- Die meisten Agenten im Mittelstand — Rechnungen, Angebote, Support — sind Anwendungen mit geringem Risiko und brauchen vor allem Transparenz.
- Anwendungen mit Personalbezug wie Bewerbervorauswahl gelten als Hochrisiko: Ein Mensch muss entscheiden, Dokumentation ist Pflicht.
- Wer Leitplanken von Anfang an einbaut, erfüllt die Anforderungen nebenbei — nachträglich wird es teuer.
Stand: September 2026. Dieser Beitrag ordnet ein und ersetzt keine Rechtsberatung.
Worum es beim AI Act geht
Die KI-Verordnung der EU teilt Anwendungen nach Risiko ein — nicht nach Technologie. Entscheidend ist, wofür Sie ein System einsetzen, nicht welches Modell dahintersteht. Für den Mittelstand heißt das: Der gleiche Agent kann in der Rechnungsprüfung unproblematisch sein und in der Personalauswahl eine Hochrisiko-Anwendung.
Die Risikoklassen in Kürze
- Verboten: etwa Social Scoring oder manipulative Systeme — im Mittelstand praktisch nicht relevant.
- Hochrisiko: unter anderem Systeme, die über Menschen entscheiden oder Entscheidungen wesentlich vorbereiten — Bewerbervorauswahl, Leistungsbewertung, Kreditentscheidungen. Hier gelten seit August 2026 umfangreiche Pflichten: Risikomanagement, Dokumentation, menschliche Aufsicht, Protokollierung.
- Begrenztes Risiko: Systeme, die mit Menschen interagieren — Chatbots, Telefonassistenten. Pflicht: Transparenz. Der Mensch muss wissen, dass er mit einer KI spricht.
- Minimales Risiko: der Rest — und damit die meisten Agenten im Mittelstand: Rechnungsprüfung, Angebotserstellung, Auftragserfassung, Dokumentation.
Was das für typische Agenten bedeutet
Rechnungsprüf-, Angebots- und Auftrags-Agent: minimales Risiko. Empfehlung trotzdem: Protokoll jeder Aktion, Freigaben bei Abweichungen, klare Verantwortliche — nicht wegen des Gesetzes, sondern weil es guter Betrieb ist.
Telefon- und Antwort-Agent: Transparenzpflicht. Der Agent sagt, dass er eine KI ist. Antworten mit rechtlicher Wirkung gehen an Menschen.
Bewerbungs-Agent: Hochrisiko. Der Agent darf vorsortieren und begründen, aber nicht entscheiden. Kriterien müssen transparent und prüfbar sein, Entscheidungen dokumentiert, Bewerber informiert. So bauen wir ihn — mit dem Menschen als letzter Instanz.
Fünf Dinge, die Sie jetzt tun sollten
- Inventur: Welche KI-Systeme sind im Einsatz — auch die, die Mitarbeiter privat nutzen?
- Einordnung: Jede Anwendung einer Risikoklasse zuordnen, mit Begründung.
- Transparenz: Überall, wo KI mit Kunden oder Bewerbern spricht, kenntlich machen.
- Menschliche Aufsicht: Für Hochrisiko-Fälle festlegen, wer entscheidet und wie das dokumentiert wird.
- KI-Kompetenz: Mitarbeiter, die mit KI arbeiten, brauchen ein Grundverständnis — das verlangt die Verordnung ausdrücklich.
Häufige Fragen
Brauchen wir eine Zertifizierung?+
Für Anwendungen mit minimalem und begrenztem Risiko nein. Für Hochrisiko-Anwendungen gelten Konformitätspflichten, die in der Regel der Anbieter des Systems trägt — als Betreiber haben Sie Pflichten zur Aufsicht, Dokumentation und Information. Was genau auf Sie zutrifft, klärt ein Jurist; wir ordnen technisch ein und bauen entsprechend.
Gilt das auch für ChatGPT, das Mitarbeiter privat nutzen?+
Sobald es für Unternehmenszwecke genutzt wird, ja — und dann geht es weniger um den AI Act als um Datenschutz und Betriebsgeheimnisse. Eine kurze Nutzungsrichtlinie und ein freigegebenes Werkzeug lösen das meist.