Was ändert sich am 2. August 2026 für Mittelständler?
Drei Dinge, klar nach Artikel der KI-Verordnung. Erstens: Pflichten für Allzweck-KI-Modelle (GPAI) greifen — relevant vor allem für Anbieter wie OpenAI, Anthropic, Google, weniger für dich als Nutzer. Zweitens: Kennzeichnungspflicht für KI-generierte Inhalte nach Artikel 50 — Bilder, Videos, Audios, Deepfakes müssen erkennbar als KI-erzeugt markiert werden. Drittens: Die Sanktionsstufen aus Artikel 99 sind dann scharf — bis 35 Millionen Euro oder 7 Prozent Jahresumsatz bei verbotener KI, bis 15 Millionen oder 3 Prozent bei Hochrisiko-Verstößen, bis 7,5 Millionen oder 1 Prozent bei falschen Auskünften an Behörden. Was sich nicht ändert: die Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III wurden auf 2. Dezember 2027 verschoben. Heißt: Für die meisten 10- bis 80-Mitarbeiter-Mittelständler, die ChatGPT, Claude oder ein Marketing-Tool nutzen, ist der August 2026 nicht der Stichtag, an dem du Standorte schließen musst. Es ist der Stichtag, an dem du sauber dokumentiert sein solltest. Quelle: Verordnung 2024/1689 EU AI Act, Artikel 99 und 50, eur-lex.europa.eu.
Wer ist im Mittelstand wirklich betroffen?
Eine klare Trennlinie. Erste Gruppe: Du nutzt KI im Alltag — ChatGPT für Texte, Claude für Recherche, ein KI-Tool für Bildgenerierung. Du bist in der Sprache der Verordnung Betreiber eines KI-Systems. Pflichten: KI-Kompetenz deiner Mitarbeiter (Artikel 4 EU AI Act, gilt bereits seit 2. Februar 2025), Kennzeichnung KI-generierter Inhalte ab August 2026, Dokumentation deiner Anwendungsfälle. Zweite Gruppe: Du entwickelst oder vermarktest selbst ein KI-System oder lässt eines auf deinen Daten trainieren. Dann bist du Anbieter — und die Pflichten sind deutlich umfangreicher. Dritte Gruppe: Du nutzt KI nur intern für Standard-Office-Aufgaben ohne automatisierte Entscheidungen über Personen. Dann liegen die meisten deiner Anwendungsfälle in der Kategorie geringes oder minimales Risiko — Hauptpflicht: Transparenz und Mitarbeiterkompetenz. Die EU-Kommission hat im Digital Omnibus Ende 2025 angedeutet, dass für Small Mid-Caps bis 750 Mitarbeiter und 150 Millionen Euro Umsatz vereinfachte Dokumentationspflichten kommen sollen. Ob das durchkommt, ist Stand 28.05.2026 noch nicht final beschlossen — bleib am Thema.
Für die meisten Mittelständler kein Stichtag für Standortschluss
Wer ChatGPT, Claude oder ein Marketing-Tool nutzt, ist Betreiber eines KI-Systems. Hauptpflichten: KI-Kompetenz der Mitarbeiter (Artikel 4, seit Februar 2025), Kennzeichnung KI-generierter Inhalte ab August 2026, Dokumentation der Anwendungsfälle. Der August 2026 ist nicht der Stichtag, an dem du Standorte schließen musst — es ist der Stichtag, an dem du sauber dokumentiert sein solltest.
Welche DSGVO-Punkte sind in Kombination mit KI wichtig?
Drei harte Punkte. Erster Punkt: Rechtsgrundlage für die Datenverarbeitung nach Artikel 6 DSGVO. Wenn du Kundendaten in ein KI-System schickst — auch nur in einen Prompt — brauchst du eine Rechtsgrundlage. Berechtigtes Interesse, Vertragserfüllung oder Einwilligung. Bei Mitarbeiterdaten zusätzlich Paragraph 26 BDSG. Zweiter Punkt: Auftragsverarbeitung nach Artikel 28 DSGVO. Wenn du OpenAI, Anthropic, Google oder einen anderen KI-Anbieter nutzt und dort personenbezogene Daten landen, brauchst du einen Auftragsverarbeitungsvertrag und idealerweise EU-Hosting. Anthropic, Google und OpenAI bieten EU-Datenresidenz heute an — du musst die Optionen aber aktiv ziehen. Dritter Punkt: Automatisierte Entscheidungen nach Artikel 22 DSGVO. Wenn ein KI-System eigenständig Entscheidungen trifft, die rechtliche Wirkung für Menschen haben — Bonität, Bewerbung, Vertragskündigung — gelten zusätzliche Pflichten. Für die meisten Mittelständler 2026 relevant: Newsletter-Personalisierung, Lead-Scoring, dynamische Preise. Sobald das automatisch passiert: Artikel 22 prüfen. Quelle: Verordnung 2016/679 DSGVO, eur-lex.europa.eu.
