Gloriane

Leitfaden · Stand September 2026

EU AI Act 2026 für KMU im DACH-Raum. Pragmatisch.

Der EU AI Act ist kein Projekt, das Sie einmal abarbeiten. Er ist eine dauerhafte Governance-Aufgabe – in der Liga von DSGVO oder ISO 9001. Dieser Leitfaden erklärt Fristen, Risikoklassen und Ihre konkreten Pflichten – für Unternehmen in Österreich, Deutschland und der Schweiz. Am Ende finden Sie auch einen Weg, diese Aufgabe nicht alleine tragen zu müssen.

Zur ChecklisteErstgespräch buchen
Aktualisiert: 23. September 2026 · Lesezeit ~15 Minuten · Stand: Digital Omnibus, VO (EU) 2026/1744

Compliance · Stand 2026

EU AI Act (Art. 4, Art. 50), DSGVO und die nationalen Aufsichtsvorgaben (AT: RTR, DE: Bundesnetzagentur) sind in jedem Mandat enthalten – als Voreinstellung, nicht als Zusatzbaustein.

0160-Sekunden-Zusammenfassung

Das Wichtigste in 60 Sekunden

Ja, der EU AI Act betrifft auch Ihr kleines Unternehmen – aber er ist für die meisten KMU deutlich weniger dramatisch, als es klingt.

  • Seit 2. Februar 2025 gelten zwei Pflichten: das Verbot bestimmter KI-Anwendungen (Art. 5) und die Pflicht, Mitarbeiter in KI-Kompetenz zu schulen (Art. 4).
  • Seit 2. August 2026 gelten die Transparenzpflichten nach Art. 50: Chatbots und Voice Agents müssen sich als KI zu erkennen geben, Deepfakes sind offenzulegen. Ab 2. Dezember 2026 müssen zusätzlich KI-generierte Inhalte gekennzeichnet werden.
  • Hochrisiko-Pflichten sind verschoben. Der Digital Omnibus verschiebt die Anwendung auf 2. Dezember 2027 (Anhang III – z. B. KI in Personalauswahl oder Kreditvergabe) bzw. 2. August 2028 (Anhang I – KI als Sicherheitskomponente, etwa in Maschinen).
  • Die meisten KMU betreiben ausschließlich KI mit minimalem oder begrenztem Risiko – ChatGPT, Copilot, Chatbots. Für diese Anwendungen reichen Kennzeichnungspflichten und Mitarbeiterschulung.
  • Bußgelder sind für KMU gedeckelt: Es gilt der niedrigere Betrag von Fixbetrag oder Umsatzprozentsatz. Zu den regulatorischen KI-Reallaboren der Mitgliedstaaten erhalten KMU prioritären, grundsätzlich kostenfreien Zugang.

02Zeitachse

Fristen nach dem Digital Omnibus

DatumStatusWas gilt
2. Februar 2025Gilt seit

Verbote + KI-Kompetenzpflicht

Verbotene KI-Praktiken (Art. 5) und Artikel-4-Schulungspflicht für alle, die KI einsetzen.

2. August 2025Gilt seit

GPAI-Anbieter-Pflichten + Sanktionsrahmen

Pflichten für Anbieter generischer KI-Modelle (OpenAI, Anthropic, Google) – für KMU-Anwender nicht relevant. Zugleich gelten die Bußgeldvorschriften (Art. 99).

2. August 2026Gilt seit

Transparenzpflichten (Art. 50)

Chatbots und Voice Agents müssen sich als KI zu erkennen geben, Deepfakes sind offenzulegen.

2. Dezember 2026Nächste Frist

Kennzeichnung KI-generierter Inhalte

KI-generierte Texte, Bilder, Audio- und Videoinhalte müssen als solche gekennzeichnet werden.

2. Dezember 2027Digital Omnibus

Hochrisiko nach Anhang III

Eigenständige Hochrisiko-Systeme (HR-Tools, Kreditscoring etc.). Verschoben durch den Digital Omnibus.

2. August 2028Digital Omnibus

Hochrisiko nach Anhang I

In Produkte eingebettete Systeme (Maschinen, Medizinprodukte). Verschoben durch den Digital Omnibus.

