EU AI Act Stand 2026: Was schon gilt, was kommt, was im Mittelstand wirklich greift

Anfang 2026, gut ein Jahr nach Inkrafttreten der ersten AI-Act-Stufe: Zeit für eine ehrliche Standortbestimmung. Was greift schon, was kommt noch, was bedeutet das für einen Mittelständler ohne eigene KI-Abteilung — und wo wird gerade übertrieben.

Die drei Stufen, die schon gelten

Stufe 1 — Verbote (seit 02.02.2025)

Acht KI-Anwendungen sind in der EU komplett verboten. Im Mittelstand spielen sie in der Praxis keine Rolle — wir nennen sie der Vollständigkeit halber: Social Scoring durch Behörden, Manipulation kognitiv schwacher Personen, biometrische Echtzeit-Identifikation im öffentlichen Raum, ungerichtete Gesichtserkennungs-Datenbanken, Emotionserkennung am Arbeitsplatz und in der Schule, biometrische Kategorisierung nach sensiblen Merkmalen, Predictive Policing auf Personenebene, Profile-Erstellung mit Diskriminierungs-Risiko ohne menschliche Aufsicht.

Für 99 % der Mittelständler ist diese Stufe nicht relevant — wer keinen biometrischen Scanner an der Eingangstür betreibt, ist hier raus.

Stufe 2 — Transparenz- und Schulungspflichten (seit 02.08.2025)

Hier wird es für jeden Mittelständler praktisch:

• Hinweispflicht bei KI-Interaktion (Art. 50 AI Act): Wer einen Chatbot, einen automatischen Assistenten oder KI-generierte Antworten einsetzt, muss Nutzern offenlegen, dass sie mit einer KI sprechen.
• Kennzeichnung KI-generierter Inhalte (Art. 50 Abs. 2 + 4): Synthetische Inhalte (Bilder, Audio, Video, Texte) müssen erkennbar gemacht werden — bei Deep-Fakes besonders.
• Schulungspflicht (Art. 4 AI Act): Mitarbeiter, die mit KI-Systemen arbeiten, müssen geschult werden — Umfang abhängig von Aufgabe und Risikoklasse des Systems.

Praktisch heißt das: Footer-Hinweis bei deinem Chatbot, Datenschutz-Erklärung-Block, ein einfaches Schulungs-Konzept für die Mitarbeiter, die KI-Werkzeuge nutzen. Mehr nicht. Wer behauptet, hier brauche man ein eigenes Beratungs-Projekt im fünfstelligen Bereich, übertreibt deutlich.

Stufe 3 — Pflichten für „General Purpose AI“ (seit 02.08.2025)

Diese Stufe richtet sich an die Anbieter von Sprachmodellen selbst — also die Hersteller großer KI-Modelle. Mittelständler, die ein solches Modell einsetzen (über eine API oder über eine Anwendung), sind nicht direkt betroffen. Sie sollten aber wissen, dass ihre Anbieter dokumentieren müssen, womit das Modell trainiert wurde und wie es funktioniert. Wer eine sehr datensensible Anwendung baut, fragt diese Dokumentation beim Anbieter an.

Was im August 2026 dazukommt — Hochrisiko-Stufe

Am 02.08.2026 greift die nächste große Welle: Pflichten für „Hochrisiko-KI-Systeme“. Die Risikoklassifizierung des AI Act unterscheidet vier Stufen:

• Unzulässiges Risiko — verboten (siehe Stufe 1).
• Hochrisiko — strenge Pflichten (kommt 08/2026).
• Begrenztes Risiko — Transparenz-Pflichten (gilt seit 08/2025).
• Minimales Risiko — keine spezifischen Pflichten.

Hochrisiko-KI-Systeme sind in Anhang III des AI Act aufgelistet. Im Mittelstand sind die häufigsten Treffer:

• KI bei Personalentscheidungen (CV-Screening, automatische Vorauswahl, Beurteilung)
• KI bei Kreditscoring oder Bonitätsbewertung
• KI in der Bildung (Prüfungs-Bewertung, Zugangs-Entscheidungen)
• KI in kritischer Infrastruktur (Energie, Verkehr, Wasser)
• KI bei Versicherungs-Risiko-Einschätzung (Leben, Gesundheit)

Wer ein solches System einsetzt — und das sind in Praxis vor allem mittelgroße Personalabteilungen, Banken, Versicherungen, größere Bildungsanbieter — kommt in eine andere Liga. Pflichten dann: technische Dokumentation, Risikomanagement-System, Qualitätsmanagement, menschliche Aufsicht, Logging, Transparenz gegenüber Betroffenen, CE-Konformitätserklärung. Das ist ein eigenes Projekt, kein Häkchen.

