KI Marktüberwachung im Mittelstand: EU AI Act, KI-MIG und was das für Ihren Betrieb wirklich bedeutet
Inhaltsverzeichnis
Veröffentlicht: 23. Juli 2026 · Lesezeit: ca. 12 Minuten
Aktuell häufen sich Meldungen über aktiv ausgenutzte Sicherheitslücken in verbreiteter Unternehmenssoftware: So warnte heise Security im Juli über laufende Angriffe auf eine kritische Microsoft-SharePoint-Schwachstelle, die viele mittelständische Betriebe betrifft, die SharePoint noch lokal oder hybrid betreiben. Wer glaubt, solche Meldungen seien nur etwas für große Konzerne, irrt: Angreifer suchen gezielt nach ungepatchten Systemen – unabhängig von der Unternehmensgröße.
Gleichzeitig rückt mit dem EU AI Act ein zweites Regulierungsthema in den Alltag: Wer KI-Systeme einsetzt, hat ab sofort Pflichten – auch ohne eigene Softwareentwicklung. Für viele Inhaber und Geschäftsführer stellen sich dabei drängende Fragen: Bin ich als Betreiber überhaupt betroffen? Was unterscheidet den EU AI Act vom neuen deutschen KI-MIG-Gesetz? Und was muss ich tatsächlich tun?
Die KI Marktüberwachung Mittelstand ist kein abstraktes Brüsseler Thema mehr – sie ist seit Februar 2025 in deutsches Recht eingewachsen und wird ab August 2026 mit handfesten Bußgeldern unterlegt. Wer als Unternehmen KI-Tools einsetzt, muss verstehen, welche Rolle er dabei spielt: Hersteller oder Betreiber? Die Antwort auf diese Frage entscheidet darüber, wie umfangreich die eigenen Compliance-Pflichten tatsächlich sind.
Für kleine und mittlere Betriebe lautet die beruhigende Nachricht: Die allermeisten KMU sind Betreiber, nicht Entwickler von KI-Systemen. Die Pflichten für Betreiber sind deutlich überschaubarer als jene für Hersteller – aber sie existieren. Wer heute nichts tut, riskiert nicht nur Bußgelder, sondern auch Wettbewerbsnachteile gegenüber Mitbewerbern, die bereits KI-Strategie und Dokumentation vorweisen können.
Dieser Artikel vergleicht zwei grundlegende Handlungsoptionen: den EU AI Act als europäische Grundlage auf der einen Seite und das neue deutsche KI-MIG-Gesetz auf der anderen – und zeigt, was das konkret für Ihren Betriebsalltag bedeutet. Sie erfahren, welche Pflichten Sie jetzt erfüllen müssen, wo Fördermittel helfen und wie Sie sich ohne überdimensionierten Aufwand regelkonform aufstellen.
| Kennzahl | Wert | Quelle |
|---|---|---|
| Mittelständler in Deutschland, die bereits KI einsetzen | 33,1 % | DMB/Salesforce KI-Index Mittelstand, Feb. 2025 |
| Mittelständler ohne konkrete KI-Strategie | ca. 43 % | DMB/Salesforce KI-Index Mittelstand, Feb. 2025 |
| Nennen rechtliche Unsicherheiten als KI-Hindernis | 21 % | DMB/Salesforce KI-Index Mittelstand, Feb. 2025 |
| Maximales Bußgeld bei Verstoß gegen verbotene KI-Praktiken (EU AI Act) | 35 Mio. € oder 7 % des Jahresumsatzes | EU AI Act (gültig ab Aug. 2026) |
Die Entscheidung, vor der viele Betriebe gerade stehen
Rund ein Drittel der mittelständischen Unternehmen in Deutschland setzt bereits KI-Lösungen ein – doch fast die Hälfte hat noch keine konkrete Strategie dafür (DMB/Salesforce KI-Index Mittelstand). Für die KI Marktüberwachung Mittelstand ist das eine problematische Lücke: Wer KI nutzt, ohne zu wissen, welche regulatorischen Pflichten damit verbunden sind, bewegt sich auf unsicherem Terrain.
