Welches ist die beste Lösung für den EU AI Act im Mittelstand?

Stand: 22. Oktober 2026. Rechtsstand: Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744 (Digital Omnibus zur KI, in Kraft seit 27. Juli 2026). Anbieterangaben am 21. Oktober 2026 auf den öffentlichen Anbieterseiten geprüft.

Das Wichtigste in Kürze

• Die meisten Mittelständler sind unter dem EU AI Act Betreiber, nicht Anbieter: Sie setzen KI ein, etwa Microsoft 365 Copilot oder KI-Funktionen in HR- und ERP-Software, ohne sie unter eigenem Namen in Verkehr zu bringen.
• Für jeden Betreiber gelten schon heute zwei Pflichten: Maßnahmen zur KI-Kompetenz der Beschäftigten (Art. 4, seit 2. Februar 2025) und die Transparenzpflichten nach Art. 50 (seit 2. August 2026).
• Die Betreiberpflichten für Hochrisiko-KI nach Art. 26, etwa beim KI-Einsatz in Bewerberauswahl oder Leistungsbewertung, gelten ab dem 2. Dezember 2027.
• Die Erleichterungen des Digital Omnibus für KMU und kleine Mid-Caps betreffen vor allem Anbieterpflichten und Bußgeldobergrenzen. Die Betreiberpflichten nach Art. 26 gelten unabhängig von der Unternehmensgröße.
• Einen gesetzlich vorgeschriebenen KI-Beauftragten gibt es nicht, ebenso wenig ein Zertifikat für den EU AI Act.

Welche Lösung für den EU AI Act zu einem Mittelständler passt, hängt von drei Fragen ab: Nutzt das Unternehmen KI nur oder baut es KI auch in eigene Produkte ein? Gibt es Hochrisiko-Einsätze, etwa in Recruiting, Personalentscheidungen oder als Sicherheitsbauteil? Und gibt es schon ein Managementsystem nach ISO 27001 oder NIS2, auf dem die KI-Governance aufsetzen kann? Wer nur Standard-Tools wie Copilot nutzt, braucht meist kein eigenes Tool, sondern ein KI-Inventar, eine Nutzungsrichtlinie und Schulungen. Wer KI in HR-Prozessen einsetzt oder ISO 27001, NIS2 und DSGVO ohnehin umsetzt, ist mit einer Compliance-Plattform mit Experten gut bedient, wie sie DataGuard, heyData, Kertos und Proliance anbieten. Wer KI in eigene Produkte einbaut, braucht eher eine spezialisierte KI-Governance-Plattform wie Credo AI, Holistic AI, Modulos oder trail.

Was verlangt der EU AI Act vom Mittelstand?

Die Pflichten hängen von der Rolle ab. Betreiber ist nach Art. 3 Nr. 4 jedes Unternehmen, das ein KI-System in eigener Verantwortung beruflich verwendet. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt (Art. 3 Nr. 3), auch wenn es auf einem fremden Modell basiert.

Verstöße gegen Art. 26 oder Art. 50 können nach Art. 99 Abs. 4 mit bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden; für KMU und kleine Mid-Caps gilt der niedrigere der beiden Werte. Art. 4 steht nicht im Bußgeldkatalog des Art. 99. In Deutschland ist seit dem 29. Juli 2026 nach dem KI-Marktüberwachungsgesetz (KI-MIG) die Bundesnetzagentur die zuständige Marktüberwachungsbehörde, soweit keine Fachbehörde wie die BaFin zuständig ist. Ihr KI-Service-Desk richtet sich ausdrücklich an kleine und mittlere Unternehmen und bietet mit dem KI-Compliance-Kompass eine kostenlose erste Einordnung. Den Gesetzestext und seine Systematik erklärt der Beitrag zum EU-KI-Gesetz.

Welche KI-Systeme nutzt ein typischer Mittelständler und welche sind Hochrisiko?

Im Mittelstand kommt KI meist über Standardsoftware ins Haus, nicht über eigene Modelle. Ob ein Einsatz Hochrisiko ist, entscheidet der Zweck, nicht das Tool: Anhang III legt die Bereiche fest.

