Wo der Mittelstand im Mai 2026 steht

Vier Monate vor der Hauptfrist am 2. August 2026 haben laut Bitkom KI-Barometer 2026 nur 24 % der deutschen KMU sich ernsthaft mit dem EU AI Act beschäftigt. Gleichzeitig nutzt jeder vierte Mittelständler bereits KI im Unternehmen — meist ohne Risikoklassifizierung, ohne Kompetenz-Nachweis, ohne Dokumentation. In diesem Artikel siehst du wo der Mittelstand im Mai 2026 wirklich steht und welche drei Fristen jetzt im Kalender stehen müssen.

Wer am 2. August 2026 keinen dokumentierten KI-Bestand vorweisen kann, haftet — egal ob er ChatGPT-Plus zur E-Mail-Beantwortung nutzt oder ein eigenes Modell betreibt.

Wer ist betroffen — und welche Fristen gelten wirklich

Der EU AI Act unterscheidet zwischen Anbieter und Betreiber eines KI-Systems. Wenn du als Mittelständler ein zugekauftes Tool nutzt (ChatGPT-Plus, Microsoft Copilot, Intercom-Bot), bist du Betreiber. Wenn du ein eigenes Modell trainierst oder fine-tunest und für andere bereitstellst, bist du auch Anbieter — und damit haftest du doppelt.

Nach dem Digital Omnibus Deal vom 7. Mai 2026 sehen die wichtigsten Fristen jetzt so aus:

  • Bereits aktiv seit 2. Februar 2025: Die KI-Kompetenzpflicht nach Art. 4 EU AI Act. Jeder Mitarbeitende der KI bedient oder Ergebnisse nutzt, muss nachweisbar geschult sein.
  • Bereits aktiv seit 2. August 2025: GPAI-Pflichten für Anbieter von Allgemein-KI (GPT-4o, Claude 4.x, Gemini 2.x). Betrifft dich indirekt — du musst die Anbieter-Doku archivieren.
  • 2. August 2026: Transparenzpflichten nach Art. 50 (Chatbot- und KI-Content-Markierung). Verbotene Praktiken voll wirksam. Strafen scharf gestellt.
  • 2. Dezember 2027: Verschoben durch den Digital Omnibus — Hochrisiko-KI nach Annex III (Personal-Auswahl, Kredit-Scoring, kritische Infrastruktur).
  • 2. August 2028: Annex I (KI in regulierten Produkten wie Fahrzeugen oder Medizinprodukten).

Die Kategorie Small Mid Caps — bis 750 Mitarbeitende und 150 Mio. € Umsatz — bekommt vereinfachte Konformitätsbewertungen und reduzierte Dokumentationspflichten. Der klassische deutsche Mittelstand fällt damit fast komplett unter Erleichterungen, die früher nur für echte KMU bis 250 MA galten.

Was die Bitkom-Zahlen über die Realität verraten

Drei Zahlen aus dem KI-Barometer 2026 erzählen die Geschichte:

  • 25 % der deutschen KMU nutzen aktiv KI (von 21 % im Vorjahr). Die Adoption wächst, die Compliance läuft hinterher.
  • 53 % beklagen fehlende interne Kompetenzen. Das ist nicht nur ein Schulungsproblem — es ist Art. 4 in Lebensgröße.
  • 69 % brauchen Unterstützung bei der Umsetzung, aber nur 24 % haben sich ernsthaft eingearbeitet. Die Lücke ist 45 Prozentpunkte breit.

In Deutschland übernimmt das BSI ab August 2026 die Aufsicht — Grundlage ist das im Februar 2026 beschlossene KI-MIG-Gesetz (KI-Maßnahmen- und Innovationsgesetz). Mit aktiven Prüfungen ist also nicht erst 2027 zu rechnen.

Was bis 2. August 2026 erledigt sein muss

Die folgenden fünf Schritte sind die Pflicht-Hausaufgaben für jeden Mittelständler — unabhängig davon ob du KI selbst entwickelst oder nur zukaufst:

  1. KI-Inventar anlegen. Liste alle KI-Systeme im Unternehmen — auch eingebettete Funktionen in Bestands-Software (Salesforce Einstein, M365 Copilot, Notion AI). Format: System-Name, Anbieter, Einsatzbereich, Datenkategorien.
  2. Risikoklassifizierung pro System. Vier Klassen: niedrig, begrenzt (Transparenzpflicht), hoch (Annex III), inakzeptabel (verboten). Die Klassifizierung wird dokumentiert, nicht delegiert.
  3. Rollen klären — Anbieter oder Betreiber? Pro System. Bei eigenem Fine-Tuning bist du Anbieter UND Betreiber. Beide Rollen haben unterschiedliche Pflichten.
  4. Art. 4 Kompetenz-Nachweis. Schulungs-Plan für alle KI-bedienenden Mitarbeitenden plus Dokumentation der Schulungen. Das BMWK-Netzwerk Mittelstand-Digital bietet kostenlose Formate.
  5. Transparenz-Pfade aufsetzen. Wenn dein Chatbot ab 2. August 2026 Kundenanfragen beantwortet, muss er sich als KI zu erkennen geben. KI-generierter Content muss markierbar sein.

Beispiel: KI-Kompetenz-Register für einen Mittelständler mit 80 MA

So sieht ein Minimal-Eintrag aus, mit dem du bei einer BSI-Prüfung im Herbst 2026 nicht durchfällst:

Beispiel-Eintrag: ChatGPT-Plus — Risikoklasse begrenzt — Betreiber — OpenAI (US) — Frist 02.08.2026 — Schulung Q2/2026. M365 Copilot — Risikoklasse begrenzt — Betreiber — Microsoft (US) — Frist 02.08.2026 — Schulung Q2/2026. Recruiter-Tool — Risikoklasse HOCH — Betreiber + Anbieter — inhouse — Frist 02.12.2027 — Schulung Q3/2026. Aufsicht: BSI · Rechtsgrundlage: KI-MIG · Stand: 2026-05-22 · Verantwortlich: GF + Datenschutzbeauftragter.

Drei Spalten reichen technisch nicht, aber so ein Register ist auditfähig, druckbar, und macht dir intern klar wo dein höchstes Risiko sitzt (das Recruiter-Tool in diesem Beispiel — Personal-Auswahl = Annex III).

Wo der Mittelstand jetzt noch Zeit hat — und wo nicht

Die gute Nachricht des Digital Omnibus: Wer nur Annex-III-Systeme im Einsatz hat (Personal-Tools, Kredit-Scoring), hat bis Dezember 2027 Zeit für die vollständige technische Doku. Die schlechte Nachricht: Transparenzpflicht, KI-Inventar und Art. 4 Kompetenz-Nachweis sind nicht verschoben. Diese drei Bausteine müssen am 2. August 2026 stehen.

Bei Strafen reden wir nicht über Symbolik: bis zu 35 Mio. € oder 7 % des globalen Jahresumsatzes — gerechnet vom Konzern, nicht vom Standort.

---

Weiterlesen im Wissen-Hub

Wenn du tiefer in die Pflicht-Mechanik willst: EU AI Act Mittelstand 2026 erklärt die Risikoklassen mit Beispielen. Was den Unterschied zwischen einem Chatbot und einem echten Agenten ausmacht, liest du im Artikel KI-Agenten vs ChatGPT. Und warum 70 % der Digitalisierungsprojekte im deutschen Mittelstand trotz Fördergeld scheitern: hier entlang.