EU AI Act für KMU: Praxisleitfaden 2026

EU AI ACT · PRAXISLEITFADEN

Der EU AI Act ist kein Grund, Automatisierung zu stoppen. Er ist ein Grund zu wissen, welche Systeme eingesetzt werden, wer dafür verantwortlich ist, welche Menschen betroffen sein können und welche Nachweise über die Arbeitsweise vorliegen.

Warum der EU AI Act zu einer Managementaufgabe geworden ist

In vielen KMU ist künstliche Intelligenz ohne formelles Projekt eingezogen: ein vom Marketing genutztes ChatGPT-Konto, ein WordPress-Modul zur Texterstellung, ein von einer Agentur installierter Chatbot, ein Werkzeug zur Klassifizierung von Anfragen oder eine in eine Anwendung integrierte API. Jede Entscheidung wirkt klein. Zusammen bilden sie jedoch ein Arbeitssystem, das erfasst und verstanden werden muss. ^{[EU-REG] [EU-NAV]}

Die Verordnung verfolgt einen risikobasierten Ansatz. Ein Werkzeug, das Titelvarianten vorschlägt, wird nicht genauso behandelt wie ein System, das über den Zugang einer Person zu Arbeit, Bildung oder einer wesentlichen Dienstleistung entscheidet. Die erste sinnvolle Frage lautet daher nicht „Nutzen wir KI?“, sondern „Wofür nutzen wir sie und welche Wirkung hat sie?“ ^{[EU-REG] [EU-RISK]}

Was im Jahr 2026 bereits gilt

Die Pflicht, Maßnahmen zur Förderung der KI-Kompetenz zu ergreifen, gilt bereits. Nach den im Juli 2026 in Kraft getretenen Änderungen schreibt Artikel 4 weder ein einheitliches Niveau noch eine Standardprüfung für alle Beschäftigten vor. Ein Unternehmen sollte jedoch zeigen können, dass Personen, die KI-Systeme bedienen, ihrem Aufgabenbereich, ihrer Erfahrung und dem Nutzungskontext entsprechend informiert und vorbereitet werden. ^[EU-LIT]

Ab dem 2. August 2026 gelten außerdem die Transparenzpflichten aus Artikel 50. Je nach Rolle und System können sie verlangen, Nutzer über die Interaktion mit KI zu informieren, synthetische Inhalte technisch zu kennzeichnen oder Deepfakes und bestimmte Texte von öffentlichem Interesse klar offenzulegen. Abgrenzungen und Ausnahmen sind wichtig: unterstützende Bearbeitung, menschliche redaktionelle Kontrolle und übernommene Verantwortung dürfen nicht mit unbeaufsichtigter automatischer Veröffentlichung gleichgesetzt werden. ^{[EU-A50] [EU-A50-G]}

Die beiden Rollen, die am häufigsten verwechselt werden

Ein Betreiber ist im Kern eine Organisation, die ein KI-System beruflich unter ihrer Verantwortung einsetzt. Eine Agentur, die ein Modell für Recherchen nutzt, ein Floristikunternehmen mit Bestandsprognosen oder eine Abteilung, die Anfragen zusammenfasst, befinden sich in der Regel auf der Anwenderseite. Beschäftigte werden nicht zu eigenständigen Betreibern, wenn sie das System unter Kontrolle des Unternehmens bedienen. ^{[EU-A50] [EU-REG]}

Ein Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter dem eigenen Namen oder der eigenen Marke in Verkehr beziehungsweise nimmt es in Betrieb. Ein Unternehmen, das ein allgemeines Modell in ein eigenes Produkt integriert, kann zum Anbieter des daraus entstehenden Systems werden, ohne automatisch Anbieter des zugrunde liegenden allgemeinen Modells zu sein. Diese Unterscheidung ist für SaaS-Produkte wie einen in WordPress integrierten KI-Agenten wesentlich. ^{[EU-A50] [EU-REG]}

Ein praktischer Prozess in sechs Schritten

Sinnvolle Compliance beginnt mit einem Register und nicht mit einer Akte von mehreren hundert Seiten. Für jedes Werkzeug werden interner Verantwortlicher, Anbieter, verwendetes Modell oder Dienst, Zweck, Eingabedaten, Empfänger des Ergebnisses, mögliche Auswirkungen auf Personen und vorhandene menschliche Kontrolle festgehalten. So erkennt das Unternehmen schnell, wo lediglich ein Produktivitätswerkzeug genutzt wird und wo eine Entscheidung mit realer Wirkung entsteht. ^{[EU-DESK] [EU-RISK]}

