- Am 2. August 2026 treten die zentralen Pflichten für High-Risk-AI-Systeme in Kraft. Für die meisten Unternehmen ist das die härteste Regulator-Deadline seit DSGVO.
- Bußgelder bis 35 Mio € oder 7 % vom weltweiten Jahresumsatz. Das ist kein Rundungsfehler.
- Eine Pflicht gilt schon seit Februar 2025 — und fast niemand weiß es: deine Mitarbeitenden brauchen dokumentierte AI-Kompetenz (Art. 4).
- Positive Seite: Wer jetzt handelt, ist 6-12 Monate vor dem Wettbewerb. B2B-Kunden fragen bereits nach AI-Governance.
- Aktionsplan ~40 Stunden, verteilt auf 90 Tage — mit 3 Personen machbar.
Der Ausgangspunkt: warum du das jetzt lesen musst #
Der EU AI Act ist seit 1. August 2024 in Kraft — aber die eigentliche Wucht kommt in Phasen. Zwei sind schon durch (Prohibited Practices seit Feb 2025, GPAI-Regeln seit Aug 2025). Die dritte, größte Welle rollt am 2. August 2026: die Compliance-Pflichten für High-Risk-AI-Systeme.
Warum das jeden Unternehmer betrifft — nicht nur die mit Machine-Learning-Teams:
- Recruiting-Software mit AI-Filter? High-Risk.
- Kredit-Scoring-Modelle? High-Risk.
- Biometrische Zugangssysteme? High-Risk.
- AI-basierte Mitarbeiter-Bewertung? High-Risk.
- Ein AI-Chatbot der Kundenanfragen zu Verträgen beantwortet? Kann High-Risk sein — abhängig vom Kontext.
Du nutzt AI, wenn du: ChatGPT, Copilot, HubSpot AI, Personio, Workday, Salesforce Einstein oder einen der ~800 anderen AI-Features in Standard-Business-Software einsetzt. Der Punkt ist: du bist wahrscheinlich Betreiber („Deployer") eines AI-Systems, ohne dich je so gesehen zu haben.
Und ja, das trifft auch dich als Mittelständler mit 47 Mitarbeitenden. Das trifft dich sogar als Solo-Berater.
Fear-Moment #1: Was passiert wenn du nichts tust #
Die Bußgelder im AI Act sind absichtlich hart gestaltet — das war politisches Signal, kein Versehen:
| Verstoß | Maximum | Beispiel |
|---|---|---|
| Prohibited Practice (Art. 5) | 35 Mio € ODER 7 % Weltumsatz — was höher ist | Emotion-Recognition-Software am Arbeitsplatz |
| High-Risk-Pflichten missachten | 15 Mio € ODER 3 % Umsatz | Recruiting-AI ohne Konformitätsbewertung betreiben |
| Falsche Angaben an Behörden | 7,5 Mio € ODER 1 % Umsatz | „Wir setzen kein AI ein" — obwohl HubSpot AI, Copilot, Notion AI im Alltag laufen |
Für KMU: reduzierte Sätze, aber nicht null. Und die persönliche Haftung der Geschäftsführung nach den nationalen Umsetzungsgesetzen (in DE noch nicht final) wird die eigentliche Motivation sein.
Zusätzlich:
- Marktverbot: Die Behörde kann anordnen, dass du das System sofort abschaltest.
- Rückrufpflicht für in Verkehr gebrachte Produkte.
- Öffentliche Sanktionsliste — Reputation-Schaden noch bevor das Verfahren durch ist.
Die entspannteste, aber teuerste Konsequenz: Kein B2B-Kunde in der EU wird 2027 einen Vertrag mit dir unterschreiben, wenn deine Antwort auf „habt ihr eure AI-Compliance nach EU AI Act nachweisbar dokumentiert?" nur „ja natürlich" ohne Beleg ist.
Fear-Moment #2: Die versteckte Pflicht seit Februar 2025 #
Der EU AI Act hat einen Artikel, den fast niemand gelesen hat: Artikel 4 — AI-Kompetenz. Er gilt seit dem 2. Februar 2025. Rückstandsfrei.
Was er sagt: Wenn du AI-Systeme betreibst oder anbietest, musst du „ein ausreichendes Maß an AI-Kompetenz" bei den Mitarbeitenden sicherstellen, die diese Systeme bedienen oder betroffen sind.
