Der EU AI Act für den Mittelstand: was sich 2026 wirklich ändert

Jede Regulierung kommt mit dem Chor "das ist die nächste DSGVO". Manchmal hat der Chor recht; oft ist er erschöpfend. Der EU AI Act ist für deutsche Mittelständler tatsächlich folgenreich, aber nur, wenn Sie verstehen, welche Teile auf Sie zutreffen, welche auf Ihre Anbieter und welche nur auf eine viel engere Kategorie als die Headlines suggerieren. Das ist eine nüchterne Lektüre für Mid-Market-IT- und Compliance-Verantwortliche 2026.

Die Form der Regulierung in einem Absatz

Der AI Act folgt einem risikobasierten Ansatz. Die meisten KI-Nutzungen sind nicht reguliert. Eine spezifische Kategorie hochriskanter Nutzungen — definiert durch Sektor und Use Case, nicht durch Technologie — trägt erhebliche Pflichten rund um Dokumentation, Datenführung, menschliche Aufsicht, Genauigkeitstests und Marktüberwachung. Eine schmale Menge von Nutzungen ist schlicht verboten. Foundation-Model-Provider tragen eigene Pflichten als Provider. Die meisten Unternehmen landen in einer von zwei Rollen: Deployer (Nutzung eines KI-Systems, das jemand anderes gebaut hat) oder, seltener, Provider (Anbieten eines KI-Systems für andere).

Was "hochriskant" für Mittelständler wirklich abdeckt

Die Hochrisiko-Liste ist endlich. Die für deutsche Mittelständler wahrscheinlichsten Kategorien:

• Beschäftigung und HR. KI in Rekrutierung, Kandidatenbewertung, Leistungsmanagement oder Kündigungsentscheidungen.
• Zugang zu essenziellen Diensten. Kreditscoring, Versicherungsunderwriting, Eligibility-Entscheidungen für Versorger oder Gesundheit.
• Bildung und berufliche Ausbildung. Zulassungsentscheidungen, Bewertung, Überwachung.
• Kritische Infrastruktur. KI-Komponenten in der Betriebssicherheit von Wasser, Gas, Strom, Verkehr.
• Strafverfolgung und Migration. Weniger häufig relevant für die typische Mittelstands-IT, aber gut zu wissen.

Ein pragmatischer Test: Trifft Ihr KI-System eine bedeutsame Entscheidung über einen Menschen — Einstellung, Entlassung, Kreditvergabe, Versicherung —, gehen Sie von Hochrisiko aus und planen Sie entsprechend. Automatisiert Ihr KI-System einen internen Workflow (Rechnungsklassifizierung, Dokumenten-Routing, interne Suche), ist die regulatorische Last deutlich leichter.

Wie "General Purpose AI"-Pflichten als Deployer aussehen

Die meisten Mittelstands-KI-Nutzungen rufen das Foundation-Model eines Anderen auf — OpenAI, Anthropic, Google, Mistral, Aleph Alpha oder den Anbieter, auf den Sie sich festgelegt haben. Der Provider trägt den Großteil der technischen Compliance-Last. Als Deployer haben Sie weiterhin Verantwortlichkeiten, vor allem rund um:

• Zu wissen, welche KI-Systeme Sie nutzen — ein Inventar, das Sie auf Nachfrage vorlegen können.
• Transparenz gegenüber Betroffenen, wenn KI eine Entscheidung über sie trifft oder wesentlich beeinflusst.
• Logging und Audit Trails proportional zum Risiko.
• Regelungen zur menschlichen Aufsicht, wo Hochrisiko-Nutzungen im Spiel sind.

Das sind keine exotischen Anforderungen. Für die meisten Mittelständler läuft es darauf hinaus, Dinge aufzuschreiben, die Sie wahrscheinlich schon informell tun.

Wo der AI Act sich wirklich von der DSGVO unterscheidet

Zwei strukturelle Unterschiede lohnen es, begriffen zu werden, bevor der Vergleich davonläuft.

Risikobasiert statt universell. Die DSGVO gilt für alle personenbezogenen Daten. Die schweren Pflichten des AI Act gelten nur für definierte Risikokategorien. Die Compliance-Fläche ist schmaler; die Tiefe in diesen Kategorien manchmal größer.

