Das Wichtigste in Kürze
Den EU AI Act umzusetzen heißt für ein mittelständisches Unternehmen: vier Schritte, in dieser Reihenfolge. Sie verschaffen sich eine Übersicht Ihrer KI-Systeme, ordnen jedes davon ein, leiten daraus Ihre konkreten Aufgaben ab und halten fest, was Sie getan haben.
Der letzte Schritt ist der, an dem es in der Praxis scheitert. Nicht weil er schwer wäre, sondern weil niemand gern Dokumente schreibt, die er hoffentlich nie braucht.
Dieser Artikel beschreibt die vier Schritte – und sagt am Ende offen, welchen Teil davon unsere Software übernimmt, was sie nicht kann und wie lange Sie dafür brauchen.
Warum das Thema bei Anwälten liegt – und warum das für Sie ein Problem ist
Wenn Sie heute nach Unterstützung zum EU AI Act suchen, landen Sie fast zwangsläufig bei einer Kanzlei. Das hat einen guten Grund: Die Verordnung ist komplex, sie verweist auf Anhänge und Erwägungsgründe, und sie wurde im Juli 2026 an mehreren Stellen geändert. Wer sie auslegen muss, braucht juristische Ausbildung.
Für Ihre Umsetzung ist das trotzdem ein Problem, und zwar ein wirtschaftliches.
Ein Anwalt beantwortet Ihre Rechtsfragen. Was er nicht tut – nicht tun kann, ohne dass es unbezahlbar wird – ist die Betreiberdokumentation eines 40-Personen-Betriebs von Hand bauen: ein Verzeichnis mit acht Systemen, je eine Einordnung mit Begründung, eine Nutzungsrichtlinie, Kennzeichnungshinweise, ein Schulungskonzept. Das ist keine anspruchsvolle juristische Arbeit. Es ist viel gleichförmige Arbeit, die trotzdem fachlich richtig sein muss.
Genau dieser Teil lässt sich standardisieren – aber nur, wenn man den Anwendungsfall eng genug fasst.
Unser Zuschnitt ist: Betreiber – also Unternehmen, die KI einsetzen, statt sie zu entwickeln – mit bis zu 749 Beschäftigten. Diese Einschränkung ist kein Marketing, sie ist die Voraussetzung dafür, dass es überhaupt funktioniert. Wer Anbieterpflichten, Konzernstrukturen und Behördenfälle mit abdecken will, landet wieder bei der Einzelfallberatung.
Was das nicht heißt: dass Sie nie einen Anwalt brauchen. Es gibt Fragen, die eine Software nicht entscheiden kann – ob ein bestimmtes Bewerbungswerkzeug Gefühle auswertet, zum Beispiel. Bei solchen Punkten sagen wir Ihnen, dass es eine Rechtsfrage ist, statt sie zu beantworten.
Schritt 1: Das Verzeichnis – welche KI setzen Sie überhaupt ein?
Der erste Schritt ist der, der die meisten überrascht.
Fragen Sie in Ihrem Unternehmen, welche KI eingesetzt wird, bekommen Sie meist zwei Nennungen: ChatGPT und vielleicht der Chatbot auf der Website. Sehen Sie genauer hin, kommen regelmäßig sechs bis zehn Systeme zusammen:
- Sprachmodelle im Büro – auch in der kostenlosen Version, auch wenn nur eine Person sie nutzt
- Belegerkennung in der Buchhaltung
- Bewerbermanagement mit automatischer Vorsortierung
- Übersetzungs- und Textwerkzeuge
- Terminplanung, Routenoptimierung, Bedarfsprognosen
- Kameras mit Personen- oder Altersschätzung
- Funktionen, die in Software stecken, die niemand als „KI“ gekauft hat
Ein brauchbares Verzeichnis hält je System fest: Bezeichnung und Anbieter, Einsatzzweck, wer damit arbeitet, welche Daten hineingehen, Ihre Rolle und die Risikoeinordnung mit Begründung.
Eine Klarstellung, die Sie selten lesen: Der EU AI Act schreibt Ihnen als Betreiber kein KI-Verzeichnis vor. Es gibt keinen Artikel, der das anordnet – anders als beim Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 DSGVO.
