EU AI Act für Selbstständige und Mittelstand: Die ehrliche Kurzfassung

Es gibt wenige Themen, bei denen mehr Halbwissen, Lobby-Lärm und Angst-Verkauf zirkulieren als rund um den EU AI Act. Wir bekommen dazu mittlerweile mehrere Anfragen pro Woche, also schreiben wir es hier in Ruhe auf.

Vorab: Wir sind keine Anwälte. Was hier steht, ist ein Praxis-Überblick aus Beratungs-Gesprächen mit Steuerberatern, Handwerksmeistern, Ärzten und Mittelstands-Geschäftsführern. Wenn dein Fall komplex ist, ziehst du einen Fachanwalt für IT-Recht hinzu — wir nennen dir gerne welche.

Was der EU AI Act überhaupt ist

Der „AI Act" — Verordnung (EU) 2024/1689 — ist die erste umfassende KI-Regulierung der Welt. Sie ist seit dem 1. August 2024 in Kraft. Die einzelnen Pflichten greifen aber gestaffelt:

• 02.02.2025 — Verbotene Praktiken (Art. 5) + Schulungspflicht (Art. 4)
• 02.08.2025 — Pflichten für Anbieter von General-Purpose-AI-Modellen (GPT-5, Claude, Gemini)
• 02.08.2026 — Hochrisiko-KI-Pflichten
• 02.08.2027 — Restliche Sondervorschriften

Für 99% der Mittelstands-Praxen heißt das: Die ersten beiden Stufen sind das, was dich betrifft. Den Rest betrifft Anbieter wie OpenAI, Google oder Microsoft.

Drei Pflichten, die dich als Anwender real treffen

1. Schulungspflicht (Art. 4) — seit 02.02.2025

Jeder, der KI-Systeme einsetzt oder davon betroffen ist, muss „über ein ausreichendes Maß an KI-Kompetenz verfügen". Klingt diffus — ist es auch. In der Praxis heißt das: Du musst nachweisen können, dass deine Mitarbeiter (und du selbst) wissen, was die genutzten KI-Tools tun, wo ihre Grenzen liegen und wie mit den Ergebnissen umzugehen ist.

Wie geht das konkret? Drei pragmatische Wege:

• Interne Kurzschulung (1-2 Stunden) mit Teilnehmer-Liste und Unterschriften. Reicht für die meisten Mittelstands-Fälle. Inhalte: Was ist ein LLM, was sind Halluzinationen, was darf in den Prompt rein (DSGVO), was nicht, wie wird ein Ergebnis kontrolliert.
• Externe Online-Schulung mit Zertifikat. Es gibt mittlerweile gute kostenlose Optionen (Bitkom, IHK-Akademien). Kostenpflichtige Kurse von „IHK-Geprüfter KI-Manager" bis „TÜV-zertifizierter AI-Compliance-Officer" sind nicht Pflicht — sie sind Verkaufs-Pakete der Anbieter.
• Hersteller-Tutorials + Dokumentation. Microsoft, OpenAI und Anthropic stellen Trainings-Materialien zur Verfügung. Wenn ihr die anguckt und das in einer Mitarbeiter-Mail dokumentiert, hast du den Nachweis.

Wir haben dazu einen eigenen, tieferen Artikel: KI-Schulungspflicht ab Februar 2025 — was reicht, was ist Pflicht.

2. Transparenzpflicht bei generierten Inhalten (Art. 50)

Wenn du KI nutzt, um Inhalte zu generieren, die für Konsumenten/Kunden sichtbar werden — Texte, Bilder, Videos, Sprachausgabe — muss erkennbar sein, dass das KI-generiert ist. Das gilt insbesondere für:

• Chatbots, die Nutzer auf deiner Website beraten: Der Hinweis „Dies ist ein KI-Chatbot" muss klar sein.
• Synthetische Medien (Deepfakes, KI-Bilder von Personen, Voice-Clones): müssen markiert sein.
• Texte, die wie Nachrichten/redaktionelle Inhalte aussehen: müssen als KI-generiert kenntlich sein.

