Der 3-Schritte-Check, der zeigt, ob der EU AI Act Ihr Unternehmen wirklich trifft

Der EU AI Act ist keine ferne EU-Regel für Großkonzerne, sondern wird ab August 2026 ganz konkret für viele kleine und mittlere Unternehmen relevant. Wer KI in Software, Cloud-Tools oder eigenen Prozessen nutzt, sollte jetzt prüfen, ob und wie das eigene Unternehmen betroffen ist.

Statt eines klassischen Fließtext-Artikels erhalten Sie hier eine praxisnahe Checkliste, mit der Sie Schritt für Schritt prüfen können, wie stark Ihr Unternehmen betroffen ist und welche Maßnahmen Sie konkret umsetzen können.

1. KI-Inventur: Wo arbeitet KI schon heute?

Bevor Sie über Risiken sprechen können, brauchen Sie Klarheit:

Wo setzt Ihr Unternehmen überhaupt KI ein?

Konkrete Handlungsanweisungen:

• Gehen Sie Abteilung für Abteilung durch: IT, Buchhaltung, HR, Vertrieb, Marketing und Service.
• Erfassen Sie nicht nur offensichtliche KI-Tools wie Chatbots oder Analyse-Software, sondern auch Funktionen in bestehender Standardsoftware und Cloud-Diensten, beispielsweise automatische Auswertungen, Text- oder Bildgeneratoren sowie Recommendation-Funktionen.
• Halten Sie zu jedem System drei Punkte fest: Zweck (wofür wird es eingesetzt), Bereich (in welcher Abteilung oder welchem Prozess) und Nutzerkreis (wer arbeitet damit).

Ziel dieser Inventur ist kein perfektes Register, sondern ein möglichst vollständiges Bild. Erst wenn klar ist, welche Systeme im Einsatz sind, können Sie sinnvoll bewerten, welche Regeln des EU AI Act greifen.

2. Risiko einschätzen: Welche KI ist kritisch, welche eher unproblematisch?

Im zweiten Schritt geht es um die Frage:

Welche Ihrer KI-Anwendungen sind aus rechtlicher Sicht besonders sensibel?

Orientieren Sie sich dabei an dieser einfachen Einteilung:

Hochsensibel ist KI immer dann, wenn sie über Menschen mitentscheidet – etwa bei der Bewerberauswahl, Mitarbeiterbewertung, Kreditwürdigkeit, beim Scoring oder bei anderen Entscheidungen mit erheblichen Auswirkungen.

Ebenfalls sensibel sind Systeme, die sicherheitsrelevante Prozesse beeinflussen, beispielsweise im technischen Umfeld oder bei kritischen Infrastrukturen.

Weniger kritisch sind reine Analyse-Tools für interne Auswertungen, Assistenzsysteme für Texte oder einfache Chatbots im Kundenservice, solange sie keine weitreichenden Entscheidungen treffen.

Praktische Handlungsanweisungen:

• Markieren Sie alle Systeme, die in Bewerbungsprozessen, Bewertungsprozessen oder finanziellen Entscheidungen genutzt werden.
• Prüfen Sie, ob diese Systeme strukturiert überwacht werden. Gibt es klare Regeln, wer sie nutzen darf, wie Ergebnisse geprüft werden und wie Fehler erkannt werden?
• Bei weniger kritischen Systemen sollte sichergestellt sein, dass Nutzer erkennen können, wenn Inhalte durch KI erzeugt wurden oder sie mit einem System statt mit einer Person kommunizieren.

Sie müssen keine juristische Risikoeinstufung im Detail vornehmen. Wichtig ist, dass Sie wissen, welche Anwendungen besondere Aufmerksamkeit verdienen.

3. Zuständigkeiten und Prozesse: Wer trägt Verantwortung?

Der dritte Schritt entscheidet darüber, ob Ihr Unternehmen handlungsfähig bleibt, wenn sich Vorgaben ändern oder Fragen von außen kommen:

Wer kümmert sich um KI-Compliance und nach welchen Regeln?

