AI Act für Startups + KMU: was ist wann Pflicht?

Was KMU sofort beachten müssen (seit Februar 2025)

Drei Stufen des AI Act sind bereits in Kraft, unabhängig von der Unternehmensgröße:

• Verbote nach Art. 5, etwa keine manipulative KI und kein Social Scoring; biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken ist nur in eng begrenzten Ausnahmefällen zulässig (siehe gesonderter Artikel zu verbotenen Praktiken).
• KI-Kompetenz nach Art. 4, Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals und der Personen, die in ihrem Auftrag mit KI-Systemen umgehen, zu fördern.
• Definitionen und allgemeine Bestimmungen, als juristische Grundlage für alle späteren Stufen.

Art. 4 verlangt weder zertifizierte Ausbildungen noch einen bestimmten Nachweis. Seit dem Digital Omnibus müssen Anbieter und Betreiber Maßnahmen zur Förderung der KI-Kompetenz ergreifen und dabei technische Kenntnisse, Erfahrung, Ausbildung und den Einsatzkontext berücksichtigen; ein bestimmtes Kompetenzniveau einzelner Personen müssen sie ausdrücklich nicht garantieren. Daraus folgt eine Abstufung nach Tätigkeit: Wer im Marketing einen LLM-Chat nutzt, braucht weniger Tiefe als jemand, der ein KI-System in die IT integriert. Eine schriftliche Übersicht der Maßnahmen ist nicht vorgeschrieben, erleichtert aber den Nachweis gegenüber der Marktüberwachung.

Was für Hochrisiko-KI gilt und ab wann

Die Pflichten für Hochrisiko-KI-Systeme (Kapitel III AI Act) gelten nach dem Digital Omnibus für Systeme nach Anhang III ab dem 2. Dezember 2027 und für Systeme nach Anhang I (Produkte unter EU-Harmonisierungsrecht) ab dem 2. August 2028. Seit dem 2. August 2026 gelten bereits die Transparenzpflichten nach Art. 50. Für KMU heißt das praktisch:

• Wer Hochrisiko-KI anbietet (selbst entwickelt oder entwickeln lässt und unter eigenem Namen oder eigener Marke in Verkehr bringt): vollständige Anbieterpflichten, Konformitätsbewertung, CE-Kennzeichnung, bei Systemen nach Anhang III die Registrierung in der EU-Datenbank (Art. 49), Post-Market-Monitoring.
• Wer Hochrisiko-KI betreibt (eingekauft oder integriert, aber unter eigener Verantwortung eingesetzt): Betreiberpflichten nach Art. 26, bestimmungsgemäße Verwendung, Logs aufbewahren, menschliche Aufsicht. Eine Grundrechte-Folgenabschätzung (Art. 27) trifft Einrichtungen des öffentlichen Rechts, private Einrichtungen, die öffentliche Dienste erbringen, sowie Betreiber von Systemen zur Kreditwürdigkeitsprüfung und zur Risiko- und Preisbewertung bei Lebens- und Krankenversicherungen (Anhang III Nr. 5 lit. b und c).
• Wer GPAI-Modelle anbietet: Pflichten nach Art. 53 (oder Art. 55 bei systemischem Risiko), gelten allerdings bereits seit 2. August 2025.
• Wer fertige KI-Dienste nur nutzt (z. B. ChatGPT): keine Anbieterpflichten für das Modell. Es gelten die Verbote nach Art. 5, die KI-Kompetenz nach Art. 4 und die Betreiberpflichten nach Art. 50 Abs. 3 und 4. Wer ein Modell per API in ein eigenes KI-System einbaut und dieses unter eigenem Namen in Betrieb nimmt, ist für dieses System Anbieter (Art. 3 Nr. 3).

Für ein typisches KMU ohne eigene KI-Entwicklung sind die wichtigsten praktischen Pflichten die Transparenzpflichten nach Art. 50. Anbieter müssen KI-Systeme, die direkt mit Menschen interagieren, so gestalten, dass die Nutzer erkennen, dass sie mit einer KI zu tun haben (Abs. 1); wer einen Chatbot selbst entwickelt oder entwickeln lässt und unter eigenem Namen in Betrieb nimmt, ist dabei selbst Anbieter. Die maschinenlesbare Kennzeichnung generierter Bilder, Texte und Audios (Abs. 2) trifft ebenfalls die Anbieter. Als Betreiber muss ein KMU nach Abs. 4 Deepfakes offenlegen sowie KI-generierte oder -manipulierte Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden.

