AI Act seit 2. August 2026: Die Umsetzungs-Checkliste für KMU

Hinweis: Dieser Beitrag bündelt frei zugängliche Informationen aus dem Verordnungstext und offiziellen Quellen (Stand: August 2026). Er ist keine Rechtsberatung und keine Beratung im Einzelfall. Für eine verbindliche Bewertung Ihrer konkreten Situation wenden Sie sich bitte an eine Rechtsanwältin oder einen Rechtsanwalt mit IT-Schwerpunkt.

Schritt 1: KI-Inventar – eine Tabelle, mehr nicht

Bevor Sie irgendetwas umsetzen, brauchen Sie eine Übersicht: Welche KI kommt im Unternehmen tatsächlich zum Einsatz? Erfahrungsgemäß sind es mehr Tools, als die Geschäftsführung vermutet – Marketing nutzt einen Textgenerator, der Vertrieb ein Transkriptionstool, die Buchhaltung eine Belegerkennung.

Halten Sie pro Tool fest: Name, Zweck, wer es nutzt, welche Daten hineingehen. Diese Tabelle ist gleichzeitig die halbe Dokumentation für die KI-Kompetenzpflicht.

Schritt 2: Was auf die Website gehört

Hier wird es konkret. Drei Stellen sind relevant:

Chatbot. Wenn ein Dialogsystem im Einsatz ist, muss erkennbar sein, dass die Antwort von einer Maschine kommt – es sei denn, das ist ohnehin offensichtlich. Ein Satz genügt:

Dieser Chat wird durch ein KI-System beantwortet. Für verbindliche Auskünfte wenden Sie sich bitte an unser Team.

KI-gestützte Tools und Auswertungen. Wer wie wir automatisierte Analysen anbietet, sollte das offenlegen – bei uns steht der Hinweis direkt beim SEO-Check und beim GEO-Check:

Die Auswertung wird automatisiert mit Unterstützung eines KI-Modells erstellt. Ergebnisse sind Anhaltspunkte und ersetzen keine individuelle Beratung.

Redaktionelle Inhalte. Für einen geprüften Unternehmensblog besteht nach Art. 50 Abs. 4 im Regelfall keine Kennzeichnungspflicht, weil die redaktionelle Verantwortung bei einem Menschen liegt. Ein freiwilliger Hinweis in der Autorenbox ist trotzdem klug – er kostet nichts und beendet die Diskussion, bevor sie entsteht. Die Details dazu im Beitrag zu den Transparenzpflichten.

Schritt 3: Datenschutzerklärung ergänzen

Der AI Act ersetzt die DSGVO nicht, er kommt dazu. Wenn ein KI-Tool personenbezogene Daten verarbeitet – Chatverläufe, E-Mail-Adressen, hochgeladene Dokumente –, gehört das in die Datenschutzerklärung. Sinnvolle Struktur für einen eigenen Abschnitt:

1. 1
   Welches System wird eingesetzt und zu welchem Zweck?
2. 2
   Welche Daten fließen hinein?
3. 3
   Werden die Daten zu Trainingszwecken genutzt? (Wenn nein: ausdrücklich schreiben.)
4. 4
   Rechtsgrundlage und Speicherdauer.
5. 5
   Auftragsverarbeitung mit dem Anbieter geregelt?

Punkt 3 ist der, den Interessenten tatsächlich lesen.

Schritt 4: Der Recruiting-Sonderfall

Das ist die eine Konstellation, bei der aus Pflichtübung Ernst wird. Software, die Bewerbungen automatisiert filtert, sortiert oder bewertet, fällt unter Anhang III und damit in die Hochrisiko-Kategorie. Als Betreiber treffen Sie dann unter anderem:

• Menschliche Aufsicht: Eine benannte, fachlich geeignete Person muss die Ergebnisse überwachen und überstimmen können.
• Bestimmungsgemäße Nutzung: Das System nur so einsetzen, wie es der Anbieter vorsieht.
• Information der Betroffenen: Bewerberinnen und Bewerber müssen wissen, dass ein KI-System an der Entscheidung mitwirkt.
• Protokollierung: Logs des Systems aufbewahren, soweit sie in Ihrem Einflussbereich liegen.

Praktischer Rat: Fragen Sie Ihren Bewerbermanagement-Anbieter schriftlich, ob und wo KI-gestütztes Ranking stattfindet. Viele Systeme haben Scoring-Funktionen, die standardmäßig aktiv sind, ohne dass es jemand im Unternehmen weiß.

Was ausdrücklich nicht nötig ist

Gegen die Panikmache, die derzeit über LinkedIn läuft:

• Kein Zertifikat und keine Pflichtschulung mit vorgeschriebener Stundenzahl. Art. 4 verlangt ein angemessenes Kompetenzniveau, keine Prüfung. Mehr dazu im Beitrag zur KI-Kompetenz.
• Kein amtliches Register und keine Anmeldung für Betreiber niedrigriskanter Systeme.
• Kein externes Audit und keine Konformitätsbewertung – die trifft Anbieter von Hochrisiko-Systemen, nicht den Betrieb, der ein fertiges Tool nutzt.
• Keine Kennzeichnung jedes einzelnen Textes, der irgendwann einmal einen KI-Entwurf gesehen hat.

Wer Ihnen ein vierstelliges "AI-Act-Compliance-Paket" für einen Handwerksbetrieb verkaufen will, verkauft im Wesentlichen die Tabelle aus Schritt 1.

Die Checkliste in Kurzform

Und die Website?

Die Punkte 4 und 5 sind der Teil, der technisch umgesetzt werden muss. Wenn Sie ohnehin an Ihrer Website arbeiten: Transparenzhinweise, eine saubere Datenschutzerklärung und maschinenlesbare Strukturdaten gehen gut zusammen – Letzteres zahlt zusätzlich auf die Sichtbarkeit in KI-Suchsystemen ein. Wie das funktioniert, steht im Beitrag zu llms.txt und strukturierten Daten. Den aktuellen Stand Ihrer Seite können Sie mit dem GEO-Check prüfen.

Weiterlesen: EU-KI-Verordnung für KMU: Der Überblick · Transparenzpflichten nach Art. 50 · KI-Kompetenz nach Art. 4

Quellen

• Verordnung (EU) 2024/1689 (KI-Verordnung), insbesondere Art. 4, 26, 50, 99, 113 sowie Anhang III – abrufbar über EUR-Lex
• Informationsangebote der Europäischen Kommission zum AI Act