AI Act Checkliste für KMU¶
Regelungsbereich und betroffene Unternehmen¶
Für KMU ist der AI Act meist kein Verbotsthema, sondern eine Einordnungs- und Sorgfaltsaufgabe. Viele typische KI-Nutzungen im Unternehmen landen voraussichtlich bei begrenztem oder minimalem Risiko: Text- und Bildgeneratoren, Chatbots, Copilot-ähnliche Werkzeuge, interne Assistenzsysteme oder KI-Unterstützung in Cybersecurity und Organisation. Strenger wird es, wenn KI in sensiblen Bereichen wie HR, Bildung, kritischer Infrastruktur oder automatisierten Entscheidungen über Menschen eingesetzt wird (Illibauer 2026).
Die praktische Prüfung beginnt nicht mit Paragrafen, sondern mit drei Führungsfragen: Ist das eingesetzte Tool überhaupt ein KI-System oder nur ein digitales Werkzeug? Dürfen wir es in dieser Rolle und Risikoklasse einsetzen? Sollten wir es in diesem konkreten Prozess überhaupt einsetzen, weil Nutzen, Qualität und Risiko zusammenpassen (Illibauer 2026)?
Konkrete Pflichten und Prüfpunkte¶
Klären Sie zuerst Ihre Rolle. Die meisten KMU entwickeln keine KI-Systeme, sondern betreiben oder nutzen eingekaufte Lösungen. Damit verschieben sich die Pflichten: Sie müssen vor allem Risikoklasse, Anbieterunterlagen, interne Freigabe, Transparenz, Schulung, Datenschutz, Cybersecurity und menschliche Kontrolle prüfen. Wer selbst entwickelt, unter eigenem Namen anbietet oder ein System wesentlich verändert, kann näher an Anbieterpflichten heranrücken (Illibauer 2026; Niessner 2026).
Nutzen Sie für jedes KI-Tool eine kurze Checkliste: Zweck, Datenarten, Risikoklasse, Anbieterrolle, Lizenzmodell, Auftragsverarbeitung, Speicherort, erlaubte Nutzergruppen, Output-Prüfung, Kennzeichnung, Verantwortliche und Evaluierungsintervall. Diese Dokumentation muss nicht bürokratisch wirken. Sie hilft der Geschäftsführung, Schatten-KI, Datenschutzlücken und spätere Haftungsdiskussionen zu vermeiden (Illibauer 2026).
Planen Sie KI-Kompetenz pragmatisch. Der AI Act schreibt keine bestimmte Zertifikatsschulung vor. Unternehmen sollen aber nachweisen können, dass Mitarbeitende die Grundfunktion, Grenzen und Risiken der eingesetzten Systeme verstehen. Dazu gehören digitale Grundkompetenz, Verständnis für Halluzinationen, Bias und Faktenprüfung, toolbezogene Einschulung sowie rechtliche Grundregeln zu Datenschutz, Urheberrecht und Arbeitsrecht (Illibauer 2026).
Typische Risiken und Praxisfehler¶
Ein häufiger Fehler liegt darin, AI Act, DSGVO, Urheberrecht und Haftung getrennt zu behandeln. Für die Praxis hängen diese Themen zusammen: Ein KI-Bild kann Transparenz- und Urheberrechtsfragen auslösen, ein Chatbot kann Datenschutz und Kennzeichnung betreffen, ein Copilot kann personenbezogene Daten, Geschäftsgeheimnisse und Cybersecurity berühren. Die Rechtsprüfung sollte daher am konkreten Tool und Prozess hängen, nicht an isolierten Rechtsgebieten (Illibauer 2026).
Ein zweiter blinder Fleck ist das Gratis-Tool im Unternehmensalltag. Wenn Mitarbeitende vertrauliche Texte, Kundendaten, interne E-Mails oder Marketingmaterial in kostenlose KI-Dienste eingeben, kann das Datenschutz, Geschäftsgeheimnisse und Nutzungsrechte gefährden. Für produktive Nutzung sind betriebliche Lizenzen, klare Auftragsverarbeiterverträge, Datenhosting möglichst im EWR und interne Tool-Freigaben wichtig (Illibauer 2026).
Ein dritter Fehler ist die fehlende Nachkontrolle. KI-Nutzung bleibt eine laufende Managementaufgabe: Prüfen Sie regelmäßig, ob ein Tool wirklich genutzt wird, ob der Nutzen noch stimmt, ob neue Risiken entstanden sind und ob Guidelines angepasst werden müssen. Feedbackrunden, Human-in-the-Loop, Bias-Checks und Faktenchecks gehören daher zum Betrieb, nicht nur zur Einführung (Illibauer 2026).
Stand der Einordnung¶
Stand dieser Einordnung ist 15. Mai 2026. Einzelne AI-Act-Pflichten, Transparenzregeln und Hochrisiko-Anforderungen können auf EU-Ebene noch konkretisiert oder zeitlich verschoben werden. KMU sollten deshalb keine Angst vor unrealistischen Millionenstrafen haben, aber ihre Tool-Landschaft, Schulungen und Verantwortlichkeiten nachvollziehbar steuern (Illibauer 2026).