Empfehlung für eine professionelle Struktur:

• Benennen Sie mindestens eine Person oder ein kleines Team, das den Überblick über alle KI-Systeme behält.
• Verankern Sie diese Verantwortung bewusst in der Führungsebene. KI-Regeln sind kein reines IT-Thema, sondern betreffen Strategie, Personal, Vertrieb und Recht.
• Legen Sie einfache Prozesse fest:
  • Wie werden neue KI-Tools vor dem Einsatz geprüft?
  • Wer entscheidet über Änderungen an bestehenden Systemen?
  • Wie wird dokumentiert, welche Systeme genutzt werden?
  • Wie werden Mitarbeitende geschult, bevor sie mit einem neuen KI-System arbeiten?

Wichtig ist, dass diese Prozesse nicht nur auf dem Papier existieren, sondern im Alltag gelebt werden. Ziel ist es, spontane KI-Entscheidungen zu vermeiden und stattdessen nachvollziehbare Abläufe zu schaffen.

KI-Kompetenz im Team: Ohne Wissen keine Sicherheit

Der EU AI Act verlangt, dass Mitarbeitende, die mit KI arbeiten oder KI-Ergebnisse nutzen, über ausreichende Kenntnisse verfügen. Für den Mittelstand bedeutet das: Sie brauchen ein Grundverständnis im Team darüber, wie KI funktioniert und wo ihre Grenzen liegen.

Praktische Hinweise:

• Erfassen Sie zunächst, wer heute mit KI-Systemen arbeitet – beispielsweise HR bei Bewerbertools, Marketing bei Content-Tools, Vertrieb bei Scoring-Modellen oder die IT bei technischen Systemen.
• Entwickeln Sie kurze und verständliche Leitlinien: Was darf die KI entscheiden? Was wird immer von einer Person geprüft? Wie geht man mit KI-Fehlern um? Wie erkennt man fragwürdige Ergebnisse?
• Setzen Sie auf pragmatische Formate wie interne Schulungen, kompakte Handouts oder kurze Online-Trainings.
• Dokumentieren Sie diese Maßnahmen, damit Sie bei Nachfragen nachweisen können, dass Ihr Unternehmen seine Kompetenzpflicht ernst nimmt.

So entsteht Schritt für Schritt eine KI-Kompetenzkultur, die Sicherheit schafft, ohne zu überfordern.

Teure Stolperfallen vermeiden: Typische Denkfehler

Viele rechtliche Probleme entstehen nicht durch bösen Willen, sondern durch falsche Annahmen. Drei typische Denkfehler sollten Sie vermeiden:

• „Wir nutzen keine KI“, obwohl entsprechende Funktionen längst in Standardsoftware oder Cloud-Tools integriert sind.
• „Das macht die IT“, obwohl KI-Entscheidungen häufig Personal, Kunden oder Finanzen betreffen und deshalb auch HR, Vertrieb und Geschäftsführung eingebunden sein müssen.
• „Darum kümmert sich unser Anbieter“, obwohl Unternehmen selbst für den Einsatz und die Überwachung der Systeme mitverantwortlich bleiben.

Wer diese Denkfehler korrigiert, verhindert bereits einen großen Teil späterer Konflikte.

Fazit: Jetzt anfangen, nicht später reagieren

Der EU AI Act zwingt Unternehmen dazu, ihren KI-Einsatz bewusster zu gestalten. Das bedeutet zwar zunächst zusätzlichen Aufwand, bietet aber zugleich die Chance, Prozesse zu verbessern, Transparenz zu schaffen und das Vertrauen von Kunden, Partnern und Mitarbeitenden zu stärken.

Ihr Fahrplan kann ganz einfach aussehen:

• Eine KI-Inventur in allen Abteilungen durchführen.
• Eine grobe Risiko-Einschätzung mit Fokus auf menschenbezogene und sicherheitskritische Anwendungen vornehmen.
• Klare Zuständigkeiten, Prozesse und Schulungsmaßnahmen etablieren.

Je früher Sie diese Schritte gehen, desto entspannter werden Sie den Stichtag im August 2026 erleben – und desto eher wird KI in Ihrem Unternehmen zu einem stabilen Erfolgsfaktor statt zu einem rechtlichen Risiko.

Bildcredits/ Fotograf: Fabian Martin Fabian Mepic Photography

Aussagen des Autors und des Interviewpartners geben nicht unbedingt die Meinung der Redaktion und des Verlags wieder.