EU AI Act für KMU: Praxis-Leitfaden für kleine und mittlere Unternehmen

Typische KMU-KI-Landschaft: - ChatGPT/Copilot/Claude für Texte, Mails, Recherche → GPAI, Art. 50 Disclosure, Art. 4 KI-Literacy - Microsoft 365 Copilot → Standard-AVV, minimal/limited - Personio/SAP/Workday HR → Annex III Nr. 4 wenn Material Influence; CV-Filter ja, Excel-Auswertung nein - Salesforce/Hubspot CRM mit KI → meist minimal - Buchhaltungs-KI (lexoffice, sevdesk) → minimal - Newsletter-Personalisierung → meist minimal - Webseiten-Chatbot → Art. 50

Kaum Annex-III-Hochrisiko, fast nie Annex-I. Realistisch: 90% der KMU haben minimal/limited-risk-KI.

Schritt 1 — Inventar (1 Tag): Liste alle Tools mit KI-Funktionen. Frage IT, HR, Marketing, Vertrieb. Berücksichtige SaaS-Tools — viele haben versteckte KI.

Schritt 2 — Klassifikation (2-3 Tage): Pro Tool: Risiko-Klasse bestimmen. Kostenfreier Quick-Check auf ai-risk-check.com. Bei Annex III: tiefer einsteigen.

Schritt 3 — KI-Literacy-Schulung (1 Tag): Alle Mitarbeiter, die KI nutzen. 2-stündige Standard-Schulung reicht für KMU. Dokumentation der Teilnahme.

Schritt 4 — AGB & Datenschutz (1 Woche): Datenschutzerklärung um KI-Hinweise ergänzen. AVV mit allen KI-Anbietern. Cookie-Banner falls KI-Tracking.

Schritt 5 — Monitoring & Update (laufend): Quartalsweise Inventar aktualisieren. Bei neuen Tools: Re-Klassifikation. Aufsichtsbehörden-Newsletter abonnieren.

Geschätzter Aufwand: 5-10 Personentage einmalig, 1-2 Tage/Quartal laufend.

KMU haben besondere Privilegien: - Art. 62: Vorrangiger Zugang zu KI-Sandboxes — kostenfreie Test-Umgebung mit Aufsicht - Art. 56: AI Office unterstützt KMU bei Compliance-Verständnis - Nationale Aufsichten: BNetzA (DE), RTR (AT) bieten kostenfreie Erst-Beratung - Industrie-/Handelskammern: WKO (AT), DIHK (DE), economiesuisse (CH) haben KI-Hotlines

Praxis: vor Investition in teures Compliance-Tool die kostenfreie Beratung anrufen — viele Fragen klären sich dort.

Vermeiden Sie Overcompliance — KMU haben Erleichterungen: - Vereinfachte technische Doku (Art. 11 Abs. 1 UAbs. 2): kein 200-Seiten-Wälzer - FRIA nur bei Annex III: wenn Sie kein Hochrisiko-System haben, keine FRIA nötig - EU-Datenbank nur als Provider: als reiner Deployer KMU nicht meldepflichtig (Behörden-Ausnahme) - Kein Notified Body bei minimal/limited: Eigenzertifizierung reicht - Keine Konformitätserklärung: nur bei Hochrisiko

Ehrlich: Wenn Sie nur ChatGPT, Office Copilot und Standard-SaaS nutzen, sind Ihre Compliance-Pflichten überschaubar.

Art. 99 Abs. 6 erkennt KMU explizit an: "Bussgelder müssen verhältnismässig sein und KMU-Lebensfähigkeit berücksichtigen."

In der Praxis 2026 erwartete KMU-Bussen: - Verbotene Praktiken (Art. 5): selten betroffen, sonst 5-stellig bis 6-stellig - Annex-III ohne Doku: 4-stellig bis 5-stellig bei kooperativem Verhalten - Art. 4 KI-Literacy nicht dokumentiert: 4-stellig bis 5-stellig - Art. 50 Chatbot ohne Disclosure: 3-stellig bis 4-stellig

Deutlich unter den Maximalstrafen von 7%/35 Mio. EUR — die treffen Konzerne. KMU mit gutem Willen und dokumentierter Bemühung sind in der Regel safe.