EU AI Act Zeitplan für KMU: Was gilt wann

Warum die Termine wichtiger sind als die Schlagzeilen

Die meisten Beiträge beschreiben den EU AI Act als ein Gesetz, das in einem Moment kam. Tatsächlich ist er eine gestaffelte Verordnung, und der Beginn einer Pflicht entscheidet darüber, was ein Unternehmen jetzt tun muss und worauf es sich vorbereiten kann. Für ein kleines oder mittleres Unternehmen, das von anderen gebaute KI-Tools einsetzt, ist nicht die Frage, ob der Act kompliziert ist, sondern welche Stufen bereits für die heutige KI-Nutzung der Mitarbeitenden gelten. Dieser Artikel liest die Stufen aus der AI-Act-Seite der Europäischen Kommission und der Zeitleiste ihres AI Service Desk, beide am Tag des Schreibens, dem 13. Oktober 2026, geöffnet.

Betreiber ist nicht gleich Anbieter

Der Act unterscheidet Organisationen, die ein KI-System entwickeln oder in Verkehr bringen, von Organisationen, die es nur im eigenen Geschäft nutzen. Ein Unternehmen, das einen Chatbot, einen Dokumentenassistenten oder ein Bewertungstool kauft und für die eigene Arbeit nutzt, steht auf der Betreiberseite. Ein Unternehmen, das ein eigenes System baut und anderen anbietet, steht auf der Anbieterseite. Viele KMU sind je nach Situation beides, daher lohnt es sich, je Einsatz festzulegen, auf welcher Seite man steht. Die Tabelle unten konzentriert sich darauf, was ein betreibendes Unternehmen zu den einzelnen Terminen erwarten sollte.

Der Zeitplan, Datum für Datum

Die Daten stammen von den eigenen Seiten der Kommission. Der AI Omnibus, der Teile des Acts vereinfacht hat, ist berücksichtigt: Die Kommission gibt an, dass er am 27. Juli 2026 in Kraft getreten ist und die Hochrisiko-Termine verschoben hat. Wo eine Zeile von Ihrem Einsatz abhängt, entscheidet der risikobasierte Ansatz des Acts, nicht die Unternehmensgröße.

Was ein KMU, das KI einsetzt, zuerst tun sollte

Zwei Pflichten gelten bereits und erfordern kein weiteres Warten. Die erste ist, verbotene Praktiken zu meiden, eine kurze Liste von Einsätzen, die der Act ausdrücklich verbietet. Die zweite ist KI-Kompetenz: Die Zeitleiste der Kommission führt sie unter den Pflichten, die seit dem 2. Februar 2025 gelten. Die praktische Lesart ist bescheiden. Wer KI-Tools bedient oder beaufsichtigt, soll verstehen, was die Tools können und was nicht, welche Daten sie erhalten dürfen und wann eskaliert werden muss. Ein kurzes internes Briefing, schriftlich festgehalten und bei Toolwechseln wiederholt, ist ein vertretbarer Anfang. Den genauen Wortlaut der Pflicht und ihre aktuelle Form nach dem AI Omnibus sollten Sie mit einer Rechtsberatung klären.

Transparenz ab August 2026

Seit dem 2. August 2026 gelten die Transparenzregeln. Die Kommission beschreibt sie so, dass KI-erzeugte Inhalte erkennbar sein müssen und bestimmte Inhalte, nämlich Deepfakes und Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden, klar gekennzeichnet sein müssen. Für ein betreibendes KMU ist das relevant, wenn Marketing, Kommunikation oder Kundenteams generierte Bilder, Videos, Audio oder Texte veröffentlichen. Legen Sie fest, wer vor der Veröffentlichung prüft, ob generiertes Material gekennzeichnet ist, und halten Sie die Prüfung in einer Notiz fest. Auch Kunden-Chatbots verdienen einen Blick: Menschen sollen erkennen können, dass sie mit einer Maschine sprechen.

Hochrisiko: später, aber nicht nie

Die Hochrisiko-Regeln erhalten die meiste Aufmerksamkeit und gelten zuletzt. Die Kommission gibt an, dass die Regeln für Anhang-III-Anwendungsfälle, die bestimmte sensible Bereiche abdecken, auf den 2. Dezember 2027 verlängert wurden und dass für in regulierte Produkte integrierte KI eine verlängerte Übergangsfrist bis zum 2. August 2028 gilt. Mehr Zeit ist ein Grund, sich geordnet vorzubereiten, kein Grund, das Thema zu ignorieren. Wenn ein geplanter KI-Einsatz Entscheidungen über Menschen beeinflussen könnte, etwa bei Einstellung, Kreditwürdigkeit oder Zugang zu Leistungen, erfassen Sie ihn jetzt als Kandidaten, damit menschliche Aufsicht, Protokollierung und Datenqualität Teil des Designs sind statt einer späteren Nachrüstung. Unser Artikel zur KI-Governance für europäische KMU beschreibt einen praktikablen Weg dafür.

Ein praktischer Ablauf für das nächste Quartal

Der folgende Ablauf übersetzt die Termine in Arbeit, die ein kleines Team ohne Compliance-Abteilung erledigen kann. Jeder Schritt erzeugt eine kurze schriftliche Aufzeichnung, die zugleich der Nachweis ist, den Sie einem Kunden oder Prüfer zeigen möchten.

1. Listen Sie alle KI-Tools und KI-Funktionen auf, die Ihre Mitarbeitenden nutzen, auch die in bestehender Software eingebauten, und benennen Sie je Eintrag eine verantwortliche Person.
2. Prüfen Sie jeden Einsatz gegen die verbotenen Praktiken und halten Sie das Ergebnis fest.
3. Führen Sie ein kurzes KI-Kompetenz-Briefing für alle durch, die diese Tools bedienen oder beaufsichtigen, und dokumentieren Sie die Teilnahme.
4. Führen Sie vor jeder externen Veröffentlichung KI-erzeugter Inhalte eine Kennzeichnungsprüfung ein und kennzeichnen Sie Chatbots klar als Maschinen.
5. Markieren Sie Einsätze, die Entscheidungen über Menschen berühren könnten, als Hochrisiko-Kandidaten und tragen Sie den Termin Dezember 2027 in den Prüfkalender ein.
6. Überprüfen Sie die Liste, wann immer ein Lieferant ein Modell oder eine Funktion ändert, und mindestens einmal jährlich.

Die Termine laufend prüfen

Der Act wurde bereits einmal so geändert, dass Termine verschoben wurden, und die Seiten der Kommission werden aktualisiert, wenn Durchführungsregeln und Leitlinien erscheinen. Behandeln Sie jeden Zeitplan, auch diesen, als Momentaufnahme: Dieser Artikel wurde zuletzt am 13. Oktober 2026 geprüft. Bevor Sie sich bei einer vertraglichen oder Compliance-Entscheidung auf ein Datum verlassen, lesen Sie den aktuellen Text der Verordnung und des ändernden Rechtsakts und lassen Sie juristisch bestätigen, wie er auf Ihren konkreten Einsatz anwendbar ist.