--- title: "EU AI Act 2026: Compliance-Checkliste fuer DACH-Mittelstand | Werk von Morgen" description: EU AI Act ab 02/2026 Pflicht. Checkliste fuer KI-Inventar, Risikoklassen, Governance. Direkt umsetzbar fuer Mittelstand. image: https://www.werkvonmorgen.de/hubfs/wvm-2026-heroes/wvm-hero-eu-ai-act-2026.png --- [Skip to content](https://www.werkvonmorgen.de/blog/eu-ai-act-checkliste-mittelstand-2026#main-content) Close - Lösungen - DESIGN - [Corporate Design](https://www.werkvonmorgen.de/corporate-design) - [Webdesign](https://www.werkvonmorgen.de/webdesign-agentur) - [Content Creation](https://www.werkvonmorgen.de/content-creation-agentur) - [UX Consulting](https://www.werkvonmorgen.de/ux-consulting) - MARKETING - [Online Marketing Strategie](https://www.werkvonmorgen.de/online-marketing-strategie) - [B2B Strategie](https://www.werkvonmorgen.de/b2b-online-marketing) - [Account Based Marketing](https://www.werkvonmorgen.de/account-based-marketing-b2b) - [Inbound Marketing](https://www.werkvonmorgen.de/inbound-marketing-agentur) - [B2C Strategie](https://www.werkvonmorgen.de/b2c-marketing) - [Google Ads](https://www.werkvonmorgen.de/google-ads) - [SEO](https://www.werkvonmorgen.de/seo-agentur) - [GEO](https://www.werkvonmorgen.de/geo-agentur) - [SEA](https://www.werkvonmorgen.de/sea) - [Display Advertising](https://www.werkvonmorgen.de/display-advertising) - [Social Media Marketing](https://www.werkvonmorgen.de/social-media-marketing) - [E-Commerce](https://www.werkvonmorgen.de/e-commerce) - [Amazon Marketing](https://www.werkvonmorgen.de/amazon-marketing) - [WhatsApp Marketing](https://www.werkvonmorgen.de/whatsapp-marketing) - TECHNOLOGY - [HubSpot](https://www.werkvonmorgen.de/hubspot-partner-agentur) - [Marketing Automation](https://www.werkvonmorgen.de/marketing-automation) - [Onlineshop](https://www.werkvonmorgen.de/onlineshop-agentur) - [E-Mail Marketing](https://www.werkvonmorgen.de/e-mail-marketing) - [Analytics und Tracking](https://www.werkvonmorgen.de/analytics-und-tracking) - [Workshops](https://www.workshops-werkvonmorgen.de/) - Herausforderungen - [Mitarbeitergewinnung](https://www.werkvonmorgen.de/loesungen/mitarbeitergewinnung) - [Kundengewinnung](https://www.werkvonmorgen.de/loesungen/kundengewinnung) - [Sichtbarkeit steigern](https://www.werkvonmorgen.de/loesungen/markenbekanntheit) - [Lead-Management](https://www.werkvonmorgen.de/loesungen/lead-management) - Referenzen - [Branchenlösungen](https://www.werkvonmorgen.de/branchenloesungen) - [Fallstudien](https://www.werkvonmorgen.de/case-studies) - Wissen - [E-Books](https://www.werkvonmorgen.de/premium-content) - [Blog](https://www.werkvonmorgen.de/blog) - [Glossar](https://www.werkvonmorgen.de/glossar) - [Förderprogramme](https://www.werkvonmorgen.de/know-how/foerderungen-digitalisierung) - [Leitfäden](https://www.werkvonmorgen.de/know-how) - Über uns - [Unser Team](https://www.werkvonmorgen.de/ueber-uns) - [Unser Prozess](https://www.werkvonmorgen.de/arbeiten-mit-uns) - [Tools](https://www.werkvonmorgen.de/unser-tech-stack) - [Karriere](https://www.werkvonmorgen.de/ueber-uns/jobs) [![Preise](https://hubspot-no-cache-eu1-prod.s3.amazonaws.com/cta/default/6570954/709d5ca5-79e0-4c30-a4ea-673ef14692ae.png)](https://hubspot-cta-redirect-eu1-prod.s3.amazonaws.com/cta/redirect/6570954/709d5ca5-79e0-4c30-a4ea-673ef14692ae) [![Kontakt](https://hubspot-no-cache-eu1-prod.s3.amazonaws.com/cta/default/6570954/75570e48-e9e8-4e2a-bcd0-4bdb5cdb59e4.png)](https://hubspot-cta-redirect-eu1-prod.s3.amazonaws.com/cta/redirect/6570954/75570e48-e9e8-4e2a-bcd0-4bdb5cdb59e4) [![Werk von morgen logo](https://www.werkvonmorgen.de/hs-fs/hubfs/21_Logos_Kunden_Partner_WvM/03_WvM%20Logo/Werk%20von%20morgen%20logo_klein-1-1.png?width=225&height=74&name=Werk%20von%20morgen%20logo_klein-1-1.png)![Werk von Morgen](https://www.werkvonmorgen.de/hs-fs/hubfs/21_Logos_Kunden_Partner_WvM/03_WvM%20Logo/Werk%20von%20Morgen.png?width=125&height=49&name=Werk%20von%20Morgen.png)](https://www.werkvonmorgen.de) - Lösungen - DESIGN - [Corporate Design](https://www.werkvonmorgen.de/corporate-design) - [Webdesign](https://www.werkvonmorgen.de/webdesign-agentur) - [Content Creation](https://www.werkvonmorgen.de/content-creation-agentur) - [UX Consulting](https://www.werkvonmorgen.de/ux-consulting) - MARKETING - [Online Marketing Strategie](https://www.werkvonmorgen.de/online-marketing-strategie) - [B2B Strategie](https://www.werkvonmorgen.de/b2b-online-marketing) - [Account Based Marketing](https://www.werkvonmorgen.de/account-based-marketing-b2b) - [Inbound Marketing](https://www.werkvonmorgen.de/inbound-marketing-agentur) - [B2C Strategie](https://www.werkvonmorgen.de/b2c-marketing) - [Google Ads](https://www.werkvonmorgen.de/google-ads) - [SEO](https://www.werkvonmorgen.de/seo-agentur) - [GEO](https://www.werkvonmorgen.de/geo-agentur) - [SEA](https://www.werkvonmorgen.de/sea) - [Display Advertising](https://www.werkvonmorgen.de/display-advertising) - [Social Media Marketing](https://www.werkvonmorgen.de/social-media-marketing) - [E-Commerce](https://www.werkvonmorgen.de/e-commerce) - [Amazon Marketing](https://www.werkvonmorgen.de/amazon-marketing) - [WhatsApp Marketing](https://www.werkvonmorgen.de/whatsapp-marketing) - TECHNOLOGY - [HubSpot](https://www.werkvonmorgen.de/hubspot-partner-agentur) - [Marketing Automation](https://www.werkvonmorgen.de/marketing-automation) - [Onlineshop](https://www.werkvonmorgen.de/onlineshop-agentur) - [E-Mail Marketing](https://www.werkvonmorgen.de/e-mail-marketing) - [Analytics und Tracking](https://www.werkvonmorgen.de/analytics-und-tracking) - [Workshops](https://www.workshops-werkvonmorgen.de/) - Herausforderungen - [Mitarbeitergewinnung](https://www.werkvonmorgen.de/loesungen/mitarbeitergewinnung) - [Kundengewinnung](https://www.werkvonmorgen.de/loesungen/kundengewinnung) - [Sichtbarkeit steigern](https://www.werkvonmorgen.de/loesungen/markenbekanntheit) - [Lead-Management](https://www.werkvonmorgen.de/loesungen/lead-management) - Referenzen - [Branchenlösungen](https://www.werkvonmorgen.de/branchenloesungen) - [Fallstudien](https://www.werkvonmorgen.de/case-studies) - Wissen - [E-Books](https://www.werkvonmorgen.de/premium-content) - [Blog](https://www.werkvonmorgen.de/blog) - [Glossar](https://www.werkvonmorgen.de/glossar) - [Förderprogramme](https://www.werkvonmorgen.de/know-how/foerderungen-digitalisierung) - [Leitfäden](https://www.werkvonmorgen.de/know-how) - Über