AI Act für Startups + KMU: was ist Pflicht ab August 2026?

Was KMU sofort beachten müssen (seit Februar 2025)

Drei Stufen des AI Act sind bereits in Kraft, unabhängig von der Unternehmensgröße:

• Verbote nach Art. 5, keine manipulative KI, kein Social Scoring, keine Echtzeit-Biometrie ohne Ausnahmegrund (siehe gesonderter Artikel zu verbotenen Praktiken).
• KI-Kompetenz nach Art. 4, Anbieter und Betreiber müssen sicherstellen, dass alle Personen, die mit KI-Systemen umgehen, angemessene KI-Kompetenz besitzen.
• Definitionen und allgemeine Bestimmungen, als juristische Grundlage für alle späteren Stufen.

Die KI-Kompetenz-Pflicht (Art. 4) wird von KMU häufig übersehen. Sie verlangt nicht zertifizierte Ausbildungen, aber sie verlangt einen dokumentierten Plan, wie Mitarbeiter qualifiziert werden, abgestuft nach Tätigkeit. Marketing-Mitarbeiter, die einen LLM-Chat nutzen, brauchen weniger Tiefe als IT-Mitarbeiter, die ein KI-System integrieren.

Was kommt am 2. August 2026

Die meisten Hochrisiko-Pflichten, Art. 8 bis 22 AI Act, treten am 2. August 2026 in Kraft. Für KMU heißt das praktisch:

• Wer Hochrisiko-KI anbietet (selbst entwickelt oder unter eigener Marke vertreibt): vollständige Anbieterpflichten, Konformitätsbewertung, CE-Kennzeichnung, EU-Datenbank-Registrierung, Post-Market-Monitoring.
• Wer Hochrisiko-KI betreibt (eingekauft oder integriert, aber unter eigener Verantwortung eingesetzt): Betreiberpflichten, bestimmungsgemäße Verwendung, Logs aufbewahren, menschliche Aufsicht, Folgenabschätzung für Grundrechte bei Behörden-naher Verwendung.
• Wer GPAI-Modelle anbietet: Pflichten nach Art. 53 (oder Art. 55 bei systemischem Risiko), gelten allerdings bereits seit 2. August 2025.
• Wer nur GPAI-Modelle konsumiert (z.B. ChatGPT, Claude API): keine direkten Anbieterpflichten, aber Betreiberpflichten in Bezug auf Transparenz und Nicht-Manipulation.

Für einen typischen KMU ohne eigene KI-Entwicklung sind die wichtigsten praktischen Pflichten die Transparenzpflichten nach Art. 50: Chatbot-Nutzer müssen erkennen können, dass sie mit einer KI sprechen. Generierte Bilder, Texte, Audios müssen als KI-generiert gekennzeichnet werden. Deepfakes brauchen Pflicht-Hinweis.

Erleichterungen für KMU

Der AI Act enthält explizite Erleichterungen für KMU und Start-ups:

• Vereinfachte technische Dokumentation (Art. 11 Abs. 1 UAbs. 2): KMU dürfen die Anhang-IV-Dokumentation in vereinfachter Form führen. Welche Felder konkret entfallen, gibt die Kommission per Durchführungsrechtsakt vor (Stand 2026-05-16 in der Konsultation).
• Vergünstigter Zugang zu notifizierten Stellen (Art. 62): Mitgliedsstaaten sind aufgefordert, KMU-spezifische Gebührenstrukturen zu schaffen oder Förderprogramme anzubieten.
• Regulatorische KI-Sandbox (Art. 57 Abs. 9): Zugang ist kostenfrei für KMU und Start-ups. Größere Unternehmen können sich beteiligen, müssen aber je nach Mitgliedsstaat Gebühren tragen.
• Priorisierter Zugang zu Sandbox (Art. 57 Abs. 9): KMU und Start-ups werden bei der Sandbox-Aufnahme bevorzugt.
• Anpassung der Bußgelder (Art. 99 Abs. 6): Bußgelder sollen die wirtschaftliche Lebensfähigkeit von KMU berücksichtigen.

Die Erleichterungen reduzieren die formellen Hürden, sie befreien aber nicht von den materiellen Anforderungen. Ein Hochrisiko-System eines Start-ups muss genauso Risikomanagement, Datenqualität und Cybersicherheit erfüllen wie ein System eines Großkonzerns. Die Erleichterungen wirken vor allem auf Dokumentations- und Verfahrens-Ebene.

Die Regulatorische KI-Sandbox

Art. 57 AI Act verpflichtet jeden Mitgliedsstaat, mindestens eine regulatorische KI-Sandbox einzurichten. In der Sandbox können Anbieter, vor Inverkehrbringen, ihr System unter Aufsicht der zuständigen Behörde testen, einschließlich realer Daten und realer Tests mit Endnutzern.

