatzzweck ab, nicht vom Tool. Textentwürfe, Zusammenfassungen, interne Recherche oder Reporting-Unterstützung sind keine Hochrisiko-Anwendungen. Anders sieht es bei klar umrissenen Zwecken aus: Auswahl und Bewertung von Bewerbern, Entscheidungen über Arbeitsverhältnisse, Kreditwürdigkeitsprüfungen, bestimmte Bildungs- und Prüfungsentscheidungen oder sicherheitskritische Anwendungen. Genau hier ist eine Einzelfallprüfung nötig, und selbst dann gelten die neuen Fristen (2. Dezember 2027 bzw. 2. August 2028). DSGVO und anderes Fachrecht bleiben davon unberührt.

Wovor musst Du keine Angst haben?

Kurzantwort: Du musst nicht die KI-Nutzung stoppen, keine teure Zertifizierung fürchten und keine Angst vor sofortigen Millionenstrafen haben. Für die meisten alltäglichen KI-Anwendungen im Mittelstand gibt es keinen umfangreichen Hochrisiko-Papierkram. Die Transparenzpflichten aus Art. 50 gelten allerdings grundsätzlich ab dem 2. August 2026.

Drei verbreitete Sorgen, die Du getrost ablegen kannst:

• "Wir müssen jede KI-Nutzung dokumentieren und zertifizieren." Nein. Die aufwendigen Konformitätsbewertungen betreffen Hochrisiko-Anbieter, nicht den Alltag im Mittelstand.
• "Ab August 2026 drohen sofort hohe Bußgelder für uns." Der Termin für die Hochrisiko-Pflichten wurde verschoben. Die genannten Millionenbeträge sind gesetzliche Höchstgrenzen. Bei der konkreten Bemessung werden unter anderem Art, Schwere und Dauer des Verstoßes sowie die Größe und wirtschaftliche Leistungsfähigkeit des Unternehmens berücksichtigt. Für KMU gilt grundsätzlich die niedrigere Obergrenze.
• "Wir dürfen KI im Zweifel gar nicht mehr einsetzen." Im Gegenteil. Der AI Act verbietet nur klar definierte KI-Praktiken und untersagt nicht generell den Einsatz von KI im Unternehmen. Unabhängig davon müssen natürlich Datenschutz, Urheberrecht, Arbeitsrecht und anderes einschlägiges Fachrecht beachtet werden.

„In meiner Beratung sehe ich fast nie ein Unternehmen, das ein echtes Hochrisiko-Problem hat. Ich sehe Teams, die aus Unsicherheit gar nichts tun. Genau das ist das teurere Risiko, nicht der AI Act." Rasso Reng, KI-Berater für den Mittelstand

Worauf solltest Du jetzt wirklich achten?

Kurzantwort: Auf drei Dinge: keine verbotenen Praktiken, Transparenz bei direkter KI-Interaktion und bestimmten Inhalten, und ein sauberer Umgang mit Daten. Das ist machbar und kostet vor allem Aufmerksamkeit, nicht Budget.

Die wenigen Punkte, die für viele KMU relevant sind:

• Verbotene Praktiken meiden. Dazu zählen unter anderem bestimmte manipulative KI-Praktiken, das schädliche Ausnutzen besonderer Schutzbedürftigkeit und unzulässiges Social Scoring. Für normale Geschäftsprozesse ist das selten ein Thema, aber jeder im Team sollte wissen, dass es diese Grenzen gibt.
• Transparenz, wo sie greift. Eine allgemeine Pflicht, jeden KI-Text sichtbar zu kennzeichnen, gibt es nicht. Die Transparenzregeln aus Art. 50 gelten grundsätzlich ab dem 2. August 2026 und betreffen Dich als Betreiber vor allem in drei Fällen: Menschen müssen erkennen können, dass sie mit einem KI-System wie einem Chatbot sprechen, wenn das nicht ohnehin offensichtlich ist; Deepfakes müssen offengelegt werden; und KI-generierte Texte zu Themen von öffentlichem Interesse müssen gekennzeichnet werden, wenn keine menschliche redaktionelle Kontrolle stattfindet. Ein von einem Menschen geprüfter Produkt- oder Blogtext muss also nicht allein deshalb gekennzeichnet werden, weil KI beim Schreiben geholfen hat. Wer einen fremden Chatbot einbindet, sollte prüfen, ob der Anbieter die Kennzeichnung technisch vorgesehen hat und sie im Einsatz sichtbar ist. Der 2. Dezember 2026 ist dabei nur eine Übergangsfrist für die technische Markierung bereits bestehender Systeme.
• Datenschutz und Schatten-KI. Der AI Act ersetzt nicht die DSGVO, er kommt obendrauf. Laut Bitkom nennen 48 Prozent der Unternehmen Datenschutzanforderungen als Hürde, 39 Prozent sorgen sich, dass Unternehmensdaten in falsche Hände geraten. Kläre, welche Daten in welches Tool dürfen und welche niemals, sonst entsteht unkontrollierte Schatten-KI im Team.