Was das konkret heißt:
- Es reicht nicht, wenn Marketing Copilot nutzt aber niemand weiß, was das Ding wirklich macht.
- Du brauchst dokumentierte Schulung — nicht „wir haben ein Video geschaut", sondern trackable Trainings.
- Die Nachweispflicht liegt bei dir. Marktaufsicht kann jederzeit fragen.
Und der Kicker: es gibt keine feste Größenschwelle. Auch ein 12-Personen-Betrieb muss AI-Literacy nachweisen können, wenn er AI im Alltag hat. Und das habt ihr — spätestens seit ChatGPT im Team einzieht.
Gerade jetzt: wenige Bußgelder, viele Behörden-Anfragen im Rahmen von Datenschutz-Prüfungen. Aber ab 2. August 2026 verzahnt sich das mit den High-Risk-Pflichten — dann wird's teuer.
Die verdeckte Chance: warum Vorreiter jetzt gewinnen #
Bevor du in Panik verfällst: der EU AI Act ist keine reine Belastung. Wer das jetzt operativ umsetzt, bekommt drei konkrete Vorteile:
1. B2B-Vertrauens-Signal
Ich sehe es gerade in unseren Ausschreibungen: Enterprise-Kunden fragen jetzt schon nach AI-Governance-Nachweisen. Firmen die das haben, sind auf der Shortlist. Firmen die stottern, fliegen raus. In 12 Monaten wird das Standard-Vertragsklausel in jedem Vendor-Contract sein.
2. Skill-Aufbau als kalkulierte Investition
Das AI-Literacy-Training das du sowieso machen musst, ist Weiterbildung. Deine Mitarbeitenden werden besser in AI. Deine Prozesse werden schlanker (weil du jetzt zwangsweise dokumentierst was AI wo macht). Das ist die Kostenseite der Compliance — aber es ist auch operative Klarheit die du nie hattest.
3. First-Mover-Vorteil im Markt
Deine Wettbewerber werden bis Juli 2026 warten. Dann in Panik geraten. Dann wackelige Compliance-Pakete kaufen. Dann 2027 immer noch nicht richtig aufgestellt sein. Wer jetzt in 90 Tagen sauber durchgeht, ist strukturell überlegen für die nächste Vertragsverhandlung.
Das ist kein Marketing-Speak. Das ist einfach Timing.
Der 90-Tage-Aktionsplan · konkrete Todos #
Vergiss die 40-seitigen Compliance-Frameworks der Beratungen. Was ein 15-500-Personen-Unternehmen realistisch in 90 Tagen schaffen kann und muss:
Woche 1-2 · Inventar (10 Stunden)
Ziel: du weißt was ihr habt.
- Liste alle Software-Tools die AI-Features haben. Nicht nur die dedizierten AI-Tools. Also auch: HubSpot, Salesforce, Notion, Microsoft 365, Google Workspace, Grammarly, Personio, jedes CRM/HR-System.
- Pro Tool: welche Rolle im Betrieb nutzt es, für welchen Use-Case, welche Daten fließen rein?
- Markiere: welche davon treffen wahrscheinlich Entscheidungen über Menschen? (Recruiting, Bewertung, Kredit, Zugang, medizinisch, Bildung)
- Output: ein Sheet mit 20-80 Zeilen. Kein Word-Dokument. Kein PDF. Ein Excel oder Notion-Datenbank.
Wer: IT-Verantwortliche + Geschäftsführung. Nicht delegieren an Junior — die Bewertung braucht Kontext.
Woche 3-6 · Risiko-Klassifizierung (12 Stunden)
Ziel: du weißt was ihr an High-Risk-Anwendungen habt.
- Für jedes Tool aus dem Inventar: fällt es unter Annex III des AI Act (die High-Risk-Liste)?
- Recruiting-Filter → JA
- Kredit-Scoring → JA
- Standard-Marketing-CRM → meist NEIN
- Biometrie-Identifikation → JA
- Chatbot der Verträge auslegt → grenzwertig
- Für jedes High-Risk-Tool: Anbieter kontaktieren, Konformitätserklärung anfragen. Die MÜSSEN dir liefern.
- Was kein Konformitätsdokument hat und High-Risk ist: Migration-Plan schreiben. Das Tool bleibt nach 2.8.2026 nicht ohne CE-Kennzeichnung einsetzbar.