Welche 5 Schritte musst du bis August 2026 wirklich gehen?
Schritt 1: Liste machen. Welche KI-Tools nutzt du heute — geschäftlich, auch wenn ein Mitarbeiter ChatGPT auf eigene Faust verwendet. Schatten-KI ist laut Bitkom 2025 in fast jedem Unternehmen Realität. Schritt 2: Risiko-Klassifizierung. Pro Tool kurz prüfen: verboten, Hochrisiko, begrenzt, minimal. Für die meisten Mittelständler liegen die Anwendungen bei begrenzt oder minimal. Schritt 3: Datenfluss klären. Welche Daten gehen in welches Tool, wo werden sie verarbeitet, gibt es einen Auftragsverarbeitungsvertrag, ist EU-Hosting aktiv. Schritt 4: KI-Kompetenz dokumentieren. Artikel 4 EU AI Act fordert seit Februar 2025, dass Mitarbeiter mit KI-Systemen sachkundig umgehen können. Kurze interne Schulung plus Dokumentation reicht für die meisten Fälle. Schritt 5: Kennzeichnung ab August. Wo du KI-generierte Inhalte veröffentlichst — Marketing-Bilder, Videos, Texte auf der Webseite — Kennzeichnung sichtbar machen. Diese 5 Schritte sind kein 6-Monats-Projekt. Das ist bei mittlerer Komplexität ein 4-bis-6-Wochen-Vorgang.
- Liste machen. Welche KI-Tools nutzt du heute — geschäftlich, auch Schatten-KI eines Mitarbeiters.
- Risiko-Klassifizierung. Pro Tool: verboten, Hochrisiko, begrenzt, minimal. Meistens begrenzt oder minimal.
- Datenfluss klären. Welche Daten gehen wohin, Auftragsverarbeitungsvertrag, EU-Hosting aktiv?
- KI-Kompetenz dokumentieren. Kurze interne Schulung plus Dokumentation reicht in den meisten Fällen.
- Kennzeichnung ab August. KI-generierte Inhalte auf Webseite, Marketing-Bilder, Videos sichtbar markieren.
Wann ist Compliance-Beratung wirklich nötig?
Drei Szenarien. Erstes Szenario: Du baust ein eigenes KI-Produkt oder ein KI-System mit automatisierter Entscheidung über Personen. Hier ist Spezialberatung Pflicht — du bist Anbieter im Sinne der Verordnung, und die Anforderungen sind technisch substantiell. Zweites Szenario: Dein Geschäftsmodell hat Compliance-kritische Bereiche — Gesundheit, Finanzen, HR-Auswahlverfahren, Bonitätsbewertung. Hier braucht es klare Rechtsmeinung, oft mit Anwalt. Drittes Szenario: Du verkaufst in regulierte Branchen rein und deine Kunden fordern eine AI-Compliance-Aussage. Auch hier hilft Fachberatung. Was du nicht brauchst: ein 20.000-Euro-Programm, wenn du als 12-Mitarbeiter-Mittelständler ChatGPT für Texte und Claude für Mails nutzt. Da reicht ein interner Verantwortlicher, eine kurze Bestandsaufnahme und die 5 Schritte aus dem Abschnitt davor. Bei salesclub bauen wir KI-Setups, die ab Tag 1 mit dem AI Act Schritt halten — Anthropic mit europäischer Datenresidenz über die eigene Organisations-Anbindung, Auftragsverarbeitung sauber, Audit-Trail eingebaut. Investition besprechen wir im persönlichen Gespräch. Vorher gibt es eine kostenlose Ersteinschätzung in Echtzeit — sie zeigt dir, ob dein aktuelles Setup zur Verordnung passt.
AI-Act-fest ab Tag 1 — wo stehst du?
Wir bauen KI-Setups mit europäischer Datenresidenz, sauberer Auftragsverarbeitung und Audit-Trail. Bevor du investierst, klären wir in einem Tag vor Ort, wo dein echter Engpass sitzt — und ob dein aktuelles Setup zur Verordnung passt.