Die Entscheidung, vor der viele Inhaber und Geschäftsführer stehen, ist dabei keine technische, sondern eine strategische: Behandle ich KI-Regulierung als externe Bürokratie, die ich so gut es geht ignoriere – oder als strukturelle Chance, mein Unternehmen zukunftsfähig aufzustellen? Ein Maschinenbaubetrieb aus dem Raum Duderstadt etwa, der KI-gestützte Qualitätsprüfsysteme einsetzt, ist als Betreiber eines möglicherweise hochrisikorelevanten Systems direkt angesprochen.
Im Kern geht es um zwei Regelwerke, die nebeneinander existieren und sich ergänzen:
- Den EU AI Act – die europäische Verordnung mit unmittelbarer Rechtswirkung in allen Mitgliedstaaten
- Das KI-MIG (KI-Marktüberwachungs- und Innovationsförderungsgesetz) – das deutsche Ausführungsgesetz, das EU-Vorgaben in nationales Recht überführt
Beide Regelwerke zusammen definieren, wer was überwacht, wer haftet und welche Systeme besonders streng behandelt werden. Die Digitalisierungsberatung der TTG GmbH begleitet Betriebe in Nordthüringen und dem Eichsfeld dabei, diese Fragen systematisch zu klären – bevor der Gesetzgeber es erzwingt.
Die konkrete Handlungsempfehlung für diesen ersten Schritt:
- Erstellen Sie eine Liste aller KI-Systeme, die Ihr Betrieb nutzt oder plant einzusetzen
- Klären Sie für jedes System: Sind Sie Betreiber oder Entwickler?
- Ordnen Sie grob ein, ob das System in eine Risikokategorie des EU AI Acts fallen könnte
- Prüfen Sie, ob Ihre KI-Nutzung bereits dokumentiert ist – Dokumentationspflichten gelten bereits jetzt
Der EU AI Act: Was er leistet – und wo er endet
Der EU AI Act ist seit August 2024 in Kraft und entfaltet seine Wirkung schrittweise. Verbote für inakzeptable KI-Praktiken – etwa Social Scoring oder manipulative Systeme – gelten seit Februar 2025. Anforderungen an allgemeine KI-Modelle (sogenannte GPAI-Modelle wie große Sprachmodelle) greifen seit August 2025. Die vollständige Hochrisiko-Regulierung folgt im August 2026.
Für die KI Marktüberwachung Mittelstand ist dabei entscheidend: Die Risikoeinstufung bestimmt die Pflichten. Das risikobasierte Modell der EU unterscheidet vier Stufen:
- Unakzeptables Risiko: Verboten – Betreiber dürfen solche Systeme nicht einsetzen
- Hochrisiko: Strenge Pflichten zur Dokumentation, Transparenz und menschlicher Aufsicht (z.B. KI in Kreditvergabe, medizinischer Diagnose, Personalentscheidungen)
- Begrenztes Risiko: Transparenzpflichten (z.B. Chatbots müssen als KI erkennbar sein)
- Minimales Risiko: Keine gesonderten Pflichten – hierunter fallen die meisten KI-Tools im Büroalltag
Stärken des EU AI Acts: Er schafft einen einheitlichen europäischen Rahmen, ist unmittelbar geltendes Recht und gibt klare Definitionen vor. Wer sich daran orientiert, ist europaweit regelkonform – ohne nationale Zusatzanforderungen fürchten zu müssen. Das BSI gibt konkrete Empfehlungen, wie Unternehmen KI sicher einsetzen und dabei die Vorgaben des AI Acts umsetzen können.
Grenzen des EU AI Acts: Er ist komplex, enthält viele unbestimmte Rechtsbegriffe und lässt Interpretationsspielraum. Für kleine Betriebe ohne Rechtsabteilung ist die Einordnung eigener KI-Systeme oft schwierig. Hinzu kommt: Der Act regelt primär den Markt – nicht die konkrete Umsetzung nationaler Aufsichtsmechanismen.