Wer: IT + Fachbereich + (optional) externer Legal-Berater. Nicht selber verrechtsanwaltlichen.
Woche 7-10 · Policies + Prozesse (10 Stunden)
Ziel: ihr habt schriftliche Regeln + Verantwortliche.
- AI-Nutzungsrichtlinie: 2-3 Seiten. Was darf AI, was nicht. Wer entscheidet Grenzfälle. Wo darf keine Personen-Daten rein.
- Incident-Response-Prozess: was passiert, wenn ein AI-System einen Fehler macht der jemanden schädigt.
- AI-Verantwortliche/r benennen. Nicht zwingend Vollzeit. Aber sichtbare Rolle: bei Fragen Ansprechpartner:in.
- Konformitätsakte anlegen (Sharepoint oder gleichwertig). Sammelt alle Dokumente zentral.
Wer: Geschäftsführung + benannte:r AI-Verantwortliche/r. In DE muss das nicht der Datenschutzbeauftragte sein — sollte aber koordiniert sein.
Woche 11-12 · AI-Literacy-Training (8 Stunden)
Ziel: alle Mitarbeitenden haben eine dokumentierte Basis-Schulung.
- Basis-Schulung (90 Min) für alle: Was ist AI, was macht sie in unserer Firma, was darf ich mit Kundendaten, wo sind die roten Linien.
- Vertiefung (2h) für alle die AI-Tools aktiv nutzen: wie erkenne ich Halluzinationen, wie prüfe ich Ergebnisse, welche Prompts sind riskant.
- Führungskräfte-Briefing (1h): rechtliche Rahmen, Haftung, Eskalationsprozesse.
- Alles nachweisbar in einem LMS oder wenigstens einem Anwesenheits-Tracker.
Wer: Personalabteilung + AI-Verantwortliche/r. Kann intern oder extern gebucht werden.
~40 Stunden über 12 Wochen · 3-4 Personen · realistisch 8-15k € externer Support wenn nötig. Das ist die Investition. Alternative: 15 Mio € Bußgeld-Risiko + Reputationsschaden.
Das war der Hub. Die Detail-Guides folgen.
Dieser Artikel ist der Cornerstone einer 9-teiligen Serie: „EU AI Act · Operator's Field Guide". In den nächsten Wochen erscheinen Detail-Artikel zu Inventar-Template, High-Risk-Matrix, AI-Literacy-Training-Plan, Vendor-Assessment und mehr. Newsletter abonnieren = automatisch informiert wenn ein neuer Spoke live ist.
Was AMIA selbst umgestellt hat #
Kurzer Blick in unsere eigene AI-Ops (weil man das fragt): AMIA nutzt Claude, Make.com, HeyGen, fal.ai, Recraft, ChatGPT. Das sind sechs AI-Systeme mit unterschiedlichen Risiko-Klassen.
Was ich umgestellt habe:
- Ein zentrales AI-Inventar in Notion, das jedes AI-Tool listet mit Use-Case, Datenklassifikation und Verantwortlicher. Update quartalsweise.
- Prompt-Guidelines für die Mitarbeitenden — 1 Seite: was du in Prompts NICHT reinkopierst (Kundennamen, Kontodaten, Klarnamen aus HR).
- Konformitätsakte pro Anbieter. Alle DSGVO-Auftragsverarbeitungsverträge + AI-Herstellerangaben zentral.
- Explicit Co-Authorship-Disclosure auf allen Contents die mit AI entstehen. Trust-Signal + zukünftige Nachweispflicht.
- Quartalsweise 60-Min AI-Update-Session für das Team — was ist neu, was riskieren wir wenn wir nichts ändern.
Das ist keine perfekte Compliance-Struktur. Aber es ist eine, die einer Behörden-Anfrage standhält und intern klare Verantwortlichkeiten hat.
5 Beratungsempfehlungen die du ignorieren kannst #
Ich sehe gerade viele Beratungen Panik-Pakete verkaufen. Fünf davon halte ich für überzogen:
„Ihr braucht einen AI-Officer nach ISO 42001."
Nein. Für 90 % der Mittelständler reicht eine benannte Person mit klarem Auftrag. ISO 42001 ist ein Framework, keine Pflicht.
„Alle AI-Prompts müssen protokolliert werden."
