EU AI Act & DSGVO 2026: Was Mittelständler jetzt wirklich wissen müssen

Ich saß vor ein paar Wochen mit einem Geschäftsführer zusammen. 30 Mitarbeiter, Maschinenbau, seit einem Jahr nutzt das Team ChatGPT für Angebote und E-Mails. Sagt er zu mir: „KI-Kompetenzpflicht? Nie gehört. EU AI Act? Klingt nach Konzernzeug. Uns doch egal.“

Klingt vertraut, oder?

Die Sache ist nur: Seit dem 2. Februar 2025 ist genau diese Haltung ein Risiko. Und seit August 2026 kann es richtig wehtun — nicht weil die KI plötzlich verboten wäre, sondern weil die Aufsichtsbehörden jetzt die Werkzeuge haben, um nachzufragen.

Keine Panik. Aber ein Plan sollte her. Der EU AI Act ist kein Monstrum. Er ist eine Hausordnung für KI. Wer sie kennt, kommt gut durch.

Und das Schöne: Für den Mittelstand gibt's deutlich mehr Spielraum, als viele denken.

Was der EU AI Act überhaupt ist — kurzgefasst

Der EU AI Act (Verordnung 2024/1689) ist das erste umfassende KI-Gesetz der EU. Seit August 2024 in Kraft, seit Februar 2025 teilweise gültig — und seit Juli 2026 durch den Digital Omnibus angepasst.

Das Grundprinzip ist einfach: Je riskanter ein KI-System, desto strenger die Regeln. Die Verordnung teilt KI in vier Risikostufen:

Die gute Nachricht für die meisten Mittelständler: Dein ChatGPT, Copilot oder Claude fällt in die Kategorie „Begrenztes Risiko“. Solange du keine KI einsetzt, die Bewerber aussortiert oder Kredit-Scorings macht — bist du in der komfortablen Zone.

Aber: „Begrenztes Risiko“ heißt nicht „keine Pflicht“. Denn da ist noch was.

Die eine Pflicht, die fast jeder übersieht — und die dich im Zweifel teuer kommt

Artikel 4 des AI Acts — die KI-Kompetenzpflicht.

Klingt harmlos. Ist es nicht.

Seit dem 2. Februar 2025 bist du verpflichtet, deine Mitarbeiter im Umgang mit KI zu schulen. Ja, auch du. Auch deine drei Azubis. Auch die Praktikantin, die ab und zu ChatGPT aufmacht.

Und nein — „die können das doch selbst“ zählt nicht.

Die Pflicht gilt für jedes Unternehmen, das KI-Tools im beruflichen Kontext einsetzt. Ob du die KI selbst entwickelst oder nur ChatGPT für E-Mails nutzt — Betreiber ist Betreiber.

Was genau verlangt wird? Die Formulierung im Gesetz ist bewusst offen: Du musst „nach besten Kräften“ sicherstellen, dass dein Personal über ausreichend KI-Kompetenz verfügt. Kein Zertifikat, keine Prüfung, kein starres Stundenkontingent. Aber ein Bemühen muss erkennbar sein.

Was heißt das praktisch? Ein 30-minütiger Workshop für alle, die KI nutzen. Inhalt: Was KI kann und was nicht, welche Daten in welches Tool dürfen, worauf bei Halluzinationen zu achten ist. Dazu eine schriftliche KI-Nutzungsrichtlinie auf zwei Seiten — und ein Teilnehmerprotokoll pro Mitarbeiter.

Mehr braucht es nicht. Aber ohne Dokumentation hast du im Prüfungsfall nichts in der Hand.

Die wirkliche Gefahr liegt woanders: Fehlende KI-Kompetenz ist ein Organisationsverschulden. Nach § 43 GmbHG und § 93 AktG haftest du persönlich als Geschäftsführer, wenn dein ungeschultes Team mit KI Mist baut — eine falsche Auskunft, ein Datenleck, ein diskriminierender AI-Entscheid. Und das AGG und der Geschäftsgeheimnisschutz hängen da noch dran.

Ab August 2026 — also jetzt — kann die Bundesnetzagentur als zentrale Marktüberwachungsbehörde einschreiten. Das KI-Marktüberwachungs- und Innovationsgesetz (KI-MIG) hat den Weg freigemacht. Erwarte keine Massenrazzien. Aber punktuelle Prüfungen — etwa nach Beschwerden oder in bestimmten Branchen — sind realistisch.

