Wenn du im Mittelstand KI einsetzt – ein HR-Tool, das Bewerbungen vorsortiert, ein Scoring-Modell, einen Support-Bot – dann betrifft dich der EU AI Act als KMU direkt, auch wenn du kein Tech-Konzern bist. Die gute Nachricht: Die schärfsten Fristen wurden 2026 nach hinten geschoben. Die schlechte: Die Dokumentationspflichten sind real, teuer und für kleine Firmen kaum von der Stange zu kaufen. Dieser Artikel erklärt dir nüchtern, was auf dich zukommt, was es kostet – und warum genau diese Lücke gerade zu einer der interessantesten Nischen für Gründer geworden ist.
Warum der EU AI Act für KMU jetzt relevant wird
Der EU AI Act ist seit Juni 2024 in Kraft und wird stufenweise scharfgeschaltet. Das Verbot bestimmter KI-Praktiken gilt schon seit Februar 2025, die Regeln für allgemeine KI-Modelle (GPAI) seit August 2025. Die eigentlich harten Pflichten treffen sogenannte Hochrisiko-Systeme – und dort landen mehr Mittelständler, als die meisten denken.
Die Kategorien sind breit: KI in den Bereichen Beschäftigung (Bewerber-Screening, Personalentscheidungen), Bonitätsprüfung, kritische Infrastruktur, Bildung oder Biometrie gelten als hochriskant. Wer ein Recruiting-Tool oder ein Scoring-Modell nutzt, ist schnell betroffen. Wie unscharf die Lage ist, zeigt eine Auswertung des Münchner appliedAI Institute: Von 106 untersuchten Enterprise-KI-Systemen waren 18 % eindeutig hochriskant – und weitere 40 % ließen sich nicht sauber einordnen. Diese Grauzone ist der eigentliche Treiber der Nachfrage: Firmen wissen oft nicht einmal, ob sie betroffen sind.
Parallel wächst der ganze Markt für Regulierungs-Dienstleistungen. Der Markt für GDPR-Services soll laut Mordor Intelligence von 4,16 Mrd. USD (2026) auf 12,41 Mrd. USD (2031) klettern – eine jährliche Wachstumsrate von rund 24 %, wobei Europa etwa 38 % des Marktes hält. Compliance ist längst kein lästiger Nebenschauplatz mehr, sondern ein eigener Wirtschaftszweig.
Was der EU AI Act von KMU konkret verlangt: Annex IV
Das Herzstück der Pflichten für Anbieter von Hochrisiko-Systemen ist die technische Dokumentation nach Annex IV. Dahinter steckt kein einzelnes Formular, sondern ein ganzes Dossier. Verlangt werden unter anderem eine Beschreibung des Systems und seiner Architektur, die Data-Governance (welche Daten, welche Herkunft, welche Qualität), ein Risikomanagement-System, Angaben zu Leistung und Genauigkeit, eine Gebrauchsanweisung, ein Konzept zur Nachmarkt-Überwachung (Post-Market-Monitoring), ein Qualitätsmanagement-System sowie am Ende eine Konformitätserklärung. Details listet die EU-Kommission in ihrem Regelwerk auf.
Für kleine Betriebe gibt es eine Erleichterung: KMU dürfen die technische Dokumentation in vereinfachter Form führen, und die Behörden müssen Größe und Ressourcen des Unternehmens berücksichtigen. Wichtig ist aber, was diese Erleichterung nicht ist – nämlich keine Befreiung. Ein KMU bekommt eine verhältnismäßige Behandlung, keinen Freifahrtschein. Die Dokumentation musst du trotzdem erstellen.
Die neuen Fristen: Was der Digital Omnibus 2026 verschoben hat
Am 7. Mai 2026 einigten sich Rat, Parlament und Kommission vorläufig auf den „Digital Omnibus" – die ersten Änderungen am AI Act seit seiner Verabschiedung. Das Ergebnis verschafft dir als KMU deutlich mehr Luft, wie Gibson Dunn zusammenfasst:
- Die Pflichten für Annex-III-Hochrisiko-Systeme (nutzungsbasiert, z. B. HR und Scoring) wandern vom 2. August 2026 auf den 2. Dezember 2027 – also 16 Monate später.
- Annex-I-Systeme (produktbezogen, etwa Medizinprodukte oder Aufzüge) rücken vom 2. August 2027 auf den 2. August 2028.
Ein Punkt bleibt aber unverändert: Die Transparenzpflicht nach Artikel 50 – du musst Nutzer darüber informieren, wenn sie mit einer KI interagieren – gilt weiter ab dem 2. August 2026. Wer einen Chatbot betreibt, sollte also nicht bis 2027 warten. Der Aufschub betrifft die dokumentationsschwere Hochrisiko-Ebene, nicht die einfachen Transparenzregeln.
Praktisch heißt das für dich: Der Druck ist nicht weg, er ist nur verschoben. Und genau diese Verschiebung ist zweischneidig. Sie nimmt kurzfristig Panik raus – verleitet aber viele Firmen dazu, das Thema wieder auf null zu setzen, obwohl der Aufbau eines Qualitätsmanagement-Systems Monate dauert.
Was Verstöße kosten – und was für KMU gilt
Die Bußgeldstruktur des AI Act ist gestaffelt. Laut Artikel 99 drohen bei verbotenen Praktiken bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes, bei sonstigen Verstößen (inklusive der Hochrisiko-Pflichten) bis zu 15 Mio. € oder 3 %, und wer Behörden falsche oder unvollständige Angaben macht, riskiert bis zu 7,5 Mio. € oder 1 %.
