AI Act: Was deutsche Startups vor August 2026 wissen müssen

Der EU AI Act gilt ab dem 2. August 2026 vollständig. Wer in seinem Startup KI einsetzt, muss wissen, welche Regeln greifen. Die meisten Startups fallen in die Kategorie mit minimalem Risiko und haben kaum Pflichten. Aber wer die wenigen relevanten Regeln ignoriert, riskiert Bußgelder bis zu EUR 35 Mio.

Die vier Risikokategorien

Der AI Act teilt jedes KI-System in eine von vier Kategorien ein. Deine Pflichten hängen davon ab, in welche Kategorie dein Produkt fällt.

Unannehmbares Risiko (verboten). Diese KI-Praktiken sind seit dem 2. Februar 2025 untersagt. Dazu gehören Social Scoring, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum, Emotionserkennung am Arbeitsplatz und KI, die Verhalten durch unterschwellige Techniken manipuliert. Wenn dein Produkt etwas davon tut: sofort einstellen.

Hohes Risiko. KI-Systeme in Bereichen nach Anhang III der Verordnung: Recruiting und Personalentscheidungen, Kreditwürdigkeitsprüfung, Versicherungsrisikobewertung, Zugang zu wesentlichen Dienstleistungen, Strafverfolgung und Migrationsmanagement. Für diese Systeme gelten die strengsten Anforderungen.

Begrenztes Risiko. Chatbots, Deepfake-Generatoren und andere KI, die mit Menschen interagiert. Hauptpflicht ist Transparenz: Nutzer müssen wissen, dass sie mit KI kommunizieren.

Minimales Risiko. Spamfilter, Übersetzungstools, Rechtschreibkorrektur, einfache Bildbearbeitung. Keine regulatorischen Pflichten.

Die meisten Startup-Produkte fallen in die Kategorien minimal oder begrenzt. Wer ein SaaS-Tool baut, das KI für interne Analysen, Textgenerierung oder Kundensupport-Chatbots nutzt, liegt vermutlich im begrenzten Risiko. Die entscheidende Frage: Trifft oder unterstützt deine KI Entscheidungen über Menschen in den oben genannten Hochrisiko-Bereichen?

Was Startups tun müssen

Alle: KI-Kompetenz (Artikel 4)

Das gilt für jedes Unternehmen, das KI einsetzt, unabhängig von der Risikokategorie. Seit dem 2. Februar 2025 müssen Organisationen sicherstellen, dass Mitarbeiter, die KI-Systeme bedienen oder deren Ergebnisse nutzen, über ausreichende KI-Kompetenz verfügen. In der Praxis bedeutet das: dokumentierte Schulungen.

Das ist die am häufigsten übersehene Pflicht. Sie gilt auch, wenn du nur Drittanbieter-Tools wie ChatGPT oder GitHub Copilot intern nutzt.

Begrenztes Risiko: Transparenz

Enthält dein Produkt einen Chatbot oder generiert es synthetische Inhalte, musst du das offenlegen. Ein einfacher Hinweis wie „Diese Antwort wurde von KI generiert" reicht in der Regel. Deepfakes und KI-generierte Bilder müssen als solche gekennzeichnet werden.

Hohes Risiko: Der volle Pflichtenkatalog

Fällt dein KI-System in die Hochrisiko-Kategorie, sind die Anforderungen erheblich:

Die Umsetzung dauert erfahrungsgemäß 8 bis 14 Monate. Wenn dein System möglicherweise hochriskant ist, fang jetzt an.

Bußgelder

Für KMU und Startups gilt jeweils der niedrigere der beiden Werte. Ein Startup mit EUR 2 Mio. Umsatz zahlt bei Hochrisiko-Verstößen maximal EUR 60.000 (3 % von EUR 2 Mio.), nicht EUR 15 Mio.

Erleichterungen für Startups

Der AI Act enthält Sonderregelungen für kleinere Unternehmen:

Regulatory Sandboxes. Jeder EU-Mitgliedstaat muss bis zum 2. August 2026 mindestens eine KI-Sandbox einrichten. Startups und KMU bekommen priorisierten, kostenfreien Zugang zu diesen Testumgebungen, in denen KI-Systeme unter behördlicher Aufsicht entwickelt und getestet werden können.

Reduzierte Gebühren. Konformitätsbewertungen und regulatorische Gebühren sind für KMU ermäßigt.

Vereinfachte Dokumentation. Die EU-Kommission entwickelt vereinfachte Dokumentationsvorlagen für kleinere Unternehmen.

Verhältnismäßigkeit. Bußgelder orientieren sich an der Unternehmensgröße, wie oben beschrieben.

Zeitplan

Die deutsche Situation

Das deutsche Umsetzungsgesetz ist das KI-MIG, das das Bundeskabinett am 11. Februar 2026 als Regierungsentwurf beschlossen hat. Die Bundesnetzagentur wird zentrale Marktüberwachungs- und notifizierende Behörde und beherbergt die Kompetenzstelle KoKIVO. Die BaFin bleibt nach Art. 74 Abs. 6 KI-VO Marktüberwachungsbehörde für KI in regulierten Finanzdienstleistungen; Strafverfolgungs-Anwendungen sitzen in einer unabhängigen Kammer bei der BNetzA. Die EU-Regeln gelten unabhängig vom Stand des nationalen Verfahrens unmittelbar.

Was du jetzt tun solltest

Fazit

Die meisten Startups betreffen nur zwei Pflichten des AI Act: KI-Kompetenz-Schulung (gilt bereits) und Transparenzkennzeichnung (bei Chatbots oder generierten Inhalten). Die Hochrisiko-Kategorie betrifft eine kleinere Gruppe, vor allem im HR-Tech-, Fintech- und Insurtech-Bereich. Wer dort unterwegs ist, muss jetzt anfangen. Für alle anderen: Systeme klassifizieren, Team schulen, KI kennzeichnen, weitermachen. Wird dein KI-System Teil eines Produkts mit digitalen Elementen, legt der Cyber Resilience Act ab September 2026 eigene Cybersicherheits- und 24-Stunden-Meldepflichten oben drauf.