uns - [Unser Team](https://www.werkvonmorgen.de/ueber-uns) - [Unser Prozess](https://www.werkvonmorgen.de/arbeiten-mit-uns) - [Tools](https://www.werkvonmorgen.de/unser-tech-stack) - [Karriere](https://www.werkvonmorgen.de/ueber-uns/jobs) [![Preise](https://hubspot-no-cache-eu1-prod.s3.amazonaws.com/cta/default/6570954/709d5ca5-79e0-4c30-a4ea-673ef14692ae.png)](https://hubspot-cta-redirect-eu1-prod.s3.amazonaws.com/cta/redirect/6570954/709d5ca5-79e0-4c30-a4ea-673ef14692ae) [![Kontakt](https://hubspot-no-cache-eu1-prod.s3.amazonaws.com/cta/default/6570954/75570e48-e9e8-4e2a-bcd0-4bdb5cdb59e4.png)](https://hubspot-cta-redirect-eu1-prod.s3.amazonaws.com/cta/redirect/6570954/75570e48-e9e8-4e2a-bcd0-4bdb5cdb59e4) DESIGN --- [Corporate Design](https://www.werkvonmorgen.de/corporate-design)[Webdesign](https://www.werkvonmorgen.de/webdesign-agentur)[Content Creation](https://www.werkvonmorgen.de/content-creation-agentur)[UX Consulting](https://www.werkvonmorgen.de/ux-consulting) MARKETING --- [Online Marketing Strategie](https://www.werkvonmorgen.de/online-marketing-strategie)[B2B Strategie](https://www.werkvonmorgen.de/b2b-online-marketing)[Account Based Marketing](https://www.werkvonmorgen.de/account-based-marketing-b2b)[Inbound Marketing](https://www.werkvonmorgen.de/inbound-marketing-agentur)[B2C Strategie](https://www.werkvonmorgen.de/b2c-marketing)[Google Ads](https://www.werkvonmorgen.de/google-ads)[WhatsApp Marketing](https://www.werkvonmorgen.de/whatsapp-marketing)[Workshops](https://workshops-werkvonmorgen.de/) --- [SEO (Suchmaschinenoptimierung)](https://www.werkvonmorgen.de/seo-agentur)[GEO (Generative Suchmaschinenoptimierung)](https://www.werkvonmorgen.de/geo-agentur)[SEA](https://www.werkvonmorgen.de/sea)[Display Advertising](https://www.werkvonmorgen.de/display-advertising)[Social Media Marketing](https://www.werkvonmorgen.de/social-media-marketing)[E-Commerce](https://www.werkvonmorgen.de/e-commerce)[Amazon Marketing](https://www.werkvonmorgen.de/amazon-marketing) TECHNOLOGY --- [HubSpot](https://www.werkvonmorgen.de/hubspot-partner-agentur)[Marketing Automation](https://www.werkvonmorgen.de/marketing-automation)[Onlineshop](https://www.werkvonmorgen.de/onlineshop-agentur)[E-Mail Marketing](https://www.werkvonmorgen.de/e-mail-marketing)[Analytics und Tracking](https://www.werkvonmorgen.de/analytics-und-tracking) [Mitarbeitergewinnung Wir helfen Dir, mit gezieltem Online-Marketing qualifizierte Mitarbeiter:innen zu finden und durch eine starke Arbeitgebermarke langfristig zu binden](https://www.werkvonmorgen.de/loesungen/mitarbeitergewinnung) [Sichtbarkeit steigern Mit Lösungen wieSEO, Content Marketing und Inbound Marketing steigern wir Deine Online-Präsenz und stärken Deine Marke nachhaltig in deiner Zielgruppe. ](https://www.werkvonmorgen.de/loesungen/markenbekanntheit) [Kundengewinnung & -bindung Wir setzen gezielte Performance Marketing sowie Outbound Marketing Strategien ein um die Aufmerksamkeit potenzieller Kunden zu gewinnen und langfristig zu begeistern.](https://www.werkvonmorgen.de/loesungen/kundengewinnung) [Lead Management Wir nutzen modernste CRM-Systeme mit KI und Automationen, um Deine Sales- und Marketingprozesse effizienter zu gestalten](https://www.werkvonmorgen.de/loesungen/lead-management) BRANCHEN --- [Industrie](https://www.werkvonmorgen.de/branchenloesungen/handwerker-marketing)[Einzelhandel](https://www.werkvonmorgen.de/branchenloesungen/marketing-einzelhandel)[Startup](https://www.werkvonmorgen.de/branchenloesungen/startup)[SAAS](https://www.werkvonmorgen.de/branchenloesungen/saas-unternehmen)[E-Commerce](https://www.werkvonmorgen.de/branchenloesungen/e-commerce-marketing) [Versicherung](https://www.werkvonmorgen.de/branchenloesungen/versicherung)[Automobil](https://www.werkvonmorgen.de/branchenloesungen/marketing-fuer-autohaeuser)[Gastronomie](https://www.werkvonmorgen.de/branchenloesungen/gastronomie)[Anwalt & Steuerberater](https://www.werkvonmorgen.de/branchenloesungen/anwaelte) [Weitere](https://www.werkvonmorgen.de/branchenloesungen) FALLSTUDIEN --- [Einzelhandel LoewenCenter Service GmbH - 450.000€ mehr Umsatz: Lokales Marketing, das Ergebnisse liefert](https://www.werkvonmorgen.de/case-studies/loewencenter)[Baumaschinenhandel Kunze Bühnen GmbH optimiert Vertrieb und Service und steigerte die Lead Generierung um 220%](https://www.werkvonmorgen.de/case-studies/kunze)[IoT-Unternehmen / Smart Home Rockethome GmbH - 10x mehr Pipelines und mehr Traffic bei LinkedIn & HubSpot für SAAS Unternehmen](https://www.werkvonmorgen.de/case-studies/rockethome)[Sonderbau Inodeq GmbH - 300% mehr Wachstum innerhalb von 6 Monaten durch Paid Growth Marketing](https://www.werkvonmorgen.de/case-studies/inodeq) [Solarunternehmen Sundependent GmbH - 160% mehr Effizienz durch optimierte Vertriebsprozesse](https://www.werkvonmorgen.de/case-studies/sundependent)[Kälte- und Klimatechnik Hamm Energietechnische Anlagen GmbH - Generierung von 7 bis 10 Bewerbungen pro Monat](https://www.werkvonmorgen.de/case-studies/hamm-energietechnische-anlagen-gmbh)[Versicherung ERGO Direkt AG - Im ersten Quartal über 240% mehr Leads pro Kunde](https://www.werkvonmorgen.de/case-studies/ergo-pro-koeln)[Auto-Abos Awesome Rental Cars GmbH - Die Kosten pro Buchung wurden von uns bei Google Ads um 34% gesenkt](https://www.werkvonmorgen.de/case-studies/awesome-rental-cars) [Weitere](https://www.werkvonmorgen.de/case-studies) WISSEN --- [Blog](https://www.werkvonmorgen.de/blog)[Glossar](https://www.werkvonmorgen.de/glossar)[Förderprogramme](https://www.werkvonmorgen.de/know-how/foerderungen-digitalisierung)[Leitfäden](https://www.werkvonmorgen.de/know-how) [Was ist ABM?](https://www.werkvonmorgen.de/was-ist-account-based-marketing) [Was ist GEO?](https://www.werkvonmorgen.de/was-ist-geo) [Was ist HubSpot?](https://www.werkvonmorgen.de/know-how/was-ist-hubspot) [Was ist Google Ads?](https://www.werkvonmorgen.de/know-how/was-ist-google-ads) [Was ist SEO?](https://www.werkvonmorgen.de/know-how/was-ist-seo) [Weitere](https://www.werkvonmorgen.de/know-how) E-BOOKS --- [Growth Marketing Strategie Roadmap mit KI für 2026NEU](https://www.werkvonmorgen.de/e-book-marketingziele-2026-mit-ki-erreichen)[Dein Praxisleitfaden für die digitale BarrierefreiheitNEU](https://www.werkvonmorgen.de/lp/e-book/barrierfreiheit)[Google Ads Strategie 2025: Dein