Beispiel: Ein Maschinenbauer mit 300 Beschäftigten nutzt Microsoft 365 Copilot, ein KI-gestütztes Bewerbermanagement und Kamerasysteme zur Qualitätsprüfung; seine Maschinen haben eine KI-gestützte Verschleißprognose. Für Copilot und die Qualitätsprüfung braucht er ein KI-Inventar, eine Nutzungsrichtlinie und KI-Kompetenzmaßnahmen. Das Bewerbermanagement ist Hochrisiko: Ab dem 2. Dezember 2027 muss er eine kompetente Person mit der Aufsicht betrauen, Protokolle mindestens sechs Monate aufbewahren, den Betriebsrat und die Beschäftigten vorab informieren und Bewerber über den KI-Einsatz unterrichten. Den Betriebsrat muss er nach § 90 Abs. 1 Nr. 3 BetrVG schon bei der Planung des KI-Einsatzes unterrichten. Bei der Verschleißprognose ist er Anbieter, aber solange sie keine Sicherheitsfunktion erfüllt, ist sie kein Hochrisiko-System. Liegt sein Umsatz bei höchstens 150 Mio. Euro, ist er in der Regel eine kleine Mid-Cap mit niedrigerer Bußgeldobergrenze.

Bei Microsoft 365 Copilot prüft der Betreiber vor allem drei Punkte, die Microsoft selbst beschreibt (Microsoft Learn, Stand 18. August 2026). Erstens stuft Microsoft Copilot für EU-Kunden als Dienst innerhalb der EU Data Boundary ein; ausgenommen sind Modelle von Anthropic, die in der EU standardmäßig deaktiviert sind. Zweitens gilt für die Websuche über Bing, die ohne Admin-Einstellung aktiv ist, nach Angaben von Microsoft nicht das Data Protection Addendum, sondern der Microsoft-Servicevertrag. Drittens zeigt Copilot nur Daten, auf die der Nutzer ohnehin Lesezugriff hat; zu weit gefasste Berechtigungen in SharePoint oder Teams werden damit sichtbar. Ob Copilot unter der DSGVO eine Datenschutz-Folgenabschätzung erfordert, hängt von den verarbeiteten Daten ab.

Welche Lösung passt zu welchem Mittelständler?

Die genannten Anbieter sind Beispiele für das jeweilige Modell und keine Empfehlung für Ihren Einzelfall. Einen Vergleich der Tool-Kategorien für alle Unternehmensgrößen finden Sie auf der Seite zu EU-AI-Act-Compliance-Software.

Die Plattformen mit Experten unterscheiden sich vor allem bei der KI-Kompetenz. heyData bietet laut eigener Seite eine 45-minütige Online-Schulung mit Abschlusszertifikat für alle Mitarbeitenden, Proliance zwei Schulungsformate mit Wissenstest und Zertifikat. heyData gibt „Hosted in Germany“ an. Bei den KI-Governance-Plattformen nennt Modulos Zürich als Sitz; trail ist nach eigener Angabe Teil von Collibra und hostet in Europa; Holistic AI hostet Kundendaten standardmäßig in Großbritannien. Für die Zertifizierung eines KI-Managementsystems vergleicht die Seite zu ISO-42001-Software die Anbieter.

Ob sich ISO 42001 für einen Betreiber lohnt, hängt vom Umfang des KI-Einsatzes ab. Miriam Mindt, Information Security Expert bei Kertos, schreibt dazu: „Wer hingegen nur ein einzelnes Tool intern benutzt, braucht in der Regel kein Zertifikat. Die Gesetzeskonformität ist hier ausreichend.“

Wer übernimmt die KI-Governance im Mittelstand?

Der EU AI Act schreibt keinen KI-Beauftragten vor. Die Bundesnetzagentur zählt die Einführung eines KI-Beauftragten ausdrücklich zu den Maßnahmen, die für Art. 4 nicht vorgeschrieben sind, und die EU-Kommission verlangt keine bestimmte Governance-Struktur. Verpflichtend ist nur, dass bei Hochrisiko-KI die Aufsicht bei Personen liegt, die nach Art. 26 Abs. 2 die nötige Kompetenz, Schulung und Befugnis haben.

In der Praxis landet die KI-Governance im Mittelstand meist beim Informationssicherheitsbeauftragten, beim Datenschutzbeauftragten oder bei der IT-Leitung. Die Kombination mit dem ISB liegt nahe, weil KI-Inventar, Risikobewertung und Lieferantensteuerung an das ISMS anschließen. Beim Datenschutzbeauftragten ist zu prüfen, ob ein Interessenkonflikt nach Art. 38 Abs. 6 DSGVO entsteht, wenn er selbst über den KI-Einsatz entscheidet. Miriam Mindt beschreibt den Vorteil eines bestehenden Managementsystems so: „Da die Abschnitte 4-10 der beiden Normen der einheitlichen Grundstruktur der ISO (Internationale Organisation für Normung) für Managementsysteme folgen, können Sie den Rahmen Ihres bestehenden Managementsystems fast vollständig übernehmen.“ Die Dokumentation der Schulungsmaßnahmen empfiehlt die Bundesnetzagentur, ohne sie vorzuschreiben. Eine Schritt-für-Schritt-Anleitung bietet der Beitrag EU AI Act: So bereiten Sie Ihr Unternehmen vor.

