AI Act im Mittelstand: Warum die Umsetzung oft noch stockt

Das Wichtigste in Kürze

Seit dem 2. August 2026 gelten die Transparenzpflichten des Artikels 50 EU AI Act für bestimmte KI-Einsatzfälle. In vielen Beratungsgesprächen zeigt sich: Nicht fehlender Wille ist das Hauptproblem, sondern fehlende Einordnung. Unternehmen wissen häufig nicht, welche Rolle sie einnehmen, welche Systeme tatsächlich im Einsatz sind und wann aus einer KI-Nutzung eine konkrete Transparenzpflicht entsteht.

Nicht jede interne Nutzung eines Textassistenten ist automatisch kennzeichnungspflichtig. Relevant können jedoch unter anderem kundennahe Chatbots, Systeme zur Emotionserkennung oder biometrischen Kategorisierung, Deepfakes sowie bestimmte automatisiert veröffentlichte KI-Texte sein. Wer diese Fälle strukturiert erfasst und Verantwortlichkeiten klärt, schafft eine belastbare Grundlage für die weitere Umsetzung.

Warum die Umsetzung häufig stockt

Die AI-Act-Umsetzung scheitert in kleinen und mittleren Unternehmen selten an einer einzigen großen Hürde. Häufig treffen mehrere Unsicherheiten zusammen: unklare Begriffe, verteilte Verantwortung, eine unübersichtliche Tool-Landschaft und die Sorge vor unverhältnismäßigem Dokumentationsaufwand. Das Ergebnis ist häufig Aufschub, obwohl ein sinnvoller Einstieg klein beginnen kann.

1. Rollen und Pflichten werden verwechselt

Der EU AI Act unterscheidet je nach Einsatzfall unter anderem zwischen Anbietern und Betreibern von KI-Systemen. Diese Rollen werden in der Praxis oft mit der allgemeinen Frage „Wir nutzen KI” vermischt. Für die Umsetzung ist jedoch nicht allein entscheidend, ob ein Unternehmen ein Tool verwendet. Relevant sind auch Systemtyp, Zweck, betroffene Personen und Ausgabekanal.

Ein Unternehmen, das ein externes Tool im eigenen Arbeitsablauf einsetzt, kann je nach Kontext als Betreiber handeln. Es ist aber nicht automatisch für jede Pflicht verantwortlich, die den Anbieter eines KI-Systems trifft. Die Rollenklärung ist deshalb der erste Schritt zu einer angemessenen Umsetzung.

2. Unterschiedliche Einsatzfälle werden gleich behandelt

Eine interne Textassistenz, ein Website-Chatbot und ein realistisch wirkendes KI-Video sind keine Varianten desselben Compliance-Falls. Artikel 50 betrifft bestimmte Transparenzsituationen. Dazu gehören insbesondere die Interaktion von Personen mit KI-Systemen, Emotionserkennung oder biometrische Kategorisierung, Deepfakes sowie unter bestimmten Voraussetzungen automatisiert veröffentlichte KI-Texte zu Themen von öffentlichem Interesse.

Die praktische Frage lautet daher nicht: „Müssen wir alles kennzeichnen?” Sie lautet: „Bei welchem Einsatzfall müssen betroffene Personen erkennen können, dass KI eingesetzt wird, und wie stellen wir diese Information verständlich bereit?”

3. Verantwortung verteilt sich zwischen Abteilungen

KI-Einsatz entsteht oft dezentral: Marketing testet einen Textassistenten, Vertrieb nutzt Gesprächszusammenfassungen, Kundenservice setzt einen Chatbot ein und IT aktiviert KI-Funktionen in bestehender Software. Ohne eine zentrale Mindestübersicht bleibt unklar, wer Zweck, Datenbezug, Veröffentlichung und Transparenzmaßnahmen bewertet.

Es braucht dafür nicht zwingend ein neues Großprojekt. Sinnvoll ist eine klar benannte Koordination, die Fachbereiche, IT, Datenschutz, Informationssicherheit und Geschäftsführung verbindet. Je nach Unternehmensgröße kann dies eine einzelne verantwortliche Person oder ein kleines interdisziplinäres Team sein.

