Betrifft der AI Act meine KI-Anwendung? Der 10-Minuten-Check

Der 2. August 2026 ist vorbei. Seit diesem Stichtag ist der EU AI Act weitgehend voll anwendbar, inklusive der strengen Pflichten für Hochrisiko-Systeme. Und mein Posteingang zeigt mir seitdem sehr deutlich, was das mit Unternehmern macht. Die einen haben LinkedIn-Beiträge gelesen, die nach Weltuntergang klingen, und fragen sich, ob ihr Chatbot jetzt illegal ist. Die anderen haben beschlossen, das Thema komplett zu ignorieren, weil „das betrifft doch nur die Großen". Beide liegen daneben. Und beides lässt sich in etwa zehn Minuten auflösen.

Stellst du dir gerade auch diese Fragen:

• Wir nutzen ChatGPT, einen Chatbot und ein paar Automatisierungen. Sind wir jetzt „Hochrisiko"?
• Müssen wir irgendetwas dokumentieren, melden, zertifizieren?
• Und wer ist eigentlich zuständig: wir oder der Anbieter des KI-Tools?

Ich bin Artur, seit 2009 selbstständig, baue seit Jahren KI-Systeme für den Mittelstand und habe mir dabei angewöhnt, Technik und Regulierung immer zusammen zu denken (mein Schwur von 2021, KI nur DSGVO-konform einzusetzen, lässt grüßen). Die Details zum AI Act und seinen Stichtagen habe ich bereits im Juli aufgeschrieben. Heute geht es um die eine Frage, die mir seit dem Stichtag am häufigsten gestellt wird: Betrifft mich das überhaupt, und wie sehr? Machen wir den Check gemeinsam. Du brauchst dafür kein Jurastudium, nur ehrliche Antworten über deine eigene KI-Nutzung.

Erste Frage: Machst du etwas Verbotenes?

Der AI Act sortiert KI-Anwendungen in Risikoklassen, und die oberste ist schnell abgehakt: unannehmbares Risiko, also verboten, und zwar schon seit Februar 2025. Unter das Verbot fallen Dinge wie Social Scoring, also die Bewertung von Menschen anhand ihres Sozialverhaltens, oder KI, die Menschen gezielt manipuliert oder ihre Schwächen ausnutzt.

Ich habe in all den Jahren noch kein Mittelstandsunternehmen getroffen, das so etwas vorhatte. Wenn dein Anwendungsfall „E-Mails vorsortieren", „Kundenanfragen beantworten" oder „Texte erstellen" heißt, kannst du diesen Punkt mit gutem Gewissen abhaken. Weiter geht's.

Ein praktischer Hinweis noch, bevor wir weitermachen: Schreib dir während dieses Checks auf, welche KI-Anwendungen bei dir überhaupt laufen. Klingt banal, aber genau an dieser Bestandsaufnahme scheitert es oft: Die Marketing-Abteilung nutzt ein Tool, von dem die IT nichts weiß, und umgekehrt. Ohne diese Liste prüfst du ins Blaue.

Zweite Frage: Bist du im Hochrisiko-Bereich?

Das ist die Frage, um die sich die meiste Angst rankt. Und bei der die meisten aufatmen können. Hochrisiko ist nicht, was sich riskant anfühlt, sondern was in Anhang III des AI Acts steht. Dort geht es um KI in Bereichen, in denen Entscheidungen über Menschen fallen: Personalauswahl und Recruiting, Kreditvergabe, kritische Infrastruktur, Bildung, wesentliche private und öffentliche Dienste.

Der Klassiker, den ich in Gesprächen immer wieder erlebe: Ein Unternehmen nutzt KI im Bewerbungsprozess. Wenn die KI dort Bewerbungen filtert, bewertet oder vorauswählt (also mitentscheidet, wer eine Chance bekommt), dann bist du im Hochrisiko-Bereich, mit allem, was dazugehört: Risikomanagement, Anforderungen an die Datenqualität, Dokumentation, menschliche Aufsicht. Das ist machbar, aber es ist echter Aufwand, und den solltest du kennen, bevor du so ein System einführst.

Aber – und das ist der Punkt, der in den Panik-Beiträgen gern untergeht: Die allermeisten KI-Anwendungen im Mittelstand fallen nicht darunter. Ein interner Assistent, der beim Formulieren hilft. Textgenerierung fürs Marketing. Ein Kundenservice-Bot, der Produktfragen beantwortet. Meine eigene Assistentin Lea, die Termine koordiniert. Nichts davon ist Hochrisiko. Wenn deine KI keine Entscheidungen über Lebenschancen von Menschen trifft oder vorbereitet, ist die Antwort hier höchstwahrscheinlich: nein.

Dritte Frage: Redet deine KI mit Menschen?

Damit landen die meisten von uns in der Klasse „begrenztes Risiko", und die ist erfreulich unaufgeregt. Im Kern geht es um Transparenz: Wenn Menschen mit einem KI-System interagieren, müssen sie das erkennen können. Dein Website-Chatbot muss sich also als KI zu erkennen geben, statt so zu tun, als wäre er die freundliche Frau Meier aus dem Kundenservice. KI-generierte Inhalte müssen in bestimmten Fällen als solche gekennzeichnet werden.