Der Digital Omnibus: Was sich im Juli 2026 geändert hat

Der Digital Omnibus wurde am 27. Juli 2026 im Amtsblatt veröffentlicht und ist damit geltendes Recht. Die wichtigsten Änderungen für den Mittelstand auf einen Blick:

1. Hochrisiko-Fristen verschoben Ursprünglich sollten die strengen Regeln für Hochrisiko-KI (Recruiting, Kreditprüfung, Bildung) am 2. August 2026 greifen. Jetzt sind es der 2. Dezember 2027. Knapp 16 Monate extra.

Wichtig: Das ist eine Verschiebung, keine Streichung. Wer heute Recruiting-KI oder Bonitätsprüfung einsetzt, muss die Vorbereitung trotzdem ernst nehmen. 2027 kommt bestimmt.

2. Neue Kategorie: „Small Mid-Caps“ Unternehmen mit weniger als 750 Mitarbeitern und max. 150 Millionen Euro Umsatz bekommen vereinfachte Dokumentationspflichten. Das betrifft einen Großteil des deutschen Mittelstands. Früher galten diese Erleichterungen nur für klassische KMU (< 250 Mitarbeiter). Jetzt sind auch die „großen Kleinen“ dabei.

3. Kennzeichnungspflicht für KI-Inhalte — Dezember 2026 KI-generierte Inhalte — Texte, Bilder, Videos, Deepfakes — müssen maschinenlesbar gekennzeichnet werden. Für jedes Marketing-Team relevant, das KI für Content-Generierung nutzt. Stichtag: 2. Dezember 2026.

Praktisch bedeutet das: Ein Wasserzeichen oder Metadaten-Eintrag, der erkennbar macht „Das hier ist KI-gemacht“. Kein Riesenakt — aber die Technik muss bis Dezember sitzen.

4. Zwei neue Verbote ab August 2026 Neu verboten: KI zur Erzeugung intimer Darstellungen ohne Einwilligung („Nudifier“-Apps) und KI-generierte Missbrauchsdarstellungen von Kindern. Betrifft die meisten KMUs nicht direkt — zeigt aber, dass der Gesetzgeber ernst macht.

5. Bußgelder – die Zahlen, die du kennen solltest

Für KMU gilt jeweils der niedrigere Betrag. Aber mal ehrlich: 7,5 Millionen sind auch für kein Mittelstandsunternehmen eine Kleinigkeit.

DSGVO + AI Act: Warum du beide im Blick haben musst

Ein häufiger Irrtum: Der AI Act ersetzt die DSGVO. Macht er nicht. Beide gelten parallel.

Die DSGVO regelt, wie du mit personenbezogenen Daten umgehst. Der AI Act regelt, wie du KI-Systeme betreibst. Und wo KI mit personenbezogenen Daten arbeitet — und das tut sie fast immer —, greifen beide.

Konkret heißt das:

• DSGVO-Verarbeitungsverzeichnis muss auch KI-Prozesse abbilden
• Datenschutz-Folgenabschätzung (DPIA) für KI mit personenbezogenen Daten
• Auftragsverarbeitungsvertrag (AVV) mit KI-Anbietern — auch bei SaaS-Tools
• KI-Kompetenznachweise als Teil der Compliance-Dokumentation

Unser Rat: Betrachte AI Act und DSGVO nicht als zwei getrennte Projekte. Wer sein Unternehmen DSGVO-konform aufgestellt hat, ist für den AI Act schon gut vorbereitet. Die Prozesse — Datenbestand aufnehmen, Risiken bewerten, dokumentieren — sind nahezu identisch.

Eine saubere Datenschutz-Folgenabschätzung für deine KI-Prozesse deckt einen großen Teil der AI-Act-Anforderungen gleich mit ab. Und eine KI-Nutzungsrichtlinie, die festlegt, welche Daten in welche Tools dürfen, erfüllt zugleich DSGVO-Grundsätze und die KI-Kompetenzpflicht aus Art. 4.

Mehr zum DSGVO-Teil haben wir übrigens schon im Juni ausführlich behandelt: DSGVO und KI-Agenten: So bleibst du compliant — da geht's um Auftragsverarbeitung, Recht auf Erklärung und Datenminimierung. Und wer wissen will, welche Tools überhaupt infrage kommen: KI-Tools datenschutzkonform nutzen zeigt die drei Wege.

