Dieser Artikel wurde mit KI (Claude) erstellt und am 4. Oktober 2026 gegen Verordnungstext, Digital-Omnibus und Kommissions-Leitlinien geprüft und korrigiert.

AI Act Checkliste für KMU: 7 Schritte zur Compliance [2026]

Veröffentlicht am 21. März 2026 · Aktualisiert: 4. Oktober 2026 · Lesezeit: ca. 14 Minuten

Der EU AI Act (Quelle) ist da, und als Inhaber oder Geschäftsführer eines kleinen oder mittleren Unternehmens fragst du dich wahrscheinlich: Was muss ich jetzt konkret tun? Die gute Nachricht: Für die meisten KMU ist der Aufwand überschaubar, wenn du strukturiert vorgehst — am besten startest du mit unserem Compliance Check, um deinen aktuellen Stand zu ermitteln. Die schlechte Nachricht: Einige Pflichten gelten bereits seit Februar 2025, die Transparenzpflichten seit dem 2. August 2026.

In diesem Artikel bekommst du eine konkrete, praxisnahe AI Act Checkliste für KMU mit sieben klar definierten Schritten. Keine juristischen Abhandlungen, sondern handfeste Anleitungen, die du sofort umsetzen kannst – dazu eine Timeline und eine Vergleichstabelle der Risikoklassen. Wichtig vorab: Für Unternehmen, die fertige KI-Tools nur nutzen, sind die Pflichten deutlich schmaler, als viele Ratgeber behaupten.

Egal ob du einen Online-Shop betreibst, eine Agentur leitest oder ein Handwerksunternehmen führst: Diese Checkliste hilft dir, die wichtigsten Pflichten des AI Act systematisch abzuarbeiten, ohne dass du dafür einen Anwalt engagieren musst.

Überblick: Warum KMU jetzt handeln müssen

Der EU AI Act (Verordnung (EU) 2024/1689) ist seit dem 1. August 2024 in Kraft und wird stufenweise anwendbar. Die erste große Pflicht, die KI-Kompetenzpflicht nach Artikel 4, gilt bereits seit dem 2. Februar 2025. Wenn du in deinem Unternehmen KI-Systeme einsetzt, und das tun mittlerweile die meisten Unternehmen in irgendeiner Form, musst du handeln.

Viele KMU-Inhaber unterschätzen den AI Act, weil sie denken, er betreffe nur große Tech-Konzerne. Das ist ein gefährlicher Irrtum. Der AI Act gilt für alle Unternehmen, die KI-Systeme innerhalb der EU einsetzen oder anbieten, unabhängig von der Größe. Der Unterschied liegt nicht in der Frage ob Pflichten bestehen, sondern welche Pflichten im Einzelfall gelten.

Die Realität sieht so aus: Wenn du ChatGPT für Texte nutzt, einen KI-Chatbot auf deiner Webseite hast, KI-generierte Produktbilder verwendest oder automatisierte Entscheidungssysteme einsetzt, bist du vom AI Act betroffen – in der Regel als Betreiber (Art. 3 Nr. 4). Entscheidend ist die Rolle: Viele Pflichten treffen nur Anbieter, also die Hersteller der KI-Systeme. Für Betreiber bleiben meist die KI-Kompetenz (Art. 4) und einzelne Transparenzpflichten (Art. 50 Abs. 3 und 4).

Was passiert, wenn du nichts tust? Die Bußgelder im AI Act (Art. 99) reichen bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken, bei den Transparenzpflichten bis 15 Millionen Euro oder 3 Prozent. Für KMU gilt jeweils der niedrigere der beiden Beträge (Art. 99 Abs. 6).

Schritt 1: KI-Inventur durchführen

Bevor du irgendetwas umsetzen kannst, musst du wissen, welche KI-Systeme in deinem Unternehmen überhaupt im Einsatz sind. Das klingt trivial, ist es aber nicht. Viele KI-Anwendungen laufen im Hintergrund, ohne dass du es bewusst wahrnimmst. Dein erster Schritt ist daher eine vollständige KI-Inventur.

Geh systematisch alle Bereiche deines Unternehmens durch und prüfe, wo künstliche Intelligenz zum Einsatz kommt. Hier sind die häufigsten KI-Anwendungen in KMU, die du auf dem Schirm haben solltest:

Kundenservice und Kommunikation: Chatbots auf der Webseite (z. B. Tidio, Zendesk AI, Intercom), automatisierte E-Mail-Antworten, KI-gestützte Telefonsysteme, virtuelle Assistenten für Terminbuchungen. All diese Systeme fallen unter den AI Act, weil Nutzer mit einem KI-System interagieren, ohne dass ein Mensch direkt beteiligt ist.