Was du als „normaler“ Mittelständler 2026 wirklich machen musst

Wir reden hier von der Mehrheit: Handwerk, Dienstleistung, Einzelhandel, Beratung, Praxis, Kanzlei. Wer keine Hochrisiko-Anwendung einsetzt, hat 2026 drei konkrete Hausaufgaben:

1. KI-Hinweise prüfen

Auf jeder Seite mit Chatbot oder KI-Assistent: sichtbarer Hinweis, dass eine KI antwortet. In der Datenschutz-Erklärung: Abschnitt zur KI-Nutzung mit Anbieter, Verarbeitungszweck, Datenübertragung. Bei KI-generierten Bildern: Kennzeichnung (Caption, Wasserzeichen, Metadaten).

2. Schulungs-Doku aufsetzen

Wer KI-Werkzeuge im Geschäft nutzt (auch nur ChatGPT für E-Mails), dokumentiert kurz: Welche Mitarbeiter nutzen welche Werkzeuge wozu, welche Schulung haben sie bekommen, welche Daten dürfen reingegeben werden, welche nicht. Reicht ein zweiseitiges Dokument plus eine 60-minütige Erst-Schulung pro Mitarbeiter — das ist die Praxis-Erwartung der Aufsicht im Mittelstand.

3. Verzeichnis der KI-Systeme führen

Eine einfache Tabelle: Welches KI-System läuft wo, welcher Anbieter, welcher Zweck, welche Daten, welche Risikoklasse. Kein eigenes Werkzeug nötig — eine Tabelle reicht. Wichtig ist, dass du das Verzeichnis pflegst, wenn neue Werkzeuge dazukommen.

Was die EU-Kommission Ende 2025 nachgeschoben hat

Im Q4 2025 sind zwei wichtige Leitlinien veröffentlicht worden:

Leitlinie zu „General Purpose AI“ (Oktober 2025)

Macht klarer, dass Mittelständler, die ein großes Sprachmodell über eine API nutzen, in der Regel nicht selbst als „Anbieter von GPAI“ gelten — sondern als Nachgelagerter. Das nimmt viel Druck aus der Diskussion, ob ein 8-Personen-Betrieb plötzlich Modell-Dokumentation veröffentlichen muss. Antwort: nein, das macht der Modell-Anbieter.

Leitlinie zur Risiko-Einstufung (Dezember 2025)

Stellt klar, dass ein „Service-Chatbot, der allgemeine Auskünfte gibt“ NICHT in die Hochrisiko-Klasse fällt — auch dann nicht, wenn er auf einer Site läuft, die rechtlich relevante Themen behandelt (Anwalts-Kanzlei, Steuerberater, Arztpraxis). Hochrisiko greift erst, wenn das System selbst rechtlich bindende Entscheidungen trifft oder vorbereitet.

Verhältnis zur DSGVO — wo es sich überschneidet

AI Act regelt das System (Risiko, Transparenz, Aufsicht), DSGVO regelt die Daten (Verarbeitung, Einwilligung, Rechte der Betroffenen). Die beiden überschneiden sich bei drei Themen:

• Automatisierte Einzelentscheidung (Art. 22 DSGVO): Wer eine KI rechtlich bindende Entscheidungen treffen lässt, braucht DSGVO-Rechtsgrundlage plus AI-Act-Risikoklassifizierung.
• Datenschutz-Folgenabschätzung (Art. 35 DSGVO): Für Hochrisiko-KI-Systeme oft Pflicht — die DSFA-Vorlage kann gleich AI-Act-Punkte mit aufnehmen.
• Informationspflichten (Art. 13/14 DSGVO + Art. 50 AI Act): Beide verlangen Transparenz — sinnvollerweise im selben Informations-Text behandelt.

Praktisch reicht für Mittelständler in den meisten Fällen eine Doku, die beide Regelwerke gleichzeitig abdeckt — zwei Parallel-Projekte braucht es selten.

Was Hannes daraus macht

Wir prüfen bei jedem Website-Audit auch die KI-Hinweise — Chatbot-Disclaimer, Datenschutz-Block, Kennzeichnung von KI-generierten Inhalten — und liefern eine konkrete Reparatur-Liste, wenn etwas fehlt. Bei neuen Projekten gehört der AI-Act-Hinweis-Stand zur Standard-Auslieferung, nicht zum Aufpreis. Wer eine Hochrisiko-Anwendung einsetzt, kommt vor August 2026 mit uns ins Gespräch — das ist ein anderes Projekt-Format als der normale Site-Build.

Wenn du wissen willst, wo deine Site bei AI Act und DSGVO steht: frag Hannes — er sagt dir ehrlich, wo du stehst. Wenn du danach reden willst, buch einen Termin — wir nennen ehrlich, welche der Aufgaben für dich relevant sind und welche du dir sparen kannst.