Diese Punkte sind keine Raketenwissenschaft. Sie brauchen eine klare interne Regel und ein Team, das sie kennt. Damit sind wir beim eigentlichen Kernthema.

Was bedeutet die KI-Schulungspflicht nach Artikel 4?

Kurzantwort: Artikel 4 verlangt, dass Anbieter und Betreiber geeignete Maßnahmen ergreifen, um die KI-Kompetenz ihrer Mitarbeitenden zu unterstützen. Der Digital Omnibus schafft diese Pflicht nicht ab, sondern macht sie praxisnäher: Ein bestimmtes Kompetenzniveau muss nicht mehr nachgewiesen werden.

Seit Februar 2025 gilt Art. 4, und der verbindliche Kern bleibt bestehen. Anbieter und Betreiber müssen Maßnahmen ergreifen, die den Aufbau von KI-Kompetenz bei ihren Beschäftigten und bei Personen unterstützen, die in ihrem Auftrag KI nutzen. Geändert hat sich vor allem die Höhe der Anforderung: Statt ein ausreichendes Kompetenzniveau sicherzustellen, reichen jetzt geeignete unterstützende Maßnahmen. Es gibt kein vorgeschriebenes Schulungsformat, kein Pflichtzertifikat und keine Mindeststundenzahl, und die Kompetenz einzelner Beschäftigter muss nicht geprüft oder nachgewiesen werden. Kommission und Mitgliedstaaten sollen Unternehmen, besonders KMU, mit Beispielen und Angeboten unterstützen.

Der Begriff Schulungspflicht ist als Suchbegriff verständlich, juristisch aber unscharf: Art. 4 verlangt nicht zwingend ein klassisches Seminar. Möglich sind zum Beispiel kurze Basisschulungen, interne Leitlinien, rollenspezifische Einweisungen, dokumentierte Lernmaterialien, regelmäßige Updates oder praktische Trainings an konkreten Anwendungsfällen.

Und da bin ich ehrlich zu Dir: Das ist kein Freibrief, das Thema zu ignorieren. Fehlende Kompetenz kann bei Fehlern weiterhin haftungsrelevant sein und verschenkt vor allem den betrieblichen Nutzen. Die Zahlen zeigen den echten Engpass: Laut Bitkom-Studienbericht 2026 (Befragung 2025) setzen 36 Prozent der Unternehmen KI ein, fast doppelt so viele wie 2024 (20 Prozent). Gebremst wird das vor allem durch fehlendes technisches Know-how und rechtliche Unsicherheit, jeweils 53 Prozent. Wo Du stehst, zeigt Dir ein kurzer KI-Reifegrad-Check.

Welche KI-Schulungen braucht Dein Team?

Kurzantwort: Drei Ebenen: Grundlagen für alle, rollenspezifische Schulungen für die intensiven Nutzer, und klare Regeln (Governance) fürs ganze Unternehmen. Nicht jeder braucht das Gleiche, aber jeder braucht etwas.

Hier ist noch viel Luft nach oben: Laut Bitkom bieten 43 Prozent der Unternehmen bislang gar keine KI-Schulungen an, nur 8 Prozent schulen alle Beschäftigten. So lässt sich das praktisch staffeln:

• Grundlagen für alle. Was kann KI, wo liegen die Grenzen, wie erkenne ich Fehler, welche Daten gebe ich nie ein. Das ist die Basis und verhindert die meisten Risiken.
• Rollenspezifisch für die Vielnutzer. Marketing, Vertrieb, Kundenservice und Controlling brauchen konkrete Anwendungsfälle für ihren Alltag, nicht abstrakte Theorie.
• Führung und Governance. Führungskräfte müssen erkennen, wo KI Prozesse verändert, und das Unternehmen braucht klare Leitplanken: welche Tools sind freigegeben, wer darf was, wie werden Ergebnisse geprüft.

Der Unterschied zwischen KI-Nutzung und KI-Reife liegt genau hier. Tools hat inzwischen fast jeder. Ein Team, das weiß, wofür es KI sinnvoll und sicher einsetzt, hat kaum jemand. Mehr dazu, wie so ein Enablement aussieht, findest Du unter Was ist KI-Enablement und im KI-Workshop für Unternehmen.

Wie fängst Du am besten an?

Kurzantwort: Nicht mit dem Gesetzestext, sondern mit einer ehrlichen Standortbestimmung. Wo steht ihr heute, welche Tools sind im Einsatz, wo fehlt Kompetenz. Daraus ergeben sich die nächsten Schritte fast von allein.

Ein pragmatischer Fahrplan in fünf Schritten:

1. Standort klären. Welche KI-Tools nutzt ihr schon, offiziell und inoffiziell? Wer nutzt sie, wofür?
2. Regeln festlegen. Eine kurze, verständliche KI-Richtlinie: welche Tools, welche Daten, welche Freigaben.
3. Transparenz prüfen. Wo greift Kennzeichnung wirklich? Vor allem bei Chatbots, Deepfakes und KI-Inhalten zu öffentlichen Themen ohne menschliche Kontrolle. Eine klare Linie festlegen.
4. Team schulen. Grundlagen für alle, Vertiefung für die Vielnutzer.
5. Einen Anwendungsfall sauber umsetzen. Nicht alles auf einmal, sondern ein Prozess, der nach ein paar Wochen läuft.