Rechtsgrundlage der Verschiebung ist der Digital Omnibus on AI, VO (EU) 2026/1744, in Kraft seit 27. Juli 2026. Verbote, Schulungspflicht und Transparenzpflichten gelten damit bereits – offen sind noch die Kennzeichnung KI-generierter Inhalte und die Hochrisiko-Pflichten.

Welche Frist für Sie zählt, hängt vom Einsatz ab: Für Industriebetriebe ist Anhang I relevant – KI als Sicherheitskomponente in Maschinen. Für die meisten anderen KMU stehen Art. 4 und Art. 50 im Vordergrund, bei KI in Personalauswahl oder Kreditvergabe zusätzlich Anhang III.

03Risikoklassen

Vier Klassen, vier Regime

Der AI Act reguliert nicht Technologie, sondern Einsatzzweck. Jedes KI-System muss nach seinem konkreten Anwendungsfall eingestuft werden.

Klasse 1

Verboten

Unannehmbares Risiko

Social Scoring, biometrische Echtzeit-Fernidentifikation, Emotionserkennung am Arbeitsplatz, unterschwellige Manipulation. Für die meisten KMU nicht relevant – außer bei HR- oder Überwachungssystemen.

Klasse 2

Streng reguliert

Hohes Risiko

HR-Tools mit Bewerber-Screening, Kreditscoring, kritische Infrastruktur, Medizinprodukte, Bildungs- und Justizsysteme. Wer ein automatisiertes Bewerber-Screening einsetzt, ist Betreiber eines Hochrisiko-Systems.

Klasse 3

Transparenzpflichten

Begrenztes Risiko

Chatbots, Voice Agents, KI-generierte Inhalte, Deepfakes. Nutzer müssen erkennen, dass sie mit einer KI interagieren. KI-generierte Inhalte werden gekennzeichnet. Die Klasse, in der die meisten KMU-Anwendungen liegen.

Klasse 4

Keine Pflichten

Minimales Risiko

Rechtschreibprüfung, Übersetzungs-Tools, Spam-Filter, KI-gestützte Empfehlungssysteme im E-Commerce. Die überwiegende Mehrheit aller KI-Alltagsanwendungen. Keine zusätzlichen AI-Act-Pflichten.

04Artikel 4

Die Schulungspflicht

Wer

Alle Mitarbeiter, die KI-Systeme einsetzen – faktisch fast alle Büroangestellten.

Was

Nachweisbare KI-Kompetenz: Grundlagen, Risiken, unternehmensspezifische Nutzungsregeln.

Dokumentation

Schulungsnachweise mit Datum, Inhalten und Teilnehmern. Einmalig reicht nicht – regelmäßige Auffrischung ist Pflicht.

Artikel 4 EU AI Act verpflichtet Unternehmen, die KI-Systeme betreiben, dafür zu sorgen, dass ihre Mitarbeiter die Systeme sachgerecht verstehen. Das Gesetz nennt das „KI-Kompetenz“ (AI literacy).

Wichtig: Die Schulung darf pragmatisch sein. Eine 45-Minuten-Einführung plus unternehmensspezifische Nutzungsrichtlinie reicht für die Grundkompetenz der meisten Rollen. Tiefergehende Schulungen für Power-User (z. B. Datenanalysten oder Entwickler) müssen separat nachweisbar sein.

Die Pflicht gilt seit 2. Februar 2025. Die Durchsetzung liegt bei den nationalen Behörden und wird typischerweise im Rahmen anderer Audits (DSGVO, IT-Security) mitgeprüft. Wer heute noch keine Schulungsnachweise hat, sollte das nicht länger aufschieben.

05Bußgelder

Drei Stufen an Sanktionen

Die Höchststrafen klingen dramatisch. Für KMU gilt jeweils der niedrigere Betrag – aber bereits das kann existenzgefährdend sein.

KRITISCH7 % Umsatz

€35 Mio.

Höchststrafe bei Einsatz verbotener KI-Praktiken (Art. 5). Für KMU gedeckelt auf den niedrigeren Betrag.

