Checkliste AI Act für KMU: 10 prioritäre Maßnahmen in 2026.
Die europäische KI-Verordnung legt klare Pflichten fest, sieht aber auch Unterstützungsmaßnahmen für kleine Strukturen vor. Hier sind die 10 Schritte, die Sie jetzt angehen sollten, nach Priorität geordnet.
1. Bestandsaufnahme aller in der Firma genutzten KI-Tools
Erster unverzichtbarer Schritt: Wissen, welche KI-Tools genutzt werden, auch auf informeller Basis.
Schatten-KI stellt ein großes Risiko für KMU dar. Laut mehreren Studien werden fast 40 % der in Unternehmen genutzten KI-Tools nicht gemeldet. Dieser Schritt ermöglicht es, die vom AI Act betroffenen Systeme zu identifizieren und Überraschungen zu vermeiden.
Verwenden Sie eine einfache Tabelle mit folgenden Spalten: Name des Tools, Anbieter, Hauptfunktion, verarbeitete Daten, interne Nutzer. Diese Bestandsaufnahme dient als Grundlage für die nächsten Schritte.
2. Risikobewertung für jedes System durchführen
Nicht alle KI-Tools unterliegen denselben Pflichten. Dieser Schritt ermöglicht es, die Maßnahmen zu priorisieren.
Für Systeme mit begrenztem oder minimalem Risiko sind die Pflichten gering. Für Hochrisiko-KI-Systeme gelten ab Dezember 2027 spezifische Maßnahmen.
3. Regulatorische Rolle identifizieren
Der AI Act unterscheidet zwei Hauptrollen: Anbieter und Betreiber. Die Pflichten unterscheiden sich je nach Status.
Betreiber haben im Vergleich zu Anbietern erleichterte Pflichten. Sie müssen beispielsweise sicherstellen, dass das System konform ist, sind aber nicht für dessen Entwicklung verantwortlich.
4. Prüfen, dass keine verbotenen Praktiken genutzt werden
Der AI Act verbietet bestimmte Praktiken seit Februar 2025. Dieser Schritt hilft, schwere Sanktionen zu vermeiden.
Wenn ein Tool einer verbotenen Praxis entspricht, muss es sofort entfernt werden. Die Sanktionen können bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes betragen.
5. Ein KI-Kompetenzprogramm einführen
Der AI Act verlangt eine Mindestschulung für Mitarbeiter, die KI-Tools nutzen.
Diese Schulung kann in bestehende Module zum Datenschutz oder zur Cybersicherheit integriert werden. Sie muss an das Risikoniveau der genutzten Tools angepasst sein.
6. Dokumentation von Ihren Anbietern anfordern
Betreiber müssen sicherstellen, dass ihre Anbieter den AI Act einhalten. Dieser Schritt sichert Ihre Lieferkette.
Bewahren Sie diese Dokumente in einem eigenen Register auf. Sie können im Falle einer Kontrolle angefordert werden.
7. Ein internes Register der KI-Systeme erstellen
Betreiber müssen ein Register der genutzten KI-Systeme führen, insbesondere wenn diese als Hochrisiko-KI-Systeme eingestuft sind.
Dieses Register kann in ein bestehendes Tool integriert werden (z. B. Verzeichnis der Verarbeitungen nach DSGVO). Es muss regelmäßig aktualisiert werden.
8. Menschliche Aufsicht dokumentieren
Der AI Act verlangt eine menschliche Aufsicht für KI-Systeme, insbesondere für Hochrisiko-KI-Systeme.
Diese Dokumentation muss für die betroffenen Mitarbeiter zugänglich und verständlich sein.
9. FRIA vorbereiten, falls zutreffend
KI-Systeme, die in sensiblen Bereichen eingesetzt werden, können eine Folgenabschätzung erfordern.
Die FRIA ist für die in Anhang III aufgelisteten Hochrisiko-KI-Systeme verpflichtend. Sie muss vor der Inbetriebnahme des Systems durchgeführt werden.
10. Einen Monitoring-Plan nach der Inbetriebnahme erstellen
Der AI Act verlangt eine kontinuierliche Überwachung der KI-Systeme, um Abweichungen oder Vorfälle zu erkennen.
Dieser Plan kann in bestehende Risikomanagement- oder Compliance-Verfahren integriert werden.
KMU profitieren von spezifischen Unterstützungsmaßnahmen im AI Act:
- Ermäßigte Gebühren: Der Artikel 43 Abs. 4 sieht ermäßigte Tarife für Konformitätsbewertungen von Hochrisiko-KI-Systemen vor.
- Priorisierter Zugang zu regulatorischen Sandboxes: Der Artikel 55 garantiert KMU priorisierten Zugang zu diesen Einrichtungen, die es ermöglichen, KI-Lösungen in einem sicheren Rahmen zu testen.
- Erleichterte Pflichten für GPAI: Der Artikel 53 Abs. 3 reduziert die Anforderungen für KMU, die Anbieter von KI-Modellen mit allgemeinem Verwendungszweck sind.
In Deutschland arbeiten die Bundesnetzagentur und der BfDI gemeinsam an einer regulatorischen Sandbox, die bis August 2026 einsatzbereit sein soll.
Ihre Pflichten in 3 Minuten identifizieren
Unser kostenloses Diagnosetool zeigt Ihnen, welche prioritären Maßnahmen Sie für Ihr Unternehmen anwenden müssen.
Häufige Fragen
Antworten auf die häufigsten Fragen von KMU zum AI Act.
Ja. Der AI Act gilt für alle Unternehmen, unabhängig von ihrer Größe, sobald sie KI-Systeme in der Europäischen Union nutzen oder bereitstellen. Der Text sieht jedoch spezifische Unterstützungsmaßnahmen für KMU vor, wie ermäßigte Gebühren oder priorisierten Zugang zu regulatorischen Sandboxes.
Die Sanktionen können bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes betragen, je nachdem, welcher Betrag höher ist. Bei KMU bevorzugen die Aufsichtsbehörden in der Regel Beratung vor Sanktionen, aber die reputativen und rechtlichen Risiken bleiben erheblich.
Ein KI-System wird als Hochrisiko-KI-System eingestuft, wenn es in einem der in Anhang III des AI Act aufgeführten Bereiche eingesetzt wird. Beispiele: Personalwesen, Bildung, Finanzdienstleistungen, Gesundheit oder kritische Infrastrukturen. Nutzen Sie das interaktive Tool des AI Office, um dies zu überprüfen.
Eine regulatorische Sandbox ist eine kontrollierte Umgebung, die es Unternehmen ermöglicht, innovative KI-Lösungen unter Aufsicht der zuständigen Behörden zu testen. Der Artikel 57 des AI Act verpflichtet jeden Mitgliedstaat, bis August 2026 mindestens eine solche Sandbox einzurichten. KMU erhalten priorisierten Zugang.
Der AI Act verlangt nicht ausdrücklich die Benennung eines Compliance-Verantwortlichen für KI. Es wird jedoch empfohlen, eine verantwortliche Person zu benennen, um die Compliance-Maßnahmen zu koordinieren, insbesondere wenn das Unternehmen mehrere KI-Systeme oder Hochrisiko-KI-Systeme nutzt. Diese Person kann der Datenschutzbeauftragte, der Rechtsverantwortliche oder ein geschulter Mitarbeiter sein.