EU AI Act 2026: Die 90-Minuten-KI-Landkarte für den Mittelstand

Der EU AI Act rückt mit Pflichten und Fristen für Unternehmen weiter in die operative Planung. Für KMU ist die gefährlichste Reaktion nicht Gelassenheit, sondern Unschärfe. Viele Betriebe wissen ungefähr, dass Mitarbeitende KI nutzen. Sie wissen aber nicht, in welchem Prozess, mit welchen Daten und mit welcher Aussenwirkung. Genau diese Unschärfe wird 2026 teuer, auch wenn noch nicht jeder Detailprozess juristisch bewertet ist.

Die gute Nachricht: Der erste Schritt ist kein Rechtsgutachten. Er ist eine Betriebsinventur. Wer in 90 Minuten eine ehrliche KI-Landkarte erstellt, kann Risiken sortieren, Schulung planen und spätere Pflichten deutlich schneller erfüllen. Ohne Landkarte bleibt jede Diskussion abstrakt.

Die KI-Landkarte ist eine Managementaufgabe

Eine KI-Landkarte zeigt nicht, welches Tool am modernsten ist. Sie zeigt, wo KI im Alltag vorkommt. Marketing formuliert Texte. Vertrieb lässt Gesprächsnotizen verdichten. HR vergleicht Bewerbungsunterlagen. Support schreibt Antwortentwürfe. Geschäftsführung fragt nach Analysen. Jeder dieser Fälle hat eine andere Risikostufe, obwohl überall „KI“ daraufsteht.

Deshalb reicht eine Toolliste nicht aus. Ein ChatGPT-, Gemini- oder Copilot-Eintrag sagt noch nichts über Daten, Zweck und Wirkung. Entscheidend ist der Prozess: Was geht hinein, was kommt heraus, wer prüft, und kann die Ausgabe Kunden, Mitarbeitende oder Verträge berühren?

Sieben Felder für die 90-Minuten-Inventur

• Bereich: Marketing, Verkauf, HR, Support, Administration oder Geschäftsführung.
• Aufgabe: Formulieren, Zusammenfassen, Vergleichen, Klassifizieren oder Entscheiden vorbereiten.
• Datenart: öffentlich, intern, personenbezogen, vertraulich oder besonders sensibel.
• Tool: freies Webtool, bezahlte Unternehmenslösung oder Funktion in bestehender Software.
• Ausgabe: intern, Entwurf, Veröffentlichung, Kundenkontakt oder Entscheidungsgrundlage.
• Prüfung: Rolle der Person, die die Ausgabe abnimmt.
• Stoppregel: Fälle, in denen die KI-Ausgabe nicht verwendet werden darf.

Diese Felder passen in eine einfache Tabelle. Wichtig ist, dass informelle Nutzung nicht verschwiegen wird. Wenn Mitarbeitende KI ohnehin verwenden, ist eine sichtbare Regel sicherer als ein offizielles Schweigen. Die Inventur bestraft niemanden. Sie macht den Betrieb steuerbar.

Rote Fälle zuerst, nicht perfekte Dokumente

Nach der Sammlung werden rote Fälle markiert. Rot sind Prozesse mit sensiblen Daten, direkter Aussenwirkung oder verbindlicher Entscheidung. Bewerberbewertung, Gesundheitsdaten, Zahlungsinformationen, neue Bankverbindungen, Vertragsauslegung und automatische Kundenantworten gehören nicht in einen unkontrollierten Pilot. Dort braucht es sofortige Grenzen.

Gelbe Fälle sind häufige Entwürfe mit personenbezogenen oder vertraulichen Informationen. Sie können nützlich sein, aber nur mit klarer Toolfreigabe und Prüfung. Grüne Fälle sind allgemeine Ideen, interne Gliederungen oder Zusammenfassungen ohne sensible Daten. Diese Einteilung verhindert, dass alles gleich streng oder alles gleich locker behandelt wird.

Schulung als kurze Betriebsregel

Viele Unternehmen denken bei Regulierung an lange Dokumente. Im Alltag hilft zunächst eine kurze Betriebsregel: Keine Passwörter, keine Zahlungsdaten, keine Gesundheitsdaten, keine ungeprüfte Kundenantwort, keine endgültige Personalentscheidung, keine Veröffentlichung ohne Verantwortliche. Diese Regel muss sichtbar sein und an echten Beispielen erklärt werden.

Ein zehnminütiges Teamgespräch reicht für den Anfang, wenn es konkrete Fälle durchspielt. Eine anonymisierte Textidee für einen Blog? meist grün. Eine echte Bewerbungsmappe in einem freien Webtool? rot. Eine Kundenmail als Antwortentwurf in einer freigegebenen Umgebung? gelb mit Prüfung. So wird KI-Kompetenz praktisch.

Was die Geschäftsführung danach entscheiden kann

Nach der Inventur wird klar, wo Toolfreigaben fehlen, wo Schulung nötig ist und welche Prozesse zuerst sauber pilotiert werden dürfen. Ein KMU kann dann eine realistische Reihenfolge festlegen: rote Fälle stoppen oder absichern, gelbe Fälle begrenzen, grüne Fälle produktiv nutzen. Das ist wirtschaftlicher als ein pauschales Verbot.

Der EU AI Act ist damit nicht nur Pflichtthema. Er ist ein Anlass, KI-Nutzung aus der Grauzone zu holen. Wer jetzt eine kleine, ehrliche Landkarte erstellt, muss später weniger rekonstruieren und kann bessere Automatisierung schneller freigeben.

Recherchebasis: Google-News-Recherche zu EU AI Act, August 2026 und Unternehmenspflichten.

Nächster Schritt

Was heisst das für KI-Regeln und Nachweise?

• Nutzung sichtbar machen: Welche Teams nutzen welche KI-Tools?
• Daten und Freigaben klären: Was darf in ChatGPT, Copilot oder andere Tools?
• Nachweise vorbereiten: Regeln, Rollen und Unterweisung dokumentieren.

KI-Regelmappe prüfenBüro-KI danach prüfen

DACH-Hinweis: 10min KI Brief bleibt für KMU im gesamten DACH-Raum lesbar; konkrete Praxisangebote sind zuerst CH-first formuliert.