AI Act im Mittelstand: Was Unternehmen jetzt dokumentieren sollten

Kurzüberblick: erst erfassen, dann einordnen

Wer KI-Systeme im Unternehmen sichtbar macht, kann fundierter über Zuständigkeit, Prüfung und nächste Schritte entscheiden. Beginnen Sie mit einem einfachen Inventar, halten Sie Zweck und Einsatzkontext fest und prüfen Sie anschließend, welche Regeln für genau diesen Fall relevant sein können. Eine Tabelle allein bescheinigt weder Konformität noch eine bestimmte Risikoklasse.

Welche KI-Systeme gehören ins Inventar?

Nehmen Sie nicht nur eigens entwickelte Software auf. Erfassen Sie auch zugekaufte Anwendungen und Funktionen, die Beschäftigte in bestehenden Werkzeugen verwenden. Wichtig ist der tatsächliche Prozess: Ein System kann in unterschiedlichen Abläufen unterschiedlich eingesetzt werden. Fragen Sie deshalb, welche Aufgabe es unterstützt, welche Personen das Ergebnis nutzen und ob das Ergebnis Entscheidungen über Menschen oder wichtige Leistungen beeinflusst.

Ein brauchbarer Datensatz enthält mindestens den System- und Anbieter-Namen, den vorgesehenen Zweck, betroffene Teams, Datenarten, Schnittstellen, verantwortliche Stelle, Nutzungsstatus und das Datum der letzten Prüfung. Ergänzen Sie, ob das System nur Vorschläge vorbereitet oder einen Prozessschritt tatsächlich ausführt. Offene Informationen sollten als offen markiert und einer Person zur Klärung zugewiesen werden.

Das Risiko hängt am konkreten Einsatzzweck

Der AI Act arbeitet mit unterschiedlichen Risikokategorien und Pflichten. Für die Einordnung sind unter anderem Zweckbestimmung, Einsatzumfeld und Rolle im Ablauf wichtig. Manche Praktiken sind verboten; bestimmte Einsatzfelder gelten als Hochrisiko; für einzelne Systeme bestehen Transparenzpflichten. Viele Anwendungen mit minimalem Risiko erhalten keine besonderen Regeln aus dem AI Act. Deshalb ist die pauschale Aussage „Wir nutzen KI, also sind wir Hochrisiko“ ebenso wenig hilfreich wie „Wir nutzen nur ein Standardwerkzeug, also müssen wir nichts prüfen“.

Zum Stand 20. Oktober 2026 ist der AI Act grundsätzlich anwendbar, die Anwendung einzelner Vorschriften ist jedoch gestaffelt. Die Europäische Kommission weist nach dem AI Omnibus beispielsweise spätere Termine für bestimmte Hochrisiko-Anwendungsfälle aus: 2. Dezember 2027 für Fälle nach Anhang III und 2. August 2028 für KI in bestimmten regulierten Produkten nach Anhang I. Prüfen Sie vor einer Entscheidung den jeweils aktuellen Zeitplan und den konkreten Rechtsakt.

Ein praktikabler Prüfablauf in fünf Schritten

1. Erfassen: Listen Sie Systeme, Anbieter, Zwecke und Prozessverantwortliche auf. 2. Beschreiben: Notieren Sie, was Eingabe und Ergebnis sind und wie Menschen damit weiterarbeiten. 3. Einordnen: Prüfen Sie anhand des vorgesehenen Zwecks, ob Verbote, Hochrisiko-, Transparenz- oder andere Anforderungen relevant sein könnten. 4. Zuständigkeit klären: Unterscheiden Sie, ob Ihr Unternehmen ein System bereitstellt, einsetzt oder beide Rollen erfüllt. 5. Nachweise organisieren: Hinterlegen Sie die Grundlage der Prüfung, offene Fragen, verantwortliche Personen und das Datum der nächsten Überprüfung.

Verantwortlichkeiten und Nachweise festhalten

Ein Inventar ist dann nützlich, wenn es in den Arbeitsprozess eingebettet ist. Benennen Sie eine Person, die Änderungen am System oder an seinem Zweck meldet, eine fachliche Stelle für die Prüfung und eine Entscheidungsperson für Freigaben. Halten Sie fest, welche Quellen herangezogen wurden, welche Annahmen offenblieben und warum eine Maßnahme gewählt oder zurückgestellt wurde.

Bei einer neuen Funktion, einem geänderten Datenfluss oder einer anderen Nutzergruppe sollte der Eintrag überprüft werden. Eine jährliche Erinnerung kann als Mindestimpuls dienen, ersetzt aber keine anlassbezogene Prüfung. Für rechtliche Einordnungen, sensible Daten oder mögliche Grundrechtsauswirkungen gehören qualifizierte Fachleute früh an den Tisch.

Häufige Fehler vermeiden

Vermeiden Sie ein einmaliges Inventar, das nach der ersten Aufnahme niemand mehr pflegt. Verlassen Sie sich auch nicht allein auf Produktmarketing oder die Einschätzung eines einzelnen Anbieters. Dokumentieren Sie stattdessen die eigene Nutzung. Ebenso sollte eine Klassifikation nicht nur als Ergebnis gespeichert werden: Die nachvollziehbare Begründung und die dafür verwendeten Informationen sind oft entscheidender.

Fazit: mit einem überschaubaren Bestand starten

Beginnen Sie mit den Systemen und Prozessen, die für Beschäftigte oder Kundinnen und Kunden besonders relevant sind. Ein transparentes Inventar macht Lücken sichtbar und hilft, die nächsten Prüfungen gezielt zu planen. Die menschliche Verantwortung bleibt dabei klar: Software kann Unterlagen sortieren und Prüfungen vorbereiten; die fachliche und rechtliche Bewertung muss zur zuständigen Stelle.

Quellen und Stand

Europäische Kommission, AI Act – Übersicht und Anwendungstermine (abgerufen am 20.10.2026): https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai

Europäische Kommission, AI Omnibus enters into force (27.07.2026): https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force

Verordnung (EU) 2024/1689, konsolidierte Fassung: https://eur-lex.europa.eu/eli/reg/2024/1689/2026-07-27/eng

Bildhinweis: KI-generierte illustrative Szene mit fiktiven Personen; sie zeigt keine konkrete Produktoberfläche oder Kundenreferenz.