Content und Marketing: KI-Textgenerierung mit ChatGPT, Claude oder Jasper, KI-Bildgenerierung mit Midjourney, DALL-E oder Stable Diffusion, KI-Videogenerierung, automatisierte Social-Media-Posts, KI-gestützte SEO-Tools. Kennzeichnungspflichten treffen dich hier nur in bestimmten Fällen: bei Deepfakes und bei KI-Texten zu Angelegenheiten von öffentlichem Interesse ohne menschliche redaktionelle Verantwortung (Art. 50 Abs. 4).

E-Commerce und Vertrieb: Produktempfehlungssysteme, dynamische Preisgestaltung, automatisierte Produktbeschreibungen, KI-generierte Produktbilder, Betrugserkennung. Je nach Einsatzbereich können unterschiedliche Risikoklassen gelten.

Personalwesen: KI-gestützte Bewerberauswahl, automatisierte Lebenslauf-Screenings, KI-basierte Mitarbeiterbewertungen. Achtung: Dieser Bereich fällt in der Regel unter Hochrisiko-KI, was deutlich strengere Anforderungen bedeutet.

Verwaltung und Finanzen: KI-gestützte Buchhaltungssoftware, automatisierte Rechnungserkennung, Bonitätsprüfungen, Kreditentscheidungen. Auch hier können Hochrisiko-Einstufungen greifen.

Erstelle eine einfache Tabelle oder Spreadsheet mit folgenden Spalten: Name des KI-Systems, Anbieter, Einsatzbereich, betroffene Personen (Kunden, Mitarbeiter, Öffentlichkeit), Art der Datenverarbeitung und vorläufige Risikoeinschätzung. Diese Inventur ist die Grundlage für alle weiteren Schritte.

Tipp: Frag auch deine Mitarbeiter, welche KI-Tools sie eigenständig nutzen. Oft werden ChatGPT, DeepL oder Canva AI im Arbeitsalltag eingesetzt, ohne dass die Geschäftsführung davon weiß. Gerade diese sogenannte „Shadow IT“ kann problematisch werden, wenn keine klaren Regeln existieren.

Schritt 2: Risikoklasse bestimmen

Nachdem du weißt, welche KI-Systeme in deinem Unternehmen laufen, musst du für jedes System die Risikoklasse nach dem AI Act bestimmen. Der AI Act verwendet einen risikobasierten Ansatz mit vier Stufen, und die Pflichten variieren erheblich je nach Einstufung.

Für die meisten KMU ist die relevante Kategorie „begrenztes Risiko“ (limited risk). Diese umfasst KI-Systeme, die direkt mit Menschen interagieren oder synthetische Inhalte erzeugen. Die Hauptpflicht hier: Transparenz. Nutzer müssen wissen, dass sie es mit KI zu tun haben.

Hier die Zuordnung der typischen KMU-Anwendungen zu den Risikoklassen:

Minimales Risiko (keine besonderen Pflichten): KI-gestützte Spam-Filter, automatische Rechtschreibprüfung, einfache Produktempfehlungen basierend auf dem Kaufverlauf, KI-Übersetzungstools für internen Gebrauch. Diese Systeme unterliegen keinen spezifischen Pflichten des AI Act, es wird aber empfohlen, freiwillige Verhaltenskodizes zu befolgen.

Begrenztes Risiko (Transparenzpflichten nach Art. 50): Chatbots und virtuelle Assistenten (Pflicht des Anbieters, Hinweis auf KI-Interaktion), Deepfakes (Betreiber kennzeichnet sichtbar), KI-Texte zu Themen von öffentlichem Interesse ohne redaktionelle Verantwortung, Emotionserkennungssysteme. Normale KI-Produkttexte, Werbung oder ein KI-Hintergrund im Produktbild sind laut Kommissions-Leitlinien nicht kennzeichnungspflichtig.

Hohes Risiko (umfangreiche Pflichten): KI-gestützte Bewerberauswahl und HR-Entscheidungen, Kreditwürdigkeitsprüfungen, biometrische Identifizierung, Versicherungspreiskalkulation basierend auf KI-Profiling. Diese Systeme müssen ein Konformitätsbewertungsverfahren durchlaufen, technische Dokumentation erstellen und ein Risikomanagementsystem implementieren.

Unannehmbares Risiko (verboten): Social-Scoring-Systeme, unterschwellige Manipulation, Ausnutzung von Schwächen vulnerabler Gruppen, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum (mit Ausnahmen). Diese KI-Anwendungen sind schlicht verboten, und es ist extrem unwahrscheinlich, dass ein KMU solche Systeme einsetzt.

