AI Act für KMU: Warum "betrifft uns nicht" gefährlich ist

Stellen Sie sich vor, Sie erhalten ein Schreiben des AI Office, in dem Ihr Unternehmen der Nichteinhaltung des Verordnung (EU) 2024/1689 - dem AI Act - beschuldigt wird. Grund: die Nutzung eines nicht konformen KI-Systems, das in einem Tool integriert ist, das Sie täglich nutzen, ohne zu wissen, dass es künstliche Intelligenz enthält. Ein Horrorszenario? Nicht unbedingt. Laut Eurostat (2024) nutzen bereits 42 % der europäischen Unternehmen mit mehr als 10 Mitarbeitenden mindestens ein Tool mit KI-Integration. Dennoch glauben viele KMU-Geschäftsführer:innen noch immer, der AI Act « betreffe sie nicht ». Spoiler: Das ist wahrscheinlich falsch.

Warum « betrifft uns nicht » eine gefährliche Aussage ist

Der AI Act ist seit dem 1. August 2024 in Kraft, und erste Pflichten gelten bereits seit Februar 2025. Doch eine Studie von McKinsey (2025) zeigt: 68 % der europäischen KMU-Geschäftsführer:innen unterschätzen die Auswirkungen dieser Verordnung auf ihr Unternehmen. Der Grund? Vier hartnäckige, aber falsche Überzeugungen, die teuer werden können - bis zu 15 Millionen Euro Strafe oder 3 % des weltweiten Umsatzes gemäß Artikel 71 der Verordnung.

Hier erfahren Sie, warum diese Überzeugungen gefährlich sind und wie Sie sie widerlegen können.

Überzeugung Nr. 1: « Wir sind zu klein, um betroffen zu sein »

Viele KMU-Geschäftsführer:innen glauben, der AI Act gelte nur für Großunternehmen oder Tech-Giganten. Doch das Kriterium des AI Act ist nicht die Unternehmensgröße, sondern Art und Risikostufe des genutzten KI-Systems. Ein KMU mit fünf Mitarbeitenden, das ein Kredit-Scoring-Tool zur Bewertung seiner Kunden nutzt, ist genauso betroffen wie eine Großbank.

Konkrete Beispiele:

• Ein Online-Shop mit drei Mitarbeitenden: Nutzt ein dynamisches Preistool, das Preise automatisch an die Nachfrage anpasst. Dieses Tool integriert KI, um Kaufverhalten zu analysieren und Trends vorherzusagen. Risiko: Wird das System als « Hochrisiko-KI-System » eingestuft (z. B. wenn es die Preise für essenzielle Produkte stark beeinflusst), muss das KMU die Pflichten des AI Act erfüllen, wie technische Dokumentation oder Risikobewertung.
• Eine Steuerberatung mit zehn Mitarbeitenden: Nutzt eine Buchhaltungssoftware mit einem Modul zur Cashflow-Prognose. Dieses Modul basiert auf KI-Algorithmen, die vergangene Finanzströme analysieren, um Liquiditätsengpässe vorherzusagen. Risiko: Wird das Modul für wichtige Finanzentscheidungen genutzt (z. B. Kreditvergabe oder Zahlungsaufschub), könnte es als « Hochrisiko-KI-System » eingestuft werden und strenge Konformitätspflichten erfordern.
• Ein Immobilienmakler mit fünf Mitarbeitenden: Nutzt ein CRM mit einem Lead-Scoring-Modul. Dieses Modul, betrieben durch KI, bewertet die Wahrscheinlichkeit, dass ein Lead eine Immobilie kauft, basierend auf dessen Surfverhalten, Interaktionen mit dem Makler und demografischen Daten. Risiko: Wird das Scoring für wichtige Entscheidungen genutzt (z. B. Priorisierung bestimmter Leads), könnte das System als « begrenzt risikoreich » eingestuft werden und Transparenzpflichten erfordern.

In allen drei Fällen spielt die Unternehmensgröße keine Rolle. Entscheidend ist die Nutzung eines KI-Systems und dessen Risikostufe. Und die Strafen bei Nichteinhaltung können für ein KMU existenzbedrohend sein: bis zu 15 Millionen Euro oder 3 % des weltweiten Umsatzes.

Überzeugung Nr. 2: « Wir nutzen eigentlich keine KI »

Viele Geschäftsführer:innen glauben, ihr Unternehmen nutze keine KI, weil sie keine eigenen Modelle entwickelt oder Chatbots einsetzt. Doch KI ist oft in Alltagstools integriert, ohne dass die Nutzer:innen es wissen. Laut einer Studie von Gartner (2024) werden bis 2028 75 % der Unternehmenssoftware eine Form von KI integrieren - oft unsichtbar für die Endnutzer:innen.

