EU AI Act für KMU: Was 2026 für KI-Agenten und Automatisierung gilt

Die Frage, die 2026 fast jedes KMU stellt

Seit dem 1. August 2024 ist der EU AI Act in Kraft, das weltweit erste umfassende Gesetz zu Künstlicher Intelligenz. Wer als KMU KI einsetzt oder einsetzen möchte, hört seitdem eine Mischung aus Schlagzeilen: harte Strafen, neue Pflichten, Dokumentationszwang. Kein Wunder, dass viele Geschäftsführer verunsichert sind und ein geplantes Projekt erst einmal auf Eis legen.

Die gute Nachricht: Für die allermeisten KI-Anwendungen im KMU, etwa einen Agenten für Angebote, Dokumentenverarbeitung oder Kundenservice, ist der Aufwand überschaubar. Die Pflichten greifen gestaffelt, und vieles, was 2026 verlangt wird, tut ein sauber aufgesetztes System ohnehin. Dieser Artikel ordnet ein, was 2026 wirklich gilt, welche Risikoklasse dein Fall hat und welche vier Pflichten dich als Betreiber treffen.

Der EU AI Act in einem Satz

Der EU AI Act regelt, wie KI-Systeme in der EU bereitgestellt und genutzt werden dürfen. Er unterscheidet nicht nach der Technik, sondern nach dem Risiko, das eine Anwendung für Menschen hat. Je höher das Risiko, desto strenger die Regeln. Wichtig für dich: Das Gesetz richtet sich in erster Linie an Hersteller und Anbieter von KI-Systemen. Als KMU, das eine fertige Lösung einsetzt, bist du in der Regel Betreiber, nicht Hersteller, und damit treffen dich deutlich weniger Pflichten.

Entscheidend ist also nicht, ob du KI nutzt, sondern was sie tut. Genau daran orientiert sich der ganze Aufwand.

Die vier Risikoklassen, einfach erklärt

Der EU AI Act teilt KI-Anwendungen in vier Stufen ein. Für KMU genügt es, die ersten beiden zu kennen:

• Verbotene Praktiken: Systeme zur Manipulation, soziale Bewertung oder Gesichtserkennung im öffentlichen Raum. Für normale Geschäftsprozesse irrelevant.
• Hohes Risiko: Hier wird es ernst. Dazu zählen unter anderem Systeme zur Auswahl und Bewertung von Bewerbungen, zur Kreditwürdigkeitsprüfung und bestimmte sicherheitsrelevante Anwendungen.
• Begrenztes Risiko: Dazu gehört zum Beispiel ein Chatbot im Kundenservice. Die Hauptpflicht: transparent machen, dass eine KI im Einsatz ist.
• Minimales Risiko: Spamfilter, Standard-Workflows, einfache Automatisierung. Hier greifen kaum zusätzliche Pflichten.

Die gute Nachricht für die meisten KMU: Angebote schreiben, Belege auslesen, Termine planen oder E-Mails vorsortieren fällt in die unteren beiden Klassen. Der Aufwand besteht vor allem darin, den Überblick zu behalten und zu wissen, welcher Ablauf in welche Klasse fällt.

Warum KI-Agenten im Alltag selten Hochrisiko sind

Ein KI-Agent, der Rechnungen liest, Kundenanfragen beantwortet oder Angebotsentwürfe erstellt, ist kein Hochrisikosystem. Er trifft keine Entscheidung über Menschen, er bereitet Arbeit vor, die ein Mensch prüft und freigibt. Genau diese Freigabe ist auch aus Sicht des Gesetzes der entscheidende Punkt: Solange ein Mensch die letzte Instanz bleibt, bewegst du dich in einem Bereich mit überschaubaren Pflichten.

Die überraschende Erkenntnis aus unseren Projekten: Der EU AI Act verlangt bei diesen Anwendungen fast nichts, was ein ordentlich aufgesetztes System nicht sowieso mitbringt. Protokollierung, begrenzte Rechte, ein Mensch bei Zweifelsfällen - das sind ohnehin die Grundlagen einer guten Automatisierung. Wer sauber baut, erfüllt den Kern der Anforderungen fast nebenbei. Wie wir solche Systeme aufsetzen, zeigen wir auf der Leistungsseite.

Was 2026 konkret gilt

Der EU AI Act wurde bewusst gestaffelt eingeführt, damit Unternehmen Zeit haben. Der Zeitplan sieht so aus:

• August 2024: Das Gesetz tritt in Kraft. Die Verbote für unzulässige Praktiken gelten.
• Februar 2025: Die Regelungen zu verbotenen Praktiken und zur KI-Kompetenz der Mitarbeiter werden anwendbar.
• August 2026: Die Pflichten für Hochrisikosysteme und die wichtigsten Transparenzpflichten greifen voll.
• August 2027: Die Regelungen für KI in bereits regulierten Produkten kommen hinzu.

Für 2026 heißt das: Wenn du ein KI-System in einem sensiblen Bereich einsetzt, etwa im Recruiting oder in der Kreditvergabe, musst du dich jetzt damit befassen. Für die übrigen Automatisierungen im Alltag gilt vor allem die Transparenzpflicht und die Pflicht, dass dein Team weiß, wie es mit KI umgeht. Das reicht in den meisten Fällen aus.

