EU AI Act Übergangsfristen: Was KMU in Deutschland und Österreich wann wissen müssen

Der EU AI Act gilt seit August 2024 — aber das bedeutet nicht, dass Sie morgen früh alles umgestellt haben müssen. Die meisten konkreten Pflichten greifen gestaffelt bis 2027, und für ein KMU, das ChatGPT für interne Zwecke nutzt, sieht die Realität deutlich überschaubarer aus als viele Schlagzeilen vermuten lassen. Dieser Artikel gibt Ihnen einen klaren Zeitplan: was gilt ab wann, was ist für Kleinstbetriebe tatsächlich relevant — und wo Sie handeln müssen, bevor die Uhr abläuft.

Der EU AI Act auf einen Blick — was das Gesetz eigentlich regelt

Das Kernprinzip des EU AI Acts ist risikobasiert. KI-Systeme werden in vier Kategorien eingeteilt: verboten, hochriskant, begrenzt riskant und minimal riskant. Je nach Einstufung gelten unterschiedlich strenge Pflichten — von einem vollständigen Verbot bis zu keiner besonderen Anforderung.

Die entscheidende Weichenstellung für die meisten KMU: Das Gesetz unterscheidet scharf zwischen Anbietern (wer ein KI-System entwickelt oder auf den Markt bringt) und Nutzern (wer ein fertiges KI-System im eigenen Betrieb einsetzt). Wer ChatGPT, Microsoft Copilot oder ein anderes SaaS-Tool verwendet, ist in aller Regel Nutzer — und damit ist der Pflichtenkatalog erheblich kürzer. Was das konkret für den Umgang mit Basismodellen bedeutet, erklärt der Artikel zu GPAI-Pflichten für KMU-Nutzer erklärt.

Kategorie	Beispiel (KMU-nah)	Pflichten
Verboten	Emotionserkennung am Arbeitsplatz	Einsatz untersagt
Hochriskant	KI-gestützte Bewerbungsfilterung	Umfangreiche Dokumentation, Konformitätsbewertung
Begrenzt riskant	Kundenchatbot auf der Website	Transparenzpflicht (Kennzeichnung)
Minimal riskant	KI-Textkorrektur, Copilot für interne Mails	Keine besonderen Pflichten

Der offizielle Fristkalender — was gilt ab wann

Datum	Was tritt in Kraft	Relevant für KMU?
Februar 2025	Verbot bestimmter KI-Praktiken (Artikel 5)	Kaum — betrifft Social Scoring, manipulative Systeme
August 2025	Governance-Strukturen, GPAI-Regelungen	Bedingt — Nutzer großer Basismodelle sollten informiert sein
August 2026	Transparenzpflichten (Artikel 50), KI-Kompetenzpflicht (Artikel 4)	Ja — das ist der erste echte Handlungspunkt für die meisten KMU
August 2027	Hochrisiko-KI-Systeme vollständig reguliert	Relevant wenn Sie HR-KI oder ähnliches einsetzen

Die Fristen gelten EU-weit. Die nationalen Durchsetzungsbehörden sind noch im Aufbau: In Deutschland ist die Bundesnetzagentur (BNetzA) als Koordinierungsstelle vorgesehen, in Österreich die RTR-GmbH — beide Strukturen werden derzeit eingerichtet (Stand: Redaktionsdatum).

Ehrliche Einschätzung: Für die meisten KMU unter 10 Mitarbeitenden ist August 2026 der erste konkrete Handlungspunkt. Bis dahin bleibt Zeit für eine ruhige, strukturierte Vorbereitung.

Was für Kleinstunternehmen unter 10 Mitarbeitenden wirklich zählt

Die verbotenen Praktiken aus Februar 2025 — etwa Social-Scoring-Systeme oder manipulative KI, die Schwächen von Menschen ausnutzt — berühren kein normales KMU-Szenario. Das können Sie gedanklich abhaken.

Hochrisiko-Systeme werden relevant, wenn Ihre Software automatisiert Bewerbungen filtert oder Kreditwürdigkeit bewertet. Das klingt weit weg, steckt aber manchmal unbemerkt in Standard-HR-Tools — dazu später mehr.

