Jens FischerAm 21. September 2026 trat Bundeskanzler Friedrich Merz vor die Kameras – nicht um Rücktrittsgedanken zu kommentieren, sondern um das Gegenteil zu bekräftigen. Nach der historischen CDU-Niederlage in Mecklenburg-Vorpommern, wo die Partei nur rund 5 Prozent einfuhr – das schlechteste Bundesländer-Ergebnis seit 1945 – und dem zweiten Platz in Berlin erklärte Merz: Der Reformkurs bleibt, die Digitalisierungsstrategie bleibt, die KI-Offensive bleibt. Für IT-Verantwortliche und Unternehmenslenker in Deutschland ist das eine wichtige Botschaft. Denn unabhängig von den parteipolitischen Turbulenzen läuft die Compliance-Uhr weiter – und die nächsten Fristen des EU AI Act sind bereits verstrichen.
Die Pressekonferenz vom 21. September: Merz hält Kurs
Merz räumte bei der Pressekonferenz ein, dass das Ergebnis in Mecklenburg-Vorpommern ein „Desaster" sei. Doch er sicherte zu, an seinem Reformprogramm festzuhalten – und damit auch an der KI-Strategie der Bundesregierung. Bereits seit Anfang des Jahres trifft sich der Strategiekreis für Technologie und Innovation unter Vorsitz des Bundeskanzlers. Im dritten Treffen dieser Runde, das ebenfalls in dieser Woche im Bundeskanzleramt stattfand, standen industrielle KI und die Innovationsbeschleunigung im Verteidigungsbereich im Vordergrund.
Das Ziel: Deutschland soll bis 2030 zu den weltweit führenden KI-Nationen zählen. Besonders mittelständische Unternehmen sollen dabei in die Lage versetzt werden, KI-Systeme sicher und regelkonform einzusetzen. Die politische Lage in Berlin mag turbulent sein – die rechtliche Entwicklung auf EU-Ebene folgt ihrem eigenen Kalender.
Für IT-Experten ist der Subtext der Pressekonferenz klar: Die Bundesregierung wird die regulatorischen Verpflichtungen aus dem EU AI Act nicht zurückdrehen, unabhängig von Wahlniederlagen. Das bedeutet für Unternehmen: Wer die KI-Compliance aufgeschoben hat, kann das nicht weiter tun.
Der EU AI Act: Längst in Kraft, aber noch nicht überall angekommen
Was viele Unternehmen unterschätzen: Der EU AI Act ist kein Zukunftsprojekt mehr. Die Verordnung ist am 1. August 2024 in Kraft getreten, und die wichtigsten Fristen laufen bereits seit Monaten:
- 2. Februar 2025: Verbote für unzulässige KI-Systeme traten in Kraft
- 2. August 2026: Pflichten für Anbieter von Allzweck-KI-Modellen (GPAI) sowie Transparenzpflichten für bestimmte KI-Systeme
- 2. August 2027: Vollständige Compliance für Hochrisiko-KI in regulierten Produkten
Die Frist vom 2. August 2026 ist bereits verstrichen. Sie betrifft unter anderem KI-gestützte Chatbots, automatisierte Entscheidungssysteme und die Kennzeichnung von KI-generierten Inhalten. Unternehmen, die seit diesem Datum bestimmte KI-Anwendungen ohne die vorgeschriebene Kennzeichnung oder Dokumentation einsetzen, riskieren Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Bei schwerwiegenden Verstößen, etwa dem Einsatz verbotener KI-Systeme zur sozialen Bewertung oder zur unbewussten Beeinflussung, steigen die Strafen auf bis zu 35 Millionen Euro oder 7 Prozent des Jahresumsatzes.
Das klingt nach einem Problem für DAX-Konzerne. Es ist aber längst eines für den Mittelstand.
Was IT-Fachleute jetzt als größte Lücken identifizieren
Aus der Praxis von IT-Beratern, die Unternehmen bei der KI-Compliance begleiten, zeichnen sich drei Kernprobleme ab, die derzeit am häufigsten übersehen werden:
Fehlende KI-Inventarisierung: Viele Unternehmen nutzen KI-Funktionen, ohne sie systematisch als solche erfasst zu haben – etwa in HR-Software mit automatisierten Bewerberfiltern, in CRM-Tools mit Scoring-Funktionen oder in Kundenservice-Chatbots. Eine vollständige Liste aller eingesetzten KI-Systeme ist die Grundvoraussetzung jeder Compliance.
Keine Kennzeichnung von KI-generierten Inhalten: Seit dem 2. August 2026 müssen in bestimmten Kontexten KI-generierte Texte, Bilder und Audioformate als solche erkennbar sein. Viele Marketingabteilungen arbeiten intensiv mit KI-Tools, ohne dies gegenüber Endkunden oder in Medienangeboten offenzulegen – ein klassischer Fallstrick, auf den Aufsichtsbehörden zunehmend aufmerksam werden. Mehr dazu im Artikel KI-Kennzeichnungspflicht 2026: Was Ihr Unternehmen jetzt wissen muss.
Fehlende interne Governance: Der EU AI Act verlangt für Hochrisiko-Systeme ein Risikomanagementsystem, Protokollierung und regelmäßige Überprüfungen. Ohne eine klar benannte Zuständigkeit im Unternehmen – oft ein KI-Beauftragter oder ein internes Komitee – ist das kaum umsetzbar. Ohne eine klar benannte Zuständigkeit – einen KI-Beauftragten oder ein internes Komitee – ist das für die meisten mittelständischen Betriebe kaum umsetzbar.
