Compliance · Deutschland
EU AI Act und KI-Agenten: Was der Mittelstand 2026 wissen muss
Viele mittelständische Unternehmen in Deutschland wollen KI einsetzen, warten aber ab, weil der EU AI Act unübersichtlich wirkt. Die gute Nachricht: Die meisten KI-Anwendungen im Mittelstand, etwa Rechnungsverarbeitung, Angebotsentwürfe oder Wissenssuche im ERP, gehören nicht zu den Hochrisiko-Systemen. Mit einer sauberen Dokumentation und menschlicher Freigabe lassen sie sich heute schon sicher einführen.
Was bereits gilt
- Seit Februar 2025: Verbotene KI-Praktiken sind untersagt, und Unternehmen müssen für ausreichende KI-Kompetenz ihrer Mitarbeitenden sorgen (Art. 4).
- Seit August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI).
- Ab August 2026: Transparenzpflichten nach Art. 50, zum Beispiel muss erkennbar sein, wenn Menschen mit einem KI-System interagieren.
Was der Digital-Omnibus verschiebt
Im Mai 2026 haben sich die EU-Institutionen politisch darauf geeinigt, die Hochrisiko-Pflichten zu verschieben: für eigenständige Hochrisiko-Systeme nach Anhang III (etwa Personalauswahl oder Kreditwürdigkeit) auf den 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I (etwa Maschinen oder Medizinprodukte) auf den 2. August 2028. Die neuen Fristen gelten erst nach Veröffentlichung im Amtsblatt; prüfen Sie daher den aktuellen Stand mit Ihrer Rechtsberatung.
Wo typische Mittelstands-Anwendungen stehen
| Anwendung | Einordnung (typisch) | Was Sie tun sollten |
|---|---|---|
| Rechnungsverarbeitung, 3-Wege-Abgleich | Kein Hochrisiko | Freigabe-Workflow, Protokollierung |
| Wissensassistent für ERP-Daten | Kein Hochrisiko | Rollenrechte, Quellenangaben |
| Kunden-Chatbot | Transparenzpflicht | Hinweis „Sie sprechen mit einer KI“ |
| Bewerberauswahl mit KI | Hochrisiko (Anhang III) | Gesonderte Prüfung, Dokumentation |
| KI als Sicherheitsbauteil einer Maschine | Hochrisiko (Anhang I) | Konformitätsbewertung einplanen |
DSGVO bleibt der wichtigste Rahmen
Für die meisten Projekte ist nicht der AI Act, sondern die DSGVO entscheidend. Praktisch heißt das: personenbezogene Daten minimieren, Auftragsverarbeitungsverträge abschließen, Verarbeitung in der EU hosten und ein Verzeichnis der Verarbeitungstätigkeiten führen. KI-Modelle lassen sich heute in EU-Rechenzentren oder auf eigenen Servern betreiben.
Doppelt relevant: die E-Rechnungspflicht
Seit dem 1. Januar 2025 müssen Unternehmen in Deutschland E-Rechnungen empfangen können. Ab dem 1. Januar 2027 müssen Unternehmen mit einem Vorjahresumsatz über 800.000 Euro E-Rechnungen (XRechnung oder ZUGFeRD) ausstellen, ab 2028 alle. Wer seine Eingangsrechnungen ohnehin digitalisieren muss, kann die KI-gestützte Prüfung und Buchung gleich mit einführen.
Fünf Schritte zur sicheren Einführung
- Anwendungsfall wählen, der kein Hochrisiko-System ist und messbar Zeit spart.
- Datenfluss dokumentieren: welche Daten, welches Modell, welcher Standort.
- Menschliche Freigabe für alle Aktionen, die Geld, Bestände oder Stammdaten ändern.
- Protokollierung jeder KI-Aktion für Revision und Wirtschaftsprüfung.
- Mitarbeitende schulen, um die KI-Kompetenzpflicht nach Art. 4 zu erfüllen.
Suvishaz Tech entwickelt KI-Agenten für SAP und andere ERP-Systeme mit Freigabe vor jeder Buchung, EU-Hosting und vollständiger Dokumentation. Vereinbaren Sie ein kostenloses Erstgespräch.
Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Quellen: Gibson Dunn zur Omnibus-Einigung, Sidley Data Matters.