4. Unternehmen beginnen bei Dokumenten statt bei Prioritäten

Ein umfangreiches Compliance-Handbuch zu erstellen, bevor die relevanten Systeme überhaupt bekannt sind, führt oft zu unnötiger Komplexität. Ein besserer Einstieg priorisiert sichtbare und sensible Einsatzfälle: Systeme mit Kunden-, Bewerber-, Beschäftigten- oder Öffentlichkeitskontakt, automatisierte Veröffentlichungen, realistisch wirkende Medieninhalte und Anwendungen mit biometrischem Bezug.

Erst nach dieser Priorisierung lohnt sich die vertiefte Prüfung einzelner Pflichten, Freigaben und Nachweise. So entsteht ein angemessener Prozess statt einer Dokumentation ohne Bezug zur tatsächlichen Nutzung.

Was seit August 2026 gilt

Artikel 50 EU AI Act gilt seit dem 2. August 2026. Er soll Transparenz darüber schaffen, wann Personen mit KI interagieren oder KI-generierten beziehungsweise manipulierten Inhalten ausgesetzt sind. Die Pflichten greifen nicht pauschal bei jeder Nutzung generativer KI, sondern in den jeweils beschriebenen Konstellationen.

• Bei direkt interagierenden KI-Systemen, etwa Chatbots oder Voicebots, muss für Personen grundsätzlich erkennbar sein, dass sie mit KI interagieren, sofern dies nicht offensichtlich ist.

• Bei Emotionserkennung oder biometrischer Kategorisierung müssen betroffene Personen informiert werden, wenn sie dem System ausgesetzt sind.

• Bei Deepfakes können Transparenzpflichten gelten, wenn künstlich erzeugte oder manipulierte Bild-, Ton- oder Videoinhalte wie authentische Inhalte erscheinen.

• Bei bestimmten KI-generierten Texten kann eine Transparenzpflicht bestehen, wenn sie zu Themen von öffentlichem Interesse automatisiert veröffentlicht werden und keine menschliche Überprüfung oder redaktionelle Kontrolle erfolgt.

Für die konkrete Einordnung sind die jeweils geltenden Leitlinien, die Rolle des Unternehmens und der konkrete Einsatzkontext maßgeblich. Komplexe, sensible oder personenbezogene Anwendungen sollten rechtlich vertieft geprüft werden.

Aufsicht und Umsetzung in Deutschland

Die Aufsicht über den AI Act wird auf europäischer und nationaler Ebene organisiert. Das deutsche KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG, trat am 29. Juli 2026 in Kraft. Die Bundesnetzagentur übernimmt darin eine zentrale Rolle in der Marktüberwachung, als zentraler Ansprechpartner und als Beschwerdestelle. Je nach Einsatzbereich können weitere zuständige Stellen beteiligt sein.

Für Unternehmen ist es nicht sinnvoll, die eigene Umsetzung allein an erwarteten Prüfungsintensitäten auszurichten. Beschwerden, Rückfragen von Betroffenen oder Anforderungen von Kunden und Auftraggebern können konkrete Anlässe sein, die KI-Nutzung nachvollziehbar erklären zu müssen. Eine schlanke, belastbare Dokumentation hilft dabei unabhängig von der späteren Vollzugspraxis.

Priorisieren statt Panik: der pragmatische Einstieg

Schritt 1: sichtbare und sensible Einsatzfälle erfassen

Erfassen Sie zunächst KI-Systeme mit Kunden-, Bewerber-, Beschäftigten- oder Öffentlichkeitskontakt. Dazu gehören etwa Website-Chatbots, Voicebots, automatisch veröffentlichte Inhalte, realistisch wirkende Bild-, Video- oder Audioinhalte sowie Systeme mit biometrischem Bezug. Berücksichtigen Sie auch KI-Funktionen in bereits vorhandenen Softwarelösungen.

Schritt 2: Rolle und Transparenzmaßnahme bestimmen

Prüfen Sie für jeden priorisierten Fall: Welche Rolle nimmt das Unternehmen ein? Wer ist betroffen? Welche Information oder Kennzeichnung kann erforderlich sein? Wer gibt die Maßnahme frei, und wer aktualisiert sie bei Änderungen am System oder Prozess?

Schritt 3: Entscheidungen schlank dokumentieren

Ein KI-Register mit System, Zweck, verantwortlicher Stelle, betroffener Personengruppe, Ausgabekanal und umgesetzter Maßnahme schafft Nachvollziehbarkeit. Es ersetzt keine Rechtsprüfung, ermöglicht aber eine strukturierte Antwort auf Fragen von Kunden, Betroffenen oder zuständigen Stellen.

