Viele KMU wissen, dass der AI Act sie betrifft, aber nicht, wo sie anfangen sollen. Die gute Nachricht: Für die meisten Unternehmen ist der Aufwand überschaubar, solange sie keine Hochrisiko-Systeme anbieten. Dieser Plan beschreibt, wie ein KMU in vier Wochen einen belastbaren Stand erreicht, auf Basis des AI Act in der Fassung des Digital-Omnibus vom Juli 2026. Er ersetzt keine Rechtsberatung im Einzelfall, sorgt aber dafür, dass die Fragen bekannt und die naheliegenden Pflichten erfüllt sind.
Woche 1: Inventar
Ziel der ersten Woche ist eine vollständige Liste der KI-Systeme im Unternehmen. Dazu gehören zugekaufte Werkzeuge wie Chat-Assistenten, Schreib- und Übersetzungstools, KI-Funktionen in bestehender Software — CRM, Buchhaltung, Personalwesen —, eigene Entwicklungen und KI-Funktionen in Produkten, die das Unternehmen verkauft. Die häufigste Lücke sind Werkzeuge, die einzelne Mitarbeitende selbst eingeführt haben. Eine kurze Umfrage in allen Teams findet sie. Pro System werden Zweck, Nutzerkreis, verarbeitete Daten und Anbieter festgehalten.
Woche 2: Rollen und Risikoklassen
Pro System wird die Rolle bestimmt: Ist das Unternehmen Anbieter, weil es das System unter eigenem Namen anbietet, oder Betreiber, weil es ein fremdes System nutzt? Dann die Risikoklasse: Fällt das System unter die verbotenen Praktiken, unter Anhang III und damit potenziell unter die Hochrisiko-Pflichten, unter die Transparenzpflichten oder ist es minimal reguliert? Für die meisten KMU ergibt sich ein klares Bild: viele Systeme mit minimalen Pflichten, einige mit Transparenzpflichten, selten ein Hochrisiko-Kandidat — am häufigsten im Personalwesen. Die Prüfung beschreibt unsere Checkliste zur Hochrisiko-Einstufung.
Woche 3: KI-Kompetenz und Transparenz
Zwei Pflichten gelten bereits und betreffen fast jedes Unternehmen. Für die KI-Kompetenz nach Art. 4 werden rollenbezogene Massnahmen geplant und durchgeführt: Grundlagen für alle Nutzenden, Vertiefung für Fachverantwortliche und Entwicklung, Entscheidungswissen für die Führung, ergänzt um eine kurze Nutzungsrichtlinie. Seit dem Omnibus muss kein bestimmtes Niveau pro Person garantiert, aber angemessen gehandelt und dokumentiert werden; Details im Beitrag zu Artikel 4. Für die Transparenz nach Art. 50 werden alle Stellen mit KI-Interaktion oder veröffentlichten KI-Inhalten mit Hinweisen und einer Regel für redaktionelle Verantwortung versehen; dazu der Beitrag zu den Transparenzpflichten.
Woche 4: Verträge, Dokumentation, Fahrplan
In der letzten Woche werden die Verträge mit KI-Anbietern geprüft: Werden Eingaben zum Training verwendet, wo werden Daten verarbeitet, welche Dokumentation stellt der Anbieter bereit, und unterstützt er bei den eigenen Pflichten? Die Ergebnisse der ersten drei Wochen werden in einem kurzen Dokument zusammengefasst: Inventar, Rollen, Risikoklassen, Massnahmen, Verantwortliche. Für Systeme, die ab Dezember 2027 unter die Hochrisiko-Pflichten fallen könnten, entsteht ein Fahrplan mit den nächsten Schritten. Und es wird festgelegt, wer das Inventar pflegt, wenn neue Systeme hinzukommen.
Was der Plan nicht leistet
Ein 30-Tage-Plan schafft Überblick und erfüllt die Pflichten, die heute für die meisten KMU relevant sind. Er macht ein Hochrisiko-System nicht konform; dafür sind Risikomanagement, technische Dokumentation, Konformitätsbewertung und Architekturarbeit nötig, die Monate dauern. Er ersetzt auch keine datenschutzrechtliche Prüfung: Wo KI Personendaten verarbeitet, gelten DSG und DSGVO parallel, etwa für Auftragsbearbeitung, Bekanntgabe ins Ausland und Datenschutz-Folgenabschätzung.
Typische Stolpersteine
- Das Inventar beschränkt sich auf offiziell eingeführte Werkzeuge und übersieht die Schatten-KI einzelner Teams.
- Ein Softwarehaus übersieht, dass es durch eigene Anpassungen an einem fremden Modell zum Anbieter wird.
- Schulungen werden durchgeführt, aber nicht dokumentiert.
- Der Chatbot-Hinweis fehlt auf einzelnen Kanälen, etwa am Telefon oder in E-Mail-Antworten.
- Das Ergebnis wird einmal erstellt und nie gepflegt.
Unterstützung
Für die Einstufung einzelner Systeme haben wir AI Risk Check gebaut. Wer den Plan mit Begleitung umsetzen will, findet das passende Format im AI-Act-Gap-Assessment; die Schritte mit prüfbaren Kriterien stehen auch in unserer Checkliste zur AI-Act-Konformität. Den Gesamtzusammenhang beschreibt der Leitfaden zum AI Act 2026.