Für die meisten KMU gilt: Die EU-KI-Verordnung (EU AI Act) ist Pflicht, aber nicht jede KI-Anwendung löst dieselben Anforderungen aus. Welche Regeln konkret gelten, hängt davon ab, welche Art von KI-System ein Unternehmen einsetzt oder entwickelt und welche Risikoklasse dieses System hat. Dieser Artikel beantwortet die wichtigsten Fragen, die sich KMU beim Einstieg in das Thema KI-Compliance stellen.
Grundsätzlich gilt der EU AI Act für alle Unternehmen, die KI-Systeme in der EU einsetzen, entwickeln oder auf dem EU-Markt bereitstellen, unabhängig von ihrer Größe. Auch kleine und mittlere Unternehmen sind erfasst, sobald sie KI-Systeme betreiben oder anbieten. Eine Ausnahme für KMU gibt es nicht, wohl aber vereinfachte Pflichten für bestimmte Risikoklassen.
Der EU AI Act unterscheidet zwischen Anbietern (Unternehmen, die KI-Systeme entwickeln oder auf den Markt bringen) und Betreibern (Unternehmen, die KI-Systeme im eigenen Betrieb nutzen). Die meisten KMU fallen in die Kategorie der Betreiber, weil sie fertige KI-Tools von Drittanbietern einsetzen, etwa für Kundenservice, Personalauswahl oder Dokumentenanalyse.
Relevant ist außerdem: Der EU AI Act gilt nicht nur für selbst entwickelte KI. Wer eine KI-Anwendung eines externen Anbieters im eigenen Unternehmen produktiv einsetzt, übernimmt damit Betreiberpflichten. KMU sollten daher für jede eingesetzte KI-Lösung prüfen, in welche Risikoklasse sie fällt.
Hochrisiko-KI-Systeme sind solche, die in sensiblen Bereichen eingesetzt werden und erhebliche Auswirkungen auf Grundrechte, Sicherheit oder Gesundheit haben können. Für KMU, die solche Systeme betreiben, gelten deutlich strengere Pflichten als für Unternehmen, die nur KI mit minimalem Risiko nutzen.
Der EU AI Act listet in Anhang III konkrete Einsatzbereiche auf, die als Hochrisiko eingestuft werden. Dazu zählen unter anderem:
Für KMU bedeutet das: Wer beispielsweise ein KI-Tool zur automatisierten Vorauswahl von Bewerbungen einsetzt, betreibt wahrscheinlich ein Hochrisiko-KI-System. Die damit verbundenen Pflichten sind umfangreich und erfordern aktives KI-Risikomanagement.
Der EU AI Act tritt gestaffelt in Kraft. Verbote für bestimmte KI-Praktiken gelten seit Februar 2025, Pflichten für Hochrisiko-KI-Systeme greifen ab August 2026, und für allgemeine KI-Modelle (GPAI) gelten die Regeln bereits seit August 2025. KMU müssen also jetzt handeln, nicht erst, wenn Fristen ablaufen.
Die wichtigsten Pflichten für Betreiber von Hochrisiko-KI-Systemen im Überblick:
Für KI-Systeme mit minimalem Risiko, also etwa einfache Chatbots oder Empfehlungsalgorithmen, gibt es keine verpflichtenden Zusatzanforderungen. Allerdings bleibt die Pflicht zur Sicherstellung von KI-Kompetenz (Art. 4 KI-VO) für alle Unternehmen bestehen, unabhängig von der Risikoklasse.
KI-Anbieter entwickeln oder vermarkten KI-Systeme und tragen die Hauptverantwortung für technische Konformität, Dokumentation und Zertifizierung. KI-Betreiber setzen fertige Systeme im eigenen Unternehmen ein und sind primär für den sicheren, zweckkonformen Betrieb sowie die menschliche Aufsicht verantwortlich. Die Pflichten sind unterschiedlich, aber beide Rollen sind verbindlich.
Für KMU als Betreiber gilt im Kern:
Für KMU als Anbieter, also Unternehmen, die eigene KI-Produkte entwickeln, kommen erheblich umfangreichere Pflichten hinzu: technische Dokumentation, Konformitätsbewertungsverfahren, CE-Kennzeichnung und Registrierung in der EU-Datenbank. Diese Anforderungen betreffen in der Praxis vor allem Softwareunternehmen und KI-Startups.
Viele KMU unterschätzen, dass sie gleichzeitig in beiden Rollen auftreten können, etwa wenn sie ein zugekauftes KI-Modell in ein eigenes Produkt integrieren. In diesem Fall gelten kombinierte Pflichten aus beiden Kategorien.
Die Bußgelder im EU AI Act sind erheblich: Bei Verstößen gegen verbotene KI-Praktiken drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Verstöße gegen Pflichten für Hochrisiko-KI-Systeme können mit bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes geahndet werden. Für KMU gelten dabei grundsätzlich verhältnismäßige Sanktionen.
Neben den Bußgeldern aus dem EU AI Act drohen KMU weitere rechtliche Konsequenzen aus verwandten Rechtsbereichen:
Für KMU bedeutet das: Compliance ist nicht nur eine rechtliche Pflicht, sondern auch ein wirtschaftlicher Schutzfaktor. Wer frühzeitig in KI-Compliance-Schulungen investiert, vermeidet kostspielige Nachbesserungen und Haftungsrisiken.
KMU bereiten sich auf KI-Compliance am effektivsten vor, indem sie zunächst alle eingesetzten KI-Systeme inventarisieren, deren Risikoklasse bestimmen und dann die jeweils geltenden Pflichten strukturiert umsetzen. Ein schrittweises Vorgehen ist dabei realistischer und nachhaltiger als der Versuch, alles auf einmal zu regeln.
Ein bewährter Einstieg in die KI-Compliance folgt diesen Schritten:
Wer darüber hinaus ein strukturiertes KI-Managementsystem aufbauen möchte, findet in der ISO 42001 einen anerkannten internationalen Rahmen. Die Norm definiert Anforderungen an ein KI-Managementsystem und hilft KMU dabei, Governance, Risikomanagement und Compliance systematisch zu verankern.
Wir bei mITSM bieten praxisnahe Schulungen und Zertifizierungen, die KMU gezielt auf die Anforderungen des EU AI Act und verwandter Regelwerke vorbereiten. Unsere Trainer sind zertifizierte Experten, die KI-Compliance nicht nur aus der Theorie kennen, sondern aus der täglichen Praxis.
Unser Angebot für KMU umfasst unter anderem:
Ob Sie als KMU gerade erst mit dem Thema KI-Compliance starten oder gezielt einzelne Mitarbeitende für Betreiberpflichten qualifizieren möchten: Wir begleiten Sie mit dem richtigen Kursformat. Entdecken Sie unser vollständiges Schulungsangebot zu KI-Themen und sprechen Sie uns an, wenn Sie Fragen zu Inhalten oder Formaten haben.
Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.