EU AI Act für KMU 2026: Was Sie wirklich tun müssen (Checkliste)

TL;DR · in 60 Sekunden

Der EU AI Act ist seit August 2024 in Kraft, die meisten Pflichten greifen laut Verordnungstext ab August 2026. Für deutsche KMU heißt das konkret: Wer KI in Geschäftsprozessen einsetzt (auch nur ChatGPT für Kundenanfragen), sollte die Risikoklasse jedes KI-Systems dokumentieren, Transparenzpflichten erfüllen und bei hohem Risiko technische und organisatorische Maßnahmen vorhalten. Die meisten KMU-Anwendungen fallen unter „Limited Risk" oder „Minimal Risk" — und das ist mit überschaubarem Aufwand machbar. Die Checkliste unten zeigt, was wirklich zu tun ist, ohne Panik-Marketing.

Disclaimer zuerst — was dieser Artikel ist und nicht ist

Dieser Artikel ist keine Rechtsberatung. Wir sind eine n8n-Agentur, keine Anwaltskanzlei. Was wir hier schreiben, basiert auf:

• der konsolidierten Fassung der KI-VO (Verordnung (EU) 2024/1689),
• den Orientierungshilfen der DSK (Datenschutzkonferenz) und des EU AI Office,
• unserer eigenen Einordnung typischer KMU-Anwendungsfälle aus der technischen Umsetzung von KI-Workflows.

Wenn Ihr Anwendungsfall in YMYL-Branchen (Gesundheit, Recht, Bildung, Personalauswahl, Kreditvergabe) fällt: Holen Sie sich zusätzlich eine spezialisierte Datenschutz-/Compliance-Beratung. Dieser Artikel ersetzt das nicht.

Die wichtigsten Daten im Überblick

Für die meisten KMU ist das relevante Datum der 02. August 2026. Wer bis heute nicht weiß, in welche Klasse seine KI-Anwendungen fallen, sollte das jetzt nachholen.

Die vier Risikoklassen — wo Ihr KI-Einsatz wirklich liegt

Der EU AI Act sortiert KI-Systeme in vier Klassen. Hier nur die KMU-relevanten Auszüge:

Klasse 1 · Unzulässig (verboten)

• Social Scoring
• Manipulative KI, die Verhalten unterschwellig beeinflusst
• Biometrische Echtzeit-Identifikation in öffentlichen Räumen (mit Ausnahmen)

Für praktisch alle KMU nicht relevant.

Klasse 2 · High-Risk (Hauptaufwand)

Diese Anwendungen betreffen KMU am ehesten:

• HR & Personalauswahl: KI, die Lebensläufe filtert, Kandidaten bewertet, Probezeit-Entscheidungen vorbereitet
• Kreditvergabe: KI-basierte Bonitätsprüfung
• Bildung: automatische Prüfungsbewertung
• Sicherheits-Komponenten in regulierten Produkten

Wenn Sie KI hierfür einsetzen: Konformitätsbewertung, technische Dokumentation, Risikomanagement-System, menschliche Aufsicht, Transparenz, ggf. EU-Registrierung.

Das ist echter Aufwand. Planen Sie als grobe Schätzung 20.000–60.000 € einmalig ein, plus laufende Pflege der Dokumentation.

Klasse 3 · Limited Risk (Transparenz-Pflicht)

Hier landen viele kundennahe KMU-Anwendungen:

• Chatbots (Kunden müssen wissen, dass sie mit KI sprechen)
• Deepfakes / KI-generierte Inhalte (müssen als solche gekennzeichnet sein)
• Emotionserkennung / Biometrik (Kennzeichnungspflicht)

Pflicht: Transparenz-Hinweis. Dem Nutzer muss klar sein, dass KI im Spiel ist.

Klasse 4 · Minimal Risk (kaum Pflichten)

Alles andere. Auch Lead-Triage mit KI, E-Mail-Klassifikation, Spam-Filter, RAG-Systeme für interne Dokumente — wenn keine personenbezogenen Entscheidungen automatisiert getroffen werden.

