EU AI Act für EPU und KMU: Das gilt 2026 wirklich.
Der EU AI Act 2026 kompakt: Wer betroffen ist, welche Fristen bis 2028 gelten und wie hoch Bußgelder wirklich ausfallen. Praxisleitfaden für EPU und KMU.
Du liest seit Wochen widersprüchliche Schlagzeilen zum EU AI Act. Die einen schreiben von 35 Millionen Euro Strafe, die anderen sagen, alles sei ohnehin auf 2027 verschoben. Beides stimmt so nicht. Ich bin KI-Beauftragter nach ISO 42001 und habe den EU AI Act Practitioner Kurs absolviert, seit 1989 arbeite ich in der Kommunikationsbranche und seit Jahren berate ich EPU und KMU in der DACH-Region genau zu diesen Fragen. Auf dieser Seite bekommst du die aktuelle Rechtslage, Stand August 2026, ohne Panikmache und ohne Verharmlosung. Du weißt danach, ob und wie du betroffen bist, welche Fristen noch kommen und was du diese Woche konkret erledigen kannst.
Ein Satz vorweg, weil er die häufigste Fehlannahme auflöst: Der EU AI Act trifft dich auch dann, wenn du nur ChatGPT, Claude oder Gemini im Arbeitsalltag nutzt. Es gibt keine Ausnahme für Einzelunternehmen und keine Ausnahme, weil ein Tool kostenlos ist.
Kurz erklärt: Die Begriffe, die in jedem Absatz auftauchen
EU AI Act ist die Verordnung (EU) 2024/1689, das erste umfassende KI-Gesetz weltweit, seit 1. August 2024 in Kraft und seither stufenweise in Anwendung. KI-Kompetenz (auch AI Literacy) meint die Pflicht aus Artikel 4, Personal im Umgang mit KI-Systemen zu schulen. Hochrisiko-KI sind Systeme mit direktem Einfluss auf Menschen, etwa bei Bewerbungsauswahl oder Kreditvergabe. Digital Omnibus ist das im Juli 2026 in Kraft getretene Reformpaket der EU-Kommission, das mehrere Fristen verschoben hat. Betreiber ist im Sinn des Gesetzes jeder, der ein KI-System in eigener Verantwortung nutzt, unabhängig davon, ob er es gekauft, gemietet oder kostenlos bezogen hat.
Bist du vom EU AI Act überhaupt betroffen?
Die kurze Antwort: wahrscheinlich ja, aber weniger stark, als du fürchtest. Der AI Act unterscheidet nach Risikoklassen, nicht nach Unternehmensgröße. Wer als EPU oder KMU fertige Tools wie ChatGPT oder Copilot für Texte, Recherche oder Kundenkommunikation nutzt, bewegt sich fast immer im Bereich minimales bis begrenztes Risiko. Wer einen Chatbot auf der eigenen Website betreibt oder KI-generierte Inhalte veröffentlicht, fällt zusätzlich unter die Transparenzpflichten aus Artikel 50. Nur wer KI für automatisierte Bewerbungsauswahl, Kreditscoring oder ähnlich sensible Entscheidungen einsetzt, landet in der Hochrisiko-Kategorie mit deutlich höherem Aufwand. Ich hab diese Einordnung nach Tools und Anwendungsfällen einmal komplett durchgerechnet: EU AI Act 2026, was KMU jetzt wissen müssen.
Welche Fristen gelten jetzt wirklich?
Hier herrscht die größte Verwirrung, weil der Digital Omnibus mitten in die heiße Phase geplatzt ist. Die Verordnung (EU) 2026/1744 ist am 27. Juli 2026 in Kraft getreten und hat das Fristengerüst neu geordnet. Was bleibt: Die Transparenzpflichten aus Artikel 50, also Chatbot-Kennzeichnung und die Offenlegung von KI-generierten Inhalten, gelten unverändert seit 2. August 2026. Was sich verschiebt: Die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III, etwa in Bildung, Beschäftigung oder kritischer Infrastruktur, rutschen von 2. August 2026 auf 2. Dezember 2027.
Für Hochrisiko-KI, die in regulierte Produkte eingebettet ist, also Anhang I, gilt neu der 2. August 2028. Der Grund ist unbequem, aber ehrlich: Die technischen Normen von CEN und CENELEC, an denen sich die Umsetzung orientieren sollte, waren zum ursprünglichen Stichtag schlicht nicht fertig. Wie sich das konkret auf die sechs Pflichten auswirkt, die gerade überall kursieren, hab ich hier Punkt für Punkt durchgegangen: EU AI Act, was am 2. August 2026 wirklich gilt. Den vollständigen Verordnungstext samt aller Fristen findest du im konsolidierten AI Act bei EUR-Lex.
Was verlangt Artikel 4 wirklich von dir?
Artikel 4 gilt bereits seit 2. Februar 2025 und verpflichtet Anbieter und Betreiber, die KI-Kompetenz ihres Personals zu fördern. Wichtig ist die Präzisierung, die der Digital Omnibus im Juli 2026 eingeführt hat: Die Pflicht wurde von einem strikten Sicherstellen zu einem Fördern und Unterstützen abgeschwächt. Niemand muss mehr garantieren, dass jede einzelne Person ein bestimmtes Kompetenzniveau erreicht. Das ändert aber nichts an der Grundpflicht selbst, und zivilrechtlich bleibt die Sorgfaltspflicht bestehen: Wenn ungeschultes Personal über ein KI-Tool Schaden verursacht, ist eine fehlende Schulung im Streitfall ein Problem.