Konkreter Fall: Was dem mittelständischen Online-Händler jetzt droht
Stellen Sie sich einen deutschen E-Commerce-Anbieter mit 28 Mitarbeitern und 4,2 Millionen Euro Jahresumsatz vor. Das Unternehmen hat seit Januar 2026 einen KI-Chatbot im Kundendienst eingesetzt, der Kaufhistorien analysiert und personalisierte Produktempfehlungen in Echtzeit ausspielt. Das Modell stammt von einem US-amerikanischen GPAI-Anbieter; eingebunden wurde es über eine API ohne weitere Anpassung der vorgegebenen Nutzungsbedingungen.
Ab dem 2. August 2026 gilt für diesen Fall: Der Online-Shop ist als „Deployer" im Sinne des EU AI Act verpflichtet,
- Kunden zu Beginn jedes Chatgesprächs transparent zu machen, dass sie mit einem KI-System kommunizieren,
- die Nutzung des Systems in einem Protokoll festzuhalten,
- sicherzustellen, dass das System keine psychologischen Schwachstellen zur Kaufentscheidungsbeeinflussung ausnutzt.
Wenn diese Pflichten nicht erfüllt sind: Droht dem Unternehmen nach aktuellem Bußgeldrahmen eine Strafe von bis zu 3 Prozent des globalen Jahresumsatzes – in diesem konkreten Beispiel bis zu 126.000 Euro. Das mag überschaubar klingen; kombiniert mit einem Bußgeldbescheid der zuständigen Marktüberwachungsbehörde und einem Medienbericht ist es für ein 28-Personen-Unternehmen existenzrelevant.
Wird zudem festgestellt, dass der Chatbot personalisierte Preissetzung auf Basis sensibler Nutzerdaten – etwa bei Gesundheitsprodukten – betrieben hat, kann eine Hochrisiko-Einstufung erfolgen. Dann gelten schärfere Dokumentations- und Auditpflichten, und Bußgelder können bis zu 35 Millionen Euro erreichen.
Wann braucht dieses Unternehmen einen IT-Experten? Spätestens jetzt. Ein auf KI-Compliance spezialisierter IT-Berater kann in einem ersten Audit – typischerweise zwischen 1.200 und 3.800 Euro – klären, ob der bestehende Chatbot den aktuellen Anforderungen entspricht, welche Dokumentation fehlt und ob Anpassungen beim Anbietervertrag notwendig sind. Das ist deutlich günstiger als das Bußgeld.
Was Merz' Kurs für die Frist 2027 bedeutet
Merz' Beharren auf dem Reformkurs ist aus IT-Compliance-Sicht keine schlechte Nachricht – aber eine mit Doppelcharakter. Einerseits signalisiert die Bundesregierung Investitionsbereitschaft: Der Strategiekreis für Technologie und Innovation soll konkrete Fördermaßnahmen für Unternehmen entwickeln, die KI verantwortungsvoll einsetzen. Laut Bundesregierung sind bis Ende 2026 neue Förderprogramme für KI-Implementierungen im Mittelstand geplant.
Andererseits: Die nächste große Compliance-Frist naht bereits. Ab dem 2. August 2027 müssen auch Hochrisiko-KI-Systeme, die in regulierten Produkten integriert sind – etwa Medizingeräte mit KI-Komponenten, Fahrerassistenzsysteme oder HR-Software mit automatisiertem Bewerbermanagement – vollständig konform sein. Für produzierende Unternehmen und die Automobilzulieferindustrie bedeutet das: Wer jetzt nicht mit der Vorbereitung beginnt, steht in elf Monaten unter akutem Druck.
Was Sie jetzt konkret tun sollten
Die politische Lage in Berlin bleibt unsicher – die EU-Rechtslage ist es nicht. Unabhängig davon, ob die Koalition die nächsten Monate übersteht, gelten die Bußgeldregeln des EU AI Act ab sofort. Fünf Schritte sollten Unternehmen jetzt einleiten:
- KI-Inventarisierung starten: Welche Systeme im Unternehmen nutzen KI oder maschinelles Lernen – auch wenn sie als „smarte Features" vermarktet werden?
- Deployment-Rolle klären: Sind Sie Anbieter oder Betreiber eines KI-Systems? Die Pflichten und Haftungsrisiken unterscheiden sich erheblich.
- Dokumentation prüfen und anlegen: Existieren technische Dokumentationen, Risikoabschätzungen und Nutzungsprotokolle? Falls nicht, besteht unmittelbarer Handlungsbedarf.
- Kennzeichnungspflichten umsetzen: Besonders für chatbasierte Systeme und KI-generierte Marketingmaterialien gilt das seit dem 2. August 2026.
- IT-Experten konsultieren: Besonders wenn das interne Know-how für eine belastbare Risikobewertung fehlt – und das ist bei den meisten mittelständischen Betrieben der Fall.
Ein IT-Consultant mit KI-Compliance-Schwerpunkt kann nicht nur bestehende Risiken aufdecken, sondern auch helfen, Fördermittel für regelkonforme KI-Implementierungen zu beantragen – eine Kombination, die sich im ersten Jahr häufig rechnet.
Hinweis: Dieser Artikel dient der allgemeinen Information über rechtliche und technische Entwicklungen. Er stellt keine Rechts- oder IT-Fachberatung dar. Für eine auf Ihr Unternehmen zugeschnittene Einschätzung empfehlen wir das Gespräch mit einem qualifizierten IT-Experten.