Empfehlung: freiwilliger Verhaltenskodex (z. B. nach EU-Vorlage), aber keine Pflicht.

Wo KI im KMU realistisch landet

Nach unserer Einordnung typischer KMU-Anwendungsfälle (Handwerk, Gastronomie, Praxen, Kanzleien, Pflegedienste) ergibt sich dieses Muster:

• Klasse 4 (Minimal Risk): der mit Abstand größte Anteil — Lead-Triage mit Pseudonymisierung, E-Mail-Klassifikation, interne RAG-Systeme für Wissens-Dokumente, Mahnwesen-Vorstufe
• Klasse 3 (Limited Risk): typischerweise Chatbots auf Kunden-Websites — Pflicht ist hier vor allem die Transparenz-Kennzeichnung
• Klasse 2 (High-Risk): selten, aber real bei HR-Filtern oder Bonitätsbewertung — dort entsteht der eigentliche Compliance-Aufwand
• Klasse 1 (verboten): im KMU-Alltag praktisch nicht anzutreffen

Konkret heißt das: Wer als KMU ChatGPT für Lead-Triage oder Mail-Klassifikation einsetzt, landet fast immer in Klasse 4. Die Arbeit dort ist überschaubar — siehe Checkliste unten.

Die 12-Punkte-Checkliste für KMU

A · Bestandsaufnahme (Schritt 1–3)

1. Liste aller KI-Anwendungen erstellen

Alles auflisten, was KI nutzt: ChatGPT-Konten, KI-Funktionen in vorhandenen Tools (HubSpot AI, Microsoft Copilot, DeepL Pro), eigene Workflows mit OpenAI-/Anthropic-API, KI-Chatbots, KI in Buchhaltungssoftware. Oft vergessen: KI in eingekauften Drittsystemen.

2. Klassifikation pro Anwendung

Jede Anwendung in eine der vier Risikoklassen einsortieren. Bei Unsicherheit: Tendenz zur höheren Klasse, dann mit Anwalt prüfen.

3. AVV-Status prüfen

Mit welchen Anbietern (OpenAI, Anthropic, Microsoft) haben Sie einen AVV? Ohne AVV läuft nichts.

B · Transparenz (Schritt 4–6)

4. Chatbot-Hinweise

Wenn Sie Chatbots einsetzen: deutlicher Hinweis „Sie sprechen mit einem KI-System" beim Start jeder Konversation.

5. KI-generierte Inhalte kennzeichnen

Wenn Sie KI-generierte Texte, Bilder oder Audio in Marketing oder Kundenkommunikation einsetzen: Kennzeichnung im Hinweis oder in der Bildunterschrift.

6. Datenschutzerklärung aktualisieren

Welche KI-Anbieter, welche Verarbeitungszwecke, welche Rechtsgrundlage. Standardklauseln aus dem Internet reichen nicht.

C · Schutzmaßnahmen (Schritt 7–9)

7. PII-Filter vor KI-Calls

Personenbezogene Daten nicht im Klartext an externe KI-Anbieter senden. Pseudonymisierung vorschalten. Wir nutzen dafür einen n8n-Code-Node — die Architektur erklären wir im Pillar DSGVO-konforme KI-Automatisierung für KMU.

8. Audit-Log

Welche Anfrage ging wann an welche KI? Welche Antwort kam zurück? Mit pseudonymisierten Hashes, damit das Log selbst nicht zur DSGVO-Falle wird.

9. Menschliche Aufsicht definieren

Wer prüft KI-Vorschläge, bevor sie rausgehen? Bei Lead-Triage: anfangs jeden Vorschlag, später stichprobenartig. Niemals „KI entscheidet, niemand schaut zu".

D · Dokumentation (Schritt 10–12)

10. Verarbeitungsverzeichnis (Art. 30 DSGVO)

Jede KI-Verarbeitung dort eintragen. Wenn Sie eines haben: ergänzen. Wenn nicht: jetzt anlegen.

