EU AI Act ab 02.08.2026.

Was ist der EU AI Act und warum betrifft er KMU?

Der EU AI Act (offiziell: EU-Verordnung 2024/1689 über künstliche Intelligenz) ist seit 02. August 2024 in Kraft, wird aber stufenweise scharf. Er regelt den Einsatz von KI-Systemen in der EU mit einem risikobasierten Ansatz: hochriskante Systeme (z.B. KI in Medizin-Diagnose, Personalauswahl, Kreditvergabe) brauchen umfassende Konformitätsbewertungen. Niedrigeres Risiko (KI im Kundenkontakt, Chatbots, Voicebots, Marketing-Automatisierung) braucht 'lediglich' Transparenz-Pflichten, aber die sind ab 02. August 2026 streng. Was viele KMU-Eigentümerinnen und -Eigentümer nicht wissen: auch wenn du die KI nicht selbst entwickelst, sondern nur einsetzt (Stichwort 'Deployer' in der Verordnung), bist du verantwortlich für die Pflichten in deinem Unternehmen. Wer einen KI-Telefonassistenten, Chatbot oder Marketing-AI nutzt, muss die Endnutzenden informieren und den Einsatz für die eigenen Mitarbeitenden dokumentieren. Die Verordnung gilt EU-weit, auch für Anbieter aus Drittländern (USA, UK, Schweiz), wenn sie ihre KI-Systeme in der EU bereitstellen. Wer also ein US-Tool oder einen sonstigen Dritt-Anbieter nutzt, muss prüfen, ob der Anbieter die Pflichten überhaupt unterstützt.

Die 4 wichtigsten Pflichten für DACH-KMU 2026

Erstens, Art. 4 (AI-Literacy), bereits seit 02. Februar 2025 in Kraft. Wer KI im Unternehmen einsetzt, muss eine Mindest-Dokumentation der Einsatzgrenzen und der Eskalations-Logik vorweisen. Praktisch: ein PDF, das beschreibt wie deine KI eingesetzt wird, was sie nicht darf, wann sie an Menschen eskaliert. Zweitens, Art. 50 (Transparenz-Pflicht), ab 02. August 2026 scharf. Jede Person, die mit deinem KI-System interagiert (Anrufende, Chat-Besuchende, E-Mail-Kontakte), muss beim ersten Kontakt klar darüber informiert werden. Bei Voice-Agenten heißt das: Begrüßungs-Ansage muss die KI-Eigenschaft offenlegen. Bei Chat-Widgets: persistenter AI-Badge. Bei E-Mails: Header-Disclaimer. Drittens, DSGVO Art. 28 (Auftragsverarbeitung), bereits seit 2018 Pflicht. Beim Einsatz von Drittanbieter-KI muss ein Auftragsverarbeitungs-Vertrag (AVV) vorliegen, der die Datenverarbeitung regelt. Viertens, DSGVO Art. 22 (automatisierte Entscheidungen), bei rechtlich relevanten KI-Entscheidungen muss eine menschliche Eskalation möglich sein. Praktisch heißt das für Customer-Service-KI: bei Beschwerden, Reklamationen, Kündigungen muss der KI-Agent an einen Menschen eskalieren können.

• Art. 4 AI-Literacy: Doku der Einsatzgrenzen + Eskalations-Logik (seit 02.02.2025)
• Art. 50 Transparenz-Pflicht: Disclosure beim ersten KI-Kontakt (ab 02.08.2026)
• DSGVO Art. 28: Auftragsverarbeitungs-Vertrag mit jedem KI-Anbieter
• DSGVO Art. 22: Menschliche Eskalation bei rechtlich relevanten Entscheidungen

