Fünf Monate. So lange haben DACH-Unternehmen noch, bevor der EU AI Act am 1. August 2026 vollständig verbindlich wird. Wer bis dahin keine dokumentierten Compliance-Strukturen für seine KI-Systeme hat, riskiert Bussgelder — und in einem Fall auch Reputationsschäden, die sich nicht so leicht beziffern lassen.
Was bedeutet das konkret für KMU mit EU AI Act? Weniger als viele befürchten — aber mehr, als viele bisher getan haben.
Was der EU AI Act wirklich regelt
Das Gesetz unterscheidet KI-Systeme nach Risikoklassen. Für die meisten KMU-Bürotools gilt „minimales Risiko“ — Chatbots, Texthilfen, Dokumentenverarbeitung. Hier sind die Anforderungen überschaubar, aber verbindlich:
- Transparenzpflicht: Nutzer müssen wissen, wenn sie mit einem KI-System interagieren
- Kennzeichnungspflicht: KI-generierte Inhalte, die für Menschen bestimmt sind, müssen als solche erkennbar sein
- Dokumentationspflicht: Eingesetzte KI-Systeme müssen nachvollziehbar dokumentiert sein
Hochrisiko-Systeme — etwa KI in der Personalentscheidung, im Kreditwesen oder in der kritischen Infrastruktur — unterliegen deutlich strengeren Regeln inklusive Konformitätsbewertung und Registrierungspflicht.
Was KMU bis August konkret erledigen müssen
Ein pragmatischer Massnahmenplan in vier Schritten:
- KI-Inventur machen: Welche KI-Systeme sind im Einsatz? Von ChatGPT über CRM-KI bis zum automatisierten Newsletter-Tool — alles erfassen
- Risikoklasse bestimmen: Für jedes System: minimales, begrenztes oder Hochrisiko? Die meisten KMU-Tools liegen bei minimal
- Transparenz sicherstellen: Mitarbeitende informieren. Kundenseitige KI-Interaktionen kennzeichnen
- Dokumentieren: Kurze interne Beschreibung pro System: Was macht es? Wer ist verantwortlich? Wann wurde es eingeführt?
Die gute Nachricht für KMU
Der EU AI Act ist kein DSGVO-2.0 für KMU. Die Anforderungen an Niedrigrisiko-Systeme sind handhabbar. Was ihn zum Problem macht: Passivität. Wer im August keine Antwort auf die Frage hat „Welche KI-Systeme setzen wir ein und wie?“ wird Zeit und Geld verlieren — für Nachrüstung unter Druck statt für ruhige Vorbereitung jetzt.
Laut blog.distart.de (März 2026) unterschätzen besonders kleine Unternehmen den Dokumentationsaufwand. Dabei ist der grösste Teil in einem halben Tag erledigt, wenn man strukturiert vorgeht.
Was Unternehmen, die KI-Tools kaufen, fragen sollten
Wer heute KI-Tools einführt, sollte vom Anbieter folgendes einfordern: DSGVO-Konformität, Verarbeitungsverzeichnis, klare Aussage zur EU-AI-Act-Risikoklasse des Systems. Seriöse Anbieter haben das bereits dokumentiert. Wer keine Auskunft gibt, ist ein Risiko.
Jetzt handeln — nicht im Juli
Fünf Monate klingen lang. In der Praxis braucht die KI-Inventur einen Tag, die Dokumentation eine Woche, allfällige Anpassungen je nach System ein paar Wochen. Wer jetzt startet, ist entspannt fertig. Wer wartet, ist im Juli im Stress.
Für KMUs, die keine Zeit für den Setup haben: buero-ki.ch hat das bereits fertig konfiguriert — DSGVO-konform, EU-AI-Act-ready, sofort nutzbar.