Konkrete Beispiele:

• Buchhaltungssoftware: Mit einem Modul zur Cashflow-Prognose. Dieses Modul nutzt KI-Algorithmen, um vergangene Finanzströme zu analysieren und Liquiditätsengpässe vorherzusagen. Problem: Wird das Modul für wichtige Finanzentscheidungen genutzt (z. B. Kreditvergabe oder Zahlungsaufschub), könnte es als « Hochrisiko-KI-System » eingestuft werden und strenge Konformitätspflichten erfordern.
• CRM (Customer Relationship Management): Mit einem Lead-Scoring-Modul. Dieses Modul, betrieben durch KI, bewertet die Wahrscheinlichkeit, dass ein Lead zum Kunden wird, basierend auf dessen Surfverhalten, Interaktionen mit dem Unternehmen und demografischen Daten. Problem: Wird das Scoring für wichtige Entscheidungen genutzt (z. B. Priorisierung bestimmter Leads), könnte das System als « begrenzt risikoreich » eingestuft werden und Transparenzpflichten erfordern.
• Bewerbermanagementsystem (ATS - Applicant Tracking System): Mit einem Modul zur automatischen CV-Sortierung. Dieses Modul nutzt KI-Algorithmen, um Lebensläufe zu analysieren und nach Eignung für die Stelle zu sortieren. Problem: Wird das System genutzt, um Bewerber:innen automatisch auszuschließen, gilt es als « Hochrisiko-KI-System » und erfordert strenge Konformität, einschließlich Risikobewertung von Verzerrungen und detaillierter technischer Dokumentation.

In allen drei Fällen nutzt das Unternehmen KI ohne es zu wissen. Und wenn diese Tools als « Hochrisiko-KI-Systeme » eingestuft werden, kann die Nichteinhaltung teuer werden: bis zu 15 Millionen Euro Strafe oder 3 % des weltweiten Umsatzes.

Überzeugung Nr. 3: « Unser Bereich ist nicht betroffen »

Viele Geschäftsführer:innen glauben, der AI Act betreffe nur « Tech-» oder « Innovationsbranchen ». Doch die Verordnung gilt für alle Wirtschaftsbereiche, sobald ein KI-System genutzt wird. Eine handwerkliche Bäckerei, die eine Planungssoftware mit KI-gestützter Bestellvorhersage nutzt, ist potenziell betroffen. Eine Personalvermittlung, die ein ATS mit automatischem Scoring einsetzt, sogar noch mehr.

Konkrete Beispiele nach Branchen:

• Gesundheitswesen: Eine Physiotherapiepraxis nutzt eine Terminverwaltungssoftware mit einem Modul zur Vorhersage von Absagen. Dieses Modul, basierend auf KI, analysiert historische Terminbuchungen, um Absagen vorherzusagen und die Planung zu optimieren. Risiko: Wird das System für wichtige Entscheidungen genutzt (z. B. Priorisierung bestimmter Patient:innen), könnte es als « begrenzt risikoreich » eingestuft werden und Transparenzpflichten erfordern.
• Einzelhandel: Ein Bekleidungsgeschäft nutzt ein dynamisches Preistool, um Preise automatisch an die Nachfrage anzupassen. Dieses Tool integriert KI, um Kaufverhalten zu analysieren und Trends vorherzusagen. Risiko: Wird das System als « Hochrisiko-KI-System » eingestuft (z. B. wenn es die Preise für essenzielle Produkte stark beeinflusst), muss das Geschäft die Pflichten des AI Act erfüllen.
• Bauwesen: Ein KMU aus dem Baugewerbe nutzt eine Projektmanagementsoftware mit einem Modul zur Vorhersage von Verzögerungen. Dieses Modul, basierend auf KI, analysiert historische Projekte, um Verzögerungen vorherzusagen und die Planung zu optimieren. Risiko: Wird das System für wichtige Entscheidungen genutzt (z. B. Ressourcenallokation oder Zeitplanung), könnte es als « Hochrisiko-KI-System » eingestuft werden und strenge Konformitätspflichten erfordern.
• Gastronomie: Ein Restaurant nutzt eine Lagerverwaltungssoftware mit einem Modul zur Verkaufsvorhersage. Dieses Modul, betrieben durch KI, analysiert historische Verkaufsdaten, um den Bedarf vorherzusagen und Lieferengpässe zu vermeiden. Risiko: Wird das System für wichtige Entscheidungen genutzt (z. B. automatische Bestellungen), könnte es als « begrenzt risikoreich » eingestuft werden und Transparenzpflichten erfordern.

In allen diesen Fällen spielt die Branche keine Rolle. Entscheidend ist die Nutzung eines KI-Systems und dessen Risikostufe. Und die Strafen bei Nichteinhaltung sind für alle gleich: bis zu 15 Millionen Euro oder 3 % des weltweiten Umsatzes.

