Der EU AI Act — was Mittelständler wirklich betrifft
Orientierung · keine Rechtsberatung
Die meisten Anwendungen im Mittelstand sind gering reguliert
Der EU AI Act sorgt für Verunsicherung, und ein Teil davon ist unnötig. Die Verordnung stuft KI-Systeme nach Risiko ein — und die überwiegende Mehrheit dessen, was im Mittelstand tatsächlich eingesetzt wird, fällt in die unteren Stufen: Texterstellung, Dokumentenverarbeitung, interne Suche, Produktdatenanreicherung.
Wichtig wird es dort, wo KI über Menschen entscheidet — in der Personalauswahl, bei Kreditwürdigkeit, in der Zugangskontrolle. Und bei Produkten, die selbst reguliert sind: Wer KI in ein Medizinprodukt einbaut, spielt in einer anderen Klasse.
Wir stellen keine Zertifizierungen aus und leisten keine Rechtsberatung. Was wir können: einordnen, in welchem Bereich Ihre geplante Anwendung liegt, und die Umsetzung so bauen, dass Nachvollziehbarkeit von Anfang an mitgedacht ist.
Die Einstufung in der Praxis
Vier Stufen kennt die Verordnung. Für den Mittelstand sind vor allem die unteren beiden relevant.
Geringes Risiko
Die große Mehrheit betrieblicher Anwendungen: Texte erzeugen, Dokumente auslesen, interne Wissensbestände durchsuchen, Produktdaten anreichern.
Was zu tun ist: Transparenz gegenüber Nutzern, wenn sie mit einem KI-System interagieren. Dokumentieren, was eingesetzt wird und wofür.
Hohes Risiko
Systeme, die über Menschen entscheiden oder in regulierte Produkte eingebaut sind — Personalauswahl, Bonität, Zugang, Sicherheitskomponenten.
Was zu tun ist: Risikomanagement, Datenqualitätsanforderungen, technische Dokumentation, menschliche Aufsicht, Protokollierung. Hier beginnt echter Aufwand.
Verboten
Soziales Bewerten von Menschen, gezielte Ausnutzung von Schutzbedürftigkeit, ungezielte Gesichtserkennung im öffentlichen Raum.
Was zu tun ist: Nichts — außer sicherzustellen, dass niemand versehentlich in diese Richtung baut.
Was Sie jetzt sinnvoll tun können
- Bestandsaufnahme. Welche KI-Anwendungen laufen bereits im Haus — auch die, die einzelne Mitarbeiter auf eigene Faust nutzen? Diese Liste ist meist länger als erwartet.
- Einordnen. Für jede Anwendung: Entscheidet sie über Menschen? Steckt sie in einem regulierten Produkt? Wenn zweimal nein, ist der Aufwand überschaubar.
- Transparenz herstellen. Wo Kunden oder Mitarbeiter mit einem KI-System sprechen, muss das erkennbar sein.
- Nachvollziehbarkeit einbauen. Protokollieren, welche Quelle zu welchem Ergebnis geführt hat — das ist ohnehin die Voraussetzung dafür, dass ein System im Betrieb akzeptiert wird.
Den vierten Punkt bauen wir grundsätzlich ein, auch wo keine Pflicht besteht. Eine Antwort ohne Beleg wird in einem Betrieb mit Verantwortung nicht akzeptiert — und das zu Recht.