Genau an dieser Stelle helfe ich Dir. Praxisnah statt PowerPoint bedeutet: kein Konzept-PDF für die Schublade, sondern ein realistischer Fahrplan und Schulungen, die Dein Team wirklich weiterbringen. Der einfachste erste Schritt ist der KI-Reifegrad-Check. In wenigen Minuten siehst Du, wo ihr steht und welche Schritte sich lohnen.

Aus der Praxis: In einem Google-Workspace-&-Gemini-Enablement habe ich erlebt, dass der Hebel selten das Tool ist, sondern das Verständnis dafür. Sobald ein Team weiß, welche Aufgaben es sinnvoll abgeben kann, steigt die Nutzung von allein. Bei RidersDeal.com hat dieselbe Logik eine Blogmaschine für Magento möglich gemacht: von rund 2 auf bis zu 10 Artikel pro Woche und plus 50 Prozent Impressionen im Jahresvergleich.

Rechtlicher Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für die verbindliche Bewertung eines konkreten Anwendungsfalls solltest Du eine auf IT-, Datenschutz- und KI-Recht spezialisierte Kanzlei hinzuziehen. Stand: Juli 2026.

Häufige Fragen

Ab wann gilt der EU AI Act?

Der EU AI Act ist seit dem 1. August 2024 in Kraft und gilt gestaffelt. Verbotene Praktiken und die KI-Kompetenzregel gelten seit Februar 2025, Regeln für allgemeine KI-Modelle seit August 2025. Die strengen Hochrisiko-Pflichten wurden durch den Digital Omnibus auf Dezember 2027 verschoben.

Gilt die KI-Schulungspflicht nach Artikel 4 noch?

Ja. Artikel 4 bleibt eine Verpflichtung, wird durch den Digital Omnibus aber abgeschwächt: Anbieter und Betreiber müssen geeignete Maßnahmen ergreifen, die den Aufbau von KI-Kompetenz unterstützen, aber kein bestimmtes Kompetenzniveau nachweisen. Ein festes Schulungsformat oder Zertifikat ist nicht vorgeschrieben. Sinnvoll bleiben Schulungen aus Haftungs- und Nutzengründen.

Welche Fristen hat der Digital Omnibus verschoben?

Eigenständige Hochrisiko-Systeme gelten nun ab 2. Dezember 2027 statt ab 2. August 2026, produktintegrierte Hochrisiko-Systeme ab 2. August 2028. Die Transparenzpflichten nach Art. 50 gelten grundsätzlich ab 2. August 2026; der 2. Dezember 2026 ist nur eine Übergangsfrist für die technische Markierung bereits bestehender Systeme. Verbotene Praktiken und GPAI-Regeln bleiben in Kraft.

Ist mein mittelständisches Unternehmen ein Hochrisiko-Fall?

Meist nicht. Alltägliche Anwendungen wie Textentwürfe, Zusammenfassungen oder Reporting-Unterstützung sind nicht hochriskant. Entscheidend ist der Einsatzzweck, nicht das Tool. Bei Personalentscheidungen, Kreditwürdigkeitsprüfungen oder sicherheitskritischen Anwendungen kannst Du auch als Betreiber eigene Pflichten haben, dann ist eine Einzelfallprüfung nötig.

Wie hoch sind die Bußgelder, und gelten sie auch für KMU?

Bei verbotenen Praktiken drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Vorjahresumsatzes, bei anderen Verstößen bis zu 15 Millionen oder 3 Prozent. Das sind gesetzliche Höchstbeträge; bemessen wird nach Art, Schwere, Dauer und Folgen des Verstoßes sowie Größe und wirtschaftlicher Leistungsfähigkeit des Unternehmens. Für KMU gilt grundsätzlich die jeweils niedrigere Obergrenze.

Womit sollte ein KMU beim EU AI Act anfangen?

Mit einer ehrlichen Standortbestimmung: Welche Tools sind im Einsatz, welche Regeln fehlen, wo braucht das Team Kompetenz? Daraus ergeben sich Richtlinie, Kennzeichnung, Schulung und ein erster sauber umgesetzter Anwendungsfall. Ein KI-Reifegrad-Check ist dafür ein guter Startpunkt.

Wie gut ist Dein Unternehmen auf KI und den EU AI Act vorbereitet? In wenigen Minuten zeigt Dir der KI-Reifegrad-Check, wo ihr heute steht, wo Kompetenz oder klare Regeln fehlen und welche nächsten Schritte sich lohnen. Danach schauen wir bei Bedarf gemeinsam drauf. CTA-Button primär: KI-Reifegrad-Check starten CTA-Button sekundär: Kostenloses Erstgespräch

Praxis statt Theorie: gebaute und live gestellte KI-Lösungen und Enablement, unter anderem bei RidersDeal.com (Blogmaschine, plus 50 Prozent Impressionen).