Geh deine KI-Inventur aus Schritt 1 durch und ordne jedem System eine Risikoklasse zu. Wenn du unsicher bist, schaue in Anhang III des AI Act nach, dort sind Hochrisiko-KI-Systeme abschließend aufgelistet. Alles, was dort nicht steht und nicht unter die Verbote fällt, ist entweder begrenztes oder minimales Risiko.

Schritt 3: Webseite prüfen und gezielt kennzeichnen

Anders als oft behauptet, muss nicht jede Webseite mit KI-Inhalten ein KI-Label tragen. Als Betreiber, der KI-Tools nutzt, musst du nach Art. 50 Abs. 4 kennzeichnen:

• Deepfakes: KI-Bilder, -Videos oder -Audio, die echt wirken und echte Personen, Gegenstände, Orte oder Ereignisse darstellen – bei Produktbildern also z.B. ein KI-Bild, das das Produkt besser zeigt, als es ist.
• KI-Texte zu Angelegenheiten von öffentlichem Interesse – außer ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung.

Die Kennzeichnung muss klar, eindeutig und spätestens beim ersten Kontakt mit dem Inhalt erfolgen (Art. 50 Abs. 5) – also am Inhalt selbst, nicht im Impressum. Eine maschinenlesbare Markierung (Metadaten, Wasserzeichen) ist nach Art. 50 Abs. 2 Aufgabe der Anbieter der KI-Tools, nicht deine.

Praktisch heißt Schritt 3: Geh deine Webseite durch, markiere die Inhalte, die unter die beiden Punkte fallen, und kennzeichne genau diese. Eine KI-Transparenzseite, die beschreibt, wofür du KI einsetzt, ist freiwillig, aber ein gutes Vertrauenssignal. Details: KI-Kennzeichnung auf Webseiten und KI-Produktbilder kennzeichnen.

Schritt 4: Chatbot kennzeichnen

Wenn du einen Chatbot auf deiner Webseite einsetzt, greift Artikel 50 Absatz 1 des AI Act: Personen, die mit einem KI-System interagieren, müssen darüber informiert werden – es sei denn, das ist aus dem Kontext offensichtlich. Die Pflicht trifft formal den Anbieter des Chatbots; nutzt du ein fertiges Tool, prüfst du, dass der Hinweis in deiner Einbindung erscheint. Baust du den Bot selbst (z.B. über die OpenAI- oder Claude-API), bist du selbst Anbieter. Regelbasierte FAQ-Bots ohne KI fallen nicht darunter.

Unser detaillierter Ratgeber zur Chatbot-Kennzeichnungspflicht nach dem AI Act erklärt dir alle technischen und rechtlichen Details. Hier die wichtigsten Punkte im Überblick:

Wo muss die Kennzeichnung stehen? Im Chat-Interface, spätestens bei der ersten Interaktion – am sichersten schon, bevor der Nutzer seine erste Nachricht eingibt. Eine Begrüßungsnachricht wie „Hallo, ich bin ein KI-Assistent. Wie kann ich dir helfen?“ reicht. Ein zusätzlicher Hinweis auf der Webseite oder einer Transparenzseite ist freiwillig.

Was muss die Kennzeichnung enthalten? Den Hinweis, dass es sich um ein KI-System handelt. Sinnvoll, aber nicht vorgeschrieben: der Zweck, ein Weg zu einem menschlichen Ansprechpartner und ein Link zur Datenschutzerklärung.

Wie sieht eine gute Chatbot-Kennzeichnung in der Praxis aus? Hier ein Beispiel für eine Begrüßungsnachricht:

Willkommen! Ich bin ein KI-Assistent, betrieben von [Firmenname]. Ich kann dir bei allgemeinen Fragen helfen. Bitte beachte: - Ich bin eine künstliche Intelligenz, kein Mensch. - Meine Antworten können ungenau sein. - Für komplexe Anliegen erreichst du unser Team unter [Kontakt]. Mehr Infos: [Link zur KI-Transparenzseite]

Ein häufiger Fehler, den viele KMU machen: Sie geben dem Chatbot einen menschlichen Namen wie „Lisa“ oder „Max“, ohne zu kennzeichnen, dass es sich um KI handelt. Das ist problematisch, weil es den Eindruck erweckt, der Nutzer spreche mit einem echten Menschen. Ein menschlicher Name ist erlaubt, solange unmissverständlich klar ist, dass es sich um eine KI handelt, zum Beispiel „KI-Assistentin Lisa“.

Wenn dein Chatbot personenbezogene Daten verarbeitet, also Namen, E-Mail-Adressen, Bestellnummern oder ähnliches, kommt zusätzlich die DSGVO ins Spiel. Mehr dazu im nächsten Abschnitt und in unserem Artikel über den KI-Assistenten und DSGVO-Datenschutz.