Schritt 4: Governance schrittweise erweitern

Auf Basis der priorisierten Fälle können Unternehmen weitere Bausteine ergänzen: interne Leitlinien, Freigabeprozesse, Schulungen, Datenschutz- und Sicherheitsprüfungen sowie Regeln für den Umgang mit vertraulichen Informationen. Der Umfang sollte zum Risiko, zur Anzahl der Systeme und zur Unternehmensgröße passen.

KI-Governance als Vertrauensbasis

Nachvollziehbare KI-Governance ist nicht nur eine Reaktion auf Regulierung. Sie kann Vertrauen unterstützen, wenn Kunden, Beschäftigte oder Geschäftspartner nach dem KI-Einsatz, menschlicher Kontrolle oder dem Umgang mit Daten fragen. Ein gut geführtes KI-Register und verständliche Transparenzhinweise sind dabei keine Marketingtrophäen, sondern praktische Bausteine einer verantwortlichen Einführung.

Ob daraus ein Wettbewerbsvorteil entsteht, hängt vom Markt und den Anforderungen der jeweiligen Kunden ab. In Ausschreibungen, sensiblen Lieferketten oder bei öffentlichen und regulierten Auftraggebern kann eine nachvollziehbare Antwort auf KI-Governance-Fragen jedoch ein relevanter Unterschied sein.

Häufige Fragen

Muss jedes Unternehmen, das KI nutzt, sofort alle Inhalte kennzeichnen?

Nein. Artikel 50 verlangt keine pauschale Kennzeichnung jeder KI-Nutzung oder jedes KI-gestützten Inhalts. Entscheidend sind Rolle, System und Einsatzfall. Besonders relevant sind direkte KI-Interaktionen, Emotionserkennung oder biometrische Kategorisierung, Deepfakes und bestimmte automatisiert veröffentlichte KI-Texte.

Welche Rolle hat die Bundesnetzagentur?

Das KI-MIG trat am 29. Juli 2026 in Kraft. Die Bundesnetzagentur hat eine zentrale Rolle in der deutschen Marktüberwachung, ist zentraler Ansprechpartner und Beschwerdestelle. Abhängig vom Einsatzbereich können weitere Stellen zuständig oder beteiligt sein.

Sollten wir erst abwarten, bis die Vollzugspraxis klarer ist?

Die praktische Vollzugspraxis wird sich weiter entwickeln. Warten löst aber nicht das interne Grundproblem: Ohne Übersicht über Systeme, Zwecke und Verantwortlichkeiten lassen sich weder Transparenzpflichten noch Kunden- oder Betroffenenfragen verlässlich einordnen. Ein risikobasierter Einstieg ist deshalb sinnvoll.

Wie aufwendig ist ein erster KI-Compliance-Check?

Bei überschaubarer KI-Nutzung lässt sich eine erste Bestandsaufnahme zügig beginnen. Der tatsächliche Aufwand hängt aber von Zahl, Komplexität, Datenbezug und Öffentlichkeit der Systeme ab. Komplexe oder besonders sensible Anwendungen benötigen regelmäßig mehr Zeit und gegebenenfalls spezialisierte Beratung.

Ist ein KI-Register bereits ausreichende Compliance?

Nein. Ein Register ist ein Organisations- und Nachweisinstrument, keine vollständige Rechtsprüfung. Es schafft jedoch Transparenz über die eigenen Einsatzfälle und ist eine gute Grundlage, um notwendige Maßnahmen, Verantwortlichkeiten und Schulungen gezielt aufzubauen.

Weiterlesen

• EU AI Act nach dem Stichtag: Was seit dem 2. August 2026 gilt

• EU AI Act für KMU: Der Compliance-Guide

• Artikel 50 Transparenzpflichten: Die Checkliste

• KI-Kennzeichnung im Marketing: Einsatzfälle richtig einordnen

• KI-Governance im Unternehmen: Register, Rollen und Freigaben

Redaktioneller Hinweis

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Die Anwendung des EU AI Act hängt von Rolle, System, Einsatzkontext und weiteren Rechtsgebieten ab. Bei komplexen, hochsensiblen oder personenbezogenen KI-Anwendungen sollte eine qualifizierte rechtliche Beratung eingeholt werden.