Erleichterungen für KMU

Der AI Act enthält explizite Erleichterungen für KMU und Start-ups:

• Vereinfachte technische Dokumentation (Art. 11 Abs. 1 UAbs. 2): KMU einschließlich Start-ups dürfen die Angaben nach Anhang IV in vereinfachter Form bereitstellen. Die Kommission legt dafür ein vereinfachtes Dokumentationsformular fest.
• Niedrigere Gebühren für die Konformitätsbewertung (Art. 62 Abs. 2): Bei der Festsetzung der Gebühren für die Konformitätsbewertung nach Art. 43 werden die besonderen Interessen und Bedürfnisse von KMU-Anbietern berücksichtigt und die Gebühren proportional zu ihrer Größe, ihrer Marktgröße und anderen einschlägigen Indikatoren gesenkt.
• Regulatorische KI-Sandbox (Art. 58 Abs. 2 lit. d): Der Zugang ist für KMU einschließlich Start-ups kostenfrei; die zuständigen Behörden können lediglich außergewöhnliche Kosten in fairer und verhältnismäßiger Weise geltend machen.
• Vorrangiger Zugang zur Sandbox (Art. 62 Abs. 1 lit. a): KMU und Start-ups mit Sitz oder Zweigniederlassung in der EU erhalten vorrangigen Zugang zu den KI-Reallaboren.
• Anpassung der Bußgelder (Art. 99 Abs. 1 und 6): Die Mitgliedstaaten berücksichtigen bei den Sanktionen die Interessen und die wirtschaftliche Lebensfähigkeit von KMU; für KMU gilt jeweils der niedrigere Betrag aus Prozentsatz und Festbetrag.

Die Erleichterungen reduzieren die formellen Hürden, sie befreien aber nicht von den materiellen Anforderungen. Ein Hochrisiko-System eines Start-ups muss genauso Risikomanagement, Datenqualität und Cybersicherheit erfüllen wie ein System eines Großkonzerns. Die Erleichterungen wirken vor allem auf Dokumentations- und Verfahrens-Ebene.

Die Regulatorische KI-Sandbox

Art. 57 AI Act verpflichtet jeden Mitgliedstaat, mindestens eine regulatorische KI-Sandbox einzurichten; nach dem Digital Omnibus muss sie bis zum 2. August 2027 in Betrieb sein. In der Sandbox können Anbieter, vor Inverkehrbringen, ihr System unter Aufsicht der zuständigen Behörde testen, einschließlich realer Daten und realer Tests mit Endnutzern.

Vorteile für Start-ups:

• Keine Geldbußen bei Einhaltung des Plans, halten Teilnehmer den Sandbox-Plan und die Teilnahmebedingungen ein und folgen sie in gutem Glauben den Hinweisen der Behörde, werden für Verstöße gegen den AI Act keine Geldbußen verhängt; die Haftung für Schäden bei Dritten bleibt bestehen (Art. 57 Abs. 12).
• Beratung durch die Behörde, die zuständige Behörde gibt Hinweise, wie das System für die spätere Konformitätsbewertung vorzubereiten ist.
• Schriftlicher Nachweis und Abschlussbericht, auf Antrag bestätigt die Behörde die erfolgreich durchgeführten Tätigkeiten schriftlich; zusätzlich erstellt sie einen Abschlussbericht (Art. 57 Abs. 7).
• Beschleunigte Konformitätsbewertung, Nachweis und Abschlussbericht können in der Konformitätsbewertung und gegenüber der Marktüberwachung verwendet werden; notifizierte Stellen und Marktüberwachungsbehörden berücksichtigen sie positiv (Art. 57 Abs. 7).

In Deutschland regelt das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG, in Kraft seit 29.07.2026, BGBl. 2026 I Nr. 223) die Durchführung des AI Act; zuständige Marktüberwachungsbehörde ist grundsätzlich die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG), die nach § 13 KI-MIG auch mindestens ein KI-Reallabor errichtet und betreibt. Deren KI-Service Desk informiert auch über KI-Reallabore (Stand: 18.09.2026).