- Prüfen Sie mit Datensicherheit beim KI-Einsatz – TTG GmbH, ob Ihre KI-Anwendungen transparent und dokumentiert betrieben werden
- Stellen Sie sicher, dass Sie für Hochrisiko-Systeme eine menschliche Aufsicht nachweisen können
- Halten Sie Nutzungsverträge mit KI-Anbietern auf Konformitätserklärungen hin durch
Das KI-MIG: Deutschlands schlanke Antwort auf europäische Vorgaben
Das Bundeskabinett hat den Entwurf des KI-Marktüberwachungs- und Innovationsförderungsgesetzes (KI-MIG) mit dem erklärten Ziel beschlossen, die EU-Vorgaben „so schlank wie möglich“ umzusetzen – ausdrücklich ohne nationale Zusatzbelastungen für Unternehmen. Für die KI Marktüberwachung Mittelstand ist das eine wichtige Botschaft: Deutschland will kein deutsches Sonderrecht auf dem EU AI Act aufsetzen.
Das KI-MIG regelt im Wesentlichen drei Bereiche:
- Aufsichtsstruktur: Die Bundesnetzagentur übernimmt die zentrale Marktüberwachungsrolle in Deutschland – sie wird zur nationalen KI-Behörde
- Sanktionsrahmen: Das Gesetz überträgt die Bußgeldtatbestände des EU AI Acts in deutsches Recht – bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei schwersten Verstößen
- Innovationsförderung: Es soll Experimentierräume (sog. KI-Sandboxes) ermöglichen, in denen Unternehmen neue KI-Systeme unter erleichterten Bedingungen erproben können
Stärken des KI-MIG: Es schafft Rechtssicherheit darüber, welche Behörde in Deutschland zuständig ist – das war bisher unklar. Es schließt eine Lücke zwischen europäischem Recht und nationalem Vollzug. Und es enthält mit den KI-Sandboxes einen Mechanismus, der gerade für innovationsfreudige mittelständische Betriebe interessant sein kann.
Grenzen des KI-MIG: Es fügt dem EU AI Act inhaltlich kaum etwas hinzu – wer den Act kennt, kennt im Wesentlichen auch das KI-MIG. Es regelt keine branchenspezifischen Besonderheiten (z.B. für Handwerk oder Gesundheitswesen), die im Mittelstand häufig relevant sind. Außerdem befindet sich das Gesetz noch im parlamentarischen Verfahren – finale Fassung und Inkrafttreten stehen noch aus.
- Verfolgen Sie den Fortschritt des KI-MIG über das BMWK – Digitalisierung im Mittelstand
- Notieren Sie sich die Bundesnetzagentur als künftige Anlaufstelle bei Auslegungsfragen
- Prüfen Sie, ob KI-Sandbox-Teilnahmen für Ihr Unternehmen relevante Erprobungsfelder eröffnen könnten
- Sprechen Sie Ihren IT-Partner darauf an, wie eine ISO/IEC-27001-konforme Dokumentation Ihre KI-Compliance stärkt – ISO/IEC 27001 zertifiziert – TTG GmbH
EU AI Act vs. KI-MIG: Wann lohnt sich welcher Fokus?
Für die KI Marktüberwachung Mittelstand ist die entscheidende Frage nicht „EU AI Act oder KI-MIG?“ – beide gelten parallel. Die eigentliche Entscheidung lautet: Wo setze ich meinen Compliance-Fokus an, gegeben meiner Unternehmensgröße, meiner KI-Nutzung und meiner verfügbaren Ressourcen?
