Verantwortung 4 Min
EU AI Act: Die drei Dokumente, die KMU bis August 2026 brauchen
Nicht das Gesetz ändert sich am 2. August 2026, sondern seine Durchsetzbarkeit. Für ein typisches KMU genügen drei Dokumente, um einer ersten Behördenprüfung gelassen entgegenzusehen: KI-Kompetenz-Nachweis, Risikoregister und eine schlanke KI-Richtlinie.
Programmatisch erzeugtes Titelbild. Die Marke steht waagerecht auf dem Veröffentlichungsdatum im Jahr und senkrecht auf der Zahl der Abschnitte. Wie die Titelbilder entstehen
Seit Monaten landet in den Postfächern vieler Mittelständler dieselbe Botschaft: Am 2. August 2026 schlage der EU AI Act voll zu, und wer dann nicht vorbereitet sei, riskiere empfindliche Strafen. Dieses Bild ist schief. An diesem Datum ändert sich nicht das Gesetz, sondern seine Durchsetzbarkeit. Und das, was für einen typischen Betrieb mit 50 bis 500 Mitarbeitenden tatsächlich greift, ist deutlich kleiner als die Schlagzeilen vermuten lassen. Drei Dokumente reichen, um einer ersten Behördenprüfung gelassen entgegenzusehen. Welche das sind, und warum der aufwendige Rest vorerst warten kann, ist schnell erklärt.
Was am 2. August 2026 wirklich passiert
Die zentrale Pflicht für KMU gilt längst: Artikel 4 des EU AI Act, die sogenannte KI-Kompetenz, ist seit dem 2. Februar 2025 in Kraft [1]. Neu ist ab August 2026 nicht der Inhalt, sondern der Durchsetzungsrahmen. Ab dann können die nationalen Aufsichtsbehörden, in Deutschland die Bundesnetzagentur, Nachweise einfordern und bei Versäumnissen tätig werden.
Die wirklich schweren Pflichten, die viele mit August 2026 verbinden, sind dagegen verschoben. Mit dem Digital-Omnibus-Paket hat die EU die Anforderungen an Hochrisiko-KI nach Anhang III, also etwa Systeme für Personalauswahl, Kreditwürdigkeit oder Biometrie, auf den 2. Dezember 2027 vertagt. In Produkte eingebettete Hochrisiko-Systeme nach Anhang I folgen erst am 2. August 2028 [3]. Diese Entlastung hilft vor allem den Anbietern solcher Systeme, nicht dem Betrieb, der Standard-Werkzeuge wie ChatGPT oder Claude einsetzt.
Für ein normales KMU bleiben damit zum Stichtag zwei Dinge relevant: die Durchsetzung von Artikel 4 und die Transparenzpflicht nach Artikel 50, also die Kennzeichnung KI-generierter Inhalte und das Offenlegen von Deepfakes, die unverändert ab dem 2. August 2026 wirkt [2]. Wichtig für die Einordnung: Die meisten Mittelständler sind Betreiber, nicht Anbieter von KI-Systemen. Damit tragen sie die deutlich leichtere Pflichtenlast.
Die drei Dokumente, die eine erste Prüfung bestehen
Unabhängig von der Risikoklasse läuft das operative Minimum auf drei Belege hinaus. In der Beratungspraxis hat sich genau diese Dreiteilung als robust erwiesen, weil sie behördenfest und trotzdem in überschaubarer Zeit erstellbar ist.
Erstens der KI-Kompetenz-Nachweis. Ein Dokument oder eine Aufzeichnung, aus der hervorgeht, dass Mitarbeitende mit KI-Berührungspunkten strukturiert geschult wurden. Vier Angaben gehören hinein: Datum der Schulung, behandelte Themen, Teilnehmerliste und Abschlussformat. Ob das eine externe Zertifizierung oder ein intern durchgeführtes Briefing ist, spielt keine Rolle, solange diese vier Parameter dokumentiert sind. Eine formale Zertifizierung verlangt der AI Act ausdrücklich nicht [1]. Was nicht genügt, ist der Satz „Wir haben das intern mal besprochen".
Zweitens das Risikoregister. Eine tabellarische Auflistung aller im Unternehmen genutzten KI-Systeme. Vier Pflichtfelder je Eintrag reichen: das KI-System, sein Anwendungsbereich, die zugeordnete Risikoklasse und die verantwortliche Person oder Funktion. Für die meisten KMU landet hier ohnehin „minimal" oder „begrenzt". Ein gepflegtes Tabellenblatt erfüllt den Standard.
