EU AI Act: Was der Aufschub für den Mittelstand ändert

*Aktualisiert am 13. September 2026: Die Verschiebung ist inzwischen im Amtsblatt veröffentlicht und in Kraft. Wir haben den Beitrag an den geltenden Stand angepasst.*

Der 2. August 2026 stand in vielen Projektplänen. Zwei Jahre lang war er der Termin, an dem die Hochrisiko-Regeln des EU AI Act greifen sollten, und für den Mittelstand der Grund, KI-Vorhaben lieber noch einmal zu vertagen. Kurz davor ist dieser Termin weg. In den Schlagzeilen klingt das nach Entwarnung. Beim genaueren Hinsehen bleiben eine verschobene Frist und eine Menge Arbeit, an der sich nichts geändert hat.

Was am 2. August 2026 passiert und was nicht

Der sogenannte Digital Omnibus verschiebt die Pflichten für Hochrisiko-KI nach Anhang III der KI-Verordnung um 16 Monate: vom 2. August 2026 auf den 2. Dezember 2027. Systeme, die in regulierte Produkte eingebaut sind (Anhang I), bekommen bis zum 2. August 2028 Zeit.

Der Weg dahin war schnell: politische Einigung im Trilog am 7. Mai 2026, Zustimmung des Europäischen Parlaments am 16. Juni mit 423 Ja-Stimmen, förmliche Annahme durch den Rat am 29. Juni. Am 24. Juli 2026 folgte die Veröffentlichung im Amtsblatt als Verordnung (EU) 2026/1744. Seit dem 27. Juli 2026 ist sie in Kraft, die alte Frist ist damit vom Tisch.

Zwei Dinge ändert der Aufschub nicht. Erstens: Die inhaltlichen Anforderungen an Hochrisiko-Systeme bleiben im Kern so stehen, wie sie 2024 beschlossen wurden: Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht. Es gibt mehr Zeit, aber keine andere Messlatte. Zweitens: Was bereits gilt, gilt weiter. Bei der KI-Kompetenz etwas milder, bei den Verboten sogar strenger.

Was der EU AI Act dem Mittelstand schon heute abverlangt

Diese Regeln sind seit Monaten scharf gestellt. Gemeint ist jedes Unternehmen, das KI einsetzt, nicht allein die Anbieter:

• Verbotene Praktiken (Artikel 5), seit dem 2. Februar 2025. Emotionserkennung am Arbeitsplatz, Social Scoring, manipulative Systeme: Wer so etwas im Haus hat, hat ein Problem, nicht eine Frist. Seit dem 27. Juli 2026 ebenfalls verboten: KI, die ohne Einwilligung intime Bilder echter Personen erzeugt, und KI, die Darstellungen von Kindesmissbrauch erzeugt.
• KI-Kompetenz (Artikel 4), ebenfalls seit dem 2. Februar 2025. Wer KI anbietet oder einsetzt, muss Maßnahmen ergreifen, die das Verständnis der Beschäftigten fördern: was das Werkzeug kann und wo es irrt. Ein bestimmtes Niveau schreibt die Verordnung seit dem 27. Juli 2026 nicht mehr vor, eine Zertifizierung braucht es nicht. Eine kurze Dokumentation, wer wann geschult wurde, ist trotzdem klug.
• Pflichten für Modellanbieter (Artikel 53 bis 55), seit dem 2. August 2025. Betrifft Sie mittelbar über jedes Modell, das Sie einkaufen, und über die Frage, was Ihr Anbieter Ihnen an Dokumentation mitgibt.

Der Punkt, der in der Praxis am häufigsten übersehen wird: Die meisten Systeme im Mittelstand sind gar keine Hochrisiko-Systeme. Ein Assistent, der Mitarbeitern Artikelstammdaten erklärt. Eine Suche über die eigenen Verträge. Ein Klassifizierer, der den Rechnungseingang vorsortiert. Das alles fällt in aller Regel nicht unter Anhang III. Wer zwei Jahre auf eine Frist gewartet hat, die ihn nie betroffen hätte, hat vor allem eines verloren: zwei Jahre.

