Recht
EU AI Act im Mittelstand: Was für KI im Büro wirklich gilt
Der EU AI Act klingt nach Bürokratiemonster. Für die meisten KI-Anwendungen im Büro sind die Pflichten aber überschaubar. Eine gilt allerdings schon seit Februar 2025.
Wenn wir mit Geschäftsführern über KI sprechen, fällt früher oder später der Satz: „Und dann ist da ja noch dieser AI Act.“ Meist mit einem Unterton, der irgendwo zwischen Sorge und Resignation liegt.
Die gute Nachricht vorweg: Für die typischen Anwendungen im Mittelstand, also Belege auslesen, E-Mails sortieren, Entwürfe schreiben oder internes Wissen durchsuchen, sind die Pflichten überschaubar. Man sollte sie aber kennen.
Hinweis: Dieser Beitrag ist eine verständliche Einordnung, keine Rechtsberatung. Stand: Oktober 2026.
Das Prinzip: Es kommt auf das Risiko an
Der AI Act (Verordnung (EU) 2024/1689) teilt KI-Anwendungen nach ihrem Risiko ein. Je höher das Risiko für Menschen, desto strenger die Regeln.
| Risikoklasse | Beispiele | Was gilt |
|---|---|---|
| Verboten | Social Scoring, Emotionserkennung am Arbeitsplatz, manipulative Systeme | Seit Februar 2025 untersagt |
| Hochrisiko | KI zur Bewerberauswahl oder Leistungsbewertung von Mitarbeitern, Kreditwürdigkeitsprüfung, Sicherheitsbauteile von Maschinen | Umfangreiche Pflichten: Risikomanagement, Dokumentation, menschliche Aufsicht |
| Begrenztes Risiko | Chatbots, KI-generierte Texte und Bilder | Transparenzpflichten |
| Geringes Risiko | Belege auslesen, E-Mails sortieren, Wissenssuche, Berichte | Keine besonderen Pflichten außer KI-Kompetenz |
Die meisten Automatisierungen im Büro, die wir in acht Anwendungsbeispielen beschrieben haben, fallen in die unterste Klasse.
Die Pflicht, die schon gilt: KI-Kompetenz
Seit dem 2. Februar 2025 verlangt Artikel 4 des AI Act, dass Unternehmen, die KI einsetzen, für ausreichende KI-Kompetenz ihres Personals sorgen. Das gilt unabhängig von der Risikoklasse, also auch dann, wenn Ihre Mitarbeiter „nur“ ChatGPT oder Copilot nutzen.
Was das konkret heißt, lässt der Gesetzestext offen. Ein vernünftiger Mindeststandard:
- Die Mitarbeiter, die mit KI arbeiten, wissen, was das System kann und wo es Fehler macht.
- Sie wissen, welche Daten sie eingeben dürfen und welche nicht.
- Sie wissen, dass KI-Ergebnisse geprüft werden müssen, bevor sie verwendet werden.
- Es gibt eine kurze Dokumentation, welche KI-Systeme wofür eingesetzt werden und wer geschult wurde.
Bei unseren Einführungen gehört die Schulung der Menschen, die mit dem System arbeiten, deshalb immer dazu. Nicht als Pflichtübung, sondern weil eine Automatisierung nur funktioniert, wenn die Leute ihr vertrauen und wissen, wann sie eingreifen müssen.
Transparenz: Wann Sie KI kennzeichnen müssen
Seit August 2026 gelten die Transparenzpflichten aus Artikel 50. Für den Mittelstand relevant:
- Chatbots auf Ihrer Website oder im Kundenservice müssen erkennbar machen, dass der Kunde mit einer KI spricht.
- KI-generierte Inhalte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, müssen als solche gekennzeichnet werden.
Ein interner Assistent, der Ihren Technikern Wartungsprotokolle heraussucht, oder ein System, das Rechnungen ausliest, ist davon nicht betroffen.
Hochrisiko: Wo Sie genauer hinschauen sollten
Zwei Bereiche betreffen auch mittelständische Unternehmen häufiger, als man denkt:
- Personal: KI, die Bewerbungen filtert, Kandidaten bewertet oder über Beförderungen mitentscheidet, gilt als Hochrisiko. Unser Rat: KI kann Bewerbungen sammeln, Eingänge bestätigen und Termine vorschlagen. Die Auswahl trifft ein Mensch.
- Maschinen und Produkte: Wer KI als Sicherheitsbauteil in eigene Produkte einbaut, fällt unter die Regeln für Hochrisiko-Systeme in regulierten Produkten.
Die Pflichten für Hochrisiko-Systeme sollten ursprünglich ab August 2026 gelten. Im Mai 2026 haben sich Rat und Parlament im Rahmen des sogenannten Digital Omnibus auf eine Verschiebung geeinigt: auf Dezember 2027 für eigenständige Hochrisiko-Systeme und auf August 2028 für KI in regulierten Produkten. Prüfen Sie vor einer Entscheidung den aktuellen Stand, denn an den Inhalten der Pflichten ändert die Verschiebung nichts.
Fünf praktische Schritte
- Bestandsaufnahme: Welche KI-Systeme nutzen Sie heute? Auch die, die Mitarbeiter auf eigene Faust verwenden.
- Einordnen: Fällt eines davon in eine höhere Risikoklasse? In den meisten Fällen nicht.
- Regeln aufschreiben: Welche Daten dürfen in welches System? Eine Seite reicht.
- Schulen: Kurz, praktisch, mit Beispielen aus Ihrem Betrieb. Und dokumentieren.
- Menschen im Ablauf lassen: Bei allem, was nach außen geht oder Geld bewegt, prüft ein Mensch. Das ist nicht nur rechtlich sauber, sondern auch einfach vernünftig.
Fazit
Der AI Act ist kein Grund, auf KI zu verzichten. Für die Automatisierung typischer Büroabläufe bedeutet er vor allem: Leute schulen, Einsatz dokumentieren, Menschen bei wichtigen Entscheidungen im Ablauf lassen. Das sind Dinge, die eine gute Einführung ohnehin enthält.
Wenn Sie wissen möchten, wie das bei einem konkreten Ablauf in Ihrem Betrieb aussehen würde, sprechen Sie uns an.