Seit dem 1. August 2024 ist der EU AI Act offiziell in Kraft — und seit 2. August 2025 gelten die ersten verbindlichen Pflichten. Spätestens jetzt ist es Zeit, sich ernsthaft damit zu befassen. Denn als Unternehmen, das KI einsetzt oder einsetzen will, sind Sie direkt betroffen. Die gute Nachricht: Die meisten KMUs müssen keine riesigen Compliance-Projekte aufsetzen. Aber ein paar Dinge müssen Sie verstehen und dokumentieren.
Was ist der EU AI Act — und wann gilt er?
Der EU AI Act ist das weltweit erste umfassende KI-Gesetz. Er reguliert, wer KI entwickelt, in Verkehr bringt oder betreibt — und stuft KI-Systeme nach ihrem Risikopotenzial ein. Das Gesetz gilt für alle Unternehmen, die in der EU tätig sind oder deren KI-Produkte EU-Bürger betreffen. Also auch für Sie, wenn Sie ein deutsches KMU sind, das Tools wie ChatGPT oder Claude nutzt.
Die wichtigsten Zeitpunkte:
August 2024: Inkrafttreten · Februar 2025: Verbote für inakzeptables Risiko wirksam · August 2025: Regeln für GPAI-Modelle (Allzweck-KI) verbindlich · August 2026: Vollständige Anwendung für Hochrisiko-KI
Die vier Risikoklassen — und was sie für KMUs bedeuten
Das Herzstück des AI Acts ist ein risikobasierter Ansatz. Je höher das Risiko eines KI-Systems, desto strenger die Anforderungen. Für KMUs sind vor allem zwei Klassen relevant:
Für die meisten KMUs, die KI für interne Prozesse nutzen — Texte schreiben, E-Mails beantworten, Protokolle erstellen — gilt: Das ist in der Regel begrenztes oder minimales Risiko. Kritisch wird es, sobald KI-Empfehlungen Einfluss auf Personalentscheidungen, Kreditvergabe oder Gesundheitsthemen haben.
Der entscheidende Punkt: GPAI und LLMs wie ChatGPT oder Claude
Hier wird es für die meisten Unternehmen konkret. LLMs (Large Language Models) wie GPT-4, Claude oder Gemini fallen unter die sogenannten General Purpose AI (GPAI)-Regeln — also Allzweck-KI-Modelle. Diese Regeln gelten seit August 2025.
Als Anbieter (also OpenAI, Anthropic, Google) trifft die GPAI-Pflicht besonders hart: Transparenz über Trainingsdaten, Urheberrechts-Compliance, technische Dokumentation. Für Sie als Nutzer (sogenannter "Deployer" oder "Betreiber") sind die direkten Pflichten überschaubarer — aber nicht null.
Wichtig für Betreiber: Wenn Sie ein KI-System im Unternehmen einsetzen und damit in die Hochrisiko-Kategorie fallen — zum Beispiel weil Sie KI zur Personalauswahl nutzen — sind Sie als Betreiber selbst für die Einhaltung der Hochrisiko-Anforderungen verantwortlich. Der Anbieter des Modells entlastet Sie davon nicht automatisch.
Praktisch bedeutet das: Wenn Sie Claude oder ChatGPT für das Schreiben von Angeboten, interne Recherche oder Protokolle nutzen, brauchen Sie keine aufwändige Konformitätsbewertung. Aber Sie sollten dokumentieren, welche KI-Tools Sie einsetzen, für welche Zwecke, und ob eine menschliche Prüfung stattfindet.
Doppelte Compliance: EU AI Act und DSGVO zusammen denken
Wer jetzt denkt, er muss sich nur mit dem AI Act beschäftigen, übersieht die zweite Baustelle: die DSGVO. Beide Regelwerke greifen ineinander — und ergänzen sich, widersprechen sich aber auch an manchen Stellen.
Die Kernkonflikte für KMUs in der Praxis:
- →Datentransfer: DSGVO verbietet die unkontrollierte Übertragung personenbezogener Daten in die USA. Wer ChatGPT ohne AVV nutzt, riskiert Bußgelder — unabhängig vom AI Act.