Ein bestimmtes Schulungsformat schreibt das Gesetz nicht vor, das bestätigt auch die KI-Servicestelle der RTR in ihren Erläuterungen zu Artikel 4. Entscheidend ist die Dokumentation: wer wurde wann zu welchem Inhalt geschult. Was das in der Praxis konkret bedeutet, hab ich ausführlich aufgeschlüsselt: Artikel 4 AI Act, warum KI-Kompetenz deine unternehmerische Pflicht ist.
Wie hoch sind die Bußgelder wirklich?
Hier kursiert die hartnäckigste Falschmeldung: 35 Millionen Euro Strafe für fehlende Mitarbeiterschulung. Das stimmt nicht. Der AI Act sieht für Verstöße gegen Artikel 4 selbst keine verwaltungsstrafrechtliche Sanktion vor. Der Rahmen von 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes gilt ausschließlich für verbotene Praktiken nach Artikel 5. Die Zahl, die für die meisten Betriebe tatsächlich relevant ist, liegt eine Stufe darunter: bis zu 15 Millionen Euro oder 3 Prozent, unter anderem für Verstöße gegen die Transparenzpflichten aus Artikel 50. Für kleine und mittlere Unternehmen gilt dabei immer der niedrigere der beiden Beträge, für alle anderen der höhere. Ich sag das bewusst so deutlich, weil ich in Beratungsgesprächen ständig auf verunsicherte Unternehmerinnen und Unternehmer treffe, die mit der falschen Zahl im Kopf herumlaufen.
Reicht eine ISO 42001 Zertifizierung als Nachweis?
Nein, zumindest nicht im rechtlichen Sinn. ISO/IEC 42001 ist keine harmonisierte Norm im Sinn des AI Act, eine Konformitätsvermutung entsteht ausschließlich aus Normen, deren Fundstellen im Amtsblatt der EU veröffentlicht sind. Die dafür zuständige Norm, EN 18286, wurde zwar im Juli 2026 final verabschiedet, die Amtsblatt-Listung steht aber noch aus. Trotzdem ist ISO 42001 aus meiner Sicht sinnvoll, weil sie genau die Struktur liefert, die du für Risikomanagement und Dokumentation ohnehin brauchst. Ich bin selbst seit April 2025 nach ISO 42001 zertifiziert und beschreibe hier, wofür der Standard wirklich taugt: ISO 42001 Zertifizierung, mehr als nur ein Stempel.
Was du diese Woche konkret tun solltest
Vier Schritte, die zusammen kaum mehr als ein paar Stunden brauchen.
- Erstens: eine KI-Inventur, also eine einfache Liste, welche Tools mit KI-Funktion in deinem Betrieb tatsächlich im Einsatz sind.
- Zweitens: einen dokumentierten Schulungsnachweis für dich und dein Team, Datum und Inhalt reichen als Minimum.
- Drittens: eine Prüfung deiner Website auf Chatbot-Kennzeichnung und KI-Content-Labeling.
- Viertens: eine ehrliche Einschätzung, ob eines deiner Tools tatsächlich in Richtung Hochrisiko geht, was bei reiner Text- und Bildgenerierung fast nie der Fall ist.
Häufig gestellte Fragen zum EU AI Act
Häufig gestellte Fragen
Fragen zum EU AI Act
Muss ich als Einzelunternehmer den EU AI Act beachten?
Ja. Der AI Act kennt keine Ausnahme für EPU. Entscheidend ist nicht die Unternehmensgröße, sondern welche KI-Systeme du einsetzt und in welcher Risikoklasse sie liegen. Für die meisten EPU bleibt der Aufwand aber überschaubar.
Drohen wirklich 35 Millionen Euro Strafe, wenn ich meine Mitarbeiter nicht schule?
Nein. Dieser Betrag gilt ausschließlich für verbotene KI-Praktiken nach Artikel 5. Für Verstöße gegen die Transparenzpflichten aus Artikel 50 liegt der Rahmen bei bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes, für KMU jeweils der niedrigere Betrag.
Reicht ChatGPT-Nutzung, um vom AI Act betroffen zu sein?
Ja, du giltst dabei als Betreiber im Sinn der Verordnung. Die konkreten Pflichten hängen davon ab, wofür du das Tool einsetzt. Reine Textarbeit ohne Kundenkontakt bewegt sich meist im risikoarmen Bereich.
Was passiert am 2. Dezember 2027 und am 2. August 2028?
Das sind die neuen Fristen für Hochrisiko-KI-Systeme, die der Digital Omnibus im Juli 2026 festgelegt hat. Anhang-III-Systeme wie HR-Software oder Kreditscoring müssen bis Dezember 2027 vollständig konform sein, in Produkte eingebettete Hochrisiko-KI wie in Medizingeräten oder Maschinen bis August 2028.
Wenn du deinem Team einen dokumentierten Nachweis nach Artikel 4 geben willst, ohne Konzernaufwand, hab ich dafür einen kostenlosen Kurs mit Zertifikat gebaut: AI Literacy Kurs auf digitalhandwerk.rocks.