EU AI Act: Was kleine Unternehmen jetzt tun müssen

01Die Pflicht in einem Satz

Artikel 4 der KI-Verordnung verlangt seit dem 2. Februar 2025, dass Anbieter und Betreiber von KI-Systemen für ein ausreichendes Maß an KI-Kompetenz der Personen sorgen, die in ihrem Auftrag damit arbeiten. Berücksichtigt werden sollen dabei deren Vorkenntnisse, die Ausbildung und der konkrete Einsatzzweck.

Was auffällt: Es steht kein Umfang darin, kein Format, kein Zertifikat. Das ist kein Versehen, sondern gewollt — ein Forschungsinstitut braucht anderes als ein Elektrobetrieb.

02Wen es betrifft

Die Verordnung unterscheidet nicht nach Unternehmensgröße, sondern nach Rolle. Die allermeisten kleinen Betriebe sind Betreiber — sie nutzen KI-Systeme, die jemand anderes entwickelt hat. Daraus folgt die Kompetenzpflicht.

Typische Fälle, die vielen gar nicht als KI bewusst sind:

03Wie Sie es erfüllen — in vier Schritten

1. Bestandsaufnahme. Schreiben Sie auf, welche KI-Werkzeuge tatsächlich genutzt werden. Fragen Sie nach, statt zu vermuten — erfahrungsgemäß taucht dabei mindestens eines auf, von dem die Geschäftsführung nichts wusste. Vier Spalten genügen: Werkzeug, wer nutzt es, wofür, welche Daten gehen hinein.
2. Schulung. Eine Einweisung auf genau die Werkzeuge, die Sie einsetzen: wie sie arbeiten, warum sie überzeugend klingende Fehler produzieren, welche Angaben nicht hineingehören und wer das Ergebnis prüft. Für einen kleinen Betrieb zwei bis drei Stunden.
3. Nutzungsregel. Zwei Seiten genügen. Welche Werkzeuge erlaubt sind, welche Daten tabu sind, dass Ergebnisse vor Verwendung geprüft werden und wer bei Unsicherheit zuständig ist.
4. Dokumentation. Wer wann geschult wurde und welche Fassung der Regel gilt. Das ist der Nachweis, dass Sie Ihrer Pflicht nachgekommen sind.

04Der Punkt, der oft vergessen wird

Der EU AI Act ersetzt die DSGVO nicht, er kommt dazu. Sobald personenbezogene Daten in ein KI-Werkzeug gelangen — und ein Kundenname reicht dafür —, brauchen Sie eine Rechtsgrundlage, in der Regel einen Vertrag zur Auftragsverarbeitung mit dem Anbieter, und müssen wissen, ob Ihre Eingaben zum Training verwendet werden.

Bei den großen Anbietern gibt es für beides Geschäftskonfigurationen. In den kostenlosen Varianten ist das meist nicht der Fall. Das ist der häufigste Fehler, den ich in Betrieben sehe: Es wird die private Gratisversion genutzt, und zwar mit echten Kundendaten.

05Was wann gilt

Für den typischen kleinen Betrieb ist nur die erste Zeile relevant — solange keine Hochrisiko-Anwendung dabei ist. Dazu zählen unter anderem Systeme, die bei Einstellungen, Beförderungen oder Kündigungen mitentscheiden.

06Brauchen Sie einen KI-Beauftragten?

Vorgeschrieben ist er nicht. Anders als beim Datenschutz, wo unter bestimmten Voraussetzungen ein Beauftragter benannt werden muss, kennt der EU AI Act keine solche Pflicht. Wer Ihnen etwas anderes erzählt, verkauft mit Angst.

Sinnvoll ist die Rolle trotzdem, und zwar aus einem praktischen Grund: Ohne Zuständigkeit verfällt das Thema. Die Schulung von vor einem Jahr deckt die drei neuen Mitarbeitenden nicht ab, und die Nutzungsregel kennt das Werkzeug nicht, das seit drei Monaten im Einsatz ist. Wie beim Datenschutz lässt sich diese Rolle extern vergeben.

07Wenn Sie Unterstützung wollen

Ich bin von der IHK als Manager für KI-Transformation und über die DATA Security Akademie als KI-Beauftragter zertifiziert und begleite hauptberuflich KI-Einführungen bei großen Auftraggebern. Für kleine Unternehmen übersetze ich das in etwas, das an einem Nachmittag umsetzbar ist. Was dazugehört, steht unter KI-Beratung.

Fachliche Einordnung nach bestem Wissen, keine Rechtsberatung. Die Verordnung wird fortlaufend durch Leitlinien konkretisiert.