Trotzdem steht es an erster Stelle jeder ernsthaften Empfehlung. Ohne die Übersicht können Sie keine der Fragen beantworten, die das Gesetz Ihnen stellt: Ist eines dieser Systeme verboten? Löst eines eine Kennzeichnungspflicht aus? Wer braucht welche Schulung? Es ist keine Pflicht, sondern Ihre Arbeitsgrundlage.
Schritt 2: Die Einordnung – was davon fällt in welche Klasse?
Der EU AI Act reguliert risikobasiert. Jedes System wird einer von vier Stufen zugeordnet:
| Stufe | Was das bedeutet |
|---|---|
| Verboten (Artikel 5) | Die Anwendung ist untersagt – seit dem 2. Februar 2025, ohne Übergangsfrist. Zwei weitere Verbote kommen am 2. Dezember 2026 hinzu |
| Hochrisiko (Artikel 6, Anhänge I und III) | Umfangreiche Pflichten, für Sie als Betreiber ab dem 2. Dezember 2027 beziehungsweise 2. August 2028 |
| Begrenztes Risiko (Artikel 50) | Transparenz- und Kennzeichnungspflichten – seit dem 2. August 2026 scharf |
| Minimales Risiko | Keine spezifischen Pflichten außer Artikel 4 (KI-Kompetenz) |
Zwei Dinge gehen hier regelmäßig schief.
„Begrenztes Risiko“ heißt nicht „kein Risiko“. Es ist die Stufe, in der die meisten Systeme des Mittelstands landen – und sie ist die einzige, deren Pflichten heute schon scharf sind. Die Kennzeichnungspflichten aus Artikel 50 gelten für Betreiber seit dem 2. August 2026, ohne Übergangsfrist.
Die Rollenfrage kommt vor der Risikofrage. Ein erheblicher Teil dessen, was als Unternehmenspflicht dargestellt wird, sind Anbieterpflichten: Risikomanagement (Artikel 9), technische Dokumentation (Artikel 11), Konformitätsbewertung (Artikel 43), CE-Kennzeichnung (Artikel 48). Wer ein System nur einsetzt, ist davon nicht betroffen.
Zwei Vorbehalte gehören dazu. Wer ein System selbst entwickelt oder entwickeln lässt und unter eigenem Namen in Betrieb nimmt, ist von vornherein Anbieter (Artikel 3 Nummer 3) – unabhängig von der Risikoklasse. Und wer ein Hochrisiko-System unter eigener Marke vertreibt, wesentlich verändert oder zweckentfremdet, wechselt die Rolle (Artikel 25). Beides behandelt unser Grundlagenartikel zu den Betreiberpflichten ausführlich.
Schritt 3: Die Aufgaben – was folgt daraus konkret?
Aus der Einordnung ergibt sich eine Liste. Für ein typisches mittelständisches Unternehmen sieht sie ungefähr so aus:
| Auslöser | Ihre Aufgabe |
|---|---|
| Sie setzen überhaupt KI ein | Maßnahmen zur KI-Kompetenz treffen und festhalten (Artikel 4) |
| Ein System könnte eine verbotene Funktion enthalten | Klären, gegebenenfalls abschalten (Artikel 5) |
| Sie veröffentlichen KI-Inhalte | Prüfen, was kennzeichnungspflichtig ist – und was nicht (Artikel 50 Absatz 4) |
| Sie setzen ein System zur Emotionserkennung oder biometrischen Kategorisierung ein | Betroffene informieren (Artikel 50 Absatz 3) |
| Sie nutzen einen zugekauften Chatbot | Prüfen, ob der Anbieterhinweis sichtbar ist |
| KI im Personalwesen | Betriebsrat beteiligen (folgt aus dem Betriebsverfassungsgesetz, nicht aus dem AI Act); prüfen, ob das System ab Dezember 2027 in den Hochrisiko-Bereich fällt – die Ausnahme nach Artikel 6 Absatz 3 kann greifen |
| Mehrere Personen arbeiten mit KI | Regeln festlegen, was in welches Werkzeug eingegeben werden darf |
Der Wert dieser Liste liegt in der Priorisierung. Nicht alles ist gleich dringend: Ein Verbotsverdacht gehört sofort geklärt, eine Hochrisiko-Vorbereitung hat bis 2027 Zeit. Wer stattdessen alles gleichzeitig angeht, macht meist gar nichts.
Schritt 4: Die Nachweise – wie halten Sie fest, dass Sie es getan haben?