Praxis: Wir haben auf unserer eigenen Seite unter dem „Frag uns“-Chat die Zeile „Es antwortet Hannes — sofort, rund um die Uhr. Heike + Lutz übernehmen, sobald es persönlich werden muss." Das ist nicht nur korrekt, es ist auch das, was Käufer respektieren — KI-Verschleierung wird in der nächsten Käufer-Generation als unseriös wahrgenommen.

3. Verbotene Praktiken (Art. 5)

Es gibt eine Liste von KI-Anwendungen, die in der EU komplett verboten sind. Für Mittelstand-Sites sind die meisten irrelevant (Social Scoring, Echtzeit-Biometrie im öffentlichen Raum, kognitive Manipulation). Eine Praxis-Frage taucht aber auf: Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen ist verboten. Wer also eine „Mitarbeiter-Zufriedenheits-KI" einkauft, die per Kamera Stimmungen erkennt — Finger weg.

Was nicht stimmt: drei Mythen, die Beratungs-Hammer produzieren

Mythos 1: „Du musst eine KI-Risiko-Klassifizierung machen"

Nein. Die Risiko-Klassifizierung (Hochrisiko, geringes Risiko, minimales Risiko) betrifft Anbieter und Entwickler von KI-Systemen, nicht Anwender. Wenn du ChatGPT für deine Marketing-Texte nutzt, musst du nichts klassifizieren. ChatGPT klassifizieren OpenAI als Anbieter.

Mythos 2: „Du brauchst einen KI-Beauftragten"

Nein. Es gibt keine gesetzliche Pflicht zu einem „KI-Beauftragten" oder „AI Officer". Das ist Verkaufs-Sprache von Schulungs- und Beratungs-Anbietern. Was sinnvoll ist: jemand im Unternehmen, der weiß, wo KI eingesetzt wird und ob die Schulungs-Pflicht erfüllt ist. Das kann der Geschäftsführer in Personalunion sein.

Mythos 3: „Bußgelder bis 35 Millionen Euro"

Die Maximal-Bußgelder im AI Act sind tatsächlich hoch (bis 35 Mio. EUR oder 7 % des Weltjahresumsatzes), aber sie betreffen verbotene Praktiken und schwere Verstöße bei Hochrisiko-Systemen. Bei Schulungspflicht-Verstoß oder fehlender Transparenz-Kennzeichnung sind die Sanktionen deutlich kleiner — und in der ersten Aufsichts-Welle wird es ohnehin um Hinweise und Nachbesserung gehen, nicht um Strafverfügungen.

Praxis-Pfad: Was du diese Woche tun kannst

1. Inventur: Liste die KI-Tools auf, die ihr nutzt (ChatGPT, Copilot, DeepL, ein eingebauter KI-Assistent, evtl. Bild-Generatoren).
2. Mini-Schulung: 1 Stunde Workshop für alle Mitarbeiter, die KI nutzen — mit Teilnehmer-Liste. Inhalt: Was ist ein LLM, was sind Halluzinationen, was darf in den Prompt (DSGVO), wie kontrollieren wir Ergebnisse.
3. Transparenz-Check: Wenn du KI-Chatbots auf deiner Site hast oder KI-generierte Inhalte als „eigene Artikel" veröffentlichst — Hinweis ergänzen.
4. DSGVO-Hygiene: Welche personenbezogenen Daten gehen in welches KI-Tool? AVV mit dem Anbieter (OpenAI Business, Microsoft Copilot Business, Anthropic Business — alle EU-konform verfügbar).

Das ist es. Mehr brauchst du 2026 nicht. Wer dir mehr verkauft, verkauft Angst.

Wo wir helfen

Wenn du KI nicht nur konform nutzen, sondern als echten Hebel verstehen willst, sprich mit Hannes. Hannes ist offen gezeigte KI — eingebaut in unsere Plattform, EU-Frankfurt-Hosting, BFSG- und AI-Act-konform standardmäßig.