Schritt 5: Mitarbeiter schulen (Art. 4)

Dieser Schritt ist dringend, denn die Pflicht aus Artikel 4 des AI Act gilt bereits seit dem 2. Februar 2025. Artikel 4 verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zu ergreifen, um die KI-Kompetenz ihres Personals zu unterstützen. Seit der Digital-Omnibus-Verordnung (EU) 2026/1744 (in Kraft seit Juli 2026) müssen sie dabei kein bestimmtes Kompetenzniveau mehr garantieren – ursprünglich verlangte Art. 4 ein „ausreichendes Maß“ an KI-Kompetenz. Eine rechtlich bindende Pflicht bleibt es trotzdem.

Was bedeutet das konkret? Der AI Act definiert das bewusst nicht starr: Technische Kenntnisse, Erfahrung, Ausbildung und der Einsatzkontext sollen berücksichtigt werden. Ein Mitarbeiter, der einen KI-Chatbot konfiguriert, braucht mehr Wissen als jemand, der gelegentlich ChatGPT für Recherchen nutzt. Aber alle Mitarbeiter, die mit KI arbeiten, brauchen ein Grundverständnis.

Für KMU empfehle ich einen dreistufigen Schulungsansatz:

Stufe 1: Grundschulung für alle Mitarbeiter (1-2 Stunden). Inhalt: Was ist KI? Wie funktionieren Sprachmodelle und Bildgeneratoren auf einem grundlegenden Level? Welche KI-Systeme setzt unser Unternehmen ein? Was sind die Grundregeln im Umgang damit? Welche Daten dürfen eingegeben werden und welche nicht? Diese Schulung kannst du als kurzes internes Seminar oder Workshop durchführen.

Stufe 2: Vertiefung für regelmäßige KI-Nutzer (halber Tag). Inhalt: Prompting-Grundlagen, Erkennung von KI-Halluzinationen und Fehlinformationen, Urheberrechtliche Grundlagen bei KI-generierten Inhalten, KI-Kennzeichnungspflichten im Arbeitsalltag, Datenschutzrelevante Aspekte der KI-Nutzung. Für diese Schulung gibt es mittlerweile viele kostenlose Online-Ressourcen, etwa von der IHK oder von EU-Initiativen.

Stufe 3: Spezialwissen für KI-Verantwortliche (1-2 Tage). Inhalt: Detailliertes Wissen über den AI Act und die relevanten Pflichten, technisches Verständnis der eingesetzten KI-Systeme, Risikomanagement und Monitoring, Zusammenspiel von AI Act und DSGVO, Incident-Management bei KI-Fehlfunktionen. Diese Schulung ist vor allem für die Personen relevant, die in deinem Unternehmen die KI-Compliance verantworten.

Dokumentiere alle Schulungen sorgfältig: Wer wurde wann zu welchem Thema geschult? Diese Dokumentation ist im Fall einer Überprüfung durch die Aufsichtsbehörde Gold wert. Ein einfaches Schulungsprotokoll mit Datum, Teilnehmerliste und Themenübersicht reicht aus.

Tipp: Die IHK bietet kostenlose Webinare und Informationsveranstaltungen zum AI Act an. Auch die Europäische Kommission stellt im Rahmen des AI Pact Programms kostenlose Materialien bereit. Du musst also nicht zwingend einen teuren externen Trainer engagieren.

Schritt 6: Datenschutz prüfen (DSGVO + AI Act)

Der AI Act ersetzt die DSGVO nicht, er ergänzt sie. Wenn deine KI-Systeme personenbezogene Daten verarbeiten, und das tun die meisten, musst du beide Regelwerke gleichzeitig erfüllen. Das klingt nach doppelter Arbeit, in der Praxis gibt es aber viele Überschneidungen, die du nutzen kannst.

Die wichtigsten Bereiche, in denen sich AI Act und DSGVO überschneiden, sind Transparenz, Folgenabschätzung und automatisierte Entscheidungen. Wenn du bereits eine saubere DSGVO-Compliance aufgebaut hast, bist du bei einigen AI-Act-Pflichten schon halb fertig.

Hier die konkreten Prüfpunkte für dein Unternehmen:

Datenschutzerklärung aktualisieren: Deine Datenschutzerklärung muss den Einsatz von KI-Systemen abdecken. Das betrifft insbesondere: Welche KI-Systeme werden eingesetzt? Welche personenbezogenen Daten werden von diesen Systemen verarbeitet? Auf welcher Rechtsgrundlage (Art. 6 DSGVO) erfolgt die Verarbeitung? Werden Daten an KI-Anbieter übermittelt, möglicherweise in Drittländer? Wie lange werden die Daten gespeichert? Welche Rechte haben die Betroffenen?