Provider-lastig. Ein Großteil der technischen Last fällt auf den Hersteller des KI-Systems, nicht auf den Nutzer. Für einen Deployer heißt das: die Lieferantenevaluation ist die Phase, in der die meiste Arbeit passiert — einen Provider wählen, der die Dokumentation, Konformitätsbewertungen und laufenden Berichte liefern kann, die Sie brauchen.

Der AI Act ist nicht DSGVO im Umfang. Er ist DSGVO in der Ernsthaftigkeit für die schmale Menge an Nutzungen, die er tatsächlich anspricht. Lesen Sie die Use-Case-Liste, bevor Sie das Budget schätzen.

Was dieses Quartal zu tun ist

Für ein typisches deutsches mittelständisches Unternehmen mit zwei oder drei laufenden KI-Projekten ein realistischer Plan:

1. Inventur. Jeden KI-Einsatz in der Organisation auflisten, einschließlich der Schatten-Nutzungen (das Team, das ChatGPT für erste Vertragsentwürfe nutzt; das Marketing-Tool mit KI-Features, die niemand bei der Beschaffung bemerkt hat).
2. Klassifizieren. Jeden Eintrag gegen die Hochrisiko-Liste taggen. Die Triage geht meist schnell: die meisten Produktivitäts-Nutzungen sind low-risk; HR-nahe und kundenseitige Entscheidungs-Nutzungen brauchen mehr Aufmerksamkeit.
3. Mit Providern sprechen. Für jedes KI-System Dokumentation anfordern, die zeigt, dass der Provider seine AI-Act-Pflichten erfüllt. Fehlende Dokumentation als rote Flagge behandeln.
4. Register etablieren. Ein einfaches internes Register der KI-Systeme mit Owner, Risikokategorie, Dokumentenreferenzen und Aufsichts-Regelung. Das ist das Artefakt, das Regulatoren sehen wollen.
5. Beschaffung aktualisieren. Fügen Sie AI-Act-Fragen zu Ihrer Standard-Lieferantenprüfung hinzu. Künftige Beschaffungen werden einfacher, wenn die Fragen Standard sind.

Was am Horizont liegt, aber noch nicht bindet

Die Phasing zählt. Mehrere Bestimmungen treten gestaffelt in Kraft. Die schlagzeilenträchtigen Verbote bestimmter Nutzungen sind weitgehend in Kraft; die schwereren Pflichten für Hochrisikosysteme und für GPAI-Provider phasen sich über die folgenden 18 bis 36 Monate ab Inkrafttreten ein. Mit Stand 2026 können Sie ruhig planen; Sie können den Act nicht legitim ignorieren.

Für Mittelständler ist der praktische Horizont, den man beobachtet, wann Ihre spezifischen Hochrisiko-Pflichten greifen. Wenn Sie nicht in einem der gelisteten Hochrisiko-Sektoren sind, geht es beim AI Act 2026 vor allem um Inventar, Transparenz und Lieferantenmanagement.

Die zu vermeidende Falle

Der größte Fehler 2026 ist derselbe, den viele Unternehmen 2018 mit der DSGVO machten: ihn als IT-Problem statt als Organisationsproblem zu behandeln. Der AI Act ist genauso eine Governance-Regulierung wie eine technische. Die Arbeit ist teils Compliance-Team-Arbeit, teils Beschaffung, teils ein HR-Gespräch darüber, was Ihr Recruiting-Tool eigentlich tut. IT unterstützt all das, aber kein IT-Team kann die ganze Last alleine tragen.

Stellen Sie die Arbeitsgruppe früh auf. Holen Sie Legal, HR, Beschaffung und die relevanten Business-Owner an Bord. Machen Sie das KI-Register zu einem organisatorischen Artefakt, nicht einem technischen. Die Mittelständler, die das 2026 tun, verbringen ein ruhiges 2027 damit, ihren weniger organisierten Peers beim Hektik zuzusehen.

Warum es sich lohnt, das richtig zu machen

Der AI Act ist das erste glaubwürdige Governance-Regime für KI in einer großen Wirtschaftsregion. Welche Rauheiten er auch hat, er prägt, wie DACH-Unternehmen für den Rest des Jahrzehnts KI kaufen, bauen und betreiben. Die Mittelständler, die ihn als normalen Teil der Governance ansehen, nicht als Ärgernis, enden mit besseren KI-Systemen — transparenter, auditierbarer, verteidigbarer. Das ist kein Compliance-Sieg. Das ist nur, wie ernsthafte Adoption aussieht.