Die EU-KI-Verordnung (AI Act) gilt ab 2. August 2026: ein verständlicher Leitfaden für den Mittelstand

Wenn Sie ein kleines oder mittleres Unternehmen führen und der Begriff „EU AI Act" seit Wochen ungelesen in Ihrem Postfach liegt, sind Sie damit nicht allein — und Sie sind nicht zu spät dran. Das zentrale Datum ist der 2. August 2026, ab dem die Verordnung vollständig anwendbar wird. Dieser Beitrag bietet Ihnen eine verständliche Orientierung: Was das Gesetz besagt, was bereits in Kraft ist, worüber ein mittelständisches Unternehmen mit einem fertigen KI-Assistenten tatsächlich nachdenken muss — und wie Sie die Frist als Grund zum Handeln statt als Grund zum Abwarten begreifen.

Ein Hinweis vorab, in klaren Worten: Dies ist eine Orientierung, keine Rechtsberatung. Jedes Unternehmen ist anders, und wo viel auf dem Spiel steht, sollten Sie mit einer qualifizierten Beraterin oder einem qualifizierten Berater sprechen. Das Ziel hier ist, diffuse Sorge durch ein klares Bild zu ersetzen.

Der Zeitplan, ohne Fachjargon

Die KI-Verordnung ist nicht über Nacht entstanden, und sie tritt nicht auf einen Schlag in Kraft. Sie wird schrittweise eingeführt:

• August 2024 — die Verordnung ist in Kraft getreten. Die Uhr begann zu ticken.
• August 2025 — die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) wurden wirksam. Sie treffen vor allem die Unternehmen, die Basismodelle entwickeln, nicht die mittelständischen Betriebe, die sie nutzen.
• 2. August 2026 — die Verordnung wird vollständig anwendbar. An diesem Datum sollten sich die meisten Unternehmen orientieren.
• Bis 2027 — einige Pflichten für Hochrisiko-Systeme nach Anhang III greifen erst später und verschaffen den am stärksten regulierten Anwendungsfällen mehr Zeit.

Die EU-KI-Verordnung ersetzt die DSGVO nicht — sie steht neben ihr. Das Datenschutzrecht regelt weiterhin, wie Sie personenbezogene Daten erheben und verarbeiten; die KI-Verordnung fügt eine Ebene hinzu, die festlegt, wie KI-Systeme selbst entwickelt, gekennzeichnet und beaufsichtigt werden. Wenn Sie die DSGVO bereits ernst nehmen, haben Sie einen Vorsprung.

Die risikobasierten Stufen auf einen Blick

Die Verordnung ordnet KI-Systeme danach ein, wie sehr sie Menschen schaden können, und reguliert entsprechend. Es gibt vier grobe Stufen:

• Verboten — Anwendungen, die als unannehmbares Risiko gelten (etwa bestimmte Formen des Social Scoring oder manipulative Systeme). Sie sind schlicht ausgeschlossen.
• Hochrisiko — Systeme, die in sensiblen Kontexten zum Einsatz kommen, etwa bei Einstellungen, Kreditvergabe oder kritischer Infrastruktur. Sie tragen die schwersten Pflichten: Dokumentation, Risikomanagement, menschliche Aufsicht, Protokollierung. Es ist die Stufe, deren Pflichten bis 2027 schrittweise greifen.
• Begrenztes Risiko — Systeme, die mit Menschen interagieren, etwa ein kundenseitiger Chatbot. Die zentrale Pflicht hier ist Transparenz: Menschen sollten wissen, dass sie mit einer KI sprechen.
• Minimales Risiko — die große Mehrheit der Alltagswerkzeuge, bei denen die Verordnung kaum bis gar nichts vorschreibt.

Für die meisten mittelständischen Unternehmen lautet die ehrliche Antwort: Ein Kundensupport-Assistent oder ein interner Wissenshelfer fällt in die Stufe begrenztes Risiko. Das ist eine Erleichterung — aber „begrenzt" heißt nicht „nichts". Transparenz, der Umgang mit Daten und die Fähigkeit, das Verhalten des Systems nachzuweisen, bleiben wichtig.

