EU AI Act für KMU 2026: was Sie wirklich vor dem 2. August tun müssen

Am 2. August 2026, weniger als drei Monate von jetzt, tritt die EU-KI-Verordnung vollständig in Kraft. Die Bußgelder können bis zu 15 Millionen Euro oder 3% Ihres weltweiten Jahresumsatzes betragen. Trotzdem haben 99% der deutschen KMU nichts vorbereitet. Das Gesetz klingt groß und beängstigend, aber in der Praxis läuft es auf eine Handvoll konkreter Maßnahmen hinaus. Hier die ehrliche Version: was Sie wirklich tun müssen, was übertrieben ist, und wie Sie es an einem Nachmittag regeln.

Gilt die KI-Verordnung für mich?

Fast sicher ja. Die KI-Verordnung gilt für jede Organisation, die KI in ihrem Betrieb einsetzt, egal ob Sie ein Installationsbetrieb sind, einen Webshop führen oder eine Spedition haben. Unternehmensgröße spielt keine Rolle. Ob Sie die KI selbst entwickelt haben auch nicht. Wer KI einkauft und einsetzt, fällt darunter.

Und "KI einsetzen" ist breiter als Sie denken. Nutzen Sie ChatGPT für E-Mails? Copilot in Word oder Excel? Hat Ihre Buchhaltungssoftware KI-Funktionen (DATEV, lexoffice, sevDesk)? Steht ein Chatbot auf Ihrer Website? Nutzen Sie LinkedIn Recruiter? Grammarly? KI-Funktionen im CRM? Dann fallen Sie darunter.

Was muss bis zum 2. August 2026 erledigt sein?

Für die meisten KMU geht es um fünf konkrete Bausteine. Keiner davon ist technisch kompliziert. Aber Sie müssen sie schriftlich festhalten und nachweisbar machen.

• Ein KI-Register, eine Liste aller KI-Tools, die Ihr Unternehmen nutzt, mit: Name, Anbieter, Zweck, welche Daten verarbeitet werden, und wer es nutzt. Eine Excel-Datei mit sechs Spalten reicht.
• Eine KI-Richtlinie, eine interne A4-Seite mit Regeln: welche Tools darf jeder nutzen, welche nicht, was tun Sie mit Kundendaten, wer prüft. Kein Juristendeutsch, einfach klare Regeln.
• Nachweisbare Mitarbeiterschulung, jeder, der mit KI arbeitet, braucht Grundkenntnisse (Artikel 4 der KI-Verordnung, "KI-Kompetenz"). Das ist seit Februar 2025 Pflicht. Eine einstündige interne Sitzung mit kurzem Test reicht.
• Transparenz gegenüber Kunden, wenn Sie KI in der Kommunikation einsetzen (z.B. einen Chatbot), müssen Sie das offenlegen. Eine Zeile in der Fußzeile oder im ersten Nachrichtentext reicht: "Sie sprechen mit einem KI-Assistenten."
• Auftragsverarbeitungsverträge mit KI-Anbietern, wenn personenbezogene Daten durch ein KI-Tool laufen, brauchen Sie einen AV-Vertrag. Bei großen Anbietern (OpenAI, Microsoft, Google) stehen diese standardmäßig online.

Die Bußgelder, was stimmt, was ist übertrieben?

Die Zahlen sind heftig: bis zu 35 Millionen Euro oder 7% weltweiter Umsatz für verbotene KI-Praktiken (z.B. Social Scoring), bis zu 15 Millionen oder 3% für Verstöße gegen Hochrisiko-Pflichten, und bis zu 7,5 Millionen oder 1% für falsche Angaben an Aufsichtsbehörden.

In der Praxis: Für das durchschnittliche KMU, das nur "gewöhnliche" KI nutzt (ChatGPT, Copilot, einen Chatbot, KI in der Buchhaltung), sind diese Maximalstrafen nicht realistisch. Aber fehlende Grunddokumentation, KI-Register, Richtlinie, Schulung, kann zu einer Verwaltungsstrafe führen, wenn die Datenschutzbehörde prüft.

Welche KI-Tools gehören in mein Register?