Beratung und Anlaufstellen

Erste Anlaufstelle für Fragen zur Anwendung des AI Act ist der KI-Service Desk der Bundesnetzagentur. Er richtet sich ausdrücklich auch an KMU und Start-ups und bietet unter anderem den KI-Compliance-Kompass zur ersten Einordnung, ob und in welchem Umfang die KI-Verordnung ein eingesetztes System erfasst, ein Factsheet für KMU sowie Informationen zu KI-Kompetenz und KI-Reallaboren. Ob für ein konkretes Vorhaben Fördermittel in Frage kommen, lässt sich nur im Einzelfall anhand der jeweils laufenden Programme klären.

Praxis: Was KMU jetzt tun sollten

Vollständige Vorbereitung:

1. KI-Inventar mit Risikoklassifizierung pro System.
2. KI-Kompetenz: Maßnahmen nach Tätigkeit festlegen und einleiten, zu Nachweiszwecken festhalten.
3. Verbots-Check mit allen Vendoren.
4. Transparenz: Chatbot-Hinweise bei eigenen Systemen, Offenlegung von Deepfakes und von KI-Texten zu Angelegenheiten von öffentlichem Interesse (Art. 50).
5. Hochrisiko-Identifikation, gibt es Anwendungen, die unter Anhang III fallen?
6. Bei Hochrisiko: Vorbereitung der Konformitätsbewertung (siehe gesonderter Artikel).
7. Sandbox-Antrag prüfen, sobald die deutsche Sandbox operativ ist.

FAQ

Gilt der AI Act auch für Start-ups in der Frühphase?

Ja. Der AI Act gilt ab dem Moment, in dem ein KI-System auf den Markt gebracht oder in Betrieb genommen wird. Forschungs-, Test- und Entwicklungstätigkeiten sind nach Art. 2 Abs. 8 ausgenommen, solange das System nicht „in Verkehr gebracht" oder „in Betrieb genommen" ist; Tests unter Realbedingungen fallen nicht unter diese Ausnahme. Sobald reale Endnutzer Zugriff bekommen, greift der Act.

Wo finde ich den deutschen Sandbox-Antrag?

Nach dem Digital Omnibus muss die nationale KI-Sandbox bis zum 2. August 2027 in Betrieb sein (Art. 57 Abs. 1). Zentrale Marktüberwachungsbehörde nach dem KI-MIG ist die Bundesnetzagentur; Informationen zu KI-Reallaboren bündelt ihr KI-Service Desk (Stand: 18.09.2026).

Was passiert, wenn ich als KMU einen Pflichtenverstoß habe?

Nach Art. 99 Abs. 1 AI Act berücksichtigen die Mitgliedstaaten bei den Sanktionen die Interessen von KMU und deren wirtschaftliche Lebensfähigkeit. Art. 99 Abs. 6 legt fest, dass für KMU jeweils der niedrigere Betrag aus Prozentsatz des Jahresumsatzes und Festbetrag gilt. Die Höchstbeträge stehen in Art. 99 Abs. 3 bis 5; die deutsche Durchführung regelt das KI-MIG (in Kraft seit 29.07.2026), zuständig für die Marktüberwachung ist die Bundesnetzagentur. Wie im Einzelfall vorgegangen wird, hängt vom Verstoß ab.

Brauchen wir einen "KI-Beauftragten" wie einen Datenschutzbeauftragten?

Der AI Act schreibt keine Pflicht zum dedizierten KI-Beauftragten vor. Anbieter von Hochrisiko-Systemen müssen in ihrem Qualitätsmanagementsystem einen Rahmen für die Rechenschaftspflicht festlegen, der die Verantwortlichkeiten der Leitung und des übrigen Personals regelt (Art. 17 Abs. 1 lit. m). Wer diese Verantwortung übernimmt, etwa Geschäftsführung, technische Leitung oder eine Compliance-Funktion, entscheidet das Unternehmen. Eine Bündelung mit der Rolle des Datenschutzbeauftragten ist möglich, wenn die nötige technische Kompetenz vorhanden ist.