Verarbeitungsverzeichnis ergänzen: Dein Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO muss um alle KI-bezogenen Verarbeitungen ergänzt werden. Für jeden KI-Einsatz, der personenbezogene Daten betrifft, brauchst du einen eigenen Eintrag.

Datenschutz-Folgenabschätzung prüfen: Bei KI-Systemen, die ein hohes Risiko für die Rechte und Freiheiten von Personen darstellen, ist eine Datenschutz-Folgenabschätzung (DSFA) nach Artikel 35 DSGVO Pflicht. Der AI Act verlangt für Hochrisiko-KI zusätzlich eine grundrechtliche Folgenabschätzung. In der Praxis kannst du beide Bewertungen in einem Dokument zusammenführen.

Auftragsverarbeitung klären: Wenn du KI-Dienste von externen Anbietern nutzt, etwa ChatGPT von OpenAI oder Claude von Anthropic, handelt es sich in der Regel um Auftragsverarbeitung. Du brauchst einen Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 DSGVO. Die meisten großen KI-Anbieter bieten solche Verträge standardmäßig an, aber du musst sicherstellen, dass du sie tatsächlich abgeschlossen hast.

Drittlandtransfer beachten: Viele KI-Anbieter haben ihren Sitz in den USA. Der Datentransfer in die USA ist seit dem EU-U.S. Data Privacy Framework unter bestimmten Voraussetzungen wieder möglich, aber du musst prüfen, ob der jeweilige Anbieter unter dem Framework zertifiziert ist.

Unser Artikel zum Thema KI-Assistent und DSGVO-Datenschutz geht auf all diese Punkte im Detail ein und bietet dir praktische Checklisten für die Umsetzung.

Schritt 7: Dokumentation erstellen

Der letzte Schritt deiner AI Act Checkliste ist die Dokumentation. Wenn du kein Hochrisiko-KI-System betreibst, verlangt der AI Act keine technische Dokumentation im Sinne des Anhang IV. Eine schlanke interne Dokumentation ist trotzdem sinnvoll: Sie zeigt im Fall einer Nachfrage, dass du deine Pflichten (v.a. KI-Kompetenz und Kennzeichnung) geprüft hast.

Erstelle ein KI-Compliance-Dokument mit folgenden Abschnitten:

KI-Inventar: Liste aller KI-Systeme, die im Unternehmen eingesetzt werden, mit Anbieter, Einsatzzweck, Risikoklasse und verantwortlicher Person. Das hast du in Schritt 1 bereits erarbeitet, bringe es jetzt in eine saubere, aktualisierbare Form.

Risikoklassifizierung: Für jedes KI-System die Begründung der Risikoeinschätzung. Warum fällt System X in Kategorie Y? Dokumentiere deine Überlegungen, auch wenn die Einordnung offensichtlich erscheint.

Transparenzmaßnahmen: Welche Kennzeichnungen hast du wo implementiert? Screenshots der KI-Hinweise auf der Webseite, der Chatbot-Begrüßungsnachricht, der KI-Transparenzseite. Wann wurden die Maßnahmen umgesetzt?

Schulungsnachweise: Protokolle der durchgeführten Schulungen mit Datum, Teilnehmern und Inhalten. Geplante Folgeschulungen und Auffrischungen.

Datenschutz-Dokumentation: Verweis auf die aktualisierten DSGVO-Dokumente wie Datenschutzerklärung, Verarbeitungsverzeichnis und AVVs. Gegebenenfalls Datenschutz-Folgenabschätzungen für KI-Systeme.

KI-Nutzungsrichtlinien: Interne Regeln für den Umgang mit KI-Systemen. Was dürfen Mitarbeiter mit KI-Tools machen, was nicht? Welche Daten dürfen eingegeben werden? Wer genehmigt neue KI-Tools?

Diese Dokumentation muss kein juristisches Meisterwerk sein. Ein klar strukturiertes Word- oder PDF-Dokument reicht völlig aus. Wichtig ist, dass es aktuell gehalten wird. Plane eine vierteljährliche Überprüfung ein, um neue KI-Systeme zu erfassen und Änderungen zu dokumentieren.

Für Hochrisiko-KI-Systeme gelten deutlich strengere Dokumentationspflichten, die in Anhang IV des AI Act detailliert beschrieben sind. Wenn du solche Systeme einsetzt, empfehle ich dir, professionelle Unterstützung hinzuzuziehen.

Timeline: Wann gilt was?