Worüber ein typisches mittelständisches Unternehmen tatsächlich nachdenken muss

Nehmen wir an, Sie setzen einen fertigen KI-Assistenten ein, um Kundenfragen zu beantworten oder Ihrem Team das Finden von Informationen zu erleichtern. Sie trainieren kein Basismodell; Sie sind Betreiber. Drei praktische Fragen stehen dabei im Vordergrund.

1. Transparenz

Wenn eine Person mit einer KI interagiert, sollte sie das wissen. Bei einem öffentlich zugänglichen Agenten ist das einfach — sagen Sie es. Über den rechtlichen Punkt hinaus ist es auch gute Praxis: Kundinnen und Kunden vertrauen einem Unternehmen, das offen damit umgeht, wie es ihre Fragen beantwortet. (Wie sich ein geschlossener Cloud-Assistent im Vergleich zu einem souveränen schlägt, sehen Sie auf der Vergleichsseite.)

2. Datenschutz, neben der DSGVO

Die mit Abstand wichtigste Frage lautet: Wohin gehen Ihre Daten? Die meisten verbreiteten Assistenten senden Ihre Eingaben — und das Wissen, das Sie ihnen anvertrauen — zur Verarbeitung in eine ausländische Cloud. Das wirft DSGVO-Fragen zu Datenübermittlung und Verarbeitung auf und vergrößert Ihre Angriffsfläche. Die sauberste Antwort ist, das Modell und das Wissen unter Ihrer eigenen Kontrolle zu behalten — ein Thema, das wir in souveräne KI erklärt behandeln. Wenn nichts das Haus verlässt, entsteht eine ganze Kategorie von Compliance-Risiken erst gar nicht.

3. Steuerung und ein Prüfpfad

Sie sollten in klaren Worten beantworten können: Was kann dieses System sehen, was darf es sagen — und kann ich es belegen? Das bedeutet zu wissen, auf welches Wissen ein Assistent zurückgreift, zu steuern, was ein kundenseitiger Agent überhaupt preisgeben darf, und einen Nachweis zu führen, auf den Sie auf Nachfrage verweisen können. Ein Prüfpfad ist kein Selbstzweck — er ist der Beleg, der aus „wir glauben, wir sind konform" ein „so wissen wir es" macht.

Die eigentliche Hürde ist nicht das Gesetz — es ist die Unsicherheit

Hier ist die aufschlussreichste Tatsache in dieser ganzen Debatte. Über deutsche Unternehmen hinweg ist rechtliche Unsicherheit die am häufigsten genannte Hürde beim KI-Einsatz — rund 53 %. Nicht die Kosten. Nicht die Kompetenzen. Die Unsicherheit.

Diese Unsicherheit hat Folgen. Etwa 41 % der deutschen Unternehmen setzen 2026 KI ein — rund doppelt so viele wie 2025 — und doch hat etwa 43 % des Mittelstands noch keinen konkreten KI-Plan. Der Markt teilt sich auf in Unternehmen, die einen Weg gefunden haben, sich zu bewegen, und Unternehmen, die aus Angst vor Fehlern erstarren.

Die Frist ist real, aber die Lähmung ist optional. Die Unternehmen, die nach vorne ziehen, sind nicht jene mit den größten Rechtsabteilungen; es sind jene, die Werkzeuge gewählt haben, bei denen Compliance eingebaut ist, statt nachträglich aufgesetzt zu werden.

Aus einer Frist einen Grund zum Handeln machen

Genau diese Lücke wurde Wegenty gebaut zu schließen. Die Idee ist einfach: den souveränen, gesteuerten Weg zum Standard machen, damit ein mittelständisches Unternehmen KI ohne eigene Technikabteilung einführen kann — weil ein vertrauter lokaler Berater sie für das Unternehmen betreibt.