Überzeugung Nr. 4: « Der AI Act betrifft nur Tech-Startups »

Viele Geschäftsführer:innen glauben, der AI Act gelte nur für Tech-Startups oder Unternehmen, die KI-Modelle entwickeln. Doch die Verordnung gilt für alle Unternehmen, die KI-Systeme nutzen - unabhängig davon, ob sie diese selbst entwickeln oder nicht. Ein KMU, das ein Kredit-Scoring-Tool zur Bewertung seiner Kunden nutzt, ist genauso betroffen wie ein Startup, das ein Deep-Learning-Modell entwickelt.

Konkrete Beispiele:

• Ein Elektriker: Nutzt eine Software zur Einsatzplanung mit einem Modul zur Vorhersage von Störungen. Dieses Modul, basierend auf KI, analysiert historische Einsätze, um Störungen vorherzusagen und die Planung zu optimieren. Risiko: Wird das System für wichtige Entscheidungen genutzt (z. B. Priorisierung bestimmter Einsätze), könnte es als « begrenzt risikoreich » eingestuft werden und Transparenzpflichten erfordern.
• Ein Reisebüro: Nutzt ein Tool zur Reiseempfehlung mit einem personalisierten KI-Modul. Dieses Modul analysiert Surfverhalten und Kundenpräferenzen, um passende Reiseziele vorzuschlagen. Risiko: Wird das System für wichtige Entscheidungen genutzt (z. B. Vorschlag teurerer oder weniger passender Ziele), könnte es als « begrenzt risikoreich » eingestuft werden und Transparenzpflichten erfordern.
• Eine Anwaltskanzlei: Nutzt eine Software zur Rechtsrecherche mit einem Modul zur Vorhersage von Urteilen. Dieses Modul, betrieben durch KI, analysiert vergangene Gerichtsentscheidungen, um Trends vorherzusagen und juristische Argumente vorzuschlagen. Risiko: Wird das System für wichtige Entscheidungen genutzt (z. B. Strategieentwicklung oder Erfolgsbewertung eines Prozesses), könnte es als « Hochrisiko-KI-System » eingestuft werden und strenge Konformitätspflichten erfordern.

In allen drei Fällen handelt es sich nicht um ein Tech-Startup, doch das Unternehmen nutzt KI-Systeme, die vom AI Act betroffen sein können. Und die Strafen bei Nichteinhaltung sind für alle gleich: bis zu 15 Millionen Euro oder 3 % des weltweiten Umsatzes.

Quiz: Sind Sie vom AI Act betroffen?

Um zu prüfen, ob Ihr Unternehmen vom AI Act betroffen ist, beantworten Sie diese fünf Fragen mit « ja » oder « nein ». Wenn Sie mindestens eine Frage mit « ja » beantworten, ist es wahrscheinlich, dass Ihr Unternehmen betroffen ist.

1. Nutzen Sie ein Tool, das automatisch Daten analysiert, um Entscheidungen zu treffen (z. B. ein CRM mit Lead-Scoring, eine Bewerbermanagementsoftware mit automatischer CV-Sortierung oder ein dynamisches Preistool)?
2. Nutzen Sie ein Tool, das Trends oder Verhaltensweisen vorhersagt (z. B. Buchhaltungssoftware mit Cashflow-Prognose, Lagerverwaltungssoftware mit Verkaufsvorhersage oder Projektmanagementsoftware mit Verzögerungsprognose)?
3. Nutzen Sie ein Tool, das Empfehlungen oder Inhalte für Kunden oder Mitarbeitende personalisiert (z. B. ein Produktempfehlungstool, eine Lernsoftware mit personalisierten Lernpfaden oder eine HR-Software mit Schulungsvorschlägen)?
4. Nutzen Sie ein Tool, das Entscheidungsprozesse automatisiert (z. B. eine Bewerbermanagementsoftware, die Bewerber:innen automatisch ausschließt, ein Kredit-Scoring-Tool, das Kreditanträge automatisch ablehnt, oder ein Überwachungssystem, das automatisch Warnmeldungen auslöst)?
5. Nutzen Sie ein Tool, das Bilder, Videos oder Stimmen analysiert, um Entscheidungen zu treffen (z. B. eine Gesichtserkennungssoftware für Zutrittskontrollen, ein Tool zur Analyse medizinischer Bilder oder ein Videoüberwachungssystem mit automatischer Verhaltenserkennung)?

Wenn Sie mindestens eine Frage mit « ja » beantwortet haben, ist Ihr Unternehmen wahrscheinlich vom AI Act betroffen. Um Ihr Risikolevel und Ihre Pflichten zu prüfen, können Sie den kostenlosen AiActo-Check nutzen, der Ihr KI-System in unter drei Minuten klassifiziert.

Was tun, wenn Ihr Unternehmen betroffen ist?