Bußgelder im EU AI Act, was wirklich auf dem Spiel steht

Der EU AI Act sieht abgestufte Bußgelder vor. Verstöße gegen die strengsten Pflichten (verbotene KI-Praktiken nach Art. 5, Social Scoring, Manipulation, biometrische Massenüberwachung) können mit bis zu 35 Mio. Euro oder 7 Prozent vom weltweiten Jahresumsatz geahndet werden, jeweils der höhere Wert. Verstöße gegen Pflichten für Hochrisiko-KI-Systeme: bis 15 Mio. Euro oder 3 Prozent. Verstöße gegen Transparenz-Pflichten (Art. 50) und gegen die meisten anderen Pflichten: bis 15 Mio. Euro oder 3 Prozent. Falsche oder irreführende Angaben gegenüber Behörden: bis 7,5 Mio. Euro oder 1 Prozent. Für KMU mit Jahresumsatz unter 500 Mio. Euro werden die Geldwerte verbindlich (nicht der Prozentsatz vom Umsatz), aber 15 Mio. Euro sind für ein DACH-KMU faktisch existenzbedrohend. Hinzu kommt: bei wiederholten Verstößen kann die zuständige Marktüberwachungsbehörde (in Deutschland: Bundesnetzagentur) das KI-System verbieten oder vom Markt nehmen lassen. Die Bußgelder sind also nur die finanzielle Spitze des Eisbergs, der Reputations- und Geschäftsausfall-Schaden bei einem Verstoß ist oft höher.

EU AI Act vs. DSGVO, wo die Pflichten überlappen und wo nicht

Viele KMU verwechseln EU AI Act und DSGVO. Tatsächlich sind die beiden Verordnungen komplementär: DSGVO regelt die Verarbeitung personenbezogener Daten (alle Daten, die einer natürlichen Person zugeordnet werden können), EU AI Act regelt den Einsatz von KI-Systemen unabhängig davon ob personenbezogene Daten verarbeitet werden. Im Customer-Service-KI-Kontext gelten beide gleichzeitig: DSGVO regelt den Umgang mit Anrufer-Daten (Hetzner-Hosting, EU-LLMs, AVV, Datenschutz-Hinweise nach Art. 13 DSGVO). EU AI Act regelt zusätzlich die Transparenz-Pflicht (Art. 50, Anrufende müssen wissen, dass sie mit einer KI sprechen) und die AI-Literacy (Art. 4, wer die KI einsetzt, muss die Einsatz-Grenzen kennen). Praktisch heißt das für DACH-KMU: ein DSGVO-konformer KI-Anbieter ist nicht automatisch AI-Act-konform. Du brauchst beides, DSGVO + Art. 50 + Art. 4. Rinqo erfüllt alle drei Pflichten in einer Plattform: Hetzner Deutschland (DSGVO), Default-Disclosure-Ansage (Art. 50), AI-Literacy-Vorlagen zur Anpassung (Art. 4). Bei US-Anbietern musst du die DSGVO-Konformität separat prüfen (Cloud-Act-Exposure, DPF-Volatilität bleibt) und die Art.-50-Disclosure selbst implementieren (was technisch oft gar nicht möglich ist).

Wie Rinqo den EU AI Act erfüllt, konkret und überprüfbar

Rinqo erfüllt alle EU-AI-Act-Pflichten für DACH-KMU ab Tag 1, ohne dass du eigene Compliance-Arbeit leisten musst. Erstens, Art. 50 Default-Disclosure: jeder Rinqo-KI-Agent (Telefon, Chat, E-Mail) macht beim ersten Kontakt eine klare Ansage, dass es sich um eine KI handelt, Wortwahl ist an deine Brand-Voice editierbar, Disclosure selbst nicht abschaltbar. Bei Voice: 'Hallo, hier ist die KI-Assistenz von [Firma]. Sie sprechen mit einer KI, der Anruf wird zur Qualitätssicherung verarbeitet.' Bei Chat: persistenter AI-Badge im Header + Eingangs-Banner. Bei E-Mail: 'Diese Antwort wurde mit KI-Unterstützung erstellt'-Disclaimer im Footer. Zweitens, Art. 4 AI-Literacy: Vorlagen im Rinqo-Dashboard, die du an deine spezifische Einsatz-Konfiguration anpassen kannst, welche KI-Modelle eingesetzt werden, welche Daten verarbeitet werden, welche Eskalations-Schwellen gelten. Du dokumentierst einmal, hältst die Doku bei Konfigurations-Änderungen aktuell. Drittens, DSGVO Art. 28: AVV-Vertrag wird automatisch beim Vertragsabschluss bereitgestellt, ohne separate Anforderung. Viertens, DSGVO Art. 13: Datenschutz-Hinweise werden im Voice-Agent automatisch zu Beginn des Gesprächs angesagt. Fünftens, EU-Hosting: Hetzner Falkenstein und Nürnberg als Hosting-Standort, EU-LLMs auf dediziertem Microsoft Azure OpenAI (Microsoft Ireland Operations Ltd., Sweden Central, EU Data Boundary – Microsoft Corp. ist US-Mutter. werden auf /security transparent ausgewiesen), EU-Datenresidenz für deine Kundendaten.