Erfolgsleitfaden NEU](https://www.werkvonmorgen.de/lp/der-ultimative-google-ads-guide-2025)[Der Werk von Morgen SEO Report 2025](https://www.werkvonmorgen.de/lp/seo-report-e-book-2024)[Mit Hilfe von HubSpot Automatisierungen für Dich arbeiten lassen](https://www.werkvonmorgen.de/premium-content/e-book-mit-hubspot-marketing-automation-ergaenzen) [Weitere](https://www.werkvonmorgen.de/e-books-uebersicht) ![Team-Meeting-2025](https://www.werkvonmorgen.de/hs-fs/hubfs/01_%C3%9Cber%20Uns/01_%C3%9CberUns_Unser%20Team/WVM%20-%20Team/Team-Meeting-2025.webp?width=300&name=Team-Meeting-2025.webp) Werde Teil unseres Teams! [Jetzt bewerben!](https://www.werkvonmorgen.de/ueber-uns/jobs) AGENTUR --- [Team](https://www.werkvonmorgen.de/ueber-uns)[Tools](https://www.werkvonmorgen.de/unser-tech-stack)[Karriere](https://www.werkvonmorgen.de/ueber-uns/jobs) --- [Unser Prozess](https://www.werkvonmorgen.de/arbeiten-mit-uns)[Partner](https://www.werkvonmorgen.de/ueber-uns/partner) ![](https://www.werkvonmorgen.de/hs-fs/hubfs/wvm-2026-heroes/wvm-hero-eu-ai-act-2026.png?width=300&name=wvm-hero-eu-ai-act-2026.png) [Ardal Toprak](https://www.werkvonmorgen.de/blog/author/ardal-toprak)04.06.20269 min read # EU AI Act 2026: Compliance-Checkliste fuer DACH-Mittelstand [Vorherige](https://www.werkvonmorgen.de/blog/hubspot-onboarding-checkliste) Der EU AI Act tritt in Stufen in Kraft — die ersten Pflichten gelten **ab Februar 2026**. Wer KI im Unternehmen einsetzt, muss bis dahin ein KI-Inventar führen, Risikoklassen einordnen und Governance-Strukturen nachweisen können. Diese Checkliste zeigt Dir Schritt für Schritt, was für den DACH-Mittelstand jetzt zu tun ist. Werk von Morgen GmbH ist eine Digital-Agentur, die KI als Produktionsschicht clever einsetzt — mit Sitz in Köln Kurz erklärt Der EU AI Act ist seit Februar 2026 für Mittelstand verpflichtend. Unternehmen müssen ihre KI-Systeme nach 4 Risikoklassen klassifizieren, ein KI-Inventar dokumentieren und Governance etablieren. Bei Verstößen drohen bis zu 35 Mio EUR Strafe. Die 7-Punkte-Checkliste in diesem Artikel zeigt, was DACH-KMU jetzt konkret tun müssen. ## Inhalt - [01Was ist der EU AI Act — und warum jetzt?](https://www.werkvonmorgen.de/blog/eu-ai-act-checkliste-mittelstand-2026#was-ist-der-eu-ai-act-und-warum-jetzt) - [02Wer ist betroffen? Mittelstand, KMU und alle, die KI nutzen](https://www.werkvonmorgen.de/blog/eu-ai-act-checkliste-mittelstand-2026#wer-ist-betroffen-mittelstand-kmu-und-alle-die-ki-nutzen) - [03Die 4 Risikoklassen erklärt](https://www.werkvonmorgen.de/blog/eu-ai-act-checkliste-mittelstand-2026#die-4-risikoklassen-erklart) - [04Die 7-Punkte-Checkliste für den DACH-Mittelstand](https://www.werkvonmorgen.de/blog/eu-ai-act-checkliste-mittelstand-2026#die-7-punkte-checkliste-fur-den-dach-mittelstand) - [05Common Mistakes — was wir bei 100+ Projekten sehen](https://www.werkvonmorgen.de/blog/eu-ai-act-checkliste-mittelstand-2026#common-mistakes-was-wir-bei-100-projekten-sehen) - [06Wie lange dauert die Umsetzung?](https://www.werkvonmorgen.de/blog/eu-ai-act-checkliste-mittelstand-2026#wie-lange-dauert-die-umsetzung) - [07Praxisbeispiel: AI-Act-Setup in einem 40-Mitarbeiter-Maschinenbauer](https://www.werkvonmorgen.de/blog/eu-ai-act-checkliste-mittelstand-2026#praxisbeispiel-ai-act-setup-in-einem-40-mitarbeiter-maschine) ## Was ist der EU AI Act — und warum jetzt? ![EU AI Act Compliance-Prüfung im DACH-Mittelstand — Werk von Morgen unterstützt bei der Risikoklassifizierung von KI-Systemen](https://www.werkvonmorgen.de/hubfs/wvm-2026-inline-visuals/b01-1-eu-ai-act-compliance.png) EU AI Act: Compliance-Prüfung im DACH-Mittelstand Der EU AI Act ist die erste umfassende KI-Regulierung weltweit. Er klassifiziert KI-Systeme nach Risiko und legt fest, welche Pflichten Unternehmen je nach Einsatz erfüllen müssen. Der Gesetzgebungsprozess startete 2021, die finale Fassung wurde im Juli 2024 im Amtsblatt der EU veröffentlicht. Seitdem laufen gestaffelte Übergangsfristen. Für den Mittelstand entscheidend sind drei Stichtage: **02. Februar 2026** (Verbote für unzulässige Praktiken plus AI-Literacy-Pflicht nach Artikel 4), **02. August 2026** (General-Purpose-AI-Modelle, Governance-Vorgaben, nationale Aufsichtsbehörden) und **02. August 2027** (Hochrisiko-Systeme nach Anhang III). Wer wartet, bis „alles klar ist“, läuft in die erste Welle direkt rein. Offizielle Details auf [europarl.europa.eu](https://www.europarl.europa.eu/topics/de/article/20230601STO93804/eu-ai-gesetz-erste-regulierung-der-kunstlichen-intelligenz). Anders als die DSGVO ist der AI Act **produktorientiert**. Er betrachtet nicht primär personenbezogene Daten, sondern KI-Systeme als Produkte mit definierten Risiken. Für den Mittelstand bedeutet das eine zusätzliche Ebene oberhalb der DSGVO — und neue Dokumentationspflichten, die mit dem klassischen Datenschutzkonzept nicht abgedeckt sind. **02/2026 Pflicht** — Erste AI-Act-Vorgaben werden ab Februar 2026 bindend (verbotene Praktiken, AI-Literacy nach Artikel 4). „Der AI Act ist der weltweit erste umfassende Rechtsrahmen für KI — er soll Vertrauen schaffen und Innovation in Europa ermöglichen.“— Europäisches Parlament, offizielle Erklärung zum AI Act ## Wer ist betroffen? Mittelstand, KMU und alle, die KI nutzen Der AI Act unterscheidet vier Rollen: **Anbieter** (Provider), **Betreiber** (Deployer), **Importeure** und **Händler**. Die meisten Mittelständler sind **Betreiber** — sie nutzen KI-Systeme von Drittanbietern wie ChatGPT, Microsoft Copilot, HubSpot AI oder Salesforce Einstein. Auch als Betreiber gelten Transparenzpflichten, AI-Literacy-Anforderungen und je nach Risikoklasse weitere Vorgaben. Wichtig: Der AI Act ist **extraterritorial**. Auch Schweizer Unternehmen, die KI-Output in der EU bereitstellen, fallen darunter. Das betrifft praktisch jeden DACH-Mittelständler mit EU-Kunden. Auch wenn das KI-Modell in den USA gehostet ist — wenn der Output in der EU verwendet wird, gilt der AI Act. Besonders kritisch: Die Pflicht zur **KI-Kompetenz (AI-Literacy)** nach Artikel 4 trifft **alle** Unternehmen, die KI einsetzen. Es gibt keine KMU-Ausnahme. Mitarbeitende, die mit KI arbeiten, müssen geschult sein. Das gilt für Marketing-Teams, die ChatGPT nutzen, genauso wie für HR-Teams, die KI-CV-Screener einsetzen. **85% der KMU** in Deutschland haben aktuell kein dokumentiertes KI-Inventar (Bitkom KI-Studie 2026). ## Die 4 Risikoklassen erklärt ![4 Risikoklassen des EU AI Act — Workshop-Setting zur Klassifizierung von KI-Systemen bei DACH-Mittelständlern](https://www.werkvonmorgen.de/hubfs/wvm-2026-inline-visuals/b01-2-risikoklassen-workshop.png) Workshop: Risikoklassen-Mapping für KI-Systeme im Mittelstand Der AI Act teilt KI-Systeme in vier Klassen ein. Jede Klasse hat eigene Pflichten: 1. **Unzulässiges Risiko (verboten):** Social Scoring, manipulative Systeme, biometrische Echtzeit-Überwachung in öffentlichen Räumen (mit engen Ausnahmen für Strafverfolgung), Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen. Greift ab 02/2026. 