Seit dem 27. Juli 2026 gilt die Änderungsverordnung zum EU AI Act. Sie erlaubt förderfähigen kleinen und mittleren Unternehmen (KMU), bestimmte Elemente ihres Qualitätsmanagementsystems vereinfacht zu erfüllen. Bei der KI-Kompetenz verlangt sie kontextbezogene Maßnahmen statt eines garantierten individuellen Kompetenzniveaus. Außerdem müssen die EU-Mitgliedstaaten bis zum 2. August 2027 jeweils mindestens ein nationales KI-Reallabor betriebsbereit haben. Die Änderungsverordnung (EU) 2026/1744 legt diese Regeln und die gestaffelten Fristen für Hochrisiko-KI fest.
Was die Änderung für Unternehmen vorsieht
Die drei Maßnahmen richten sich an unterschiedliche Adressaten: Die Vorgabe zur KI-Kompetenz betrifft Anbieter und Betreiber von KI-Systemen, die vereinfachte Qualitätsverwaltung gilt unter Bedingungen für bestimmte KMU, und die Pflicht zu nationalen Reallaboren trifft die Mitgliedstaaten.
| Regelung | Für wen | Wirkung | Bedingung oder Termin |
| Maßnahmen zur KI-Kompetenz | Anbieter und Betreiber | Maßnahmen sollen Wissen, Erfahrung, Ausbildung, Schulung und Nutzungskontext berücksichtigen. | Kein bestimmtes Kompetenzniveau muss für jede einzelne Person garantiert werden. |
| Vereinfachtes Qualitätsmanagement | Förderfähige KMU, einschließlich entsprechend qualifizierter Start-ups | Bestimmte Elemente des Qualitätsmanagementsystems nach Artikel 17 können vereinfacht erfüllt werden. | Maßgeblich sind die Voraussetzungen der EU-Definition, darunter die Bedingungen zu Partner- und verbundenen Unternehmen. |
| Nationale KI-Reallabore | EU-Mitgliedstaaten | Jeder Mitgliedstaat muss mindestens ein nationales KI-Reallabor betriebsbereit machen. | Bis zum 2. August 2027. KMU, Start-ups und kleine Unternehmen mit mittlerer Kapitalisierung erhalten vorrangigen Zugang zum Reallabor auf Unionsebene. |
Ein KI-Reallabor ist eine regulatorische Testumgebung für KI-Systeme. Die Frist für nationale Reallabore ist eine Verpflichtung der Mitgliedstaaten, keine zusätzliche Umsetzungsfrist für einzelne Unternehmen.
Wann KMU die vereinfachte Qualitätsverwaltung nutzen können
Die Erleichterung betrifft bestimmte Elemente des Qualitätsmanagementsystems nach Artikel 17 der KI-Verordnung (EU) 2024/1689. Sie ist an die KMU-Voraussetzungen der Verordnung gebunden; bei Start-ups gehören dazu die Bedingungen zu Partner- und verbundenen Unternehmen nach der herangezogenen EU-Definition. Die Regel ist damit keine pauschale Ausnahme von den Pflichten des AI Act.
Für die praktische Einordnung sollte ein Unternehmen zunächst erfassen, welche KI-Systeme es tatsächlich nutzt. Dazu zählen auch KI-Funktionen in gewöhnlicher Unternehmenssoftware und Anwendungen, die Mitarbeitende selbst eingeführt haben. Atico34 empfiehlt, für jedes System unter anderem Anbieter, Zweck, interne Zuständigkeit, verwendete Daten und betroffene Personen festzuhalten und die Einordnung bei Änderungen von Werkzeug oder Zweck zu aktualisieren (Checkliste für KMU). Anschließend lässt sich prüfen, welche Rolle das Unternehmen hat und ob die konkrete Nutzung unter die Bedingungen der vereinfachten Regel fällt.
KI-Kompetenz: passende Maßnahmen statt Einzelprüfung
Artikel 4 verpflichtet Anbieter und Betreiber, Maßnahmen zur Förderung der KI-Kompetenz zu ergreifen. Dabei sollen sie berücksichtigen, wie viel technisches Wissen und Erfahrung die beteiligten Personen haben, welche Ausbildung und Schulung sie erhalten und in welchem Zusammenhang sie KI einsetzen. Die Verordnung verlangt nicht, für jede Person ein bestimmtes Kompetenzniveau sicherzustellen; ein allgemeines Zertifikat oder eine einheitliche Punktzahl schreibt sie ebenfalls nicht vor.
Das ändert den Maßstab für die Planung: Unternehmen müssen Maßnahmen ergreifen, die zu den beteiligten Personen und ihrem Einsatzkontext passen. Die Pflicht richtet sich auf solche Maßnahmen, nicht auf ein für alle Beschäftigten identisches Prüfungsergebnis.
Wer welche Pflichten trägt
Der EU AI Act ordnet Pflichten nach dem Verwendungszweck des Systems und der Rolle einer Organisation. Ein Betreiber nutzt ein KI-System unter eigener Verantwortung im beruflichen Kontext. Anbieterpflichten können relevant werden, wenn ein Unternehmen ein System entwickelt oder entwickeln lässt und es unter eigenem Namen auf den Markt bringt oder in Betrieb nimmt. Auch wesentliche Änderungen oder eine neue Zweckbestimmung können die Rolle beeinflussen. Die konkreten Pflichten hängen daher vom System und seiner Nutzung ab.
Bei Hochrisiko-KI umfasst der gesetzliche Rahmen unter anderem Risikomanagement, Daten-Governance, technische Dokumentation und Protokollierung, menschliche Aufsicht sowie Anforderungen an Genauigkeit, Robustheit und Cybersicherheit. Welche Vorgaben greifen, richtet sich nach der Einstufung und der jeweiligen Rolle. Der AI Act unterscheidet außerdem verbotene Praktiken, Hochrisiko-Systeme, Systeme mit Transparenzpflichten sowie Anwendungen mit minimalem oder keinem Risiko.
Zwei unterschiedliche Termine für Hochrisiko-KI
Die Hauptpflichten für Hochrisiko-Systeme nach Artikel 6 Absatz 2 und Anhang III gelten ab 2. Dezember 2027. Dazu zählen bestimmte Anwendungen etwa in Beschäftigung, Bildung, kritischer Infrastruktur, Biometrie, Migration und ausgewählten wesentlichen Diensten. Für Hochrisiko-KI nach Artikel 6 Absatz 1 und Anhang I, die mit regulierten Produkten verbunden ist, gilt der 2. August 2028 als Hauptanwendungsdatum. Die Änderungsverordnung (EU) 2026/1744 legt die beiden Termine getrennt fest.
