EU AI Act für den Mittelstand: was Du jetzt wirklich tun musst

Der EU AI Act klingt nach einem Thema für Konzern-Justiziare. Ist er aber nicht. Sobald Du KI im Unternehmen einsetzt, betrifft er auch Dich — und das Gute ist: Für die meisten Mittelständler ist die Liste der To-dos überschaubar, wenn man sie einmal sortiert hat.

Die vier Risikoklassen, ohne Paragraphen-Nebel

Der AI Act sortiert KI-Anwendungen nicht nach Technik, sondern nach Risiko für Menschen. Vier Stufen:

• Verboten: Klar manipulative oder diskriminierende Systeme, etwa Social Scoring. Für den normalen Mittelstand kein Thema — das baut man schlicht nicht.
• Hochrisiko: KI, die wesentlich über Menschen entscheidet. Recruiting, Kreditwürdigkeit, Zugang zu Leistungen. Hier hängen echte Pflichten dran.
• Begrenztes Risiko: Vor allem Transparenzpflichten. Ein Chatbot muss sich als KI zu erkennen geben, KI-generierte Inhalte sind zu kennzeichnen.
• Minimales Risiko: Der große Rest — Textentwürfe, Recherche, Zusammenfassungen, Beleg-Vorerfassung. Hier gibt es kaum gesonderte Auflagen.

Die wichtigste Erkenntnis: Die allermeisten praktischen KI-Use-Cases im Mittelstand fallen in die unteren beiden Stufen. Der Aufwand entsteht fast nur dort, wo KI über Menschen urteilt.

Das Hochrisiko-Beispiel: KI im Recruiting

Nehmen wir den Klassiker. Du lässt eine KI eingehende Bewerbungen vorsortieren oder Kandidaten bewerten. Das ist nach AI Act Hochrisiko — weil die Entscheidung den Lebensweg von Menschen beeinflusst.

Was daraus folgt:

• Es braucht eine menschliche Letztentscheidung. Die KI schlägt vor, ein Mensch entscheidet. Ein Score ist nie automatisch eine Absage.
• Das System muss nachvollziehbar sein. Wer wurde wie bewertet, auf welcher Grundlage?
• Es muss aktiv gegen Diskriminierung geprüft werden — die KI darf keine sachfremden Muster lernen.
• Der Einsatz muss protokolliert werden.

Das ist kein Verbot. Es ist eine Bauanleitung. Wer sie von Anfang an mitdenkt, hat ein robustes, faires System statt einer rechtlichen Zeitbombe.

Die drei ersten Schritte

Du musst nicht alles auf einmal lösen. Fang so an:

1. Use-Case-Liste anlegen. Schreib auf, wo im Unternehmen KI schon im Einsatz ist oder geplant wird — inklusive der grauen Schatten-IT, die Mitarbeiter still nutzen.
2. Jeden Use-Case einer Risikoklasse zuordnen. In neun von zehn Fällen landest Du bei minimalem oder begrenztem Risiko. Die wenigen Hochrisiko-Fälle markierst Du rot.
3. Bei jedem rot markierten Fall die menschliche Letztentscheidung absichern. Das ist der wirksamste einzelne Hebel — er entschärft sowohl das rechtliche als auch das Akzeptanz-Risiko im Team.

“Der AI Act ist kein Grund, KI zu lassen. Er ist ein Grund, sie ordentlich einzuführen.

Wenn Du Deine Use-Cases einmal strukturiert einordnen willst, ist genau das ein guter Aufhänger für ein unverbindliches Erstgespräch. Mehr Hintergrund zu rechtssicherer KI findest Du in unserem Wissens-Bereich.