11. Datenschutz-Folgenabschätzung (DSFA)

Bei voraussichtlich hohem Risiko für die Rechte und Freiheiten Betroffener Pflicht (Art. 35 DSGVO). Wenn Sie KI in HR oder beim Kunden-Scoring einsetzen: DSFA dokumentieren.

12. Mitarbeiter-Schulung

„KI-Kompetenz im Unternehmen" ist nach Art. 4 EU AI Act selbst eine Pflicht. Mindestens einmal jährlich ein kurzes Briefing zu Risiken und richtigen Eingaben.

Drei Punkte, die oft untergehen

In Marketing-Material zum EU AI Act kommen diese drei Punkte selten vor:

1 · Die meisten Pflichten sind machbar

Wenn Ihr KI-Einsatz in Klasse 4 (Minimal Risk) liegt — was bei den meisten KMU der Fall sein dürfte — bedeuten die Pflichten nach unserer Schätzung wenige Stunden Dokumentationsaufwand plus ein Mitarbeiter-Briefing. Keine 60.000-Euro-Beratungsprojekte.

2 · GPAI-Modelle (Claude, GPT, Mistral) erledigen einen Teil für Sie

Anthropic, OpenAI und Mistral müssen seit August 2025 selbst Pflichten als „General Purpose AI" erfüllen — Transparenzberichte, Trainingsdaten-Dokumentation, Risikobewertung. Auf diese Berichte können Sie in Ihrer eigenen Dokumentation verweisen, statt sie neu zu erstellen.

3 · Die DSGVO ist oft strenger als der EU AI Act

In den meisten Fällen ist die DSGVO der schärfere Maßstab, nicht der AI Act. Wer die DSGVO sauber gelöst hat (AVV, PII-Filter, Audit-Log, DSFA), hat einen großen Teil der AI-Act-Arbeit schon erledigt. Wer die DSGVO ignoriert hat, bekommt zuerst dort Probleme — nicht beim AI Act.

Sanktionen — was wirklich passieren kann

Die Strafen klingen dramatisch:

• Bei verbotener KI: bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes
• Bei High-Risk-Verstößen: bis 15 Mio. € oder 3 % des Umsatzes
• Bei falschen Informationen an Behörden: bis 7,5 Mio. € oder 1 % des Umsatzes (Art. 99 Abs. 5 KI-VO)

Realistisch für KMU: Die nationalen Aufsichtsbehörden (in Deutschland die Bundesnetzagentur in Abstimmung mit den Datenschutzbehörden) werden nicht mit Höchstbußgeldern starten. Erwartbar sind Beanstandungen, Nachforderungen und Korrekturanordnungen — bei wiederholten oder vorsätzlichen Verstößen dann Bußgelder.

Wichtiger als die Strafvermeidung: Kunden-Vertrauen, AVV-Anforderungen von Geschäftskunden, Auftragsprüfungen — wer hier nicht liefern kann, verliert Aufträge.

Die Drei-Monate-Roadmap zur AI-Act-Konformität

Monat 1 · Bestandsaufnahme

• Liste aller KI-Anwendungen
• Klassifikation pro Anwendung
• AVV-Check je Anbieter
• Datenschutzbeauftragten einbeziehen (intern oder extern)

Monat 2 · Technische Maßnahmen

• PII-Filter implementieren (für Workflow-Automatisierungen)
• Audit-Log einrichten
• Chatbot-Hinweise hinzufügen
• KI-Kennzeichnung in Marketing-Content

Monat 3 · Dokumentation + Schulung

• Verarbeitungsverzeichnis aktualisieren
• DSFA für relevante Anwendungen
• Mitarbeiter-Schulung (1–2 Stunden Workshop)
• Datenschutzerklärung erneuern

Wer das in drei Monaten ordentlich umsetzt, ist sauber aufgestellt.