Die folgende Tabelle gibt eine Orientierung:
| Ihre Situation | Empfohlener Fokus | Warum |
|---|---|---|
| Nutzen Standard-KI-Tools (z.B. Copilot, ChatGPT) im Büro | EU AI Act – minimales Risiko | Keine gesonderten Pflichten, aber Transparenz im Team dokumentieren |
| Setzen KI in personalrelevanten oder medizinischen Prozessen ein | EU AI Act – Hochrisiko-Prüfung | Dokumentation und menschliche Aufsicht sind Pflicht |
| Wollen KI-Systeme selbst entwickeln oder anpassen | EU AI Act + KI-MIG vollständig | Herstellerpflichten sind deutlich umfangreicher als Betreiberpflichten |
| Möchten neue KI-Anwendungen testen, bevor sie produktiv gehen | KI-MIG – KI-Sandbox | Erleichterte Bedingungen für Pilotprojekte möglich |
| Suchen Klarheit über zuständige Aufsichtsbehörde | KI-MIG – Bundesnetzagentur | Zentrale Anlaufstelle für Auslegungsfragen in Deutschland |
Für die meisten mittelständischen Betriebe gilt: Sie sind Betreiber – und damit liegt Ihr Compliance-Schwerpunkt auf drei Kernpflichten des EU AI Acts: Risikobewertung der eingesetzten Systeme, Dokumentation der KI-Nutzung und Sicherstellung menschlicher Kontrollmechanismen bei kritischen Entscheidungen.
Für Betriebe, die Fördermittel für den Einstieg in die KI-Compliance nutzen möchten, lohnt sich ein Blick auf die Förderberatung für Digitalisierungsprojekte – TTG GmbH. Programme von BAFA und BMWK fördern gezielt Beratungsleistungen rund um Digitalisierung und KI-Einstieg – auch für kleinere Betriebe mit unter 50 Mitarbeitern.
- Ordnen Sie jedes eingesetzte KI-System in eine der vier Risikokategorien ein
- Legen Sie fest, wer in Ihrem Betrieb für KI-Compliance verantwortlich ist
- Fragen Sie KI-Anbieter nach deren Konformitätserklärung gemäß EU AI Act
- Prüfen Sie Fördermöglichkeiten für eine professionelle KI-Compliance-Beratung
Was die Praxis zeigt: Erfahrungen aus Betrieben der Region
In der Beratungspraxis – bei Handwerksbetrieben aus dem Eichsfeld ebenso wie bei Maschinenbauern aus dem Raum Duderstadt – zeigt sich ein wiederkehrendes Muster: Betriebe nutzen KI-Funktionen bereits, ohne es als solche zu benennen. Wer die KI-Vorschlagsfunktion in seiner Buchhaltungssoftware nutzt oder automatisierte E-Mail-Klassifizierung in Outlook aktiviert hat, setzt KI ein – oft ohne das in einer Inventarliste zu führen.
Genau das ist der erste Schritt, der vielen Betrieben fehlt: eine vollständige Bestandsaufnahme der tatsächlich eingesetzten KI-Systeme. Als ISO/IEC 27001-zertifizierter IT-Partner mit über 25 Jahren Erfahrung in Nordthüringen und dem Eichsfeld sehen wir bei der TTG GmbH, dass dieser Schritt in einem einzigen strukturierten Workshop-Nachmittag zu leisten ist – ohne monatelange Projekte.
Was erfahrene Betriebe dabei lernen:
- Der Aufwand für Betreiber-Compliance ist deutlich geringer als befürchtet – eine klare Dokumentation und ein definierter Ansprechpartner reichen für den Einstieg
- KI-Strategie und KI-Compliance schließen sich nicht aus – wer Compliance strukturiert angeht, entwickelt nebenbei eine Strategie für den KI-Einsatz
- Betriebe mit bestehender IT-Sicherheitsstruktur (z.B. nach ISO 27001) haben bei der KI-Dokumentation einen erheblichen Vorsprung
Zum Kostenrahmen: Eine professionelle Erstbewertung der KI-Compliance ist für die meisten KMU im niedrigen vierstelligen Bereich realisierbar – förderfähig über das BAFA-Programm „Förderung unternehmerischen Know-hows“. Das Bitkom-Portal zu KI im Mittelstand liefert ergänzend branchenspezifische Orientierung und aktuelle Praxisbeispiele.