- →Transparenz: Beide Regelwerke fordern, dass Betroffene wissen, wenn eine KI relevante Entscheidungen trifft oder beeinflusst.
- →Auftragsverarbeitung: Wenn Sie personenbezogene Daten in KI-Tools eingeben, brauchen Sie zwingend einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit dem Anbieter.
- →Dokumentationspflichten: Der AI Act verlangt Protokolle über KI-Einsatz. Die DSGVO verlangt das Verarbeitungsverzeichnis. Beides muss gepflegt werden — am besten kombiniert.
Die Botschaft ist klar: Wer KI datenschutzkonform einsetzt, hat schon einen großen Teil der AI-Act-Compliance erledigt. Wer beides ignoriert, trägt ein doppeltes Bußgeldrisiko.
Praktische Checkliste: Was Sie als Unternehmen jetzt tun müssen
- ✓ KI-Inventar erstellen: Welche KI-Tools setzen Sie ein? Für welche Zwecke? Listen Sie alle Systeme auf — von ChatGPT bis zum KI-Chatbot auf Ihrer Website.
- ✓ Risikoklasse bestimmen: Fällt eine Ihrer KI-Anwendungen in die Hochrisiko-Kategorie? (Personalentscheidungen, Kreditvergabe, Kundenbewertung mit Wirkung auf Verträge)
- ✓ AVV abschließen: Für alle KI-Tools, in die personenbezogene Daten eingegeben werden, brauchen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
- ✓ Serverstandort prüfen: Werden Ihre Daten auf EU-Servern verarbeitet? US-Serverstandorte ohne Schutzmaßnahmen sind sowohl ein DSGVO- als auch ein AI-Act-Risiko.
- ✓ Transparenz sicherstellen: Wenn Kunden oder Mitarbeiter mit KI-Systemen interagieren, müssen sie das wissen. Kennzeichnung von KI-generierten Inhalten sicherstellen.
- ✓ Menschliche Aufsicht dokumentieren: Für Entscheidungen mit relevanter Wirkung muss ein Mensch die KI-Ausgabe prüfen und verantworten. Das dokumentieren.
- ✓ Mitarbeiter informieren: Alle, die KI-Tools nutzen, sollten wissen, was erlaubt ist und was nicht — insbesondere welche Daten eingegeben werden dürfen.
- ✓ Verarbeitungsverzeichnis aktualisieren: KI-gestützte Datenverarbeitung gehört ins Verzeichnis nach Art. 30 DSGVO. Bestehende Einträge um KI-Komponenten ergänzen.
Fazit: EU-Serverstandort vereinfacht beides
Der EU AI Act ist kein Bürokratiemonster, das KMUs in den Ruin treibt. Aber er ist auch kein zahnloser Tiger, den man ignorieren kann. Die meisten deutschen Unternehmen, die KI-Tools für interne Prozesse nutzen, fallen in die niedrigeren Risikoklassen — und müssen "nur" dokumentieren, transparent sein und sicherstellen, dass Daten nicht unkontrolliert die EU verlassen.
Hier liegt die eigentliche Vereinfachung: Wer KI von Anfang an auf EU-Servern betreibt, löst DSGVO- und AI-Act-Anforderungen auf einmal. Kein US-Datentransfer, kein Bauchgrummeln bei der nächsten Datenschutzbehörde, kein aufwändiges Nachbessern. Der AVV liegt vor, der Serverstandort ist dokumentiert, die Compliance-Spur ist sauber.
Das ist kein Marketing-Versprechen — das ist schlicht die technische Konsequenz aus dem Regelwerk.
Claude auf EU-Servern — DSGVO & AI Act konform von Tag 1
Wir richten Ihnen eine eigene Claude-Umgebung ein: AWS Frankfurt, AVV nach Art. 28 DSGVO, kein US-Datentransfer. In 24 Stunden einsatzbereit — monatlich kündbar.
Kostenlos starten →7 Tage kostenlos testen · Keine Kreditkarte · Kein Risiko