Nicht generell. Nur für High-Risk-Systeme und dort auch nur die auditrelevanten Interaktionen. Alles-Loggen erzeugt Datenschutz-Probleme die schlimmer sind als das eigentliche Compliance-Problem.
„Ihr braucht sofort ein AI-Ethik-Board mit externen Beisitzenden."
Für Enterprise mit AI-Produkten: ja. Für den Mittelstand der AI-Standard-Software nutzt: absolut nicht. Overengineering.
„Jedes Chat-mit-KI-Meeting muss vorher zugestimmt werden."
Rechtlich nicht haltbar. Wenn Mitarbeitende ChatGPT für Rechtschreibprüfung nutzen, brauchst du keine Einwilligungsformulare. Du brauchst eine klare Guideline.
„Ihr müsst jetzt aufhören AI zu nutzen bis alles geklärt ist."
Der schlimmste Rat. Wer AI-Nutzung stoppt bis „Compliance klar ist", verliert 12 Monate Produktivität und ist am Ende trotzdem nicht compliant. Weiter nutzen, parallel Prozesse aufbauen.
FAQ #
Sind Solopreneure und Freelancer überhaupt betroffen?
Wenn du AI-Systeme einsetzt: ja, aber die Pflichten sind proportional. Ein Solo-Marketer ohne Personen-relevante-High-Risk-Systeme kommt mit einer 3-seitigen Selbstdokumentation weg. Kein Grund für Panik. Aber Grund für Struktur.
Was ist mit ChatGPT-Nutzung im Team?
ChatGPT selbst ist ein GPAI-System. Als Nutzer:in bist du „Deployer". Deine Pflichten: Mitarbeitende schulen (AI Literacy), Nutzungsregeln definieren, keine sensiblen Daten reinkippen. Nicht komplex. Muss aber dokumentiert sein.
Muss ich einen AI-Verantwortlichen benennen?
Formal nicht überall. Praktisch ja — ohne benannte Person fällt Verantwortung in die Geschäftsführung, das willst du steuern.
Wie unterscheidet sich das von der DSGVO?
Die DSGVO regelt personenbezogene Daten. Der AI Act regelt AI-Systeme unabhängig von Datenart. Die zwei ergänzen sich. Wenn dein AI-System personenbezogene Daten verarbeitet: beide gelten parallel.
Was passiert wenn wir nicht rechtzeitig durch sind?
Am 3. August 2026 fährt kein Zoll-LKW vor deine Tür. Aber die Marktaufsicht kann ab dann jederzeit prüfen. Und ab dem Moment ist jede Woche Verzug ein Risiko. Auch: Kunden fragen. Also lieber am 2. August Version 1 haben als am 15. August „arbeiten wir dran".
Ist der 2. August 2026 die letzte Deadline?
Nein. Am 2. August 2027 kommen die Pflichten für High-Risk-AI in regulierten Produkten (Medizinprodukte, Fahrzeuge, etc.). Für Firmen die dort tätig sind, ist das die zweite große Welle.
Schluss · was jetzt zu tun ist #
Dieser Artikel ersetzt keinen Rechtsrat. Er gibt dir die operative Landkarte.
Wenn du in den nächsten 7 Tagen genau eines tust: den Inventar-Schritt aus Woche 1-2 anfangen. Es ist die günstigste Absicherung. Du wirst Dinge finden von denen du nicht wusstest, dass ihr sie habt.
Wenn du in den nächsten 30 Tagen zwei Dinge tust: Inventar + AI-Verantwortliche/n benennen. Das ist die halbe Miete.
Wenn du in den nächsten 90 Tagen alles schaffst: du bist im wahrsten Sinn vor 80 % deiner Wettbewerber.
Der EU AI Act ist unbequem. Aber er ist eine der wenigen Regulierungen, bei denen frühzeitiges Handeln nicht nur Risiko minimiert, sondern eine echte Vorteilszone schafft. Nicht Marketing-Sprech: pure Timing.
T-minus 22 Tage bis zum 2. August 2026.
Dieser Text ist eine operative Einordnung, keine Rechtsberatung. Für konkrete Compliance-Entscheidungen zieht spezialisierten anwaltlichen Rat bei — insbesondere bei High-Risk-Systemen im Personal- oder Kunden-Umfeld. Rechtsrahmen und nationale Umsetzung in Deutschland entwickeln sich weiter. Letzte Aktualisierung: 2026-07-11.