2. **Hochrisiko (streng reguliert):** KI in Personalrecruiting (CV-Screening!), Kreditvergabe, Versicherungs-Underwriting, kritischer Infrastruktur, Medizinprodukten, Bildung, Strafverfolgung, Migration und Justiz. Anhang III listet die Fälle abschließend. Hier gelten Konformitätsbewertung, Risikomanagement-System, Daten-Governance, technische Dokumentation, Aufzeichnungspflichten, menschliche Aufsicht und CE-Kennzeichnung. 3. **Begrenztes Risiko (Transparenzpflichten):** Chatbots, Deepfakes, KI-generierte Inhalte, Emotionserkennung. Nutzer müssen wissen, dass sie mit KI interagieren bzw. dass Inhalte KI-generiert sind. 4. **Minimales Risiko (frei):** Spamfilter, KI in Videospielen, einfache Empfehlungssysteme. Hier gelten keine Pflichten — freiwillige Verhaltenskodizes werden aber empfohlen. Für die meisten Mittelständler relevant: **Klasse 2 (Recruiting!) und Klasse 3**. Wer ein KI-CV-Screening-Tool einsetzt, betreibt Hochrisiko-KI — auch wenn das Tool von einem Drittanbieter kommt. Das BSI hat dazu praxisnahe technische Hinweise veröffentlicht ([bsi.bund.de](https://www.bsi.bund.de/)). Besonders praxisnah: KI-gestützte Bewerber-Vorauswahl in HubSpot, Personio oder eigenen Recruiting-Tools fällt in die Hochrisiko-Kategorie. Hier reicht es nicht, dem Anbieter zu vertrauen — der **Betreiber** (also Du als Unternehmen) muss die Konformität nachweisen können. ## Die 7-Punkte-Checkliste für den DACH-Mittelstand 1. **KI-Inventar erstellen:** Liste alle KI-Systeme im Unternehmen — auch Schatten-KI in Marketing, Sales, HR, IT. Tools wie ChatGPT, Claude, Copilot, Midjourney, HubSpot AI, Apollo, Gong, Fireflies gehören rein. Für jedes System: Anbieter, Einsatzzweck, betroffene Datenkategorien, verantwortlicher Mitarbeiter. 2. **Risikoklasse je System einordnen:** Welche Tools fallen in welche Klasse? Recruiting-Tools sind oft Hochrisiko, Marketing-Tools meist begrenztes Risiko. Bei Unklarheit: extern beraten lassen, die Einordnung ist haftungsrelevant. 3. **AI-Literacy aufbauen (Art. 4):** Mitarbeitende müssen KI verstehen. Pflicht ab 02/2026. Schulungsplan dokumentieren, regelmäßige Auffrischung einplanen. Nachweis durch Teilnahmebestätigungen oder LMS-Tracking. 4. **Transparenz-Hinweise einführen:** Chatbots, KI-Texte, KI-Bilder kennzeichnen — auf der Website, in Mails, in Kundenkommunikation. Bei Deepfakes oder KI-generierten Medien explizite Kennzeichnung Pflicht. 5. **Datenschutz-Sync (DSGVO + AI Act):** AVV mit KI-Anbietern, Datenverarbeitungsverzeichnis ergänzen, DSFA wo notwendig. [BfDI](https://www.bfdi.bund.de/) hat klare Linien zu KI und DSGVO veröffentlicht. AVV-Update mit OpenAI, Anthropic, Microsoft, Google ist Pflicht. 6. **Governance & Verantwortlichkeiten klären:** Wer ist KI-Beauftragter? Wie laufen Freigabeprozesse? Eskalationswege bei Halluzinationen oder Bias? Klare Owner-Strukturen sind das Fundament jeder belastbaren Compliance. 7. **Vendor-Prüfung:** Verträge mit KI-Anbietern (OpenAI, Anthropic, Microsoft) auf AI-Act-Konformität prüfen. EU-Hosting? Trainingsdaten-Transparenz? [Anthropic hat sein AI-Act-Statement veröffentlicht](https://www.anthropic.com/news/eu-ai-act) — ein guter Referenzpunkt für Anbieter-Anfragen. Workshop ### EU AI Act Quickscan Workshop In einem strukturierten Workshop scannen wir Dein KI-Inventar, ordnen Risikoklassen ein und liefern Dir eine priorisierte Umsetzungs-Roadmap. — Antragsfenster bis 31.12.2026. [Workshop ab 1.490 € sichern](https://www.werkvonmorgen.de/workshop/eu-ai-act-quickscan) Förderung bis zu 50% Zuschuss möglich. ## Common Mistakes — was wir bei 100+ Projekten sehen Werk von Morgen GmbH ist eine Digital-Agentur, die KI als Produktionsschicht clever einsetzt Aus 100+ Projekten kennen wir die typischen Fehler: - **Fehler 1:** AI Act wird als reines IT-Thema abgetan. Tatsächlich liegt der Hebel in HR, Marketing, Sales — dort wo KI täglich genutzt wird. IT-Abteilungen alleine sehen nur einen Bruchteil der Schatten-KI. - **Fehler 2:** Schatten-KI wird ignoriert. Mitarbeitende nutzen ChatGPT-Konsumenten-Accounts mit Kundendaten. Direkter DSGVO-Verstoß und AI-Act-Risiko. Eine ehrliche Mitarbeiterbefragung deckt typischerweise 2–3x mehr KI-Tools auf, als die IT auf dem Schirm hat. - **Fehler 3:** KI-Inventar wird einmal erstellt und nie aktualisiert. Realität: Es verändert sich monatlich. Best Practice ist ein quartalsweises Review mit klarem Owner. - **Fehler 4:** Transparenzhinweise werden nur formal eingeführt — ohne Schulung der Mitarbeitenden. Aufsichtsbehörden prüfen aber, ob Kennzeichnung praktisch wirkt. - **Fehler 5:** Recruiting-Tools werden nicht als Hochrisiko erkannt. Bei Audits ein Klassiker — und der Schaden ist hoch, weil Bewerber-Daten besonders sensibel sind. - **Fehler 6:** Vendor-Prüfung wird vergessen. Wer den AVV mit OpenAI oder Anthropic nicht aktualisiert hat, hat eine offene Flanke. Auch die Verantwortlichkeit für Halluzinationen muss vertraglich geklärt sein. „Die meisten Mittelständler unterscheiden nicht zwischen KI als Werkzeug und KI als regulierungspflichtiger Praxis. Genau dort entstehen die bösen Überraschungen.