Der AI Act tritt nicht auf einen Schlag in Kraft, sondern stufenweise über einen Zeitraum von drei Jahren. Hier die wichtigsten Daten, die für dich als KMU-Inhaber relevant sind:

Stand 4. Oktober 2026: Die Transparenzpflichten gelten seit dem 2. August 2026. Die Hochrisiko-Termine hat die Digital-Omnibus-Verordnung (EU) 2026/1744 auf Dezember 2027 bzw. August 2028 verschoben. Für Anbieter generativer KI-Tools, die schon vor dem 2. August 2026 auf dem Markt waren, gilt bei der maschinenlesbaren Markierung (Art. 50 Abs. 2) eine Übergangsfrist bis 2. Dezember 2026 – das betrifft die Tool-Hersteller, nicht dich.

Vergleichstabelle: Risikoklassen im AI Act

Um dir die Orientierung zu erleichtern, hier eine umfassende Vergleichstabelle der vier Risikoklassen im AI Act mit ihren jeweiligen Pflichten und typischen Beispielen:

KMU-Erleichterungen im AI Act

Der EU-Gesetzgeber hat erkannt, dass KMU nicht die gleichen Ressourcen wie Großkonzerne haben. Deshalb enthält der AI Act in Artikel 62 und an anderen Stellen explizite Erleichterungen für kleine und mittlere Unternehmen. Das solltest du kennen und nutzen.

KI-Reallabore (Art. 57–62): Die Mitgliedstaaten richten KI-Reallabore („Regulatory Sandboxes“) ein, in denen KI-Systeme unter Aufsicht entwickelt und getestet werden können. In Deutschland ist seit Inkrafttreten des KI-Marktüberwachungs- und Innovationsförderungsgesetzes (KI-MIG) am 29. Juli 2026 die Bundesnetzagentur zentrale KI-Aufsicht (Pressemitteilung). Für KMU sind die Reallabore relevant, wenn sie selbst KI-Systeme entwickeln.

Vereinfachte Dokumentation: KMU einschließlich Start-ups dürfen die technische Dokumentation für Hochrisiko-KI-Systeme in vereinfachter Form bereitstellen (Art. 11 Abs. 1); die Kommission stellt dafür ein Formular bereit.

Vorrangiger Zugang zu Sandboxes: KMU und Start-ups erhalten vorrangigen Zugang zu den Regulatory Sandboxes. Das bedeutet, du musst nicht hinten anstehen, wenn Großunternehmen sich auch bewerben.

Kostenreduzierte Konformitätsbewertung: Die Gebühren für Konformitätsbewertungen sollen für KMU verhältnismäßig und reduziert sein. Die konkreten Gebührenstrukturen werden von den nationalen Behörden festgelegt.

Niedrigere Bußgeld-Obergrenzen: Für KMU gilt bei den Bußgeldrahmen jeweils der niedrigere der beiden Beträge (fester Betrag oder Prozentsatz vom Umsatz, Art. 99 Abs. 6); seit dem Digital-Omnibus auch für kleine Midcaps.

Praxisbeispiel: Online-Shop mit KI-Features

Damit die Checkliste nicht abstrakt bleibt, gehen wir ein konkretes Beispiel durch. Stell dir vor, du betreibst einen Online-Shop für Outdoor-Bekleidung mit 15 Mitarbeitern. Du nutzt folgende KI-Systeme:

Erstens einen KI-Chatbot auf der Webseite für Produktberatung und Bestellstatus-Abfragen. Zweitens KI-generierte Produktbeschreibungen für neue Artikel. Drittens KI-optimierte Produktbilder, bei denen Hintergründe mit KI ausgetauscht werden. Viertens ein KI-basiertes Produktempfehlungssystem. Fünftens ChatGPT im internen Gebrauch für E-Mails und Marketingtexte.

So würdest du die sieben Schritte der AI Act Checkliste für KMU umsetzen:

Schritt 1 – KI-Inventur: Du erstellst eine Tabelle mit den fünf genannten Systemen. Für jeden Eintrag notierst du den Anbieter, den Einsatzzweck und die betroffenen Personengruppen. Zeitaufwand: eine Stunde.

Schritt 2 – Risikoklasse: Der Chatbot fällt unter die Transparenzpflicht nach Art. 50 Abs. 1 (Pflicht des Tool-Anbieters, du prüfst den Hinweis). KI-Produktbeschreibungen sind nach den Kommissions-Leitlinien nicht kennzeichnungspflichtig. Die Produktbilder mit KI-Hintergrund ebenfalls nicht, solange das Produkt selbst echt und unverändert ist. Das Empfehlungssystem und ChatGPT im internen Gebrauch lösen keine AI-Act-Pflicht aus. Kein System fällt in die Hochrisiko-Kategorie. Zeitaufwand: eine Stunde.