Fünf Schritte, die du diese Woche umsetzen kannst

Kein Grund für ein Mammutprojekt. Aber fünf Dinge solltest du jetzt anpacken — nicht nächstes Jahr.

1. KI-Inventur machen

Klingt langweilig, ist aber der wichtigste Schritt. Welche KI-Tools sind bei dir im Einsatz? ChatGPT, Copilot, Claude, Midjourney, ein KI-Chatbot auf der Website, ein KI-Assistent in der Buchhaltung? Schreib alles auf — auch die Schatten-KI, die Mitarbeiter auf privaten Accounts nutzen.

Eine einfache Tabelle reicht: Tool, Einsatzzweck, Daten, die reingehen, Anbieter mit Sitz. Das ist deine KI-Landkarte.

2. Risikoklasse bestimmen

Ist eines deiner KI-Systeme „Hochrisiko“ nach Anhang III? Das ist der Fall bei:

• KI für Bewerber-Vorauswahl oder automatisierte Personalentscheidungen
• KI für Kreditwürdigkeitsprüfungen oder Bonitäts-Scoring
• KI für Bildungsbewertungen (Zugang zu Schulen, Prüfungsbewertungen)

Wenn nichts davon zutrifft: Entwarnung. Du bist im Bereich „begrenztes Risiko“ — die Anforderungen sind überschaubar.

3. KI-Nutzungsrichtlinie schreiben

Eine Seite, maximal zwei. Drei Abschnitte:

• Was ist erlaubt? (Welche Tools, welche Aufgaben)
• Was ist verboten? (Welche Daten dürfen nicht in externe KI-Tools)
• Wer ist verantwortlich? (Ansprechpartner bei Fragen)

Die EU-Kommission und die IHK stellen Muster für KI-Richtlinien bereit — musst du nicht neu erfinden. Einfach runterladen, anpassen, unterschreiben lassen.

4. Mitarbeiter schulen + dokumentieren

Ein 30-minütiger Workshop reicht für den Start. Inhalte:

• Was kann KI, was nicht? (Kein Orakel, keine juristische Beratung)
• Welche Daten dürfen in welches Tool? (Kundendaten? Nie in öffentliche US-Tools)
• Wo sind die Risiken? (Halluzinationen, Datenschutz, Geschäftsgeheimnisse)
• Was tun bei Fehlern? (Meldeweg, Eskalation)

Wichtig: Halte schriftlich fest, wer teilgenommen hat, wann, mit welchen Inhalten. Ein Teilnehmerprotokoll pro Mitarbeiter — das ist dein Nachweis für die Behörde.

Und: Schulung ist keine einmalige Sache. Neue Mitarbeiter brauchen sie auch. Und wenn sich Tools oder Rechtslage ändern, muss aufgefrischt werden.

5. Bestehende Prozesse prüfen

Wenn du KI in kritischen Bereichen einsetzt (Personal, Finanzen, Compliance, Kundenkommunikation): Hol dir einen externen Quick-Check.

Kein 20.000-Euro-Audit. Ein 90-Minuten-Gespräch mit einem KI-Compliance-Spezialisten reicht oft, um die offenen Baustellen zu identifizieren. Die Bundesnetzagentur bietet übrigens seit Juli 2025 einen kostenlosen KI-Service-Desk speziell für KMU. Die helfen bei konkreten Fragen — ohne Kosten, ohne Verkaufsgespräch.

Und wenn ich gar nichts mache?

Realistisch? Erstmal passiert nichts. Die Behörden haben Personalmangel wie alle anderen. Eine Razzia wegen fehlender KI-Kompetenz wird es diese Woche nicht geben.

Aber:

• Im Schadensfall — wenn ein Mitarbeiter mit KI eine falsche Auskunft gibt, die einem Kunden schadet — steht im Prozess die Frage: „Haben Sie Ihre Leute geschult?“ Wenn nein, haftest du persönlich.
• Bei Prüfungen — wenn die Bundesnetzagentur zufällig bei dir landet (Beschwerde, Branchenaktion, gezielte Prüfung), will sie Nachweise sehen. Und zwar von Anfang an, nicht erst ab August 2026.
• Bei Verträgen — Großkunden und öffentliche Auftraggeber fragen zunehmend nach KI-Compliance-Nachweisen. Ohne Richtlinie und Schulung fliegst du bei Ausschreibungen raus.
• Bei Versicherungen — einige Versicherer fragen inzwischen nach KI-Richtlinien, bevor sie Cyber-Versicherungen ausstellen oder verlängern.