“— Ardal Toprak, Geschäftsführer Werk von Morgen GmbH ## Wie lange dauert die Umsetzung? Typische Implementierungszeit für ein vollständiges AI-Act-Setup im Mittelstand: **12 Wochen** — vom Quickscan über KI-Inventar bis zur dokumentierten Governance. Solo-Selbständige und kleine Teams schaffen das zügiger, große Mittelständler mit komplexer IT-Landschaft brauchen 16–20 Wochen. Werk von Morgen GmbH sitzt in Köln, arbeitet im gesamten DACH-Raum und kombiniert Compliance-Expertise mit praktischer KI-Implementierung. Wir verstehen Regulierung, weil wir täglich KI-Systeme bauen — in Marketing, Sales, Operations. Diese Kombination aus Hands-on-Erfahrung und regulatorischem Verständnis ist im Markt selten. Unser Workshop-Modell ist bewusst kompakt: ein Quickscan-Tag definiert den Status quo, eine darauffolgende Roadmap-Session priorisiert die nächsten Schritte. Anschließend begleiten wir die Umsetzung modular, je nach internen Ressourcen. **12 Wochen** typische Implementierungszeit von KI-Inventar bis dokumentierter AI-Act-Governance im Mittelstand (Werk von Morgen Projekterfahrung aus über 100 Projekten). ## Praxisbeispiel: AI-Act-Setup in einem 40-Mitarbeiter-Maschinenbauer Ein typischer DACH-Mittelständler im Maschinenbau: 40 Mitarbeitende, Sitz im Rheinland, internationales Kundengeschäft. KI-Tools im Einsatz: Microsoft Copilot für Office, ChatGPT Teams für Marketing, HubSpot AI für Sales, ein KI-Tool zur CV-Vorauswahl im Recruiting, dazu Apollo für Lead-Recherche. Bei der ersten Bestandsaufnahme stellte sich heraus: drei zusätzliche Schatten-Tools im Marketing, die niemand offiziell freigegeben hatte. Vorgehen: Quickscan-Tag mit Geschäftsführung, IT, Marketing- und HR-Lead. Ergebnis war eine Tabelle mit zwölf KI-Systemen, davon eins Hochrisiko (CV-Vorauswahl), drei mit Transparenzpflichten (Chatbot, KI-generierte Bilder, automatisierte Mails), acht im minimalen Risiko. Die priorisierte Roadmap fokussierte zuerst auf das Hochrisiko-Tool: Vendor-Kontakt, Konformitätsnachweis anfordern, internen Prüfprozess dokumentieren, menschliche Aufsicht definieren. Parallel lief die AI-Literacy-Schulung an — Pflichtmodul für alle Mitarbeitenden mit KI-Kontakt. Wichtig für die Praxis: Werk von Morgen GmbH blieb als Sparringspartner punktuell eingebunden, der Mittelständler hat die Souveränität über sein KI-Setup behalten. Genau dieser Ansatz — Beratung statt Abhängigkeit — ist Kern unseres Workshop-Modells. ## FAQ — Häufige Fragen zum EU AI Act Ab wann gilt der EU AI Act konkret?+ Gestaffelt: Verbotene Praktiken und AI-Literacy ab 02. Februar 2026, General-Purpose-AI ab 02. August 2026, Hochrisiko-Systeme ab 02. August 2027. Erste Pflichten greifen also bereits Anfang 2026 — vor allem die KI-Kompetenz-Pflicht und das Verbot bestimmter Praktiken. Muss mein Solo-Business den AI Act umsetzen?+ Ja. Sobald Du KI im professionellen Kontext einsetzt — auch nur ChatGPT für Kundenkommunikation — gelten Transparenz- und AI-Literacy-Pflichten. Was kostet ein Verstoß?+ Bis zu 35 Mio. EUR oder 7% des weltweiten Jahresumsatzes für verbotene Praktiken. Für Hochrisiko-Verstöße bis 15 Mio. EUR oder 3%. Transparenz-Verstöße bis 7,5 Mio. EUR. Der Bußgeldrahmen ist bewusst hoch angesetzt — vergleichbar mit DSGVO. Wer kontrolliert das in Deutschland?+ In Deutschland wird voraussichtlich die Bundesnetzagentur als zentrale Marktaufsichtsbehörde fungieren, ergänzt durch BfDI für Datenschutz-Aspekte und BSI für Cybersecurity. Die finale Zuständigkeitsverteilung ist im Durchführungsgesetz definiert. In Österreich übernimmt die KommAustria zentrale Funktionen, in der Schweiz läuft das über bilaterale Mechanismen. Reicht meine bestehende DSGVO-Dokumentation?+ Nein. AI Act und DSGVO ergänzen sich, ersetzen sich aber nicht. KI-Inventar, Risikoklassifizierung und AI-Literacy-Schulung sind eigene Pflichten zusätzlich zur DSGVO-Dokumentation. Die gute Nachricht: Wer DSGVO sauber umgesetzt hat, hat einen soliden Ausgangspunkt — Verzeichnis der Verarbeitungstätigkeiten, AVVs, DSFAs sind überschneidend. Wie hilft Werk von Morgen GmbH konkret?+ Wir machen einen Quickscan Deiner KI-Landschaft, ordnen Risikoklassen ein, dokumentieren ein KI-Inventar und liefern eine 12-Wochen-Roadmap. Sitz in Köln, tätig DACH-weit, 100+ Projekte Hintergrund. Workshop ### Dein nächster Schritt Lass uns gemeinsam Deinen AI-Act-Status prüfen — in einem strukturierten Workshop Wir sitzen in Köln, arbeiten DACH-weit und kennen die Schnittstelle aus KI-Praxis und Regulierung. [Quickscan Workshop buchen](https://www.werkvonmorgen.de/workshop/eu-ai-act-quickscan) Förderung bis zu 50% Zuschuss möglich. **Weiterlesen auf werkvonmorgen.de:** - [Übersicht aller Workshops](https://www.werkvonmorgen.de/workshops) - [KI-Strategie und Implementierung](https://www.werkvonmorgen.de/leistungen/ki-strategie) - [Weitere Insights im Blog](https://www.werkvonmorgen.de/blog) - [Über Werk von Morgen GmbH](https://www.werkvonmorgen.de/ueber-uns) ![avatar](https://www.werkvonmorgen.de/hs-fs/hubfs/01_%C3%9Cber%20Uns/01_%C3%9CberUns_Unser%20Team/WVM%20-%20Team/Ardal.webp?width=290&name=Ardal.webp) [Ardal Toprak](https://www.werkvonmorgen.de/blog/author/ardal-toprak)CEO & Geschäftsführer bei Werk von Morgen GmbH [mailto:ardal@werkvonmorgen.de](mailto:ardal@werkvonmorgen.de) ## VERWANDTE ARTIKEL [![Werk von Morgen](https://www.werkvonmorgen.de/hs-fs/hubfs/Werk%20von%20Morgen.png?width=150&name=Werk%20von%20Morgen.png)](https://www.werkvonmorgen.de) Weil Unternehmen keine Lösungen von gestern brauchen. [+49 221 82827440](tel:+4922182827440) Kartäuserwall 28e, 50678 Köln,  [Kontakt](https://www.werkvonmorgen.de/kontakt)   [Leistungen](https://www.werkvonmorgen.de) [Strategie](https://www.werkvonmorgen.de/online-marketing-strategie) [Preise](https://www.werkvonmorgen.de/download-preis-leistung-agentur) [Über uns](https://www.werkvonmorgen.de/ueber-uns) [Karriere](https://www.werkvonmorgen.de/ueber-uns/jobs) [Workshops](https://workshops-werkvonmorgen.de/)   [Blog](https://www.werkvonmorgen.de/blog) [Know How](https://www.werkvonmorgen.de/know-how) [E-Books](https://www.werkvonmorgen.de/premium-content) [Referenzen](https://www.werkvonmorgen.de/case-studies) [Kooperationsmodell](https://www.werkvonmorgen.de/ueber-uns/kooperationen)   [![HubSpot Gold Partner](https://www.werkvonmorgen.de/hs-fs/hubfs/Footer%20Icons-6%20(3).png?width=130&name=Footer%20Icons-6%20(3).png)](https://www.werkvonmorgen.de/hubspot-partner-agentur) [![Footer Icons-5 (1)](https://www.werkvonmorgen.de/hs-fs/hubfs/Footer%20Icons-5%20(1).png?width=300&name=Footer%20Icons-5%20(1).png)](https://www.werkvonmorgen.de/unser-tech-stack) [![Footer Icons-4 (1)](https://www.werkvonmorgen.de/hs-fs/hubfs/Footer%20Icons-4%20(1).png?width=300&name=Footer%20Icons-4%20(1).png)](https://www.werkvonmorgen.de/unser-tech-stack) © 2026 Werk von Morgen | [Impressum](https://www.werkvonmorgen.de/impressum) | [Datenschutz](https://www.werkvonmorgen.de/datenschutz) [![Social Icons Instagram](https://www.werkvonmorgen.de/hs-fs/hubfs/Social%20Icons%20Instagram.webp?width=20&height=20&name=Social%20Icons%20Instagram.webp)](https://www.instagram.com/werkvonmorgen)     [![Social Icons Facebook](https://www.werkvonmorgen.de/hs-fs/hubfs/Social%20Icons%20Facebook.webp?width=20&height=20&name=Social%20Icons%20Facebook.webp)](https://www.facebook.com/werkvonmorgen)     [![Social Icons X](https://www.werkvonmorgen.de/hs-fs/hubfs/Social%20Icons%20X.webp?width=20&height=20&name=Social%20Icons%20X.webp)](https://x.com/werkvonm)     [![Social Icons LinkedIn](https://www.werkvonmorgen.de/hs-fs/hubfs/Social%20Icons%20LinkedIn.webp?width=20&height=20&name=Social%20Icons%20LinkedIn.webp)  ](https://www.linkedin.com/company/werk-von-morgen/)   [![Social Icons YouTube](https://www.werkvonmorgen.de/hs-fs/hubfs/Social%20Icons%20YouTube.webp?width=20&height=20&name=Social%20Icons%20YouTube.webp)](https://www.youtube.com/channel/UC2g7zaUPShjAmXi2GTxGDDQ)     [![Social Icons TikTok](https://www.werkvonmorgen.de/hs-fs/hubfs/Social%20Icons%20TikTok.webp?width=20&height=20&name=Social%20Icons%20TikTok.webp)](https://www.tiktok.com/@werkvonmorgen) ```json { "@context" : "https://schema.org", "@type" : "Organization", "address" : { "@type" : "PostalAddress", "addressCountry" : "Deutschland", "addressLocality" : "Köln", "addressRegion" : "Nordrhein-Westfalen", "postalCode" : "50667", "streetAddress" : "Komödienstr. 11" }, "knowsLanguage" : "de-de", "logo" : { "@type" : "ImageObject", "url" : "https://www.werkvonmorgen.de/hubfs/WVM%20-%20Websites/WVM_Logo_weiss.svg" }, "name" : "Werk von Morgen GmbH", "url" : "https://www.werkvonmorgen.de/blog/eu-ai-act-checkliste-mittelstand-2026" } ``` ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "abstract" : "EU AI Act ab 02/2026 Pflicht. Checkliste fuer KI-Inventar, Risikoklassen, Governance. Direkt umsetzbar fuer Mittelstand.", "author" : { "@type" : "Person", "name" : "Ardal Toprak" }, "dateModified" : "", "datePublished" : "", "headline" : "EU AI Act 2026: Compliance-Checkliste fuer DACH-Mittelstand", "image" : "https://www.werkvonmorgen.de/hubfs/wvm-2026-heroes/wvm-hero-eu-ai-act-2026.png", "inLanguage" : "de-de", "keywords" : "[]", "mainEntityOfPage" : { "@type" : "WebPage" }, "name" : "EU AI Act 2026: Compliance-Checkliste fuer DACH-Mittelstand", "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://www.werkvonmorgen.de/hubfs/WVM%20-%20Websites/WVM_Logo_weiss.svg" }, "name" : "Werk von Morgen GmbH" }, "text" : "Der EU AI Act tritt in Stufen in Kraft — die ersten Pflichten gelten ab Februar 2026. Wer KI im Unternehmen einsetzt, muss bis dahin ein KI-Inventar führen, Risikoklassen einordnen und Governance-Strukturen nachweisen können. Diese Checkliste zeigt Dir Schritt für Schritt, was für den DACH-Mittelstand jetzt zu tun ist. Werk von Morgen GmbH ist eine Digital-Agentur, die KI als Produktionsschicht clever einsetzt — mit Sitz in Köln Kurz erklärt Der EU AI Act ist seit Februar 2026 für Mittelstand verpflichtend. Unternehmen müssen ihre KI-Systeme nach 4 Risikoklassen klassifizieren, ein KI-Inventar dokumentieren und Governance etablieren. Bei Verstößen drohen bis zu 35 Mio EUR Strafe. Die 7-Punkte-Checkliste in diesem Artikel zeigt, was DACH-KMU jetzt konkret tun müssen. Inhalt 01Was ist der EU AI Act — und warum jetzt? 02Wer ist betroffen? Mittelstand, KMU und alle, die KI nutzen 03Die 4 Risikoklassen erklärt 04Die 7-Punkte-Checkliste für den DACH-Mittelstand 05Common Mistakes — was wir bei 100+ Projekten sehen 06Wie lange dauert die Umsetzung? 07Praxisbeispiel: AI-Act-Setup in einem 40-Mitarbeiter-Maschinenbauer Was ist der EU AI Act — und warum jetzt? EU AI Act: Compliance-Prüfung im DACH-Mittelstand Der EU AI Act ist die erste umfassende KI-Regulierung weltweit. Er klassifiziert KI-Systeme nach Risiko und legt fest, welche Pflichten Unternehmen je nach Einsatz erfüllen müssen. Der Gesetzgebungsprozess startete 2021, die finale Fassung wurde im Juli 2024 im Amtsblatt der EU veröffentlicht. Seitdem laufen gestaffelte Übergangsfristen. Für den Mittelstand entscheidend sind drei Stichtage: 02. Februar 2026 (Verbote für unzulässige Praktiken plus AI-Literacy-Pflicht nach Artikel 4), 02. August 2026 (General-Purpose-AI-Modelle, Governance-Vorgaben, nationale Aufsichtsbehörden) und 02. August 2027 (Hochrisiko-Systeme nach Anhang III). Wer wartet, bis „alles klar ist“, läuft in die erste Welle direkt rein. Offizielle Details auf europarl.europa.eu. Anders als die DSGVO ist der AI Act produktorientiert. Er betrachtet nicht primär personenbezogene Daten, sondern KI-Systeme als Produkte mit definierten Risiken. Für den Mittelstand bedeutet das eine zusätzliche Ebene oberhalb der DSGVO — und neue Dokumentationspflichten, die mit dem klassischen Datenschutzkonzept nicht abgedeckt sind. 02/2026 Pflicht — Erste AI-Act-Vorgaben werden ab Februar 2026 bindend (verbotene Praktiken, AI-Literacy nach Artikel 4). „Der AI Act ist der weltweit erste umfassende Rechtsrahmen für KI — er soll Vertrauen schaffen und Innovation in Europa ermöglichen.“— Europäisches Parlament, offizielle Erklärung zum AI Act Wer ist betroffen? Mittelstand, KMU und alle, die KI nutzen Der AI Act unterscheidet vier Rollen: Anbieter (Provider), Betreiber (Deployer), Importeure und Händler. Die meisten Mittelständler sind Betreiber — sie nutzen KI-Systeme von Drittanbietern wie ChatGPT, Microsoft Copilot, HubSpot AI oder Salesforce Einstein. Auch als Betreiber gelten Transparenzpflichten, AI-Literacy-Anforderungen und je nach Risikoklasse weitere Vorgaben. Wichtig: Der AI Act ist extraterritorial. Auch Schweizer Unternehmen, die KI-Output in der EU bereitstellen, fallen darunter. Das betrifft praktisch jeden DACH-Mittelständler mit EU-Kunden. Auch wenn das KI-Modell in den USA gehostet ist — wenn der Output in der EU verwendet wird, gilt der AI Act. Besonders kritisch: Die Pflicht zur KI-Kompetenz (AI-Literacy) nach Artikel 4 trifft alle Unternehmen, die KI einsetzen. Es gibt keine KMU-Ausnahme. Mitarbeitende, die mit KI arbeiten, müssen geschult sein. Das gilt für Marketing-Teams, die ChatGPT nutzen, genauso wie für HR-Teams, die KI-CV-Screener einsetzen. 