HOCH3 % Umsatz

€15 Mio.

Strafe bei Verstößen gegen Pflichten aus dem AI Act (ausgenommen Art. 5 und Falschangaben).

RELEVANT1,5 % Umsatz

€7,5 Mio.

Strafe bei Falschangaben gegenüber Aufsichtsbehörden. Für KMU gilt immer der niedrigere Wert.

067-Schritte-Checkliste

Was Sie jetzt konkret tun sollten

  1. Schritt 01

    KI-Inventar erstellen

    Liste aller KI-Systeme, die bei Ihnen im Einsatz sind – inklusive externer Dienste wie ChatGPT, Copilot, Marketing-Automation, Chatbots auf der Website.

  2. Schritt 02

    Risikoklassen bestimmen

    Jedes System nach Einsatzzweck in eine der vier Klassen einordnen. Bei Unsicherheit: zur höheren Klasse tendieren, Dokumentation macht das später leicht korrigierbar.

  3. Schritt 03

    KI-Nutzungsrichtlinie verfassen

    Einseitige Richtlinie: Welche Tools dürfen verwendet werden, welche Daten nicht, wer ist Ansprechpartner. Muss schriftlich vorliegen und kommuniziert sein.

  4. Schritt 04

    Artikel-4-Schulung durchführen

    Alle Mitarbeiter, die KI einsetzen, müssen in KI-Kompetenz geschult sein. Nachweise aufbewahren. Einmalig reicht nicht – regelmäßige Auffrischung ist Pflicht.

  5. Schritt 05

    Kennzeichnungen umsetzen

    Seit 2. August 2026 müssen Chatbots und Voice Agents als KI kenntlich sein. Ab 2. Dezember 2026 gilt zusätzlich die Kennzeichnungspflicht für KI-generierte Inhalte (Text, Bild, Audio, Video).

  6. Schritt 06

    Hochrisiko-Systeme gesondert behandeln

    Falls vorhanden: Risikomanagement, menschliche Aufsicht, Dokumentationspflichten. In KMU oft nur HR-Screening – aber dann mit vollem Pflichtenprogramm.

  7. Schritt 07

    Governance-Rhythmus etablieren

    KI-Compliance ist kein einmaliges Projekt. Inventar, Schulungen und Richtlinien müssen laufend gepflegt werden – mindestens quartalsweise überprüft.

07DACH-Überblick

Was gilt in Ihrem Land?

AT

Österreich

Der AI Act gilt als EU-Verordnung unmittelbar – ein eigenes Umsetzungsgesetz ist dafür nicht nötig. Die RTR betreibt die KI-Servicestelle als zentrale Anlaufstelle für Unternehmen. Welche Behörden die Marktüberwachung übernehmen, ist national geregelt.

DE

Deutschland

Auch in Deutschland gilt der AI Act unmittelbar. Die Bundesnetzagentur ist als zentrale Marktüberwachungsbehörde und Anlaufstelle vorgesehen und bietet Unternehmen bereits Orientierung über ihren KI-Service-Desk. Für einzelne Sektoren bleiben die bestehenden Fachaufsichten zuständig.

CH

Schweiz

In der Schweiz gilt der AI Act nicht direkt. Er betrifft aber Schweizer Hersteller, die KI-Systeme oder KI-haltige Produkte in die EU liefern – etwa Maschinen mit KI als Sicherheitskomponente (Anhang I). Der Bundesrat verfolgt statt eines eigenen KI-Gesetzes einen sektoriellen Ansatz über bestehende Gesetze.

08KMU-Erleichterungen

Reallabore und Entlastungen

KI-Reallabore (Sandboxes)

Regulatorische Reallabore nach EU-Vorgabe in jedem Mitgliedstaat. KMU mit prioritärem, grundsätzlich kostenfreiem Zugang. Entwicklung und Test auch von Hochrisiko-Systemen unter behördlicher Begleitung.

KMU-Erleichterungen

Vereinfachte Dokumentation, gedeckelte Bußgelder (niedrigerer Betrag aus Fix oder Prozent), geförderte Sandbox-Teilnahme.