FlowBrain-Hilfe — wo wir konkret unterstützen

Wir bauen die technische Seite der KI-VO-Compliance:

• PII-Filter-Architektur in n8n
• Audit-Log mit Hash-Pseudonymisierung in Supabase
• KI-Workflows mit maskierten Daten (Claude über Anthropic, USA, mit AVV; Mistral)
• Hosting von Website und n8n auf einem Hostinger-VPS in Frankfurt am Main

Was wir nicht machen: Rechtsberatung, DSFA-Erstellung, Mitarbeiter-Schulung. Dafür haben wir Partner — Anwaltskanzleien und externe Datenschutzbeauftragte, die wir empfehlen können.

→ Erstgespräch buchen — KI-VO-Setup analysieren

→ DSGVO-konforme KI-Automatisierung für KMU

→ Die 12 besten KI-Tools für KMU 2026

→ Was ist n8n überhaupt?

Häufige Fragen

Gilt der EU AI Act für mich, wenn ich nur ChatGPT Plus nutze?

Ja, auch dann. Die Pflichten gelten für den Einsatz von KI in Ihrem Unternehmen, egal wer der Anbieter ist. Bei ChatGPT Plus sind Sie der Betreiber („Deployer") im Sinne der KI-VO.

Was muss in der Datenschutzerklärung über KI stehen?

Welche KI-Tools genutzt werden, zu welchem Zweck, auf welcher Rechtsgrundlage (häufig Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse), wie lange Daten gespeichert werden, ob und wie sie an Drittländer übermittelt werden und wie Betroffene widersprechen können.

Brauche ich eine Datenschutz-Folgenabschätzung?

Wenn Ihre KI-Anwendung voraussichtlich ein „hohes Risiko für die Rechte und Freiheiten" Betroffener mit sich bringt: ja (Art. 35 DSGVO). Bei Lead-Triage mit pseudonymisierten Daten: meist nein. Bei automatischen HR-Entscheidungen: in aller Regel ja.

Was passiert, wenn ich die Pflichten noch nicht erfülle?

Wahrscheinlich passiert kurzfristig nichts. Aufsichtsbehörden arbeiten Beschwerden und Anlassfälle ab, nicht flächendeckend. Aber: Geschäftskunden fragen in AVV-Prüfungen danach, und Audit-Bereitschaft wird zur Erwartung.

Reicht „wir nutzen DSGVO-konforme Tools" als Aussage?

Nein. „DSGVO-konform" ist keine Eigenschaft eines Tools, sondern der Verarbeitung. Sie als Verantwortlicher müssen die Verarbeitung dokumentieren — nicht das Tool.

Welche KI-Tools sind im Sinne des AI Act problematisch?

Tools, die in Klasse 1 (verboten) fallen — z. B. Social-Scoring-Anbieter — kommen im KMU-Alltag praktisch nicht vor. Tools, die in Klasse 2 (High-Risk) fallen, sind selten. Die meisten KMU-Tools liegen in Klasse 3 oder 4.

Wer ist in der EU dafür zuständig?

In Deutschland: koordinierte Aufsicht durch die Bundesnetzagentur und die Datenschutzbehörden. Auf EU-Ebene das EU AI Office in Brüssel.

Über den Autor

Alexander Burghart baut Workflows für deutsche KMU, die DSGVO- und KI-VO-Anforderungen technisch umsetzen — vom Handwerksbetrieb über die Steuerkanzlei bis zum Pflegedienst. Inhaber FlowBrain, München-Schwabing. Setup: n8n self-hosted auf einem Hostinger-VPS in Frankfurt am Main, AVV inklusive, Festangebot nach dem Erstgespräch. LinkedIn

Quellen

• Verordnung (EU) 2024/1689 (EU AI Act), konsolidierte Fassung 2026-04
• Datenschutzkonferenz (DSK) – Orientierungshilfe KI 2024
• EU AI Office – Implementierungsleitfäden 2025–2026
• Bundesnetzagentur – KI-VO-Vollzug Stand 2026-03