Einige Designentscheidungen leisten dabei die Hauptarbeit:

• Es läuft lokal. Ein lokal gehostetes Modell bedient Ihre Wissensbasen. Ihre Daten bleiben im Haus, was einen großen Teil der DSGVO- und Übermittlungsfragen neutralisiert, bevor sie überhaupt entstehen.
• Es ist durch Architektur gesteuert. Ihre interne Wissensbasis ist die Obermenge; der öffentliche Kundenagent ist eine gesteuerte Projektion davon — niemals umgekehrt. Sensibilitätskennzeichnungen und eine Richtlinie je Wissensbasis entscheiden, was eine Kundin oder ein Kunde überhaupt sehen kann. Standardmäßig privat, von Grund auf.
• Es verbessert sich sicher. Wenn der Agent unsicher ist, leitet er an einen Menschen weiter, und diese Antwort fließt über die Korrekturschleife zurück in die Wissensbasis. Das System wird besser, ohne dass jemand ihm Ihre Geheimnisse von Hand zuführen muss.
• Es bringt eine Compliance-Ebene mit. Die eine geschlossene Komponente, Cloud Shield, ist ein Compliance-Schirm: aktuelle regulatorische Lage, ein Prüfpfad und Unterstützung bei der Zertifizierung nach DSGVO und EU-KI-Verordnung. Alles andere ist Open Source, sodass Sie nie an einen Anbieter gebunden sind — eine Haltung, die wir in das Produkt ist Governance und Open Core, souverän als Standard entfalten.

Anders gesagt: Die Funktionen, die Wegenty angenehm in der Nutzung machen — lokales Hosting, die Projektionsgrenze, die Korrekturschleife — sind dieselben Funktionen, die die oben genannten Compliance-Fragen beantworten. Wie die Teile zusammenpassen, sehen Sie auf der Plattformseite, und wenn Sie beruflich mittelständische Unternehmen beraten, ist unser Beratermodell genau so gebaut, dass die Beziehung — und die Compliance-Arbeit — bei jemandem bleibt, dem die Kundschaft bereits vertraut.

Eine kurze, gelassene Checkliste

Sie brauchen keine Rechtsabteilung, um vor August voranzukommen. Sie brauchen Orientierung und einige gute Entscheidungen:

1. Erfassen Sie Ihre KI-Nutzung. Listen Sie auf, wo KI Ihr Unternehmen bereits berührt, auch informell.
2. Bestimmen Sie Ihre Stufe. Für die meisten mittelständischen Unternehmen sind die kundenseitigen Teile begrenztes Risiko; prüfen Sie alles in der Nähe von Einstellungen, Kreditvergabe oder Sicherheit besonders kritisch.
3. Folgen Sie den Daten. Fragen Sie jedes Werkzeug, wohin Eingaben und Wissen gehen. Bevorzugen Sie jene, die beides lokal halten.
4. Seien Sie transparent. Sagen Sie den Menschen, wenn sie mit einer KI sprechen.
5. Führen Sie einen Nachweis. Wählen Sie Werkzeuge, die Ihnen einen Prüfpfad liefern, statt Sie einen aufbauen zu lassen.

Compliance ist nicht der Preis dafür, KI zu nutzen. Richtig gemacht, ist sie der Grund, warum Ihre Kundschaft der KI vertraut, die Sie einsetzen.

Die Frist zum 2. August 2026 ist keine Wand, gegen die Sie sich stemmen müssen — sie ist ein Anstoß, gut zu wählen. Wenn Sie sehen möchten, wie ein gesteuerter, souveräner Assistent echte Fragen beantwortet, ohne dass etwas das Haus verlässt, testen Sie die Live-Demo oder vereinbaren Sie eine Vorführung. Und wenn Sie abwägen, was eine Einführung kosten würde, legt unsere Preisübersicht die Stufen in klaren Worten dar.