Die vier Pflichten, die dich als Betreiber treffen

Auch wenn du eine fertige Lösung einsetzt, bleibst du als Betreiber verantwortlich. Vier Punkte solltest du erfüllen:

• Transparenz: Menschen müssen erkennen, wann sie mit einer KI zu tun haben. Ein klarer Hinweis im Chat oder in der E-Mail genügt in der Regel.
• KI-Kompetenz: Wer KI im Unternehmen einsetzt, sollte wissen, wie sie funktioniert und wo ihre Grenzen liegen. Eine kurze Einweisung für das Team ist Pflicht und schützt vor Fehlbedienung.
• Menschliche Aufsicht: Bei Entscheidungen, die Menschen betreffen, muss ein Mensch eingreifen können. In der Praxis heißt das: Der Agent bereitet vor, ein Mitarbeiter gibt frei.
• Dokumentation: Du solltest festhalten, welche KI-Systeme du einsetzt, wofür und welche Daten sie verarbeiten. Eine einfache Liste reicht für den Anfang.

Wer diese vier Punkte einhält, ist für 2026 gut aufgestellt, ohne ein eigenes Rechtsprojekt aufsetzen zu müssen.

Wo es wirklich streng wird: Recruiting und Kreditwürdigkeit

Es gibt zwei Bereiche, in denen du genauer hinschauen musst. KI-Systeme zur Auswahl und Bewertung von Bewerbungen sowie zur Prüfung der Kreditwürdigkeit gelten als Hochrisiko. Hier verlangt der Gesetzgeber mehr: Risikomanagement, technische Dokumentation, Protokollierung und eine besonders sorgfältige menschliche Aufsicht. Wer KI im Bewerbungsprozess einsetzt, sollte das mit einem Anbieter tun, der diese Pflichten kennt und technisch abbildet.

Für alle anderen Abläufe, also Angebote, Rechnungen, Kundenservice oder Beschaffung, bleibt der Aufwand gering. Die entscheidende Frage ist also nicht, ob du KI einsetzt, sondern nur, an welcher Stelle sie über Menschen entscheidet. Genau dort setzt auch der Preisunterschied bei der Umsetzung an, den du auf der Preisseite siehst.

Ein Beispiel aus der Praxis

Ein Dienstleister aus München mit 45 Mitarbeitern automatisiert Kundenservice, Angebote und Belegverarbeitung mit KI-Agenten. Vor dem Start war die Sorge groß, der EU AI Act mache das Projekt kompliziert. Nach einer systematischen Einordnung zeigte sich: Alle drei Anwendungen liegen im Bereich begrenztes bis minimales Risiko. Der Aufwand bestand am Ende aus drei Dingen, die das Projekt ohnehin gebraucht hätte.

Ein Transparenzhinweis im Chat, eine kurze Einweisung für das Team und ein Verzeichnis der eingesetzten Systeme. Der Agent wurde so gebaut, dass er bei jeder Entscheidung protokolliert, was er getan hat, und ein Mensch freigibt. Die Einordnung kostete zwei Arbeitstage, das Projekt konnte wie geplant starten. Heute beantwortet der Agent 65% der Anfragen automatisch, und bei keiner davon war die rechtliche Frage ein Hindernis.

Was die Umsetzung kostet

Die Kosten für KI-Automatisierung setzen sich aus zwei Teilen zusammen: der fachlichen Umsetzung und der rechtlichen Einordnung. Als Orientierung für KMU in Deutschland:

• Risiko-Einordnung: 500 bis 1.500 Euro einmalig. Wir prüfen deine geplanten Anwendungen und sortieren sie in die Risikoklassen ein, mit einer kurzen Dokumentation.
• Standardprojekt: 4.000 bis 8.000 Euro einmalig. Automatisierung mit Protokollierung, begrenzten Rechten und menschlicher Freigabe, damit der Ablauf auch für den AI Act sauber ist.
• Hochrisiko-Anwendungen: ab 10.000 Euro einmalig. Recruiting oder Kreditprüfung mit den zusätzlichen Pflichten aus der Hochrisiko-Kategorie.
• Laufende Betreuung: 100 bis 500 Euro monatlich für Monitoring, Dokumentation und Anpassungen an neue Vorgaben.

Wichtig ist die Einordnung: Die meisten KMU brauchen keine teure Hochrisiko-Lösung, sondern eine saubere Umsetzung mit Transparenz, Protokollierung und Freigabe. Wer das von Anfang an mitplant, zahlt deutlich weniger als beim Nachrüsten.

In 4 Wochen zur AI-Act-fähigen Automatisierung

• Woche 1: Anwendungen erfassen. Welche KI-Systeme sind im Einsatz oder geplant, welche Daten verarbeiten sie, und wo treffen sie Entscheidungen über Menschen?
• Woche 2: Einordnen. Jede Anwendung wird in die passende Risikoklasse sortiert. Daraus ergibt sich, welche Pflichten wirklich gelten.
• Woche 3: Umsetzen. Transparenzhinweise ergänzen, Team einweisen, Protokollierung und Freigaberegeln im System verankern.
• Woche 4: Dokumentieren. Ein einfaches Verzeichnis der Systeme anlegen und die Zuständigkeiten festhalten. Damit bist du für 2026 aufgestellt.

Nach vier Wochen hast du einen klaren Überblick über deine KI-Anwendungen und weißt, welche Pflichten für dich gelten. Der Rest ist Routine.

Fazit

Der EU AI Act klingt nach einem großen Hindernis, ist für die meisten KMU aber kein Grund, KI-Projekte aufzuschieben. Entscheidend ist nicht, ob du KI einsetzt, sondern an welcher Stelle sie über Menschen entscheidet. Angebote, Rechnungen, Kundenservice und Beschaffung liegen im Bereich mit überschaubaren Pflichten. Vier Dinge zählen: Transparenz, KI-Kompetenz im Team, menschliche Aufsicht und eine einfache Dokumentation.

Du willst wissen, welche Pflichten für deine geplanten KI-Anwendungen gelten? Vereinbare ein kostenloses Erstgespräch. Wir prüfen deine Abläufe, ordnen sie ein und zeigen dir, wie du KI-Agenten rechtssicher einsetzt. Jetzt Gespräch vereinbaren.