Ab 2. August 2026 gelten neue Transparenzpflichten nach EU AI Act. Viele Mittelständler wissen noch nicht, welche Pflichten sie konkret treffen – und warum das ein Problem ist.
Lange galt der EU AI Act als abstraktes Zukunftsthema. Damit ist es vorbei. Die Verordnung ist seit August 2024 in Kraft, erste Pflichten – darunter das Verbot bestimmter KI-Praktiken und die Pflicht zur KI-Kompetenz – gelten bereits seit Februar 2025. Jetzt rückt der nächste Meilenstein näher: Ab 2. August 2026 treten die Transparenzpflichten nach Artikel 50 in Kraft. Wer jetzt noch im Modus »Vorbereitung« ist, hat bereits wertvolle Zeit verloren.
Für viele Unternehmen im Mittelstand stellt sich dabei eine grundlegende Frage – und die wird erschreckend selten gestellt: Welche Rolle spielen wir im Sinne des AI Acts überhaupt?
Anbieter, Integrator oder Betreiber – drei Rollen, drei Pflichtenkataloge
Der EU AI Act unterscheidet klar zwischen verschiedenen Akteuren. Ein Unternehmen, das ein KI-System selbst entwickelt, ist Anbieter und trägt die umfangreichsten Pflichten. Ein Unternehmen, das ein fremdes Modell in das eigene Produkt oder die eigene Dienstleistung integriert, kann unter bestimmten Voraussetzungen ebenfalls in die Anbieterrolle rutschen – auch ohne eigene Modellentwicklung. Und wer lediglich einen externen KI-Dienst nutzt, etwa ein Analyse-Tool oder einen KI-Chatbot, ist in der Regel Betreiber (im AI-Act-Englisch: Deployer) mit einem anderen, aber keineswegs leeren Pflichtenkatalog.
Diese drei Positionen sind nicht akademisch. Sie entscheiden darüber, welche Dokumentationspflichten, welche Risikobewertungen und welche Nachweispflichten auf Ihr Unternehmen zukommen. Wer seine Rolle nicht kennt, kann seine Pflichten nicht erfüllen – und haftet dennoch.
🔥 Was ab August 2026 konkret gilt
Ab dem 2. August 2026 müssen Nutzer erkennen können, ob sie mit einem KI-System interagieren oder ob Inhalte KI-generiert sind. Das betrifft zum Beispiel:
- KI-gestützte Chatbots und virtuelle Assistenten, die im Kundenkontakt eingesetzt werden
- KI-generierte Texte, Bilder oder Videos, die als solche erkennbar sein müssen – insbesondere Deepfakes
- Automatisierte Kommunikation, bei der Nutzer möglicherweise eine menschliche Interaktion erwarten
Diese Transparenzpflichten gelten für Anbieter und Betreiber gleichermaßen – mit je unterschiedlicher Ausgestaltung. Wer im Kundenkontakt KI einsetzt und heute noch keine Kennzeichnungsstrategie hat, sollte jetzt handeln.
Gleichzeitig beginnt ab August 2026 die Durchsetzung der EU-Kommission gegenüber Anbietern sogenannter GPAI-Modelle (General Purpose AI). Die großen KI-Plattformen, auf die viele Mittelständler aufbauen, stehen damit unter verschärfter Aufsicht – was indirekt auch deren Kunden betrifft.
Ein unterzeichneter Kodex schützt Sie nicht
Ein verbreitetes Missverständnis: Wer einen Verhaltenskodex unterzeichnet oder die Nutzungsbedingungen eines KI-Anbieters akzeptiert hat, glaubt manchmal, damit sei die Compliance-Frage erledigt. Das stimmt nicht.
Der AI Act verlangt nachweisbare Compliance – keine Lippenbekenntnisse. Das bedeutet konkret: eigene Dokumentation, eigene Risikobewertung, eigene Nachweise. Behörden prüfen nicht, ob Sie etwas unterschrieben haben, sondern ob Sie die Anforderungen tatsächlich erfüllen und belegen können.
Besonders wichtig: Wenn Sie ein fremdes KI-System in Ihr Produkt integrieren, können Anbieter-Pflichten auf Sie übergehen – unabhängig davon, ob Ihnen das bewusst ist. Die Unkenntnis der eigenen Rolle ist kein Schutzargument.