Was praktisch alle treffen wird: Ab August 2026 müssen Chatbots und KI-gestützte Kundenkommunikation als solche gekennzeichnet sein. Außerdem verlangt Artikel 4 eine „angemessene KI-Kompetenz“ bei Mitarbeitenden — kein Zertifikat, aber dokumentierte Awareness.

Faustregel: Wer ausschließlich GPAI-Systeme wie ChatGPT oder Gemini nutzt und Kunden nicht direkt damit interagieren lässt, hat den kleinsten Pflichtenkatalog überhaupt.

Risikokategorien erklärt — wo fällt mein KI-Tool rein?

Verboten

Emotionserkennung am Arbeitsplatz, Echtzeit-Gesichtserkennung im öffentlichen Raum, Systeme zur sozialen Bewertung von Personen. Für ein typisches Handwerksunternehmen, einen Friseursalon oder eine Agentur ist das schlicht nicht relevant.

Hochriskant

Automatisierte Personalauswahl (CV-Screening, Scoring von Bewerbern), KI-gestützte Kreditentscheidungen, biometrische Identifizierung. Relevant wenn Sie eine Bewerbungsplattform mit KI-Filterung nutzen oder eine Fintech-Lösung mit automatischer Bonitätsprüfung einsetzen.

Begrenzt riskant — Transparenzpflicht

Kundenchatbots auf der Website, KI-generierte Texte die an Kunden ausgespielt werden, Deepfakes oder KI-Bilder ohne Kennzeichnung. Das betrifft sehr viele KMU ab 2026. Alles Wichtige zur Transparenzpflicht für KMU-Chatbots finden Sie in einem eigenen Artikel.

Minimal riskant

KI-Textkorrektur, Produktivitätstools wie Copilot für interne Mails, KI-gestützte Angebotserstellung ohne direkten Kundenkontakt. Keine besonderen Pflichten.

Drei Kontrollfragen zur Selbsteinschätzung:

1. Trifft Ihre KI automatisierte Entscheidungen über Menschen (Bewerber, Kunden, Mitarbeitende)?
2. Interagieren Kunden direkt mit Ihrer KI, ohne zu wissen dass es eine KI ist?
3. Nutzen Sie KI für sicherheitsrelevante Bereiche wie Kreditvergabe oder medizinische Auswertungen?

Wer alle drei mit „Nein“ beantwortet, befindet sich im minimal- bis begrenzt-riskanten Bereich.

Branchenblick — Beispiele aus Handwerk, Gastronomie und Einzelhandel

Handwerksbetrieb: KI für Angebotserstellung

Ein Elektriker nutzt ChatGPT intern, um Angebotsentwürfe zu formulieren. Kunden interagieren nicht direkt mit der KI. Einstufung: minimal riskant. Handlungsbedarf bis August 2026: Mitarbeitende kurz informieren und das dokumentieren — mehr nicht.

Gastronomie: Chatbot für Tischreservierungen

Ein Café betreibt auf der Website einen KI-Chatbot, über den Gäste Tische reservieren können. Einstufung: begrenzt riskant. Handlungsbedarf bis August 2026: Kennzeichnung, dass es sich um eine KI handelt — z.B. „Reservierungsanfragen werden von unserem KI-Assistenten bearbeitet.“

Einzelhandel: Produktempfehlungen und HR

KI-Produktempfehlungen im Webshop = begrenzt riskant, Transparenz empfohlen. Wer zusätzlich eine HR-Software mit automatisiertem Bewerber-Scoring einsetzt: das ist potenziell hochriskant — hier lohnt ein genauer Blick auf die Funktionen des eingesetzten Tools.

Österreich-spezifische Hinweise

Als voraussichtliche nationale Anlaufstelle für den EU AI Act fungiert in Österreich die RTR-GmbH (Rundfunk und Telekom Regulierungs-GmbH) — prüfen Sie den aktuellen Stand direkt auf der Website des Wirtschaftsministeriums oder der RTR, da die Strukturen noch im Aufbau sind.

Für österreichische KMU, die KI-Compliance-Maßnahmen als Teil ihrer Digitalisierung angehen wollen, sind außerdem Förderprogramme interessant: Die aws Digital-Förderungen sowie Beratungsleistungen der Wirtschaftskammer Österreich (WKO) können bei ersten Schritten unterstützen. Einen aktuellen Überblick bietet der Artikel zu KI Förderung Österreich 2026.