Dieser Schritt ist der unbeliebteste und der entscheidende.
Wer eine Maßnahme getroffen, aber nicht dokumentiert hat, steht im Zweifel so da wie jemand, der nichts getan hat. Das Muster kennen Sie aus der DSGVO – dort heißt es Rechenschaftspflicht.
Brauchbare Nachweise haben drei Eigenschaften:
- Sie sind datiert. Ein Dokument ohne Datum belegt nichts, weil es nachträglich erstellt sein könnte.
- Sie sind nachvollziehbar. Aus dem Dokument muss hervorgehen, auf welcher Grundlage Sie zu Ihrem Ergebnis gekommen sind – nicht nur, wie es lautet.
- Sie sind aktuell. Ein Nachweis auf einem überholten Rechtsstand ist schlechter als keiner, weil er eine Prüfung dokumentiert, die so nicht mehr gilt.
Der dritte Punkt ist der Grund, warum eine einmal heruntergeladene Word-Vorlage das Problem nicht löst. Der Rechtsstand hat sich allein 2026 zweimal bewegt: am 27. Juli durch die Änderungsverordnung, am 29. Juli durch das deutsche Durchführungsgesetz. Eine Vorlage von 2025 dokumentiert heute einen Stand, den es nicht mehr gibt.
Was unsere Software daraus macht
An dieser Stelle kommt das Produkt vor – in einem Abschnitt, nicht im ganzen Artikel.
Sie beantworten Fragen zu Ihrem Unternehmen und Ihren KI-Systemen. Daraus entstehen ein Verzeichnis, eine priorisierte Aufgabenliste und datierte Dokumente, mit denen Sie belegen können, was Sie getan haben.
Konkret erzeugt AI Act Coach aus Ihren Angaben neun Dokumente, jedes nur dann, wenn es für Sie einschlägig ist:
| Dokument | Wofür |
|---|---|
| KI-Verzeichnis und Risikoklassifizierung (P1) | Schritt 1 und 2 |
| Risikobewertungs-Bericht (P2) | die Begründung hinter der Einordnung |
| Transparenz- und Kennzeichnungspaket (P3) | wenn Artikel 50 bei Ihnen greift |
| Hochrisiko-Prüfung (P4) – Untertitel „Ihre Pflichten nach Art. 26 und Art. 27 EU AI Act“ | je System – ohne Hochrisiko als dokumentierte Feststellung, dass keines vorliegt |
| KI-Nutzungsrichtlinie (P5) | die internen Regeln für Ihre Beschäftigten |
| Aufgabenliste (P6) | Schritt 3, priorisiert |
| Verbotsfeststellung (S1) | wenn ein System Merkmale einer verbotenen Praxis zeigt |
| Ausnahmebegründung nach Artikel 6 Absatz 3 (S2) | wenn ein Anhang-III-System ausgenommen ist |
| KI-Kompetenz: Konzept und Nachweis (SCH1) | Schritt 4 für die Schulung |
Was wir für Sie aktuell halten. Ändert sich der Rechtsstand, ziehen wir die Textgrundlage nach – die Fassung und das Datum stehen in jedem Dokument. Bereits erzeugte Dokumente bleiben unverändert erhalten; ein datierter Nachweis wird nicht rückwirkend geändert, das wäre das Gegenteil eines Nachweises. Sie erzeugen bei Bedarf eine neue Fassung, typischerweise einmal im Jahr oder wenn sich in Ihrem Unternehmen etwas geändert hat. Das dauert dann wenige Minuten, weil Ihre Angaben gespeichert sind.
Wie lange das beim ersten Mal dauert
Der kostenlose Kurzcheck ist in wenigen Minuten erledigt. Er sagt Ihnen, ob und wie stark Sie betroffen sind.
Die vollständige Erfassung, aus der die Dokumente entstehen, dauert beim ersten Mal 30 bis 120 Minuten. Die Spanne hängt an zwei Dingen: wie viele KI-Systeme Sie einsetzen und wie gut Sie wissen, was davon wo läuft. Ein Betrieb mit drei Systemen und klarem Überblick ist in einer halben Stunde durch. Wer zehn Systeme hat und erst nachfragen muss, wer was nutzt, braucht zwei.
Sie können zwischendurch unterbrechen und später weitermachen. Und der Aufwand fällt einmal an – die jährliche Aktualisierung ist ein Bruchteil davon.