• Erfassen Sie sämtliche KI-Werkzeuge, einschließlich Einzelkonten und ohne zentrale Beschaffung installierter Erweiterungen.
• Bestimmen Sie für jede Nutzung, ob die Organisation Betreiber, Anbieter oder ein anderer Akteur in der Kette ist.
• Bewerten Sie Zweck und Wirkung, nicht nur die Technologie oder den Produktnamen.
• Dokumentieren Sie Daten, menschliche Kontrolle, Ergebnisfreigabe und Bedingungen für einen Prozessstopp.
• Schulen Sie Menschen entsprechend ihrer Rolle und bewahren Sie Nachweise über Maßnahmen zur KI-Kompetenz auf.
• Überprüfen Sie Anbieter und Systeme, sobald sich Modell, Funktion, Daten oder betroffene Zielgruppe ändern.

Was der EU AI Act für SEO und Inhalte bedeutet

Der EU AI Act verbietet den Einsatz von KI für Recherche, Strukturierung, Übersetzung oder Entwürfe nicht. Für Publisher sind andere Fragen entscheidend: Wer prüft die Fakten? Wer übernimmt redaktionelle Verantwortung? Informiert der Beitrag über eine Angelegenheit von öffentlichem Interesse? Kann das Ergebnis täuschen? Ein Prozess, in dem ein Mensch Quellen prüft, überarbeitet, freigibt und den Beitrag verantwortet, unterscheidet sich grundlegend von der automatischen Veröffentlichung Tausender Seiten. ^{[EU-A50] [EU-A50-G]}

Aus SEO-Sicht müssen rechtliche Pflichten und Empfehlungen der Suchmaschine getrennt bewertet werden. Ein Beitrag kann rechtmäßig veröffentlicht und dennoch nutzlos, allgemein oder nicht wettbewerbsfähig sein. Ein guter Themencluster ergänzt Erfahrung, Analyse, Beispiele und eine Struktur, die Lesern bei Entscheidungen hilft; er tarnt keine Massenproduktion als Expertise.

Anwendung auf reale Produkte und Unternehmen

In einer SEO-Agentur wie AYSA.RO gehören das Werkzeugregister, Regeln für Kundendaten, redaktionelle Freigaben und eine klare Verantwortungsverteilung zu den Prioritäten. Bei einem SaaS-Produkt wie AYSA.AI geht die Prüfung weiter: Produkt, Oberfläche, zugrunde liegendes Modell, Nutzerinformationen und Versionsänderungen müssen als zusammenhängende Betriebskette dokumentiert werden. ^{[EU-A50] [EU-LIT]}

Bei AdverLink oder CanUHelp APP sollten Empfehlungen, Moderation, Support und Betrugserkennung nach ihrer konkreten Wirkung bewertet werden; ein Ranking macht ein System nicht automatisch zu einem Hochrisikosystem. Bei ProFlorist sind Bestandsprognose und Beschaffung in erster Linie operative Prozesse, dennoch bleiben Datenqualität, Übersteuerungsmöglichkeiten und Nachvollziehbarkeit der Empfehlungen gute Managementpraxis. ^[EU-RISK]

Was ein KMU nachweisen können sollte

Ein KMU muss keine Konzernstruktur nachahmen. Es braucht klare Prozessverantwortliche, ein aktuelles Register, kurze Regeln für Daten und Veröffentlichung, rollengerechte Schulung, einen Eskalationsweg und Nachweise über tatsächlich erfolgte Prüfungen. Die Dokumentation sollte Risiko und Komplexität der Nutzung folgen und nicht der Angst vor einem neuen Rechtsbegriff. ^{[EU-LIT] [EU-DESK]}

Der richtige Ausgangspunkt ist einfach: Systeme auflisten, Zweck beschreiben, Rolle und Risiko prüfen, Daten festhalten, eine Person für die Ergebnisfreigabe benennen und Rechtsberatung oder den Datenschutzbeauftragten einbeziehen, wenn Menschen, sensible Daten oder wichtige Entscheidungen betroffen sind. Der EU AI Act wird handhabbar, wenn aus einem PDF ein Prozess wird. ^[EU-DESK]

Leitfäden in diesem Themencluster

Offizielle Quellen und Prüfdatum

1. Verordnung (EU) 2024/1689 über künstliche Intelligenz
2. Europäische Kommission — Navigating the AI Act
3. Europäische Kommission — AI Act Service Desk und Compliance Checker
4. Europäische Kommission — Fragen und Antworten zur KI-Kompetenz
5. Europäische Kommission — Transparenzpflichten nach Artikel 50
6. Europäische Kommission — Leitlinien zu Transparenzpflichten
7. Europäische Kommission — Einstufung von Hochrisiko-KI-Systemen