09FAQ

Häufige Fragen zum EU AI Act

Der Bußgeldrahmen des AI Act (Art. 99) gilt seit 2. August 2025. Sanktioniert werden kann damit alles, was bereits anwendbar ist: die Verbote (Art. 5), die Schulungspflicht (Art. 4) und seit 2. August 2026 die Transparenzpflichten (Art. 50). Die konkrete Durchsetzung regelt jeder Mitgliedstaat national.

In Österreich ist die KI-Servicestelle der RTR die zentrale Anlaufstelle, die Marktüberwachung ist national geregelt. In Deutschland übernimmt die Bundesnetzagentur die Rolle der zentralen Marktüberwachungs- und Anlaufstelle. In der Schweiz gilt der AI Act nicht unmittelbar – relevant wird er für Unternehmen, die KI-Systeme oder KI-haltige Produkte in die EU liefern.

Der Digital Omnibus on AI (VO (EU) 2026/1744) ist seit 27. Juli 2026 in Kraft. Er verschiebt die Hochrisiko-Pflichten auf 2. Dezember 2027 (Anhang III) bzw. 2. August 2028 (Anhang I) und die Kennzeichnung KI-generierter Inhalte auf 2. Dezember 2026. Die Pflichten selbst bleiben inhaltlich weitgehend unverändert – es gibt nur mehr Zeit für die Umsetzung.

Nein. Die Transparenzpflicht muss am Ort der Interaktion erfolgen: Chatbots müssen sich als KI zu erkennen geben, KI-generierte Inhalte müssen am Inhalt selbst markiert sein. Impressum-Hinweise reichen nicht.

Der Einsatz im Unternehmen ja – aber in der Regel als Klasse 4 (minimales Risiko) oder Klasse 3 (begrenztes Risiko bei nutzergerichteter Interaktion). Die Anbieter (OpenAI, Microsoft) tragen die Haupt-Compliance-Last über die GPAI-Regelungen.

Jeder, der KI im Rahmen seiner Arbeit einsetzt. Das umfasst in den meisten Unternehmen faktisch alle Büroangestellten. Die Schulung darf pragmatisch sein (30–60 Minuten), muss aber nachweisbar durchgeführt und dokumentiert sein.

Der AI Act verpflichtet alle EU-Mitgliedstaaten, regulatorische KI-Reallabore einzurichten. Darin können KI-Systeme – auch Hochrisiko-Systeme – unter behördlicher Begleitung entwickelt und getestet werden. KMU erhalten prioritären und grundsätzlich kostenfreien Zugang. Den aktuellen Stand erfahren Sie in Österreich bei der RTR, in Deutschland bei der Bundesnetzagentur.

Dann betreiben Sie ein Hochrisiko-System nach Anhang III. Ab 2. Dezember 2027 gelten dafür die vollen Betreiberpflichten: menschliche Aufsicht, Information der Bewerber, Aufbewahrung der Logs. Unabhängig davon verlangt die DSGVO schon heute eine Datenschutz-Folgenabschätzung und eine menschliche Letztentscheidung.

10Quellen

Weiterführend

Hinweis: Gloriane ist keine Rechtskanzlei. Dieser Leitfaden ersetzt keine juristische Beratung. Bei Detailfragen verweise ich auf WKO, RTR oder Fachanwälte für IT- und Datenschutzrecht.

Nicht alleine durch die Umsetzung

Der EU AI Act ist eine Führungsfrage.

Ich übernehme als externe KI-Leitung die Governance-, Strategie- und Umsetzungsarbeit für ausgewählte Mittelstandsunternehmen in Österreich, Deutschland und der Schweiz. EU-AI-Act-Compliance ist dabei einer von mehreren Bausteinen – aber oft der Einstieg. Alternativ gibt es das EU-AI-Act-Compliance-Paket: 4 Wochen, €9.500, Mindest-Dokumentation für die Pflichten, die heute gelten und bis Dezember 2026 hinzukommen.

Kostenloses ErstgesprächCompliance-Paket ansehen