💡 In drei Schritten zur Rollenklarheit
Die gute Nachricht: Das Fundament einer soliden AI-Act-Compliance lässt sich strukturiert aufbauen. Drei Schritte haben sich in der Praxis bewährt:
Schritt 1: Rolle klären. Gehen Sie für jedes KI-System, das Ihr Unternehmen entwickelt, integriert oder nutzt, die zentrale Frage durch – Anbieter, Integrator oder Betreiber? Diese Einordnung ist der Ausgangspunkt für alles weitere.
Schritt 2: Pflichtenmatrix erstellen. Für jedes System ergibt sich aus der Rolle und dem Einsatzzweck ein spezifischer Pflichtenkatalog. Welche Dokumentation ist erforderlich? Ist menschliche Aufsicht vorgesehen? Gibt es Transparenzpflichten gegenüber Nutzern? Fällt das System möglicherweise unter eine Hochrisiko-Kategorie?
Schritt 3: Compliance-Informationen von Anbietern einfordern. Verlangen Sie schriftlich, welche Risikoklasse der Anbieter für sein System annimmt und welche Pflichten er Ihnen als Betreiber zuweist. Wer hier keine klare Antwort bekommt, hat ein Problem – und sollte das in seiner eigenen Risikobewertung dokumentieren.
Hochrisiko oder nicht? Ein Beispiel aus der Praxis
Nehmen wir ein konkretes Beispiel: KI im Bewerbungsprozess. Systeme zur Kandidatenbewertung können nach Anhang III des AI Acts als Hochrisiko eingestuft werden. Ob das für Ihr System tatsächlich gilt, hängt jedoch vom konkreten Einsatzzweck ab – nicht automatisch von der Softwarekategorie.
👉 Ein Tool, das Lebensläufe rein administrativ sortiert, ist etwas anderes als ein System, das eigenständig Kandidaten bewertet und Auswahlentscheidungen beeinflusst. Diese Unterscheidung zu treffen, ist Ihre Aufgabe – nicht die des Anbieters.
Falls Hochrisiko-Pflichten greifen, sind die inhaltlichen Anforderungen (Artikel 6–27) klar definiert. Dazu gehören unter anderem: Nutzung gemäß Gebrauchsanweisung, qualifizierte menschliche Aufsicht und Protokollierung des Betriebs. Die gute Nachricht: Die Anwendungspflichten für Hochrisiko-Systeme nach Anhang III wurden durch den Digital Omnibus auf den 2. Dezember 2027 verschoben – das gibt realistisch gesinnten Unternehmen Zeit für geordnete Vorbereitung.
Bußgelder: Differenziert, nicht pauschal
Zur Einordnung des Risikos: Das Bußgeldsystem des AI Acts ist dreistufig. Verstöße gegen die Verbote nach Artikel 5 – etwa Social Scoring oder manipulative KI-Praktiken – können mit bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden. Sonstige Pflichtverletzungen für Anbieter und Betreiber liegen bei bis zu 15 Millionen Euro oder 3 Prozent. Falsche Auskünfte gegenüber Behörden können mit bis zu 7,5 Millionen Euro oder 1 Prozent belegt werden. Für KMU gilt jeweils der niedrigere der beiden Werte.
Das bedeutet: Nicht jeder Verstoß kostet automatisch Millionen. Aber das Risiko ist real – und die Behörden beginnen, es ernst zu nehmen.
Fazit: Klarheit statt Ahnung
Der EU AI Act ist kein Entwurf mehr. Er wird vollzogen. Und er unterscheidet nicht zwischen Unternehmen, die ihre Pflichten kannten, und solchen, die es nicht taten.
Die entscheidende Investition ist nicht teuer, aber sie muss jetzt erfolgen: Kennen Sie Ihre Rolle. Dokumentieren Sie Ihre Systeme. Fordern Sie Klarheit von Ihren Anbietern.
Wenn Sie nicht sicher sind, welche Rolle Ihr Unternehmen im Sinne des AI Acts einnimmt – oder wenn Sie wissen wollen, was das konkret für Ihre KI-Systeme bedeutet – unterstütze ich Sie dabei. KI Strategium begleitet Mittelständler bei der Rollenklärung, der Pflichtenmatrix und dem Gespräch mit KI-Anbietern. Ein erstes Gespräch genügt oft, um Klarheit zu schaffen. Ferner bieten wir mit dem KI‑Tool „Das Vigilarium“ als Wächter der EU‑Verordnung und dem analog gehaltenen Compliance‑Ordner in stabiler Ringbuchausführung zum EU‑EI‑Act und zur Dokumentation, die passenden Tools an.
