EU AI Act für KMU (2025): einfacher Fahrplan ohne Mehraufwand

Ich berate Unternehmen, die KI nutzen oder entwickeln. Unten finden Sie einen einfachen Plan, wie sich KMU auf den EU AI Act vorbereiten – ohne Zeit und Geld zu verschwenden.

Warum das wichtig ist

Der EU AI Act ist in Kraft und gilt stufenweise. Wer früh plant, vermeidet Last-Minute-Kosten und hält Projekte im Zeitplan.

Was gilt wann (klare Timeline)

• 2. Feb 2025: Verbotene Praktiken sind untersagt.
• 2. Aug 2025: Regeln für General-Purpose AI (GPAI) und EU-Governance starten.
• 2. Aug 2026: die meisten Pflichten greifen (inkl. Transparenz nach Art. 50 und Hochrisiko-Systeme nach Anhang III).
• 2. Aug 2027: zusätzlicher Zeitraum für Hochrisiko-KI in regulierten Produkten.

Schritt 1 — KI-Nutzung kartieren (30 Minuten)

• Wo nutzen Sie KI? Tools und Anbieter (Chatbots, Scoring, Doku-Analyse, Vision …) aufzählen.
• Wer liefert? Vendor, Open-Source-Modell oder in-house.
• Auswirkung: betrifft es Grundrechte (Einstellung, Kredit, Zugang) oder Sicherheit?

Schritt 2 — Risiko klassifizieren

• Nicht hochriskant: interne Produktivität (Entwürfe, Summaries) – geringeres Risiko; Basis-Transparenz & Aufzeichnungen behalten.
• Hochrisiko (Anhang III): z. B. bestimmte Beschäftigungs-, Kreditwürdigkeits-, Bildungs- oder Versorgungsfälle. Benötigt QM-System, Risikomanagement, Daten-Governance, technische Doku, menschliche Aufsicht, Post-Market-Monitoring und teils Konformitätsbewertung.
• GPAI-Modelle: wer Modelle bereitstellt, hat besondere Pflichten; wer nur nutzt, fokussiert auf Vendor-Zusicherungen und Deploy­er-Pflichten.

Schritt 3 — Transparenz & Inhalte

• KI-Interaktionen: Menschen sollen wissen, wenn sie mit KI interagieren (sofern nicht offensichtlich).
• KI-generierte/-veränderte Inhalte: Workflow zum Kennzeichnen von synthetischen Medien planen. Pflichten phasenweise mit den Transparenzregeln.
• Dokumentation: kurz festhalten: Nutzung, Zweck, Datenquellen, menschliche Prüfung.

Schritt 4 — Vendoren & Verträge (Quick Wins)

• Anfordern: Model Card/Tech Sheet, Trainingsdaten-Info, Limitierungen, Safety-Tests, AI-Act-Roadmap.
• Vertraglich regeln: Info-Pflicht bei Änderungen/Incidents/Nicht-Compliance; Recht auf Audit/Assurance-Berichte; Mitwirkung bei Labels/User-Hinweisen.
• Sicherheit & Datenschutz: mit DSGVO/IS-Kontrollen abgleichen (Zugriff, Aufbewahrung, Logs).

Schritt 5 — Governance für KMU (leichtgewichtig)

• Eine verantwortliche Person: praktikabler KI-Kontakt (z. B. DSB/Compliance).
• Eine Policy-Seite: wer welche Tools nutzen darf, Speicherorte, wann Human-Review nötig ist.
• Training: Kurzbriefing zu zulässiger Nutzung, Bias-Risiken, Eskalation.
• Sandbox & Leitfäden: Reg-Sandboxes und offizielle SME-Guidance prüfen.

Bußgelder (was KMU wissen sollten)

Schwere Verstöße (z. B. verbotene Praktiken) können hohe Bußgelder auslösen. Es gibt Proportionalität für KMU/Start-ups – verlassen Sie sich nicht darauf, beheben Sie Risiken früh.

Häufige Fallstricke

• „Off-the-Shelf ⇒ außerhalb des Scopes“. Auch Deploy­er haben Pflichten (Transparenz, Monitoring, Records).
• Timeline ignoriert. Rückwärts vom Aug 2026 planen; Verbote/Transparenz jetzt angehen.
• Keine Vendor-Nachweise. Verträge ohne Doku-Pflichten erschweren Compliance und Audits.
• Sicherheitslücke. KI-Outputs landen unkontrolliert – einfache Regeln helfen.

Mein 6-Punkte-Starterkit für KMU

1. Inventar der KI-Tools/Use Cases; mögliche Hochrisiko-Fälle markieren.
2. Ein Transparenz-Workflow für KI-Inhalte (Medien/Dokumente/Bilder).
3. KI-Klausel in Vendor-Verträge (Zusicherungen + Meldungen).
4. One-Pager-Policy; kurzes Manager-Training.
5. Bei Hochrisiko: Doku-Paket und Human-Oversight-Plan starten.
6. Quartalsweise Review-Termin für Inventar und Fixes setzen.

FAQs

Wir bauen keine Modelle. Haben wir trotzdem Pflichten?

Ja. Als Deploy­er tragen Sie Transparenz, Aufzeichnungen und sicheren Einsatz. Bei Hochrisiko können zusätzliche Pflichten greifen.

Wann müssen wir KI-Inhalte kennzeichnen?

Workflow jetzt planen. Transparenzpflichten sind Teil der Phase 2026; einige GPAI/Governance-Regeln starten 2025.

Sind Bußgelder für KMU anders?

Bußgelder können hoch sein; es gibt aber Proportionalität. Gute Vorbereitung senkt Risiko und Kosten.

Vereinbaren Sie eine persönliche Beratung. Ich kartiere Ihre Use Cases, entwerfe schlanke Kontrollen, richte Vendor-Verträge aus und lege einen klaren Compliance-Pfad fest.

Offizielle Hinweise

• European Commission — AI Act timeline and overview
• EU AI Act — Implementation timeline (key dates)
• Council of the EU — Final adoption (press release)

Hinweis: Dieser Beitrag ersetzt keine individuelle Rechtsberatung.