Die IT-Infrastruktur für den digitalen Wandel – TTG GmbH bildet dabei die technische Grundlage: Wer seine Systeme im Griff hat, kann KI-Tools sicher und regelkonform integrieren – ohne die bestehende IT zu gefährden.
Unsere Einschätzung: Welche Option für welchen Betrieb passt
EU AI Act und KI-MIG sind keine Alternativen, zwischen denen Sie wählen müssen – sie sind zwei Ebenen desselben Regulierungsrahmens. Wer das versteht, spart sich unnötige Komplexität. Für die KI Marktüberwachung Mittelstand lautet unsere klare Einschätzung: Der EU AI Act ist Ihre Pflichtlektüre, das KI-MIG Ihr nationaler Kompass.
Für Betriebe bis 50 Mitarbeiter, die KI-Tools im Büroalltag nutzen, reicht ein schlankes Compliance-Fundament: Systemliste, Risikobewertung, ein benannter Ansprechpartner und eine knappe Dokumentation der KI-Nutzung. Das ist in einem halben Tag erledigt und schützt Sie vor den wesentlichen Risiken.
Für Betriebe mit 50–250 Mitarbeitern, die KI in personalrelevanten, medizinischen oder sicherheitskritischen Prozessen einsetzen, empfehlen wir eine vollständige Hochrisiko-Prüfung mit externer Begleitung. Hier sind Bußgelder bis zu 15 Millionen Euro oder 3 % des Jahresumsatzes realistisch – das ist kein theoretisches Risiko.
Für Betriebe, die KI selbst entwickeln oder wesentlich anpassen, gilt: Sie sind Hersteller. Die Pflichten sind deutlich umfangreicher. Hier brauchen Sie rechtliche und technische Begleitung – von Anfang an.
Was wir in Südniedersachsen und Nordthüringen immer wieder feststellen: Betriebe, die frühzeitig eine klare KI-Governance aufgebaut haben, profitieren doppelt – sie sind compliant und haben nebenbei die Grundlage für einen strategisch kontrollierten KI-Ausbau gelegt. Das ist kein Zufall.
Wenn Sie wissen möchten, wo Ihr Betrieb heute steht, empfehlen wir ein erstes Gespräch ohne Verpflichtung: Digitalisierungs-Potenzial prüfen lassen – wir schauen gemeinsam, welche KI-Systeme Sie nutzen, wie Ihr Risikoprofil aussieht und welche Schritte sinnvoll sind.
Ihre Checkliste: So starten Sie jetzt
- Inventarisieren Sie alle KI-Systeme, die Ihr Betrieb aktuell nutzt – inklusive eingebetteter KI-Funktionen in Standardsoftware (Office, ERP, CRM).
- Klären Sie für jedes System, ob Sie als Betreiber oder als Hersteller/Anpasser auftreten – das bestimmt den Umfang Ihrer Pflichten.
- Ordnen Sie Ihre KI-Anwendungen einer der vier Risikokategorien des EU AI Acts zu (verboten / Hochrisiko / begrenztes Risiko / minimales Risiko).
- Benennen Sie intern eine verantwortliche Person für KI-Compliance – auch in kleinen Betrieben reicht eine Teilverantwortung aus.
- Dokumentieren Sie Ihre KI-Nutzung in einer kurzen Übersicht: Welches System, welcher Anbieter, welcher Einsatzzweck, welche Risikoeinstufung.
- Fordern Sie von Ihren KI-Anbietern eine Konformitätserklärung gemäß EU AI Act an und archivieren Sie diese.
- Prüfen Sie Fördermöglichkeiten über BAFA oder BMWK für eine externe KI-Compliance-Beratung – viele Programme sind auch für kleinere Betriebe offen.
- Sprechen Sie mit Ihrem IT-Partner über die Integration von KI-Governance in Ihre bestehende IT-Sicherheitsstruktur – das spart doppelten Aufwand.
