KI-Verordnung 2026: Was Mittelständler bis 2. August wirklich tun müssen (Checkliste)

Am 2. August 2026 greifen die Pflichten für Hochrisiko-KI nach der EU KI-Verordnung (auch: AI Act). Die meisten Eigentümer mittelständischer Unternehmen in Österreich und Deutschland behandeln das noch als 2027-Thema. Ist es nicht. Die Verordnung gilt nicht nur für Entwickler, sondern auch für Betreiber. Wer ein fremdes KI-System im HR- oder Kreditbereich einsetzt, trägt Pflichten.

Dieser Beitrag ist eine klare, juristenfreie Checkliste für KMU.

Die vier Risikoklassen in 90 Sekunden

Die meisten KMU-Use-Cases (Sales-Triage, Support, Dokumenten-Parsing, Telefonempfang) fallen in Begrenzt oder Minimal. Die Falle heißt HR und Kredit.

Welche KMU-Use-Cases in der Praxis Hochrisiko sind

Drei Muster treffen KMU am häufigsten.

1. Lebenslauf-Screening oder Kandidaten-Ranking. Anhang III, Punkt 4. Hochrisiko.
2. Kreditscoring oder Bonitätsbewertung. Anhang III, Punkt 5. Hochrisiko.
3. Mitarbeiterüberwachung und Leistungsbeurteilung. Anhang III, Punkt 4. Hochrisiko.

Wenn eines davon auf fremder KI bei Dir läuft, gelten die Betreiberpflichten. Details im Schwester-Artikel EU AI Act Österreich 2026.

Was Betreiberpflichten konkret bedeuten

Für jedes Hochrisiko-System im Einsatz:

1. Bestimmungsgemäße Verwendung. Genau wie vom Anbieter vorgesehen.
2. Menschliche Aufsicht. Eine geschulte Person prüft entscheidungsrelevante Outputs.
3. Input-Datenkontrolle. Garbage in ist Dein Problem, nicht das des Anbieters.
4. Logging. Systemlogs mindestens sechs Monate aufbewahren.
5. Information Betroffener. Bewerber, Kunden, Mitarbeiter wissen, dass KI mitspielt.
6. DSFA. Datenschutz-Folgenabschätzung nach DSGVO bei personenbezogenen Daten.
7. Vorfallmeldung. Schwerwiegende Vorfälle innerhalb der vorgegebenen Fristen an die Marktüberwachungsbehörde melden.

Nicht trivial, aber für ein KMU machbar, wenn früh strukturiert.

Bußgelder, der ehrliche Rahmen

Bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes bei Hochrisiko-Verstößen, je nachdem, was höher ist. Bis zu 35 Mio. oder 7 % bei den verbotenen Kategorien. Realistisch werden erste Fälle Großunternehmen treffen. Das Reputationsrisiko für KMU ist 2026 größer als das finanzielle, die Toleranz wird sich aber verengen.

Die 12-Punkte-KMU-Checkliste

1. Jedes KI-System im Einsatz inventarisieren, inklusive fremder SaaS-Tools mit KI-Features.
2. Jedes nach Risikoklasse klassifizieren.
3. Hochrisiko-Systeme identifizieren und mit Anbieter-Dokumentation absichern.
4. Eine verantwortliche Person benennen (oft GF oder IT-Leitung).
5. Den Prozess menschlicher Aufsicht je System dokumentieren.
6. Logging einschalten, wo es aus ist.
7. Datenschutzhinweise und Verträge nachziehen.
8. DSFA fahren, wo personenbezogene Daten betroffen sind.
9. Team auf verantwortungsvolle Nutzung schulen, Schulung dokumentieren.
10. Pfad für Vorfallmeldung definieren.
11. Jährlichen Review im Kalender setzen.
12. Bei Eigenbau-Systemen zusätzlich die Anbieterpflichten erfüllen.

Wo On-Premise-Architektur hilft

Wenn das Hochrisiko-System auf Deiner Infrastruktur läuft, sind Logging, Aufsicht und Datenkontrolle Deine Designentscheidung, nicht die eines Anbieters. Auditoren lieben das. Architektur-Pattern im Artikel On-Premise AI mit RBAC.

Wann starten

Jetzt. Der 2. August 2026 ist kein Soft Launch. Die deutsche und österreichische Marktüberwachung baut Personal auf. Wir begleiten österreichische und deutsche KMU von der Inventarisierung bis zur laufenden Governance. Kurzes Erstgespräch buchen.

Verwandte Artikel: EU AI Act Österreich 2026, EU AI Act für KMU in Österreich und Deutschland, On-Premise AI mit RBAC.