Die drei Dinge, die wir jetzt mit Kunden machen

1. KI-Inventar anlegen. Eine Liste: Welches System, welcher Zweck, welche Daten, welcher Anbieter, wer entscheidet am Ende. Das dauert einen Vormittag und beantwortet die Einstufungsfrage meistens von selbst. Ohne diese Liste ist jede Compliance-Diskussion Kaffeesatz.
2. Einstufung schriftlich festhalten. Für jedes System einen Absatz: Hochrisiko ja oder nein, und warum. Nicht für die Behörde, sondern für Ihren Nachfolger, Ihren Wirtschaftsprüfer und für den Tag, an dem jemand fragt.
3. Den Rest bauen. Die 16 Monate sind ein Fenster, in dem Sie Erfahrung sammeln können, bevor die Anforderungen härter werden. Als Puffer zum Nichtstun taugen sie nicht: Wer 2027 sein erstes KI-Projekt startet, startet unter Zeitdruck und mit Dokumentationspflicht.

Ein Beispiel aus der Praxis: Ein Großhändler wollte einen Assistenten für sein Vertriebsteam, hatte aber die Auflage, dass Kalkulationen und Kundendaten das Haus nicht verlassen. Die Lösung läuft heute auf eigener Hardware im Firmennetz. Die Einstufung war in zwanzig Minuten geklärt: kein Anhang-III-Fall, weil das System niemanden bewertet, sondern Fragen zu eigenen Dokumenten beantwortet. Die Dokumentation dazu passt auf zwei Seiten.

Häufige Fragen zum EU AI Act

Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Die KI-Verordnung kennt keine Mitarbeiterschwelle wie andere Regelwerke. Sie unterscheidet nach Rolle (Anbieter oder Betreiber) und nach Risiko des Systems. Für kleine und mittlere Unternehmen, seit Juli 2026 auch für kleine Mid-Caps, gibt es Erleichterungen bei der Dokumentation, aber keine Befreiung. Die Verbote aus Artikel 5 und die Pflicht zur Förderung von KI-Kompetenz aus Artikel 4 gelten unabhängig von der Größe.

Ist ein KI-Chatbot mit Firmenwissen ein Hochrisiko-System?

In den allermeisten Fällen nicht. Anhang III listet konkrete Einsatzfelder auf, unter anderem Personalauswahl, Kreditwürdigkeit, kritische Infrastruktur, Strafverfolgung. Ein Assistent, der Antworten aus internen Dokumenten zieht, fällt normalerweise nicht darunter. Was seit dem 2. August 2026 gilt: Wer den Assistenten anbietet, muss dafür sorgen, dass Nutzer erkennen, dass sie mit einer Maschine sprechen. Eine Quellenangabe je Antwort verlangt die Verordnung nicht. Wir empfehlen sie trotzdem, weil sie Vertrauen schafft und Fehler sichtbar macht.

Können wir das KI-Projekt jetzt bis 2027 verschieben?

Technisch ja, wirtschaftlich selten sinnvoll. Der Aufschub betrifft Pflichten, nicht den Wettbewerb. Und die Erfahrung aus 13 Jahren Projektarbeit sagt: Der Aufwand für ein KI-Vorhaben steckt selten in der Regulierung. Er steckt in den Daten, also darin, wie sie strukturiert sind, wem sie gehören und wie sauber sie gepflegt wurden. Diese Arbeit wird 2027 keinen Tag kürzer.

Wo müssen die Daten liegen?

Das entscheidet Ihr Anwendungsfall, nicht die Verordnung. Für viele Vorhaben ist eine europäische Cloud der schnellste und wirtschaftlichste Weg. Wo Kalkulationen, Personaldaten oder Konstruktionsdaten im Spiel sind, wählen Kunden häufiger den Betrieb im eigenen Haus. Wir bauen beide Wege. Die Frage lautet also nicht „Cloud oder nicht“, sondern wo Ihre Daten am meisten leisten.

Unsere Haltung: Verschieben ist kein Plan

Der Aufschub ist eine gute Nachricht für alle, die tatsächlich Hochrisiko-Systeme bauen. Für alle anderen ist er vor allem die Gelegenheit, aufzuhören, auf Brüssel zu warten.

Wir bauen KI-Lösungen für den Mittelstand, seit die Modelle noch niemand kannte, und richten sie so ein, dass die Einstufung am Ende ein Absatz ist und keine Untersuchung. Wenn Sie wissen wollen, wo Ihre Systeme stehen: Schicken Sie uns die Liste, oder lassen Sie uns eine halbe Stunde darüber sprechen. Wir sagen Ihnen ehrlich, ob Sie etwas tun müssen. Auch dann, wenn die Antwort „nichts“ lautet.

Projekt starten oder kurz anrufen.