85% der KMU in Deutschland haben aktuell kein dokumentiertes KI-Inventar (Bitkom KI-Studie 2026). Die 4 Risikoklassen erklärt Workshop: Risikoklassen-Mapping für KI-Systeme im Mittelstand Der AI Act teilt KI-Systeme in vier Klassen ein. Jede Klasse hat eigene Pflichten: Unzulässiges Risiko (verboten): Social Scoring, manipulative Systeme, biometrische Echtzeit-Überwachung in öffentlichen Räumen (mit engen Ausnahmen für Strafverfolgung), Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen. Greift ab 02/2026. Hochrisiko (streng reguliert): KI in Personalrecruiting (CV-Screening!), Kreditvergabe, Versicherungs-Underwriting, kritischer Infrastruktur, Medizinprodukten, Bildung, Strafverfolgung, Migration und Justiz. Anhang III listet die Fälle abschließend. Hier gelten Konformitätsbewertung, Risikomanagement-System, Daten-Governance, technische Dokumentation, Aufzeichnungspflichten, menschliche Aufsicht und CE-Kennzeichnung. Begrenztes Risiko (Transparenzpflichten): Chatbots, Deepfakes, KI-generierte Inhalte, Emotionserkennung. Nutzer müssen wissen, dass sie mit KI interagieren bzw. dass Inhalte KI-generiert sind. Minimales Risiko (frei): Spamfilter, KI in Videospielen, einfache Empfehlungssysteme. Hier gelten keine Pflichten — freiwillige Verhaltenskodizes werden aber empfohlen. Für die meisten Mittelständler relevant: Klasse 2 (Recruiting!) und Klasse 3. Wer ein KI-CV-Screening-Tool einsetzt, betreibt Hochrisiko-KI — auch wenn das Tool von einem Drittanbieter kommt. Das BSI hat dazu praxisnahe technische Hinweise veröffentlicht (bsi.bund.de). Besonders praxisnah: KI-gestützte Bewerber-Vorauswahl in HubSpot, Personio oder eigenen Recruiting-Tools fällt in die Hochrisiko-Kategorie. Hier reicht es nicht, dem Anbieter zu vertrauen — der Betreiber (also Du als Unternehmen) muss die Konformität nachweisen können. Die 7-Punkte-Checkliste für den DACH-Mittelstand KI-Inventar erstellen: Liste alle KI-Systeme im Unternehmen — auch Schatten-KI in Marketing, Sales, HR, IT. Tools wie ChatGPT, Claude, Copilot, Midjourney, HubSpot AI, Apollo, Gong, Fireflies gehören rein. Für jedes System: Anbieter, Einsatzzweck, betroffene Datenkategorien, verantwortlicher Mitarbeiter. Risikoklasse je System einordnen: Welche Tools fallen in welche Klasse? Recruiting-Tools sind oft Hochrisiko, Marketing-Tools meist begrenztes Risiko. Bei Unklarheit: extern beraten lassen, die Einordnung ist haftungsrelevant. AI-Literacy aufbauen (Art. 4): Mitarbeitende müssen KI verstehen. Pflicht ab 02/2026. Schulungsplan dokumentieren, regelmäßige Auffrischung einplanen. Nachweis durch Teilnahmebestätigungen oder LMS-Tracking. Transparenz-Hinweise einführen: Chatbots, KI-Texte, KI-Bilder kennzeichnen — auf der Website, in Mails, in Kundenkommunikation. Bei Deepfakes oder KI-generierten Medien explizite Kennzeichnung Pflicht. Datenschutz-Sync (DSGVO + AI Act): AVV mit KI-Anbietern, Datenverarbeitungsverzeichnis ergänzen, DSFA wo notwendig. BfDI hat klare Linien zu KI und DSGVO veröffentlicht. AVV-Update mit OpenAI, Anthropic, Microsoft, Google ist Pflicht. Governance & Verantwortlichkeiten klären: Wer ist KI-Beauftragter? Wie laufen Freigabeprozesse? Eskalationswege bei Halluzinationen oder Bias? Klare Owner-Strukturen sind das Fundament jeder belastbaren Compliance. Vendor-Prüfung: Verträge mit KI-Anbietern (OpenAI, Anthropic, Microsoft) auf AI-Act-Konformität prüfen. EU-Hosting? Trainingsdaten-Transparenz? Anthropic hat sein AI-Act-Statement veröffentlicht — ein guter Referenzpunkt für Anbieter-Anfragen. Workshop EU AI Act Quickscan Workshop In einem strukturierten Workshop scannen wir Dein KI-Inventar, ordnen Risikoklassen ein und liefern Dir eine priorisierte Umsetzungs-Roadmap. — Antragsfenster bis 31.12.2026. Workshop ab 1.490 € sichern Förderung bis zu 50% Zuschuss möglich. Common Mistakes — was wir bei 100+ Projekten sehen Werk von Morgen GmbH ist eine Digital-Agentur, die KI als Produktionsschicht clever einsetzt Aus 100+ Projekten kennen wir die typischen Fehler: Fehler 1: AI Act wird als reines IT-Thema abgetan. Tatsächlich liegt der Hebel in HR, Marketing, Sales — dort wo KI täglich genutzt wird. IT-Abteilungen alleine sehen nur einen Bruchteil der Schatten-KI. Fehler 2: Schatten-KI wird ignoriert. Mitarbeitende nutzen ChatGPT-Konsumenten-Accounts mit Kundendaten. Direkter DSGVO-Verstoß und AI-Act-Risiko. Eine ehrliche Mitarbeiterbefragung deckt typischerweise 2–3x mehr KI-Tools auf, als die IT auf dem Schirm hat. Fehler 3: KI-Inventar wird einmal erstellt und nie aktualisiert. Realität: Es verändert sich monatlich. Best Practice ist ein quartalsweises Review mit klarem Owner. Fehler 4: Transparenzhinweise werden nur formal eingeführt — ohne Schulung der Mitarbeitenden. Aufsichtsbehörden prüfen aber, ob Kennzeichnung praktisch wirkt. Fehler 5: Recruiting-Tools werden nicht als Hochrisiko erkannt. Bei Audits ein Klassiker — und der Schaden ist hoch, weil Bewerber-Daten besonders sensibel sind. Fehler 6: Vendor-Prüfung wird vergessen. Wer den AVV mit OpenAI oder Anthropic nicht aktualisiert hat, hat eine offene Flanke. Auch die Verantwortlichkeit für Halluzinationen muss vertraglich geklärt sein. „Die meisten Mittelständler unterscheiden nicht zwischen KI als Werkzeug und KI als regulierungspflichtiger Praxis. Genau dort entstehen die bösen Überraschungen.“— Ardal Toprak, Geschäftsführer Werk von Morgen GmbH Wie lange dauert die Umsetzung? Typische Implementierungszeit für ein vollständiges AI-Act-Setup im Mittelstand: 12 Wochen — vom Quickscan über KI-Inventar bis zur dokumentierten Governance. Solo-Selbständige und kleine Teams schaffen das zügiger, große Mittelständler mit komplexer IT-Landschaft brauchen 16–20 Wochen. Werk von Morgen GmbH sitzt in Köln, arbeitet im gesamten DACH-Raum und kombiniert Compliance-Expertise mit praktischer KI-Implementierung. Wir verstehen Regulierung, weil wir täglich KI-Systeme bauen — in Marketing, Sales, Operations. Diese Kombination aus Hands-on-Erfahrung und regulatorischem Verständnis ist im Markt selten. Unser Workshop-Modell ist bewusst kompakt: ein Quickscan-Tag definiert den Status quo, eine darauffolgende Roadmap-Session priorisiert die nächsten Schritte. Anschließend begleiten wir die Umsetzung modular, je nach internen Ressourcen. 