Häufig gestellte Fragen
Gilt der EU AI Act auch für meinen kleinen Betrieb mit 10 Mitarbeitern?
Ja – der EU AI Act gilt grundsätzlich für alle Unternehmen, die KI-Systeme in der EU einsetzen, unabhängig von der Größe. Allerdings sind die Pflichten für Betreiber von Systemen mit minimalem Risiko sehr überschaubar. Wer nur Standard-KI-Tools im Büroalltag nutzt, muss vor allem Transparenz gewährleisten und die Nutzung dokumentieren. Ein KMU mit 10 Mitarbeitern, das keinen KI-Chatbot öffentlich betreibt und keine hochrisikorelevanten Prozesse automatisiert, hat in der Regel keine aufwändigen Compliance-Pflichten.
Was unterscheidet den EU AI Act vom KI-MIG konkret?
Der EU AI Act ist europäisches Recht, das unmittelbar in allen EU-Staaten gilt und die inhaltlichen Anforderungen definiert. Das KI-MIG ist das deutsche Ausführungsgesetz, das regelt, wer in Deutschland die Aufsicht übernimmt (Bundesnetzagentur), wie Bußgelder national vollzogen werden und welche Experimentierräume es gibt. Für Ihren Betrieb bedeutet das: Die Pflichten kommen aus dem EU AI Act – das KI-MIG sagt, wer in Deutschland darüber wacht.
Welche Bußgelder drohen mir bei Verstößen?
Das hängt von der Schwere des Verstoßes ab. Werden verbotene KI-Praktiken eingesetzt, drohen bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Bei Verstößen gegen Hochrisiko-Pflichten sind es bis zu 15 Millionen Euro oder 3 % des Umsatzes. Bei falschen Auskünften gegenüber Behörden bis zu 7,5 Millionen Euro. Für kleine Betriebe gelten diese Maximalbeträge selten – trotzdem: Auch prozentuale Sanktionen können existenzbedrohend sein.
Muss ich meine KI-Nutzung gegenüber einer Behörde melden?
Nicht pauschal – aber für bestimmte Hochrisiko-Systeme gibt es Registrierungspflichten in einer EU-weiten Datenbank, die von der Europäischen Kommission betrieben wird. Für die meisten Betriebe, die Standard-KI-Software als Betreiber nutzen, besteht keine aktive Meldepflicht. Wichtig ist aber: Auf Anfrage der Bundesnetzagentur müssen Sie Auskunft über Ihre KI-Systeme geben können – ohne Dokumentation wird das schwierig.
Wann muss ich spätestens handeln?
Die Verbote für inakzeptable KI-Systeme gelten bereits seit Februar 2025. Die vollständigen Hochrisiko-Anforderungen greifen ab August 2026. Wer also Hochrisiko-Systeme betreibt, hat bis dahin Zeit zur Anpassung – sollte diese aber strukturiert nutzen und nicht bis zum letzten Moment warten. Betriebe, die heute mit einer Bestandsaufnahme starten, haben realistisch drei bis sechs Monate Vorlauf – das ist ausreichend für eine solide Grundlage.
Martin Trappe ist Geschäftsführer der TTG Daten- und Bürosysteme GmbH in Dingelstädt. Mit über 25 Jahren Erfahrung im IT-Mittelstand betreut er kleine und mittelständische Unternehmen in Nordthüringen, Eichsfeld und Südniedersachsen. Die TTG GmbH ist ISO/IEC 27001 zertifiziert – dem höchsten Standard für Informationssicherheit.
Kontakt aufnehmen · Über TTG GmbH
Wissen Sie heute, welche KI-Systeme in Ihrem Betrieb laufen – und welche davon ab August 2026 dokumentationspflichtig sind?
Digitalisierungspotenzial ausschöpfen
Welche Prozesse können Sie automatisieren? Die TTG GmbH analysiert Ihr Unternehmen und entwickelt einen praxisnahen Digitalisierungsplan für KMU im Eichsfeld.