Die offizielle Quelle für alle Fristentwicklungen ist das EU AI Office: ai.gov.eu — dort werden auch Leitlinien für Nutzer und Anbieter veröffentlicht.

Die drei realistischen Bußgeld-Szenarien — und wie hoch das Risiko wirklich ist

Der EU AI Act sieht empfindliche Maximalstrafen vor. Zur Einordnung:

• Verstoß gegen verbotene Praktiken (Artikel 5): bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes. Für ein KMU, das keine verbotenen Systeme einsetzt: kein relevantes Risiko.
• Verletzung sonstiger Pflichten (z.B. Hochrisiko-Systeme ohne Konformitätsbewertung): bis 15 Mio. € oder 3 % Jahresumsatz. Relevant für KMU, die HR-KI einsetzen und das ignorieren.
• Falsche Angaben gegenüber Behörden: bis 7,5 Mio. € oder 1,5 %. Eher ein formales Risiko bei bewusster Täuschung.

Realistisch gesehen: Die Durchsetzungsbehörden werden in den ersten Jahren primär gegen große Anbieter und klare Hochrisiko-Verstöße vorgehen. Ein Kleinstbetrieb, der keine verbotenen Systeme nutzt und ab 2026 Chatbots kennzeichnet, hat ein sehr überschaubares Bußgeldrisiko.

Was aber unterschätzt wird: Der Reputationsschaden beim Kunden kann die Behördenstrafe übersteigen. Und wer als Zulieferer oder Dienstleister für größere Auftraggeber tätig ist, wird früher oder später Compliance-Nachweise vorlegen müssen — unabhängig von staatlicher Durchsetzung. Nicht-Compliance wird zum Wettbewerbsnachteil.

Ihre Sofort-Checkliste — drei Schritte bis August 2026

Schritt 1: KI-Tool-Inventur

Listen Sie alle KI-Systeme auf, die Ihr Unternehmen aktuell nutzt. Diese einfache Tabelle können Sie direkt kopieren:

Tool / System	Einsatzzweck	Kundenkontakt?	Entscheidung über Personen?	Risikokategorie
ChatGPT	Angebotsentwürfe	Nein	Nein	Minimal
Chatbot Website	Kundenanfragen	Ja	Nein	Begrenzt
HR-Software XY	Bewerbungsfilterung	Nein	Ja	Hochriskant prüfen

Ziel: Wissen, was Sie einsetzen — bevor eine Behörde fragt.

Schritt 2: Chatbot und KI-Kundenkontakt kennzeichnen

Falls Sie einen Chatbot, einen automatisierten E-Mail-Responder oder ähnliches im Kundenkontakt betreiben: Kennzeichnen Sie diese Systeme als KI. Was das konkret erfordert und wie die Transparenzpflicht für KMU-Chatbots umzusetzen ist, lesen Sie im verlinkten Artikel.

Schritt 3: Mitarbeitende sensibilisieren

Artikel 4 verlangt „angemessene KI-Kompetenz“ — das bedeutet nicht, dass alle Mitarbeitenden einen Kurs absolvieren müssen. Es bedeutet, dass sie wissen, was KI ist, welche Tools im Unternehmen eingesetzt werden und wo Vorsicht geboten ist. Eine kurze interne Info-Runde, dokumentiert per E-Mail oder kurzer Notiz, reicht für die meisten KMU aus.

Für Hochrisiko-Szenarien — insbesondere HR-KI und automatisierte Kreditentscheidungen — ist professionelle Beratung empfohlen. Die Anforderungen dort sind umfangreicher als eine Checkliste abbilden kann.

Praxis-Tipp — was viele KMU jetzt falsch machen

Fehler 1: Abwarten bis 2027

„Wir haben noch Zeit“ stimmt nur teilweise. Transparenzpflicht und Kompetenzpflicht gelten ab August 2026 — das ist weniger als ein Jahr entfernt. Wer im Sommer 2026 noch nichts unternommen hat, ist bereits zu spät dran.