Drittens die KI-Richtlinie in Minimalversion. Zwei bis fünf Seiten, die drei Fragen verbindlich beantworten: Wer darf welche KI-Systeme für welche Aufgaben einsetzen? Wie werden KI-generierte Ergebnisse vor ihrer Verwendung geprüft? Und für welche Entscheidungen ist eine menschliche Freigabe Pflicht? Diese Richtlinie ist zugleich Ihr wirksamstes Mittel gegen die unkontrollierte Tool-Nutzung im Hintergrund, die in vielen Betrieben längst stattfindet.
| Dokument | Pflichtinhalt | Aufwand |
|---|---|---|
| KI-Kompetenz-Nachweis | Datum, Themen, Teilnehmer, Abschlussformat | gering, wenn Schulungen laufen |
| Risikoregister | System, Anwendungsbereich, Risikoklasse, Verantwortliche/r | ein Tabellenblatt |
| KI-Richtlinie | Wer darf was, Output-Prüfung, Freigabe-Regeln | zwei bis fünf Seiten |
Drei Schritte, die diese Woche möglich sind
Der Einstieg gelingt unabhängig davon, wo Ihr Betrieb gerade steht.
Erfassen Sie zuerst alle KI-Werkzeuge in einer einfachen Liste. Dazu gehören auch eingebettete Funktionen in bestehender Software, etwa Textvorschläge im CRM, automatische Klassifizierung im ERP oder KI-gestützte Such- und Priorisierungsfunktionen. Eine erste vollständige Erfassung kostet etwa einen halben Arbeitstag und ist die Grundlage für das Risikoregister.
Tragen Sie zweitens vergangene Schulungen nach. Wenn es in den letzten Monaten Briefings, Workshops oder externe Trainings zu KI gab, halten Sie diese jetzt fest: Datum, Thema, Teilnehmende, Format. Auch intern durchgeführte Einführungen zählen als Nachweis, solange sie nachvollziehbar dokumentiert sind.
Verankern Sie drittens die Output-Prüfung als feste Gewohnheit. KI-Kompetenz ist kein Zertifikat an der Wand, sondern eine Routine: Ergebnis erzeugen -> auf Plausibilität und Halluzinationen prüfen -> erst dann verwenden. Genau diese Routine ist der praktische Kern dessen, was Artikel 4 meint, und sie lässt sich in jeder Abteilung in einem Satz verständlich machen.
Was Sie sich sparen können
Lassen Sie sich keine Compliance-Suite für mehrere tausend Euro verkaufen, wo ein Tabellenblatt und eine dreiseitige Richtlinie genügen. Der AI Act verlangt für die KI-Kompetenz keine teure Zertifizierung, und das Risikoregister ist bewusst schlank gehalten. Vorsicht ist auch bei Werbeversprechen geboten, etwa der Aussage, ein Compliance-Training sei „zu 80% förderfähig". Förderfähigkeit für solche Schulungen kann es geben, aber das prüft man im Einzelfall gegen die offiziellen Förderrichtlinien, nicht anhand eines Marketing-Videos.
Genauso wenig sollten Sie ins andere Extrem fallen. „Haben wir besprochen" ohne jede Aufzeichnung besteht keine Prüfung. Der Nachweis ist die Dokumentation, nicht die gute Absicht.
Bleibt die eigentliche Pointe: Hinter diesen drei Dokumenten steckt keine Bürokratie um ihrer selbst willen. Sie zwingen Sie dazu, einmal sauber zu wissen, welche KI in Ihrem Betrieb läuft, wer sie bedient und wie geprüft wird, was sie ausgibt. Diese Klarheit ist am 2. August 2026 etwas wert, ganz gleich, ob jemals eine Behörde anklopft. Wer den August als Anlass nimmt, hat hinterher nicht nur drei Dokumente, sondern einen Betrieb, der seine eigenen Werkzeuge versteht.
Quellen
[1] Article 4: AI literacy, EU Artificial Intelligence Act, in Kraft seit 2. Februar 2025. [2] Article 50: Transparency obligations, EU Artificial Intelligence Act, wirksam ab 2. August 2026. [3] Digital-Omnibus-Paket der Europäischen Kommission zur Fristverschiebung der Hochrisiko-Pflichten (Anhang III auf Dezember 2027, Anhang I auf August 2028).