Für KMU gilt eine wichtige Umkehrung: Während große Konzerne den höheren der beiden Werte zahlen, greift bei kleinen Unternehmen und Start-ups jeweils der niedrigere Betrag. Das begrenzt das Risiko spürbar – aus dem Schreckgespenst „35 Millionen" wird für einen kleinen Betrieb ein prozentualer, wirtschaftlich tragbarer Deckel. Zur Einordnung, wie ernst Aufsichtsbehörden Datenregeln nehmen: Allein 2024 verhängten die EU-Datenschutzbehörden rund 1,2 Mrd. € an DSGVO-Bußgeldern. Die Bereitschaft, durchzugreifen, ist da.
Die eigentlichen Kosten liegen woanders
Das größere finanzielle Thema ist nicht das Bußgeld, sondern die Compliance selbst. Nach einer Analyse von Ovidiu Suciu müssen Anbieter von Hochrisiko-KI mit Anfangskosten von 200.000–600.000 € rechnen, plus 80.000–150.000 € Wartung pro Jahr. Wer KI nur einsetzt (Deployer), kommt mit 20.000–50.000 € Startinvestition und 5.000–15.000 € jährlich davon. Der Aufbau eines kompletten Qualitätsmanagement-Systems von Grund auf wird auf 193.000–330.000 € geschätzt.
Das sind Zahlen, die ein Mittelständler mit 50 bis 500 Mitarbeitern nicht mal eben aus der Portokasse zahlt. Genau hier entsteht der Riss im Markt – und die Chance.
Ein Lichtblick: Regulatorische Sandkästen. Die EU verpflichtet die Mitgliedsstaaten, KI-Sandboxes einzurichten, in denen Firmen ihre Systeme unter Aufsicht testen können. KMU erhalten laut dem offiziellen KMU-Leitfaden bevorzugten und kostenlosen Zugang. Wer früh reingeht, senkt seine späteren Kosten – und lernt die Anforderungen kennen, bevor sie verpflichtend werden.
Die Geschäftschance: EU-AI-Act-Compliance für KMU als Nische
Jetzt der Teil, der bei Off-Map eigentlich zählt. Der EU AI Act für KMU ist nicht nur eine Pflicht – er ist eine der klarsten Nischen des Jahres. Die Logik ist simpel: Es gibt eine gesetzlich erzwungene, wachsende Nachfrage und ein Angebot, das den Mittelstand ignoriert.
Die etablierten Tools – OneTrust, TrustArc, DataGuard, caralegal, Proliance – zielen auf Konzerne. Sie sind teuer, schwer einzuführen und auf große Rechtsabteilungen ausgelegt. Der DACH-Mittelständler steht heute vor einer Wahl zwischen fünfstelligen Beratungshonoraren und gar nichts tun. Dass der Self-Serve-Layer für kleine Firmen fehlt, benennt sogar die Branche selbst offen, etwa Legalithm in seinem Software-Vergleich.
Noch ein Hebel liegt im Bündeln: KI-Compliance und DSGVO gehören für den Mittelstand faktisch zusammen. Wer KI einsetzt, verarbeitet fast immer personenbezogene Daten – Bewerbungen, Kundenprofile, Support-Verläufe. Ein Tool, das beide Welten in einem Dashboard bedient, trifft eine Zielgruppe, die heute mit zwei getrennten Beratern und drei Excel-Listen jongliert. Der Markt bestätigt das Muster: In fast jeder Kategorie fehlt nicht das Produkt, sondern der schlanke, deutschsprachige Layer für Firmen mit 50 bis 500 Mitarbeitern.
Ein realistisches Modell für Solo-Gründer oder ein kleines Team: ein schlankes Self-Serve-SaaS, das drei Dinge kann – die Anwendbarkeit prüfen (bin ich überhaupt betroffen?), das Risiko klassifizieren und einen Annex-IV-Dokumentations-Generator bereitstellen. Preislich lässt sich das im Bereich 79–249 € pro Monat je nach Systemzahl ansiedeln, mit einem „Audit-Ready-Export"-Paket als Upsell und einem jährlichen Review-Abo als wiederkehrender Umsatz. Für eine Firma, die sonst 50.000 € Beratung zahlen müsste, ist das ein leichtes Ja.
Der Charme dieser Nische: Die Nachfrage ist nicht von einem Trend abhängig, sondern von einem Gesetz mit festem Zeitplan. Der Aufschub auf Dezember 2027 verschafft dir sogar ein ideales Zeitfenster, um ein Produkt zu bauen, bevor der Markt heiß läuft. Wer jetzt startet, ist fertig, wenn die Firmen in Panik geraten.
Wenn du überlegst, in diese Richtung zu gehen, lohnt sich zuvor ein ehrlicher Realitäts-Check der Nachfrage – wie du eine solche Idee testest, bevor du Monate reinsteckst, haben wir in unserer 5-Schritte-Methode zum Nische finden beschrieben. Weitere frische Nischen findest du laufend im Off-Map Blog.
Kurz gesagt: Der EU AI Act ist für die meisten KMU eine Hausaufgabe mit Aufschub – und für ein paar Gründer die Vorlage für ein Geschäft, dessen Nachfrage im Gesetzbuch steht.