Viele Mittelständler fragen: Welche KI setzen wir ein? Falsche Frage. Der EU AI Act bewertet nicht das Werkzeug, sondern wofür Sie es nutzen. Das macht die Regulierung handhabbarer, als viele Verkaufsgespräche suggerieren.
Wenn Sie sich gerade fragen, welche KI-Tools in Ihrem Unternehmen »AI-Act-konform« sind, stellen Sie sich die falsche Frage. Der EU AI Act bewertet nicht Ihre Software. Er bewertet, wofür Sie sie einsetzen. Diese Unterscheidung ist der Schlüssel, um die Regulierung im Mittelstand handhabbar zu machen – und sie wird in vielen Verkaufsgesprächen und Panikmeldungen komplett übergangen.
Das Ergebnis: Unternehmen kaufen teure »Compliance-Pakete« für Tools, deren Einsatz gar keine besonderen Pflichten auslöst. Gleichzeitig übersehen sie Anwendungsfälle, die tatsächlich in eine höhere Risikoklasse fallen. Zeit, das gerade zu rücken.
EU AI Act: Zwei Pflichten gelten für (fast) alle
Unabhängig davon, welches KI-System Sie einsetzen und wofür, gibt es zwei Punkte, die Sie kennen sollten.
Artikel 4 – KI-Kompetenz: Wer KI-Systeme betreibt, muss Maßnahmen ergreifen, um die KI-Kompetenz der damit befassten Mitarbeitenden zu fördern. Wichtig ist die genaue Lesart: Es geht um Maßnahmen, nicht um ein garantiertes Kompetenzniveau oder eine Prüfung. Eine Schulung, eine interne Richtlinie oder ein strukturiertes Onboarding für neue KI-Tools erfüllen diesen Zweck bereits in weiten Teilen.
Artikel 50 – Transparenz- und Kennzeichnungspflichten: Hier geht es um die Kennzeichnung von KI-Interaktionen und KI-generierten Inhalten in bestimmten Konstellationen. Das bedeutet ausdrücklich nicht, dass jede intern erzeugte KI-Antwort gekennzeichnet werden muss. Ob und wie diese Pflicht greift, hängt vom konkreten Anwendungsfall ab.
Diese beiden Punkte betreffen praktisch jedes Unternehmen, das KI nutzt. Alles Weitere – und das ist der eigentlich entscheidende Teil – hängt am Einsatzfall und an der Risikoklasse.
Gleiche Technologie, völlig unterschiedliche Einordnung
Hier liegt der Denkfehler, der viele Mittelständler in die falsche Richtung schauen lässt. Ein Beispiel macht es deutlich:
- Eine interne Vertragssuche für Ihr Vertriebsteam, die relevante Klauseln aus bestehenden Verträgen findet, ist ein Anwendungsfall mit vergleichsweise geringem regulatorischem Gewicht.
- Ein System zur Bewerbervorauswahl, das Kandidatenprofile automatisiert bewertet, fällt unter Anhang III des AI Act als Hochrisiko-Anwendung – mit entsprechend höheren Anforderungen an Betreiber.
Beide Systeme können auf derselben zugrunde liegenden KI-Technologie basieren, vielleicht sogar vom selben Anbieter stammen. Rechtlich sind sie trotzdem etwas völlig anderes. Der Unterschied liegt ausschließlich im Einsatzzweck.
Das gilt übrigens auch für die Kreditwürdigkeitsprüfung natürlicher Personen, die ebenfalls als Hochrisiko-Anwendungsfall gilt – mit einer Ausnahme für Systeme, die ausschließlich der Betrugserkennung dienen. Auch hier entscheidet der Zweck, nicht das Werkzeug.
💡 Die richtige Frage: Wofür, nicht welche KI
Genau hier verschätzen sich viele Mittelständler. Sie fragen: »Welche KI setzen wir ein?« Die relevantere Frage lautet: »Wofür setzen wir sie ein?«
Diese zweite Frage entscheidet, welche Pflichten überhaupt greifen. Wer sein Risiko realistisch einschätzen will, muss zuerst seine Anwendungsfälle systematisch erfassen – nicht seine Tool-Landschaft.
Ein praktischer Ansatz für Ihr Unternehmen:
- Schritt 1: Anwendungsfälle auflisten. Erfassen Sie nicht die eingesetzten Tools, sondern die konkreten Einsatzzwecke – zum Beispiel Vertragssuche, Bewerbervorauswahl, Kundensupport, Textentwürfe, Terminplanung.
- Schritt 2: Betroffene Personen identifizieren. Wirkt sich der Einsatzfall auf natürliche Personen aus – Bewerber, Kunden, Kreditnehmer? Oder bleibt er rein intern und prozessbezogen?
- Schritt 3: Abgleich mit Anhang III. Prüfen Sie, ob Ihr Anwendungsfall in eine der dort genannten Kategorien fällt, etwa Bewerberauswahl oder Kreditwürdigkeitsprüfung.
- Schritt 4: Prüfen, ob überhaupt ein KI-System im Sinne des AI Act vorliegt. Nicht jede Software, die »KI« im Namen trägt, erfüllt die rechtliche Definition. Diese Einordnung sollte vor jeder weiteren Maßnahme stehen.
- Schritt 5: Pflichten je Anwendungsfall dokumentieren. Erst danach lässt sich seriös sagen, welche Betreiberpflichten – etwa menschliche Aufsicht, Protokollierung oder Information von Beschäftigten – tatsächlich relevant sind.
Zeitdruck ja, Panik nein
Wichtig für die Einordnung: Die Pflicht zur Förderung der KI-Kompetenz nach Artikel 4 gilt bereits seit Februar 2025, ebenso die Verbote bestimmter Praktiken nach Artikel 5. Die Transparenzpflichten nach Artikel 50 greifen ab August 2026. Für die umfassenderen Hochrisiko-Pflichten bei Anhang-III-Systemen wurde der Starttermin durch den sogenannten Digital Omnibus auf Dezember 2027 verschoben, für in regulierte Produkte eingebettete Hochrisiko-KI auf August 2028.
Diese Verschiebung ändert nichts an den inhaltlichen Anforderungen selbst – sie verschafft Unternehmen aber mehr Zeit für eine saubere Vorbereitung. Diese Zeit sollten Sie nutzen, um Ihre Anwendungsfälle zu sortieren, statt erst kurz vor knapp in Aktionismus zu verfallen.
Fazit: Ordnung schafft Klarheit
Der AI Act ist kein pauschales Verbotsregime für KI im Mittelstand. Er ist ein Rahmen, der differenziert zwischen harmlosen internen Werkzeugen und Anwendungsfällen mit echter Wirkung auf Menschen. Wer diesen Unterschied versteht, muss weder in Panik verfallen noch teure Pauschallösungen kaufen.
Der erste und wichtigste Schritt ist denkbar einfach: Erstellen Sie eine ehrliche Liste Ihrer KI-Anwendungsfälle – nicht Ihrer Tools. Welchen Ihrer Einsatzfälle haben Sie bisher noch nicht nach diesem Maßstab sortiert?
👉 Wenn Sie dabei Unterstützung möchten, hilft KI Strategium Ihnen, Ihre Anwendungsfälle systematisch einzuordnen und daraus einen klaren, realistischen Fahrplan abzuleiten – ohne Alarmismus, aber mit dem nötigen Ernst für die Themen, die wirklich relevant sind.