Wenn Sie festgestellt haben, dass Ihr Unternehmen vom AI Act betroffen ist, keine Panik. Hier sind die Schritte, die Sie unternehmen sollten, um Konformität herzustellen:

1. Klassifizieren Sie Ihr KI-System: Bestimmen Sie, ob Ihr System als « minimal risikoreich », « begrenzt risikoreich », « Hochrisiko-KI-System » oder « verboten » eingestuft wird. Nutzen Sie dazu den kostenlosen AiActo-Check, der Sie Schritt für Schritt führt.
2. Identifizieren Sie Ihre Pflichten: Je nach Risikostufe Ihres Systems müssen Sie unterschiedliche Pflichten erfüllen. Beispiele:
   • Minimal risikoreiche Systeme: Keine spezifischen Pflichten, aber es wird empfohlen, die Nutzung von KI zu dokumentieren, um guten Willen im Falle einer Kontrolle nachweisen zu können.
   • Begrenzt risikoreiche Systeme: Transparenzpflichten (z. B. Nutzer:innen darüber informieren, dass sie mit einem KI-System interagieren).
   • Hochrisiko-KI-Systeme: Strenge Pflichten, einschließlich technischer Dokumentation, Risikobewertung, Einrichtung von Governance-Maßnahmen und Meldung bei den zuständigen Behörden.
3. Dokumentieren Sie Ihre Konformität: Für Hochrisiko-KI-Systeme müssen Sie eine detaillierte technische Dokumentation erstellen, die der Anhang IV der Verordnung entspricht. Diese Dokumentation muss enthalten:
   • Eine Beschreibung des KI-Systems und seiner Ziele.
   • Eine Beschreibung der für das Training des Systems verwendeten Daten.
   • Eine Risikobewertung und Maßnahmen zu deren Minderung.
   • Eine Beschreibung der Governance- und Überwachungsmaßnahmen.
4. Richten Sie eine KI-Governance ein: Benennen Sie eine verantwortliche Person für die KI-Konformität in Ihrem Unternehmen und richten Sie Prozesse ein, um Ihr KI-System regelmäßig zu überwachen und zu bewerten.
5. Melden Sie Ihr System an: Wenn Ihr System als « Hochrisiko-KI-System » eingestuft wird, müssen Sie es bei den zuständigen Behörden (z. B. dem AI Office in Europa) anmelden.

Um Sie bei diesen Schritten zu unterstützen, bietet AiActo eine umfassende Plattform, die Sie Schritt für Schritt durch die KI-Konformität führt. Mit AiActo können Sie:

• Ihr KI-System in wenigen Klicks klassifizieren - dank eines kostenlosen Checks.
• Automatisch Ihre technische Dokumentation generieren, die der Anhang IV der Verordnung entspricht.
• Individuelle Unterstützung erhalten, um eine KI-Governance einzurichten, die zu Ihrem Unternehmen passt.
• Ihre Dokumentation als professionelles PDF exportieren, das im Falle einer Kontrolle vorgelegt werden kann.

Fazit: Ist der AI Act eine versteckte Chance?

Der AI Act ist nicht nur eine regulatorische Hürde. Er bietet KMU auch eine Chance, sich zu differenzieren, das Vertrauen ihrer Kunden zu stärken und sich auf die Zukunft vorzubereiten. Wenn Sie sich jetzt konform verhalten, können Sie:

• Hohe Strafen vermeiden: bis zu 15 Millionen Euro oder 3 % des weltweiten Umsatzes.
• Das Vertrauen Ihrer Kunden stärken: indem Sie nachweisen, dass Sie KI verantwortungsvoll und transparent einsetzen.
• Sich auf die Zukunft vorbereiten: KI wird sich in allen Branchen weiter durchsetzen. Wenn Sie sich jetzt konform verhalten, sind Sie auf regulatorische und technologische Entwicklungen vorbereitet.
• Neue Märkte erschließen: Einige Unternehmen oder öffentliche Institutionen verlangen bereits die Einhaltung des AI Act von ihren Lieferanten oder Partnern.

Denken Sie also nicht « betrifft uns nicht », sondern fragen Sie sich: « Ist der AI Act vielleicht eine Chance für mein Unternehmen? » Um das herauszufinden, beginnen Sie mit dem kostenlosen AiActo-Check. In unter drei Minuten wissen Sie, ob Ihr Unternehmen betroffen ist - und welche nächsten Schritte Sie unternehmen müssen, um Konformität herzustellen.

« Die Einhaltung des AI Act ist keine Pflicht, sondern eine Investition in die Zukunft Ihres Unternehmens. Wenn Sie sich jetzt konform verhalten, vermeiden Sie hohe Strafen, stärken Sie das Vertrauen Ihrer Kunden und bereiten Sie sich auf das Zeitalter der verantwortungsvollen KI vor. »

- AiActo-Glossar