Mein Tipp: Mach nicht aus Angst vor Strafe, was du ohnehin tun solltest. Mach es, weil KI ohne klare Regeln chaotisch ist. Weil ungeschulte Mitarbeiter Daten ins Leck stellen. Weil dein Unternehmen besser dasteht, wenn du KI beherrschst statt sie nur zu benutzen.

Ein Beispiel aus der Praxis

Stell dir vor: Ein Vertriebsmitarbeiter nutzt ChatGPT für eine Angebotserstellung. Er kopiert die komplette Kundendatei in den Prompt — inklusive Namen, Adressen, Zahlungshistorie. ChatGPT verarbeitet das auf Servern in den USA. Ein Mitbewerber hat Zugriff auf dieselbe ChatGPT-Instanz (Sicherheitslücke im Shared Workspace). Zack, die Kundendaten sind weg.

Wer haftet? Der Geschäftsführer. Weil er keine Nutzungsrichtlinie hatte, keine Schulung durchgeführt hat, keine technischen Maßnahmen ergriffen hat.

Oder ein anderes Szenario: Ein Personaler nutzt ein KI-Tool zur Bewerbervorauswahl. Das Tool diskriminiert systematisch Bewerber über 45 — weil die Trainingsdaten das so abbilden. Der Bewerber klagt nach AGG. Der Personaler sagt: „Hab ich nicht gewusst.“ Der Richter fragt: „Haben Sie Ihre Mitarbeiter geschult? Haben Sie das KI-Tool geprüft?“

Wenn die Antwort „Nein“ lautet, wird's teuer. Nicht wegen einer direkten AI-Act-Strafe — sondern wegen Organisationsverschulden, AGG-Haftung und DSGVO-Verstoß. Der AI Act liefert in solchen Fällen den Maßstab, an dem Gerichte messen, ob ein Unternehmen seinen KI-Einsatz beherrscht.

Genau das passiert nicht durch böse Absicht, sondern durch „Ach, wird schon gut gehen“. Der AI Act will genau diese Situationen verhindern. Nicht durch Verbote, sondern durch klare Regeln und Kompetenz.

Und genau da setzen wir bei agentenwerk.ai an. Jeder KI-Agent, den wir bauen, kommt mit:

• Audit-Log für jede Entscheidung
• DSGVO-konformem Memory mit Löschfunktion
• Rollenbasierten Berechtigungen (der Agent sieht nur, was er braucht)
• Dokumentierter Entscheidungslogik — nachvollziehbar für Prüfer

Nicht weil wir müssen. Sondern weil unsere Kunden damit ruhiger schlafen. So wie du das auch willst.

Fazit: Der AI Act ist kein Feind des Mittelstands

Ehrlich? Ich finde die Aufregung um den AI Act übertrieben. Für 90 % der KMUs bedeutet er überschaubaren Aufwand:

• Eine Richtlinie schreiben (1-2 Seiten) — ein Halbtag
• Mitarbeiter schulen (30 Minuten) — ein Vormittag
• Dokumentation anlegen — zwei Stunden
• KI-Inventur machen — ein Nachmittag

Zusammen: zwei bis drei Tage Arbeit. Das ist kein Bürokratie-Monster. Das ist eine halbe Woche Organisation, die dich vor richtigem Ärger bewahrt.

Wir haben den AI Act übrigens auch in unsere KI-Agenten-Lösungen eingebaut. Jeder Agent, den wir bauen, kommt mit Audit-Log, DSGVO-konformem Memory und dokumentierter Entscheidungslogik. Nicht weil wir müssen — sondern weil unsere Kunden damit ruhiger schlafen.

Deine nächsten Schritte:

1. KI-Audit buchen — 30 Minuten, kostenfrei, konkrete Empfehlungen
2. Oder: Starte mit der KI-Inventur. Gleich heute.
3. Oder: Lade unsere kostenlose KI-Richtlinien-Vorlage runter (kommt in Kürze).

Denn am Ende zählt nicht, ob du den AI Act auswendig kennst. Sondern ob dein Team weiß, was es tut.

Wer übrigens noch nicht den Unterschied zwischen Chatbots und echten KI-Agenten kennt: Unser Einstiegsartikel der letzten Woche zeigt, warum das mehr als Wortklauberei ist.