Zum Vergleich, ohne Wertung: Dieselbe Erfassung im Rahmen eines Mandats bedeutet mindestens einen Termin, Rückfragen per E-Mail und eine Honorarrechnung nach Aufwand. Der Unterschied liegt nicht in der Qualität der juristischen Einschätzung – er liegt darin, dass die gleichförmige Arbeit automatisiert ist.
Was die Software nicht tut
- Sie macht Sie nicht konform. Konform wird ein Unternehmen durch das, was es tut. Die Dokumente belegen es.
- Sie ersetzt keine Rechtsberatung. Wo eine Einzelfallentscheidung nötig ist, benennen wir das und beantworten es nicht.
- Sie entscheidet nicht über Grenzfälle. Ob ein Videoanalyse-Werkzeug im Recruiting Gefühle auswertet, kann nur klären, wer die technische Auskunft des Anbieters vorliegen hat.
Häufige Fragen
Wo fange ich an, wenn ich gar nichts gemacht habe? Beim Verzeichnis. Schreiben Sie auf, welche KI-Systeme im Unternehmen laufen. Alles Weitere baut darauf auf – und die meisten stellen bei diesem Schritt fest, dass es mehr Systeme sind als gedacht.
Reicht eine Word-Vorlage aus dem Internet? Für den Anfang besser als nichts. Das Problem ist die Aktualität: Der Rechtsstand hat sich 2026 innerhalb von drei Tagen zweimal geändert. Eine Vorlage dokumentiert den Stand des Tages, an dem sie geschrieben wurde.
Brauche ich trotzdem einen Anwalt? Für die Umsetzung in aller Regel nicht. Für echte Grenzfälle – etwa die Frage, ob ein bestimmtes System unter ein Verbot fällt – ja. Wir sind Software-Anbieter, keine Kanzlei.
Wie lange dauert die Ersterfassung? Zwischen 30 und 120 Minuten, je nach Anzahl Ihrer KI-Systeme. Der Kurzcheck vorab dauert wenige Minuten.
Was passiert, wenn sich das Gesetz ändert? Wir ziehen die Textgrundlage nach. Sie erzeugen bei Bedarf eine neue Fassung Ihrer Dokumente; die alten bleiben als datierter Stand erhalten.
Gilt das auch für uns, wenn wir keine eigene KI entwickeln? Ja – dann sind Sie Betreiber, und genau für diese Rolle ist unser Produkt gebaut. Anbieterpflichten wie Konformitätsbewertung oder CE-Kennzeichnung treffen Sie in aller Regel nicht. Zwei Ausnahmen: Wer ein System selbst entwickeln lässt und unter eigenem Namen in Betrieb nimmt, ist Anbieter (Artikel 3 Nummer 3); wer ein Hochrisiko-System unter eigener Marke vertreibt oder wesentlich verändert, wechselt die Rolle (Artikel 25).
Wo steht Ihr Unternehmen?
Der Kurzcheck: in wenigen Minuten wissen, was für Sie gilt
Sie beantworten Fragen zu Ihrem Unternehmen und Ihren KI-Systemen. Daraus entstehen ein Verzeichnis, eine priorisierte Aufgabenliste und datierte Dokumente, mit denen Sie belegen können, was Sie getan haben.
Über den Autor
Holger Fiegl · Gründer von AI Act Coach
Als Unternehmensberater und KI-Anwender habe ich mich tief in die rechtliche Hintergründe zum EU AI Act eingearbeitet und veröffentliche mit der Softwarelösung AI Act Coach eine zuverlässige und preisgünstige Möglichkeit, damit kleine und mittelständische Unternehmen (KMU) ihre Compliance-Pflichten und Schulungsanforderungen aus dem EU AI Act erfüllen können.
Kontaktieren Sie mich gerne per Email: info@ai-act-coach.com oder über mein Linkedin-Profil: https://www.linkedin.com/in/holger-fiegl/
Zuletzt fachlich geprüft am TT.MM.JJJJ. Rechtsstand: Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744 sowie KI-MIG (in Kraft seit 29.07.2026).
Diese Informationen dienen der allgemeinen Orientierung und ersetzen keine Rechtsberatung. Wir sind Anbieter einer Compliance-Software, keine Rechtsanwaltskanzlei.