Hier stolpern die meisten. Sie denken bei "KI" an ChatGPT und vergessen, dass KI inzwischen in fast jeder modernen Software steckt. Schnellcheck, nutzt Ihr Betrieb eines oder mehrere dieser Tools?

• Generische KI-Assistenten: ChatGPT, Claude, Gemini, Microsoft Copilot, Perplexity
• Office-KI: Copilot in Word/Excel/Outlook, Google Workspace AI, Notion AI
• CRM-KI: Salesforce Einstein, HubSpot AI, Pipedrive AI
• Buchhaltungs-KI: DATEV AI, lexoffice KI, sevDesk KI, Klippa
• Kommunikations-KI: Website-Chatbots, KI-Telefonisten, WhatsApp-Business-Bots
• HR-KI: LinkedIn Recruiter, Personio AI, Workday AI
• Schreib-KI: Grammarly, DeepL Write, LanguageTool Plus
• Marketing-KI: ChatGPT-Plugins, KI in Mailchimp, KI in Meta Ads Manager
• Branchenspezifisch: Planungs-KI für Installateure, Routing-KI für Transport, Bestands-KI für Retail

Nahezu jedes KMU nutzt mindestens drei Tools aus dieser Liste. Schreiben Sie alle auf. Das ist Ihr KI-Register.

DSGVO und KI-Verordnung, wie hängen sie zusammen?

Die DSGVO gilt weiterhin. Die KI-Verordnung ist eine Ergänzung, kein Ersatz. Wenn Ihr KI-Tool personenbezogene Daten verarbeitet (und das tun die meisten), müssen Sie beides erfüllen.

Der 5-Schritte-Ansatz für Ihr KMU

• Schritt 1, Inventur (1–2 Stunden): Gehen Sie mit Ihrem Team alle Software durch. Prüfen Sie auf KI-Funktionen. Erstellen Sie eine Excel-Tabelle: Tool, Anbieter, Zweck, Daten, Nutzer, Risikostufe.
• Schritt 2, Richtlinie auf einer Seite (1 Stunde): Schreiben Sie auf, welche KI-Tools erlaubt sind, welche nicht, und welche Regeln für Kundendaten gelten.
• Schritt 3, Schulung (1 Stunde pro Mitarbeiter): Kurze Sitzung über KI, Risiken und Regeln. Mit kurzem Test oder unterschriebener Bestätigung abschließen.
• Schritt 4, Kundenkommunikation anpassen (30 Minuten): KI-Hinweis im Chatbot, in der E-Mail-Signatur (wo relevant) und in der Datenschutzerklärung ergänzen.
• Schritt 5, AV-Verträge prüfen (1–2 Stunden): Bei jedem KI-Anbieter, der personenbezogene Daten verarbeitet: Standard-AV-Vertrag herunterladen und archivieren.

Was Sie NICHT tun müssen

• Ein externer Compliance-Berater für 5.000–15.000 €, nicht nötig, außer Sie setzen Hochrisiko-KI ein
• Teure Compliance-Software mit Dashboards, eine Excel reicht für null Euro
• ISO 42001-Zertifizierung, interessant für Enterprise, übertrieben für KMU
• Eigener Datenschutzbeauftragter, nur Pflicht bei strukturell groß angelegter Datenverarbeitung
• Vollständiger Risikoanalyse-Bericht pro KI-Tool, nur für Hochrisiko-Systeme

Drei häufige Fehler

• Fehler 1: Denken, die KI-Verordnung gelte nicht für Sie, weil Sie "nur" ChatGPT nutzen. Sie gilt doch.
• Fehler 2: Warten bis zum 1. August. Dann sind Anbieter ausgelastet und Mitarbeiter im Urlaub. Erledigen Sie es im Juni.
• Fehler 3: Nur das eigene Team schulen und Freelancer vergessen. Das Gesetz gilt auch für Selbständige, die in Ihrem Namen mit KI arbeiten.

Die KI-Verordnung klingt nach Regulierung für Konzerne, aber die praktischen Auswirkungen treffen vor allem KMU. Die gute Nachricht: Für ein normales KMU ist das in wenigen Stunden erledigt. Die schlechte: Wer nichts tut, steht im August 2026 mit leeren Händen da, während Wettbewerber vorbeiziehen.