Schritt 3 – Webseite prüfen: Du gehst die Produktbilder durch: Zeigt ein KI-bearbeitetes Bild das Produkt besser, als es ist? Dann bekommt genau dieses Bild ein Label „KI-generierte Darstellung“. Freiwillig ergänzt du eine kurze KI-Transparenzseite. Zeitaufwand: ein bis zwei Stunden.

Schritt 4 – Chatbot kennzeichnen: Du passt die Begrüßungsnachricht deines Chatbots an und fügst den KI-Hinweis hinzu. Du ergänzt einen Link zur KI-Transparenzseite und die Option, einen menschlichen Mitarbeiter zu kontaktieren. Zeitaufwand: 30 Minuten.

Schritt 5 – Mitarbeiter schulen: Du organisierst ein zweistündiges internes Seminar für alle 15 Mitarbeiter, in dem du die Grundlagen des AI Act erklärst und klare Regeln für den Umgang mit KI-Tools aufstellst. Für die drei Mitarbeiter, die intensiv mit KI arbeiten, planst du eine vertiefte Schulung. Zeitaufwand: vier Stunden Vorbereitung plus zwei Stunden Schulung.

Schritt 6 – Datenschutz prüfen: Du aktualisierst deine Datenschutzerklärung um die KI-bezogenen Verarbeitungen. Du prüfst die AVVs mit deinen KI-Anbietern. Eine DSFA ist nicht erforderlich, da kein Hochrisiko-KI-System vorliegt. Zeitaufwand: drei Stunden.

Schritt 7 – Dokumentation: Du erstellst ein KI-Compliance-Dokument, das alle vorherigen Schritte zusammenfasst. Zeitaufwand: vier Stunden.

Gesamtaufwand: ungefähr zwei Arbeitstage, verteilt über einige Wochen – der größte Posten ist die Schulung. Danach hast du die derzeit geltenden Pflichten geprüft und umgesetzt.

FAQ: Häufige Fragen zur AI Act Checkliste für KMU

Ab wann gilt der AI Act für KMU?

Die Pflichten des AI Act treten stufenweise in Kraft. Die KI-Kompetenzpflicht nach Artikel 4 gilt bereits seit dem 2. Februar 2025. Das bedeutet: Wenn deine Mitarbeiter mit KI-Systemen arbeiten, musst du Maßnahmen ergreifen, um ihre KI-Kompetenz zu fördern – ein bestimmtes Niveau musst du seit der Digital-Omnibus-Verordnung nicht mehr garantieren. Die Transparenzpflichten für KI-Systeme mit begrenztem Risiko gelten seit dem 2. August 2026. Hochrisiko-KI-Systeme müssen nach Anhang III ab dem 2. Dezember 2027, nach Anhang I ab dem 2. August 2028 konform sein. Es gibt keine generelle Ausnahme für KMU, aber es gibt Erleichterungen bei der praktischen Umsetzung.

Was kostet AI Act Compliance für ein kleines Unternehmen?

Für die meisten KMU, die fertige KI-Tools nutzen, ist der Aufwand vor allem Arbeitszeit: Inventur, Schulung, gezielte Kennzeichnung. Kostenlose Schulungsangebote gibt es u.a. von IHKs. Belastbare Durchschnittspreise für externe Beratung sind mir nicht bekannt. Bei Hochrisiko-KI-Systemen ist der Aufwand deutlich höher.

Muss ich als KMU einen Chatbot auf meiner Webseite kennzeichnen?

Ja. Nach Artikel 50 Absatz 1 müssen Menschen erfahren, dass sie mit einem KI-System interagieren, sofern das nicht offensichtlich ist. Die Pflicht trifft formal den Anbieter des Chatbots; als Nutzer eines fertigen Tools prüfst du, dass der Hinweis erscheint, als Entwickler eines eigenen Bots setzt du ihn selbst um. Der Hinweis muss spätestens bei der ersten Interaktion kommen; eine Begrüßung wie „Ich bin ein KI-Assistent“ reicht. Regelbasierte Bots ohne KI fallen nicht darunter.

Welche Strafen drohen KMU bei Verstößen gegen den AI Act?

Die im AI Act vorgesehenen Bußgelder sind gestaffelt: bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, bis 15 Mio. € oder 3 % u.a. bei Transparenzpflichten, bis 7,5 Mio. € oder 1 % für falsche Angaben an Behörden. Maßgeblich ist grundsätzlich der höhere Betrag – für KMU der niedrigere (Art. 99 Abs. 6). Die konkreten Regeln legen die Mitgliedstaaten fest.

Gibt es Erleichterungen im AI Act speziell für KMU?

