EU AI Act: Was Mittelständler bis August 2026 zwingend entscheiden müssen

Ab dem 2. August 2026 greifen die verbindlichen Anforderungen des EU AI Act für Hochrisiko-KI-Systeme nach Annex III – und dieser Termin betrifft den deutschen Mittelstand direkt. Wer in seinem Unternehmen KI zur Personalauswahl, Kreditbewertung oder Qualitätskontrolle in regulierten Produkten einsetzt, gilt als Betreiber eines Hochrisiko-Systems und muss nachweisbar compliant sein. Strafen bei Verstößen: bis zu 15 Millionen Euro oder 3 Prozent des globalen Jahresumsatzes – je nachdem, welcher Betrag höher ist. Für einen Mittelständler mit 20 Millionen Euro Jahresumsatz entspräche die Fixstrafe von 15 Millionen Euro rund 75 Prozent des Gesamtumsatzes.

Der AI Act ist seit August 2024 schrittweise in Kraft getreten. Die ersten Compliance-Stufen – Verbote bestimmter KI-Praktiken und die Pflicht zur KI-Literacy seit Februar 2025 – wurden von vielen Unternehmen noch als abstrakt wahrgenommen. Der August 2026 ist anders: Hier werden operative Systeme bewertet, dokumentiert und beaufsichtigt werden müssen. Deutschland hat das geplante nationale Umsetzungsgesetz, das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), noch nicht verabschiedet. Das ändert nichts: Als unmittelbar geltende EU-Verordnung entfaltet der AI Act seine Wirkung unabhängig von nationaler Implementierung.

Was als Hochrisiko gilt – und wen das trifft

Der Annex III des AI Act definiert Hochrisiko-KI-Systeme anhand ihrer Einsatzfelder, nicht anhand der Technologie selbst. Für den Mittelstand besonders relevant sind vier Kategorien:

• HR und Personalauswahl: Systeme, die Lebensläufe filtern, Bewerber ranken oder Einstellungsentscheidungen vorbereiten, fallen unter Hochrisiko.
• Kreditwürdigkeit und Finanzierung: KI-gestützte Kreditvergabe oder Bonitätsprüfung – relevant für Finanzdienstleister, aber auch für Unternehmen mit eigenen Kreditlinien gegenüber Kunden.
• Qualitätskontrolle in regulierten Produkten: Wer KI in der Fertigung von Medizinprodukten oder sicherheitskritischen Maschinen einsetzt, ist unmittelbar betroffen.
• Kritische Infrastruktur: Energie, Wasser, Verkehr – relevante Zulieferer oder Betreiber müssen ihre Systeme klassifizieren.

Entscheidend ist: Die Klassifizierung erfolgt auf Basis der Funktion, nicht des Anbieters. Ein Mittelständler, der ein proprietäres KI-Modul eines großen Softwareanbieters in seinem ERP nutzt, ist als Betreiber haftbar – unabhängig davon, ob er das Modell selbst entwickelt hat.

Vier Sofortmaßnahmen mit Deadline-Relevanz

Für Unternehmen, die heute noch keine KI-Compliance-Struktur haben, ergeben sich vier Handlungsfelder mit direkter Relevanz für den August 2026:

• KI-Inventur: Erfassung aller im Unternehmen eingesetzten KI-Systeme inklusive Drittanbieter-Tools und SaaS-Produkte mit KI-Funktionalität. Erst wer den Überblick hat, kann klassifizieren.
• Risikoklassifizierung: Abgleich jedes Systems mit den Hochrisiko-Kategorien des Annex III. Diese Aufgabe gehört ins Management, nicht in die IT-Abteilung.
• Technische Dokumentation und Risikomanagement: Für Hochrisiko-Systeme sind Konformitätsbewertung, Technische Dokumentation und ein nachweisbares Risikomanagementsystem verpflichtend.
• Menschliche Aufsicht: Für jeden Hochrisiko-Anwendungsfall muss organisatorisch festgelegt sein, welche Person Entscheidungen des Systems überwacht und übersteuern kann.

Die KI-Literacy-Pflicht – seit Februar 2025 in Kraft – verlangt darüber hinaus, dass alle Mitarbeiter mit KI-Berührungspunkten nachweislich geschult werden. Wer diese Anforderung bisher ignoriert hat, hat bereits ein Compliance-Defizit.

Keine KMU-Ausnahme – aber begrenzte Erleichterungen

Der AI Act sieht keine generelle Befreiung für kleine und mittlere Unternehmen in der Betreiber-Rolle vor. KMU erhalten lediglich vereinfachte Verfahren bei bestimmten Dokumentationspflichten und einen bevorzugten Zugang zu den geplanten AI Regulatory Sandboxes – also regulatorischen Testumgebungen, die Unternehmen die Entwicklung und Erprobung von KI-Systemen unter Aufsicht erlauben. Das Fraunhofer-Institut IAIS begleitet im Projekt "Zertifizierte KI" die Entwicklung von Prüfverfahren und bietet KMU dabei gezielte Unterstützung.

Das Problem: Eine nationale Behörde für Konformitätsbewertungen existiert in Deutschland bis heute nicht. Das KI-MIG, das diese Strukturen schaffen soll, steckt noch im Gesetzgebungsprozess. Unternehmen stehen damit vor der Situation, sich auf eine Verordnung vorbereiten zu müssen, deren nationale Vollzugsstruktur noch nicht steht. Das mindert das rechtliche Risiko nicht – es erhöht die operative Unsicherheit.

So What? Die strategische Dimension für Entscheider

Der AI Act ist kein IT-Projekt. Er ist eine Governance-Frage, die im Vorstand oder in der Geschäftsführung entschieden werden muss. Welche KI-Systeme setzt das Unternehmen ein? Welche Funktion übernehmen sie in operativen Prozessen? Wer trägt die Verantwortung für deren Entscheidungen? Diese Fragen lassen sich nicht delegieren – weder an die IT-Abteilung noch an externe Berater, die lediglich ausführen, was strategisch unklar geblieben ist.

Für Mittelständler mit begrenzten Compliance-Ressourcen empfiehlt sich eine klare Priorisierung: Systeme mit direktem Einfluss auf Personalentscheidungen, Kreditvergabe oder Produktqualität in regulierten Bereichen müssen zuerst klassifiziert werden. Systeme, die intern zur Effizienzsteigerung ohne Personenbezug eingesetzt werden, stehen in einer zweiten Priorität. Wer versucht, alles gleichzeitig zu lösen, löst nichts rechtzeitig.

Fazit: Abwarten ist die teuerste Option

Drei Monate bis zur Compliance-Deadline sind keine komfortable Pufferzeit – sie sind ein operativer Notfall für Unternehmen, die noch keine KI-Inventur abgeschlossen haben. Der erste Schritt ist nicht Technologie, sondern Transparenz: Welche Systeme laufen im Haus, und was entscheiden sie? Wer diese Frage bis Ende Mai nicht beantwortet hat, wird den August 2026 nicht compliant erreichen. Die Strafhöhen des AI Act sind nicht auf Abschreckung ausgelegt – sie sind auf Wirksamkeit ausgelegt. Für einen typischen Mittelständler kann ein einziger Verstoß existenzbedrohend sein. Die strategische KI-Entscheidung ist damit längst keine Innovationsfrage mehr – sie ist eine Überlebensfrage.