Fehler 2: Alles auf den KI-Anbieter schieben

OpenAI, Microsoft und Google tragen als Anbieter eigene Pflichten — aber als Nutzer haben Sie Residualpflichten. Wie Sie Ihr eigenes Restrisiko bei KI-Systemen im Griff behalten, erklärt der Artikel zu Sicherheitsrisiken bei KI-Agenten. Die Verantwortung für Kennzeichnung, Mitarbeiterschulung und die korrekte Einbindung in Kundenprozesse liegt bei Ihnen — nicht bei Ihrem Softwareanbieter.

Fehler 3: Hochrisiko-KI nicht erkennen

Das ist der gefährlichste Fehler. Automatisiertes CV-Screening ist in viele HR-Plattformen eingebettet — oft als Feature beschrieben („intelligente Vorauswahl“), nicht als „Hochrisiko-KI“. Prüfen Sie die Funktionsbeschreibung Ihrer HR-Software genau: Bewertet sie Kandidaten automatisch und schlägt eine Rangfolge vor? Dann befinden Sie sich möglicherweise im hochriskanten Bereich.

Viele dieser Einschätzungsfragen lassen sich nicht pauschal beantworten, weil sie stark vom konkreten Setup abhängen. Ein kurzes Gespräch mit jemandem, der diese Systeme kennt, hilft oft mehr als stundenlange Eigenrecherche.

FAQ

Gilt der EU AI Act auch für mein Unternehmen, wenn ich nur ChatGPT nutze?

Ja, aber als „Nutzer“ gelten stark reduzierte Pflichten. Hauptrelevant wird die Transparenzpflicht, wenn Kunden direkt mit der KI interagieren. Wer ChatGPT nur intern nutzt, hat kaum konkrete Sofortpflichten.

Ab wann muss ich meinen Chatbot als KI kennzeichnen?

Spätestens ab August 2026 (Artikel 50). Wer es früher tut, ist auf der sicheren Seite — und signalisiert Kunden Seriosität. Die technische Umsetzung ist in den meisten Fällen eine Textzusatz-Änderung auf der Website.

Was passiert, wenn ich die Fristen verpasse — droht sofort ein Bußgeld?

Unwahrscheinlich für typische KMU. Durchsetzungsbehörden werden sich zunächst auf Anbieter und klare Hochrisiko-Verstöße konzentrieren. Dennoch: Ab August 2026 ist Nicht-Compliance offiziell rechtswidrig — und Auftraggeber können Nachweise verlangen.

Brauche ich als Kleinunternehmen mit 3 Mitarbeitenden eine interne AI-Policy?

Keine gesetzliche Pflicht für diese Größe. Aber eine einfache Hausregel auf einer Seite schützt vor versehentlichem Fehlverhalten und kann bei Kundenanfragen vorgelegt werden. Der Aufwand ist minimal, der Nutzen real.

Wo melde ich in Österreich einen Verdacht auf einen AI-Act-Verstoß?

Die RTR-GmbH wird voraussichtlich die nationale Koordinierungsstelle in Österreich. Da die Strukturen noch aufgebaut werden, empfiehlt sich ein Blick auf die aktuelle RTR-Website oder das Wirtschaftsministerium für den neuesten Stand.

Nächste Schritte

Für die meisten KMU ist der EU AI Act kein untragbares Compliance-Monster — aber ignorieren ist keine Strategie. Die konkrete Aufgabenliste bis August 2026 ist überschaubar: KI-Tool-Inventur anlegen, Chatbots kennzeichnen, Mitarbeitende kurz sensibilisieren und das dokumentieren.

Der erste Schritt ist die Inventur — und der dauert, wenn man konsequent vorgeht, selten mehr als eine Stunde.

Wo viele KMU ins Stocken geraten: die Einschätzung, ob ein konkretes Tool als hochriskant gilt, ob die eigene Chatbot-Umsetzung den Transparenzanforderungen entspricht, und welche Dokumentation im eigenen Fall tatsächlich ausreicht. Das sind keine abstrakten Fragen — die Antworten hängen von Ihrem spezifischen Setup ab.

Genau für diese Situation bietet Strukturaflow ein unverbindliches 30-Minuten-Beratungsgespräch an. Kein allgemeiner Vortrag — sondern ein konkreter Blick auf Ihre genutzten KI-Tools, Ihre Kundenprozesse und was Sie bis August 2026 realistisch umsetzen müssen.