Das war's im Wesentlichen. Kein Zertifizierungsverfahren, keine Konformitätsbewertung, kein Berg an Dokumentation. Ein ehrlicher Hinweis „Sie chatten mit einem KI-Assistenten" erfüllt den Kern der Pflicht. Ich gebe zu: Als ich das zum ersten Mal Klienten erklärt habe, war die Reaktion fast enttäuscht. Man hatte sich nach all den Schlagzeilen mehr Drama erhofft. (Ich kann mit dieser Art von Enttäuschung gut leben.)

Und wer nur KI mit minimalem Risiko einsetzt, etwa den Spamfilter oder die Rechtschreibkorrektur, für den sieht der AI Act schlicht keine Pflichten vor.

Damit hast du alle vier Klassen einmal gesehen. Hier die Kurzfassung zum Abhaken:

Vierte Frage: Bist du Betreiber oder aus Versehen Anbieter?

Jetzt kommt der Teil des Checks, den fast alle überspringen, der aber wichtiger ist als die Risikoklasse: deine Rolle. Der AI Act unterscheidet zwischen Anbietern, die ein KI-System entwickeln oder unter eigenem Namen auf den Markt bringen, und Betreibern, die es nur beruflich nutzen. Betreiber haben deutlich weniger Pflichten. Wer ChatGPT, Microsoft Copilot oder einen eingekauften Chatbot einfach nutzt, ist Betreiber. Gut so.

Aber diese Grenze ist rutschiger, als sie klingt. Wer ein bestehendes KI-System unter eigenem Namen bereitstellt oder es wesentlich verändert, kann in die Anbieterrolle rutschen, mit den entsprechenden Pflichten. Genau hier würde ich als Erstes hinschauen, wenn dein Unternehmen eigene KI-Produkte plant oder ein Tool tief in die eigene Marke integriert: Nicht „Welche Risikoklasse?", sondern „Welche Rolle spielen wir eigentlich?". Diese Frage entscheidet, wie lang deine Pflichtenliste wird. Im Zweifel gilt: lieber einmal sauber prüfen lassen als jahrelang mit einer falschen Selbsteinschätzung arbeiten.

Was der Check nicht erledigt: DSGVO und gesunder Menschenverstand

Jetzt der Teil, den ich nicht weglassen darf, auch wenn er die Aufatmen-Stimmung etwas dämpft: „Nur begrenzt betroffen" heißt nicht „fertig". Der AI Act ist die neue Ebene. Aber die alte, die DSGVO, gilt unverändert weiter, und in der Praxis kommen die meisten Probleme von dort. Personenbezogene Daten im Prompt, fehlende Auftragsverarbeitungsverträge, Trainingsnutzung, die niemand deaktiviert hat, Mitarbeiter mit privaten KI-Accounts und echten Kundendaten: Nichts davon regelt der AI Act, alles davon kann teuer werden.

Ich habe die fünf Entscheidungen, auf die es dabei ankommt, in einem eigenen Artikel beschrieben. Mein Rat: Nimm den AI Act zum Anlass, beides zusammen aufzuräumen. Der Transparenzhinweis für den Chatbot und die Datenschutz-Hausaufgaben gehören auf dieselbe Liste: Es sind am Ende dieselben Systeme, dieselben Datenflüsse und dieselben Verantwortlichen.

Mein Fazit nach dem Stichtag

Noch ein Wort zum Ergebnis deines Checks: Halte es schriftlich fest. Eine Seite reicht: welche Anwendungen laufen, welche Risikoklasse, welche Rolle, was daraus folgt. Nicht weil jemand danach fragt, sondern weil sich deine KI-Landschaft ändern wird. Das Tool, das heute nur Texte formuliert, bekommt nächstes Jahr vielleicht Zugriff auf Bewerbungsunterlagen, und dann willst du den Moment erkennen, in dem sich deine Einordnung ändert. Wer den Check einmal dokumentiert hat, muss beim nächsten Mal nur noch die Abweichung prüfen.

Wenn ich die letzten Wochen zusammenfassen müsste: Die Angst vor dem AI Act ist im Mittelstand deutlich größer als die tatsächliche Betroffenheit. Sehr wahrscheinlich bist auch du Betreiber von Systemen mit begrenztem Risiko: Transparenzhinweis rein, DSGVO-Basics sauber, Rolle einmal ehrlich geprüft, fertig. Aufwand: überschaubar. Und für die wenigen, die wirklich im Hochrisiko-Bereich unterwegs sind, gilt: lieber jetzt strukturiert angehen als später hektisch. Genau bei dieser Einordnung unterstütze ich Unternehmen. Nicht mit hundert Seiten Gutachten, sondern mit einer ehrlichen Bestandsaufnahme und einer Liste, die man tatsächlich abarbeiten kann.

Und falls du den Zehn-Minuten-Check gemacht hast und an einer Stelle unsicher geblieben bist (meistens ist es die Anbieter-oder-Betreiber-Frage, ich sag's dir gleich): Sprich mich an, schreib mir eine E-Mail oder ruf einfach an. Wir gehen deinen Fall gemeinsam durch, und in den allermeisten Fällen ist die Antwort beruhigender, als du denkst.