KI im Betrieb: Bis Februar 2027 müssen Sie diese drei Dinge erledigt haben – sonst wird’s teuer

Stellen Sie sich vor, es ist Montagmorgen, Februar 2027. Ihr Vertrieb nutzt seit einem Jahr eine KI, die automatisch Angebote für Kunden erstellt. Plötzlich steht ein Beamter vom Bundesamt für Sicherheit in der Informationstechnik (BSI) in Ihrem Büro und fragt nach der Risikobewertung dieser KI. Sie haben keine. Das kostet Sie nicht nur Nerven, sondern auch bis zu 7 Millionen Euro oder 1,5 % Ihres weltweiten Umsatzes – je nachdem, was höher ist.

Warum Sie jetzt handeln müssen – auch wenn der AI Act erst 2026 kommt

Der AI Act der EU tritt voraussichtlich Mitte 2026 in Kraft. Für Mittelständler wie Sie bedeutet das: Ab diesem Zeitpunkt haben Sie genau zwölf Monate Zeit, um drei zentrale Anforderungen zu erfüllen. Die meisten denken, das sei nur etwas für Tech-Konzerne oder Startups mit KI-Laboren. Falsch gedacht. Sobald Sie Software nutzen, die unter die Definition des AI Act fällt – und das sind mehr Tools, als Sie denken – betrifft es Sie direkt.

Ich habe in den letzten Monaten mit über 20 Berliner Mittelständlern gesprochen: Metallbauer, Steuerkanzleien, Physiotherapie-Praxen. Fast alle nutzen bereits KI – oft ohne es bewusst zu registrieren. Ob Chatbots für die Kundenkommunikation, Tools zur Rechnungsprüfung oder Software zur Personalplanung: Wenn diese Systeme auf maschinellem Lernen basieren oder Entscheidungen automatisiert treffen, fallen sie unter den AI Act. Und dann wird’s konkret.

Die drei Dinge, die Sie bis Februar 2027 brauchen – sonst drohen Bußgelder

Der AI Act teilt KI-Systeme in vier Risikoklassen ein: verboten, hochriskant, begrenzt riskant und minimal riskant. Für Sie als Mittelständler sind vor allem die Kategorien „hochriskant“ und „begrenzt riskant“ relevant. Hier die drei Punkte, die Sie bis Februar 2027 umgesetzt haben müssen:

• Risikobewertung und Klassifizierung: Sie müssen dokumentieren, welche KI-Systeme Sie nutzen und in welche Risikoklasse sie fallen. Ein Beispiel: Eine KI, die Bewerbungen vorsortiert, gilt als hochriskant. Ein Chatbot für FAQs auf Ihrer Website fällt dagegen in die Kategorie „begrenzt riskant“. Die Bewertung muss schriftlich vorliegen – ein einfaches „Wir nutzen das mal so“ reicht nicht.
• Technische Dokumentation und Transparenz: Für hochriskante KI-Systeme müssen Sie nachweisen, dass die Software bestimmten technischen Standards entspricht. Dazu gehören Dinge wie Datenqualität, Robustheit gegen Manipulation und Nachvollziehbarkeit der Entscheidungen. Praktisch bedeutet das: Sie brauchen eine Dokumentation, die zeigt, wie das System trainiert wurde, welche Daten verwendet wurden und wie Fehler erkannt und behoben werden. Falls Sie die KI nicht selbst entwickelt haben, müssen Sie diese Unterlagen vom Hersteller anfordern – und das kann dauern.
• Schulung Ihrer Mitarbeiter: Jeder, der mit hochriskanten KI-Systemen arbeitet, muss geschult sein. Das ist keine einmalige Sache, sondern ein fortlaufender Prozess. Die Schulung muss dokumentiert werden – wer wann was gelernt hat. Bei einer Steuerkanzlei, mit der ich arbeite, bedeutet das: Alle Mitarbeiter, die eine KI zur Belegprüfung nutzen, müssen verstehen, wie das System funktioniert, wo es Fehler machen kann und wie sie diese erkennen. Das ist kein Nice-to-have, sondern eine gesetzliche Pflicht.

Was passiert, wenn Sie nichts tun – und warum Sie nicht auf „das wird schon keiner merken“ setzen sollten

Die Bußgelder sind kein Scherz. Bei Verstößen gegen den AI Act können bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes fällig werden – je nachdem, was höher ist. Bei einem mittelständischen Betrieb mit 10 Millionen Umsatz wären das 700.000 Euro. Und das ist nur die Strafe. Dazu kommen mögliche Schadensersatzforderungen, wenn die KI fehlerhafte Entscheidungen trifft – etwa bei der Kreditvergabe oder Personalauswahl.

Aber es geht nicht nur ums Geld. Der AI Act verlangt auch, dass Sie transparent machen, wo und wie Sie KI einsetzen. Kunden und Partner werden zunehmend danach fragen. Wer hier keine klare Antwort hat, verliert Vertrauen – und damit Aufträge. Ich habe einen Metallbauer in Spandau beraten, der eine KI zur Qualitätskontrolle nutzt. Als ein Großkunde nach der Risikobewertung fragte, hatte er nichts vorzuweisen. Der Kunde ist abgesprungen, weil er nicht sicher sein konnte, dass die KI keine fehlerhaften Teile durchwinken würde.