Vorteile für Start-ups:

• Kein vorzeitiges Bußgeldrisiko, innerhalb der Sandbox sind Pflichtverstöße toleriert, solange das Unternehmen die Sandbox-Vorgaben einhält.
• Beratung durch die Behörde, die zuständige Behörde gibt Hinweise, wie das System für die spätere Konformitätsbewertung vorzubereiten ist.
• Zertifikat über die Sandbox-Teilnahme, kann als Indiz für sorgfältige Vorbereitung herangezogen werden.
• Datenbasis für die Konformitätsbewertung, die in der Sandbox gesammelten Daten können direkt für die spätere Bewertung genutzt werden.

In Deutschland sind die Sandbox-Strukturen Stand 2026-05-16 noch in der Ausarbeitung. Eingebunden sind voraussichtlich Bundesnetzagentur, BfDI, BSI und sektorale Aufsichten. Das BMWK pflegt den aktuellen Stand.

Förderprogramme und Beratung

Für deutsche KMU gibt es mehrere Anlaufstellen:

• BMWK-Förderprogramme: laufende Calls für KI-Implementierung im Mittelstand, Mittel typischerweise 50 % der zuwendungsfähigen Kosten, bis zu 200.000 € pro Vorhaben.
• Mittelstand-Digital-Zentren: regionale Anlaufstellen, kostenfreie Erstberatung zur KI-Einführung einschließlich AI-Act-Aspekten.
• EU-Programme: Digital Europe und Horizon Europe, größere Programme mit AI-Schwerpunkt.
• Industrie- und Handelskammern: Webinare und Sprechstunden zur KI-Regulierung, in Kooperation mit dem BMWK.

Spezifische Förderprogramme zur AI-Act-Compliance sind Stand 2026-05-16 noch nicht aufgesetzt. Die ersten KMU-orientierten Beratungs-Calls werden für Herbst 2026 erwartet, passend zum Geltungsbeginn der Hochrisiko-Pflichten.

Praxis: Was KMU jetzt tun sollten

Vollständige Vorbereitung:

1. KI-Inventar mit Risikoklassifizierung pro System.
2. KI-Kompetenz-Plan dokumentieren, Schulungen einleiten.
3. Verbots-Check mit allen Vendoren.
4. Transparenz-Vorbereitung: Chatbot-Hinweise, KI-Generierungs-Kennzeichnung implementieren.
5. Hochrisiko-Identifikation, gibt es Anwendungen, die unter Anhang III fallen?
6. Bei Hochrisiko: Vorbereitung der Konformitätsbewertung (siehe gesonderter Artikel).
7. Sandbox-Antrag prüfen, sobald die deutsche Sandbox operativ ist.

FAQ

Gilt der AI Act auch für Start-ups in der Frühphase?

Ja. Der AI Act gilt ab dem Moment, in dem ein KI-System auf den Markt gebracht oder in Betrieb genommen wird. Forschungs- und Entwicklungs-Phasen sind nach Art. 2 Abs. 6 ausgenommen, solange das System nicht „in Verkehr gebracht" oder „in Betrieb genommen" ist. Sobald reale Endnutzer Zugriff bekommen, greift der Act.

Wo finde ich den deutschen Sandbox-Antrag?

Die deutsche Sandbox-Struktur ist Stand 2026-05-16 in der Ausarbeitung. Erwartet wird die Operationalisierung zum Geltungsbeginn der Hochrisiko-Pflichten (2. August 2026). Den Stand pflegt das BMWK.

Was passiert, wenn ich als KMU einen Pflichtenverstoß habe?

Art. 99 Abs. 6 AI Act verlangt, dass Bußgelder bei KMU die wirtschaftliche Lebensfähigkeit berücksichtigen. Praktisch bedeutet das: Die Marktaufsicht wird in der Regel zuerst eine Aufforderung zur Mängelbeseitigung aussprechen, mit Fristsetzung. Bußgelder kommen bei Nicht-Beseitigung oder bei groben Verstößen. Die genauen Schwellwerte regelt die deutsche Marktaufsicht, Stand 2026 noch nicht final.

Brauchen wir einen "KI-Beauftragten" wie einen Datenschutzbeauftragten?

Der AI Act schreibt keine Pflicht zum dedizierten KI-Beauftragten vor. Bei Hochrisiko-Systemen ist eine Verantwortliche Person im Sinne des QM-Systems zu benennen (Art. 17), das kann der Geschäftsführer, der CTO oder ein dedizierter Compliance-Verantwortlicher sein. In der Praxis bündeln viele KMU die Rolle mit dem Datenschutzbeauftragten, sofern dieser über ausreichende technische Kompetenz verfügt.