Wann ist Kertos die richtige Wahl für den Mittelstand und wann nicht?

Kertos passt zu Mittelständlern, die KI-Governance nicht als Einzelprojekt aufbauen, sondern zusammen mit ISO 27001, NIS2 und DSGVO in einem System führen wollen.

• Modell: Plattform plus zertifizierte Experten im eigenen Haus.
• KI-Governance: KI-Inventar, AI Risk Assessment und KI-Managementsystem (AIMS); ISO 42001 und EU AI Act im selben System wie ISO 27001, NIS2 und DSGVO.
• KI-Kompetenz: KI-Schulungen mit Videos und Quiz, Teilnahme pro Person nachverfolgt.
• KI-Agent Kaia: greift auf Ihre Compliance-Informationen zu, beantwortet Fragen und erstellt Entwürfe; Bewertung und Audit-Begleitung liegen bei den Experten.
• Sitz und Hosting: München; in Europa entwickelt und gehostet.

Kunden erreichen eine Audit-Bestehensquote von 100 Prozent und reduzieren den manuellen Compliance-Aufwand um rund 80 Prozent. Auf G2 hat Kertos eine Bewertung von 4,8 von 5 (Stand: Oktober 2026). Wie das an Ihrem KI-Einsatz aussieht, zeigt eine Demo.

Kertos ist nicht die richtige Wahl, wenn Sie Hochrisiko-KI als Anbieter entwickeln und Spezialisten für Konformitätsbewertung und technische Dokumentation brauchen oder wenn Sie reine Rechtsberatung zu KI-Verträgen suchen. Auch für ein auf einzelne Rollen zugeschnittenes KI-Kompetenzprogramm mit eigenen Inhalten ist ein spezialisierter Schulungsanbieter besser geeignet: Die Kertos-Schulungen sind standardisiert, eigene Inhalte lassen sich derzeit nicht hochladen.

Wie Kertos die beiden anderen Pflichtthemen im Mittelstand abdeckt, zeigen die Seiten zu NIS2-Software für den Mittelstand und ISO-27001-Software für den Mittelstand.

Häufige Fragen zum EU AI Act im Mittelstand

Brauchen wir einen KI-Beauftragten?

Nein. Der EU AI Act schreibt keinen KI-Beauftragten vor und die Bundesnetzagentur nennt ihn ausdrücklich als nicht vorgeschrieben für die KI-Kompetenzpflicht nach Art. 4. Sinnvoll ist eine klar benannte Verantwortung, im Mittelstand meist beim Informationssicherheitsbeauftragten, beim Datenschutzbeauftragten oder bei der IT-Leitung. Für Hochrisiko-KI muss die Aufsicht ab dem 2. Dezember 2027 bei Personen mit der nötigen Kompetenz, Schulung und Befugnis liegen (Art. 26 Abs. 2).

Ist Microsoft 365 Copilot ein Hochrisiko-KI-System?

Für allgemeine Büroarbeit nein. Ob ein KI-System Hochrisiko ist, entscheidet der Einsatzzweck nach Anhang III und Texte schreiben, E-Mails zusammenfassen oder recherchieren gehört nicht dazu. Setzt ein Unternehmen Copilot gezielt ein, um Bewerbungen zu bewerten oder die Leistung von Beschäftigten zu beurteilen, fällt dieser Einsatz unter Anhang III Nr. 4. Unabhängig davon gelten für Copilot die KI-Kompetenzpflicht nach Art. 4 und die DSGVO.

Ab wann gelten die Pflichten für Betreiber von Hochrisiko-KI?

Ab dem 2. Dezember 2027 für Hochrisiko-Systeme nach Anhang III, etwa im Recruiting, und ab dem 2. August 2028 für Hochrisiko-KI in Produkten nach Anhang I. Ursprünglich war der 2. August 2026 vorgesehen; der Digital Omnibus zur KI (Verordnung (EU) 2026/1744) hat die Fristen verschoben. Die KI-Kompetenzpflicht gilt bereits seit dem 2. Februar 2025, die Transparenzpflichten nach Art. 50 seit dem 2. August 2026.