12 Wochen typische Implementierungszeit von KI-Inventar bis dokumentierter AI-Act-Governance im Mittelstand (Werk von Morgen Projekterfahrung aus über 100 Projekten). Praxisbeispiel: AI-Act-Setup in einem 40-Mitarbeiter-Maschinenbauer Ein typischer DACH-Mittelständler im Maschinenbau: 40 Mitarbeitende, Sitz im Rheinland, internationales Kundengeschäft. KI-Tools im Einsatz: Microsoft Copilot für Office, ChatGPT Teams für Marketing, HubSpot AI für Sales, ein KI-Tool zur CV-Vorauswahl im Recruiting, dazu Apollo für Lead-Recherche. Bei der ersten Bestandsaufnahme stellte sich heraus: drei zusätzliche Schatten-Tools im Marketing, die niemand offiziell freigegeben hatte. Vorgehen: Quickscan-Tag mit Geschäftsführung, IT, Marketing- und HR-Lead. Ergebnis war eine Tabelle mit zwölf KI-Systemen, davon eins Hochrisiko (CV-Vorauswahl), drei mit Transparenzpflichten (Chatbot, KI-generierte Bilder, automatisierte Mails), acht im minimalen Risiko. Die priorisierte Roadmap fokussierte zuerst auf das Hochrisiko-Tool: Vendor-Kontakt, Konformitätsnachweis anfordern, internen Prüfprozess dokumentieren, menschliche Aufsicht definieren. Parallel lief die AI-Literacy-Schulung an — Pflichtmodul für alle Mitarbeitenden mit KI-Kontakt. Wichtig für die Praxis: Werk von Morgen GmbH blieb als Sparringspartner punktuell eingebunden, der Mittelständler hat die Souveränität über sein KI-Setup behalten. Genau dieser Ansatz — Beratung statt Abhängigkeit — ist Kern unseres Workshop-Modells. FAQ — Häufige Fragen zum EU AI Act Ab wann gilt der EU AI Act konkret?+ Gestaffelt: Verbotene Praktiken und AI-Literacy ab 02. Februar 2026, General-Purpose-AI ab 02. August 2026, Hochrisiko-Systeme ab 02. August 2027. Erste Pflichten greifen also bereits Anfang 2026 — vor allem die KI-Kompetenz-Pflicht und das Verbot bestimmter Praktiken. Muss mein Solo-Business den AI Act umsetzen?+ Ja. Sobald Du KI im professionellen Kontext einsetzt — auch nur ChatGPT für Kundenkommunikation — gelten Transparenz- und AI-Literacy-Pflichten. Was kostet ein Verstoß?+ Bis zu 35 Mio. EUR oder 7% des weltweiten Jahresumsatzes für verbotene Praktiken. Für Hochrisiko-Verstöße bis 15 Mio. EUR oder 3%. Transparenz-Verstöße bis 7,5 Mio. EUR. Der Bußgeldrahmen ist bewusst hoch angesetzt — vergleichbar mit DSGVO. Wer kontrolliert das in Deutschland?+ In Deutschland wird voraussichtlich die Bundesnetzagentur als zentrale Marktaufsichtsbehörde fungieren, ergänzt durch BfDI für Datenschutz-Aspekte und BSI für Cybersecurity. Die finale Zuständigkeitsverteilung ist im Durchführungsgesetz definiert. In Österreich übernimmt die KommAustria zentrale Funktionen, in der Schweiz läuft das über bilaterale Mechanismen. Reicht meine bestehende DSGVO-Dokumentation?+ Nein. AI Act und DSGVO ergänzen sich, ersetzen sich aber nicht. KI-Inventar, Risikoklassifizierung und AI-Literacy-Schulung sind eigene Pflichten zusätzlich zur DSGVO-Dokumentation. Die gute Nachricht: Wer DSGVO sauber umgesetzt hat, hat einen soliden Ausgangspunkt — Verzeichnis der Verarbeitungstätigkeiten, AVVs, DSFAs sind überschneidend. Wie hilft Werk von Morgen GmbH konkret?+ Wir machen einen Quickscan Deiner KI-Landschaft, ordnen Risikoklassen ein, dokumentieren ein KI-Inventar und liefern eine 12-Wochen-Roadmap. Sitz in Köln, tätig DACH-weit, 100+ Projekte Hintergrund. Workshop Dein nächster Schritt Lass uns gemeinsam Deinen AI-Act-Status prüfen — in einem strukturierten Workshop Wir sitzen in Köln, arbeiten DACH-weit und kennen die Schnittstelle aus KI-Praxis und Regulierung. Quickscan Workshop buchen Förderung bis zu 50% Zuschuss möglich. Weiterlesen auf werkvonmorgen.de: Übersicht aller Workshops KI-Strategie und Implementierung Weitere Insights im Blog Über Werk von Morgen GmbH", "url" : "https://www.werkvonmorgen.de/blog/eu-ai-act-checkliste-mittelstand-2026", "wordCount" : "3952" } ``` ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "Ardal Toprak", "url" : "https://www.werkvonmorgen.de/blog/author/ardal-toprak" }, "datePublished" : "2026-06-04T09:06:06.000Z", "headline" : "EU AI Act 2026: Compliance-Checkliste fuer DACH-Mittelstand | Werk von Morgen", "image" : [ "https://www.werkvonmorgen.de/hubfs/wvm-2026-heroes/wvm-hero-eu-ai-act-2026.png" ], "mainEntityOfPage" : { "@id" : "https://www.werkvonmorgen.de/blog/eu-ai-act-checkliste-mittelstand-2026", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://www.werkvonmorgen.de/hubfs/WVM%20-%20Websites/WVM_Logo_weiss.svg" }, "name" : "Werk von Morgen GmbH" } } ``` ```json { "@context" : "https://schema.org", "@type" : "BreadcrumbList", "itemListElement" : [ { "@type" : "ListItem", "item" : "https://www.werkvonmorgen.de", "name" : "Werk von Morgen", "position" : 1 }, { "@type" : "ListItem", "item" : "https://www.werkvonmorgen.de/blog", "name" : "Blog", "position" : 2 }, { "@type" : "ListItem", "item" : "https://www.werkvonmorgen.de/blog/eu-ai-act-checkliste-mittelstand-2026", "name" : "EU AI Act", "position" : 3 } ] } ``` ```json { "@context" : "https://schema.org", "@type" : "FAQPage", "mainEntity" : [ { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Gestaffelt: Verbotene Praktiken und AI-Literacy ab 02.02.2026, General-Purpose-AI ab 02.08.2026, Hochrisiko-Systeme ab 02.08.2027." }, "name" : "Ab wann gilt der EU AI Act konkret?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Ja. Sobald KI im professionellen Kontext eingesetzt wird, gelten Transparenz- und AI-Literacy-Pflichten." }, "name" : "Muss mein Solo-Business den AI Act umsetzen?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Bis zu 35 Mio. EUR oder 7% des weltweiten Jahresumsatzes für verbotene Praktiken; bis 15 Mio. EUR oder 3% für Hochrisiko-Verstöße." }, "name" : "Was kostet ein Verstoß gegen den EU AI Act?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Voraussichtlich Bundesnetzagentur als zentrale Marktaufsicht, BfDI für Datenschutz, BSI für Cybersecurity." }, "name" : "Wer kontrolliert den AI Act in Deutschland?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Nein. AI Act und DSGVO ergänzen sich. KI-Inventar, Risikoklassifizierung und AI-Literacy sind eigene Pflichten." }, "name" : "Reicht meine DSGVO-Dokumentation für den AI Act?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Quickscan, KI-Inventar, Risikoklassen-Einordnung und 12-Wochen-Roadmap —" }, "name" : "Wie hilft Werk von Morgen GmbH bei der AI-Act-Umsetzung?" } ] } ``` ```json { "@context" : "https://schema.org", "@type" : "Article", "author" : { "@type" : "Person", "name" : "Ardal Toprak" }, "datePublished" : "2026-06-03", "description" : "EU AI Act ab 02/2026 Pflicht. Checkliste für KI-Inventar, Risikoklassen, Governance", "headline" : "EU AI Act 2026: Compliance-Checkliste für DACH-Mittelstand", "image" : "https://www.werkvonmorgen.de/hubfs/wvm-2026-blog-images/situations/foto_strategy_workshop.png", "publisher" : { "@type" : "Organization", "name" : "Werk von Morgen GmbH", "url" : "https://www.werkvonmorgen.de" } } ```