Ja. Art. 62 sieht Unterstützungsmaßnahmen für KMU vor, darunter vorrangigen Zugang zu KI-Reallaboren, Informations- und Schulungsangebote und die Berücksichtigung der KMU-Belange bei Gebühren für Konformitätsbewertungen. Dazu kommen die vereinfachte technische Dokumentation (Art. 11) und niedrigere Bußgeldobergrenzen (Art. 99 Abs. 6). In Deutschland ist seit dem 29. Juli 2026 (KI-MIG) die Bundesnetzagentur zentrale KI-Aufsicht.

Muss ich KI-generierte Bilder auf meiner Webseite kennzeichnen?

Nur in bestimmten Fällen. Als Betreiber musst du nach Art. 50 Abs. 4 Deepfakes sichtbar kennzeichnen: KI-Bilder, die echt wirken und echte Personen, Gegenstände, Orte oder Ereignisse darstellen – bei Produkten etwa, wenn das Bild das Produkt besser zeigt als in Wirklichkeit. Ein echtes Produkt vor KI-Hintergrund oder eine Farbkorrektur fallen laut Kommissions-Leitlinien nicht darunter. Die maschinenlesbare Markierung (Art. 50 Abs. 2) ist Pflicht der Tool-Anbieter, nicht deine.

Reicht eine DSGVO-Datenschutzerklärung aus, oder brauche ich zusätzliche Dokumentation?

Die Datenschutzerklärung deckt die DSGVO ab, nicht den AI Act. Zusätzlich brauchst du – je nach Einsatz – den KI-Hinweis im Chatbot, die Kennzeichnung von Deepfakes bzw. bestimmten KI-Texten am Inhalt selbst und eine Dokumentation deiner Maßnahmen zur KI-Kompetenz. Maschinenlesbare Metadaten musst du als Betreiber nicht setzen. Eine KI-Transparenzseite ist freiwillig, kann aber beide Welten verständlich zusammenführen.

Fazit und nächste Schritte

Der AI Act muss für KMU keine Belastung sein. Mit dieser siebenteiligen Checkliste hast du einen klaren Fahrplan, der dich systematisch zur Compliance führt. Die wichtigsten Erkenntnisse zusammengefasst:

Die KI-Kompetenzpflicht nach Artikel 4 gilt bereits. Wenn du deine Mitarbeiter noch nicht geschult hast, sollte das deine oberste Priorität sein. Die Transparenzpflichten für Chatbots, KI-generierte Inhalte und andere KI-Systeme mit begrenztem Risiko gelten seit dem 2. August 2026. Wer noch nicht umgesetzt hat, sollte das jetzt nachholen.

Für die meisten KMU ist der Aufwand überschaubar: einige Arbeitstage bei Eigenleistung. Die sieben Schritte – KI-Inventur, Risikoklasse bestimmen, Webseite prüfen, Chatbot-Hinweis prüfen, Mitarbeiter schulen, Datenschutz prüfen und Dokumentation erstellen – lassen sich innerhalb weniger Wochen abarbeiten.

Fang mit Schritt 1 an, der KI-Inventur. Das dauert nur ein bis zwei Stunden und gibt dir sofort einen Überblick, wo du stehst. Von dort aus arbeitest du dich Schritt für Schritt vor. Du musst nicht alles auf einmal machen, aber du solltest jetzt anfangen.

Nutze die Erleichterungen, die der AI Act für KMU vorsieht, insbesondere die regulatorischen Sandboxes und die kostenlosen Ressourcen der IHK und EU-Kommission. Du bist nicht allein mit dieser Aufgabe, und es gibt mittlerweile viele gute Hilfsangebote.

Und wenn du unsicher bist, wie du die technische Umsetzung angehst, schau dir unsere spezifischen Guides an: Die Erklärung zur KI-Kennzeichnung auf Webseiten, den Guide zur Chatbot-Kennzeichnungspflicht und den Ratgeber zum Thema KI-Assistent und DSGVO-Datenschutz.

Änderungen: 04.10.2026 – gegen Verordnungstext, Digital-Omnibus (EU) 2026/1744, Kommissions-Leitlinien zu Art. 50 und KI-MIG geprüft. Korrigiert: Die frühere Fassung verlangte von allen Webseiten eine Kennzeichnung im Impressum und eine maschinenlesbare Kennzeichnung per Badge-Script, stufte KI-Produkttexte und KI-Hintergründe als kennzeichnungspflichtig ein, schrieb Art. 50 Abs. 2 (Anbieterpflicht) den Webseiten-Betreibern zu, nannte eine Grenze von 50 Mitarbeitern für vereinfachte Dokumentation und „verhältnismäßige“ statt niedrigere Bußgeldobergrenzen für KMU. Kostenübersicht mit unbelegten Dienstleisterpreisen und veraltete Zeitplanung entfernt.