Ein weiterer Punkt: Viele Versicherungen passen ihre Policen bereits an den AI Act an. Wenn Sie keine Dokumentation vorlegen können, riskieren Sie, dass im Schadensfall die Versicherung nicht zahlt. Das kann existenzbedrohend sein.

So gehen Sie vor – ohne teure Berater oder monatelange Projekte

Sie müssen kein KI-Experte sein, um die Anforderungen des AI Act zu erfüllen. Aber Sie müssen strukturiert vorgehen. Hier ist ein pragmatischer Fahrplan:

1. Inventur machen: Listen Sie alle Software-Tools auf, die Sie nutzen. Fragen Sie sich: Trifft diese Software Entscheidungen? Lernt sie dazu? Nutzt sie maschinelles Lernen? Wenn ja, fällt sie wahrscheinlich unter den AI Act. Ein einfaches Excel-Sheet reicht für den Anfang. Notieren Sie den Namen des Tools, den Hersteller, den Einsatzzweck und eine erste Einschätzung der Risikoklasse.

2. Hersteller kontaktieren: Für jedes Tool, das Sie als KI identifiziert haben, fordern Sie beim Hersteller die technische Dokumentation an. Fragen Sie konkret nach: Wie wurde das System trainiert? Welche Daten wurden verwendet? Wie wird die Qualität sichergestellt? Wenn der Hersteller keine Antworten liefert, sollten Sie sich nach Alternativen umsehen – denn ohne diese Unterlagen können Sie die Anforderungen des AI Act nicht erfüllen.

3. Risikobewertung durchführen: Für jedes KI-System müssen Sie eine Risikobewertung durchführen. Nutzen Sie die offiziellen Leitlinien der EU als Vorlage. Die Bewertung sollte folgende Punkte abdecken: Welche Risiken bestehen für Nutzer und Betroffene? Wie hoch ist die Wahrscheinlichkeit, dass diese Risiken eintreten? Welche Maßnahmen ergreifen Sie, um die Risiken zu minimieren? Dokumentieren Sie alles schriftlich – auch wenn es nur ein paar Seiten sind.

4. Schulungen organisieren: Planen Sie Schulungen für Ihre Mitarbeiter. Die Schulung muss nicht stundenlang sein, aber sie muss dokumentiert werden. Ein einfaches Online-Training mit anschließender Bestätigung reicht für den Anfang. Wichtig ist, dass die Mitarbeiter verstehen, wie die KI funktioniert, wo sie Fehler machen kann und wie sie diese erkennen. Bei einer Physiotherapie-Praxis in Neukölln haben wir das in zwei Stunden erledigt – inklusive Diskussion über konkrete Anwendungsfälle.

5. Prozesse anpassen: Stellen Sie sicher, dass Sie im Schadensfall nachweisen können, dass Sie alle Anforderungen erfüllt haben. Das bedeutet: Dokumentation aktuell halten, Schulungen regelmäßig wiederholen und bei Änderungen an der KI (z. B. Updates) die Risikobewertung anpassen. Ein guter Tipp: Legen Sie einen Ordner an – digital oder physisch – in dem Sie alle Unterlagen zentral ablegen. So haben Sie im Fall einer Prüfung alles griffbereit.

Was Sie jetzt tun sollten – und warum Sie nicht bis 2026 warten dürfen

Der AI Act kommt. Punkt. Die Frage ist nicht, ob, sondern wie Sie damit umgehen. Wenn Sie bis Februar 2027 warten, wird es eng. Hersteller werden mit Anfragen überhäuft sein, Berater ausgebucht und Schulungsanbieter überlastet. Fangen Sie jetzt an – auch wenn es nur kleine Schritte sind.

Hier ist Ihr konkreter nächster Schritt: Nehmen Sie sich diese Woche zwei Stunden Zeit und machen Sie eine Inventur Ihrer Software-Tools. Identifizieren Sie die Systeme, die unter den AI Act fallen könnten. Das ist der erste und wichtigste Schritt. Alles andere baut darauf auf.

Und falls Sie unsicher sind, ob ein Tool betroffen ist: Fragen Sie nach. Ich helfe Ihnen gerne, eine erste Einschätzung zu machen – ohne Beratervertrag oder stundenlange Analyse. Schreiben Sie mir eine E-Mail mit dem Namen des Tools und dem Einsatzzweck. Ich sage Ihnen, ob es kritisch ist oder nicht. Kein Verkaufsgespräch, keine Verpflichtungen. Einfach Klartext.

Der AI Act ist keine Raketenwissenschaft. Aber er ist auch kein Thema, das Sie ignorieren können. Wer jetzt handelt, spart sich später Stress, Geld und Ärger. Und das ist am Ende das Einzige, was zählt.