Der EU AI Act (Verordnung (EU) 2024/1689) gilt seit dem 2. August 2026 in weiten Teilen vollständig, und zwar auch für kleine Unternehmen. Eine Ausnahme nach Unternehmensgröße gibt es nicht. Was es aber gibt: eine kurze Liste von Pflichten für die typische kleine Kanzlei und eine lange Liste von Pflichten, die andere betreffen. Die meisten Artikel der Verordnung richten sich an Hersteller von KI-Systemen, nicht an eine Steuerkanzlei mit acht Mitarbeitern, die Copilot nutzt.
Genau diese Unterscheidung fehlt in den meisten Beiträgen zum Thema. Entweder wird der AI Act als Papiertiger abgetan, oder es wird mit 35 Millionen Euro Bußgeld gewedelt. Beides führt in die Irre. Hier ist die nüchterne Version für kleine Kanzleien, Steuerberater und Finanzberater.
Gilt der EU AI Act auch für kleine Unternehmen?
Ja. Die Verordnung kennt keine Bagatellgrenze nach Mitarbeiterzahl oder Umsatz. Eine Kanzlei mit fünf Leuten fällt genauso in den Anwendungsbereich wie ein Konzern, sobald sie KI-Systeme beruflich einsetzt.
Was die Verordnung aber sehr wohl kennt: unterschiedliche Rollen mit unterschiedlichen Pflichten. Und da liegt die eigentliche Antwort auf die Frage, was auf Sie zukommt.
Anbieter oder Betreiber: Ihre Rolle entscheidet
Der AI Act unterscheidet vor allem zwischen Anbietern und Betreibern. Anbieter entwickeln KI-Systeme oder bringen sie unter eigenem Namen auf den Markt. Betreiber setzen KI-Systeme in eigener Verantwortung ein.
Wenn Ihre Kanzlei ChatGPT, Copilot oder Gemini nutzt, sind Sie Betreiber. Microsoft, OpenAI und Google sind die Anbieter. Der Großteil der schweren Pflichten im AI Act (technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung, Risikomanagementsystem) trifft die Anbieter. Nicht Sie.
Das ist die wichtigste Nachricht dieses Beitrags: Als Betreiber von Standard-KI-Tools tragen Sie einen kleinen, gut abgrenzbaren Teil der Pflichten. Wer Ihnen etwas anderes verkaufen will, hat die Verordnung nicht gelesen oder verdient an Ihrer Angst.
Die vier Risikoklassen im Kanzleialltag
Der AI Act sortiert KI-Systeme nach Risiko. Für die Einordnung Ihrer Werkzeuge reicht diese Kurzfassung:
Verbotene Praktiken (seit Februar 2025): Social Scoring, manipulative Systeme, Emotionserkennung am Arbeitsplatz. Für eine normale Kanzlei praktisch nicht relevant, solange niemand auf die Idee kommt, die Stimmung der Mitarbeiter per KI auszuwerten.
Hochrisiko-Systeme: KI in Bereichen wie Personalauswahl, Kreditwürdigkeitsprüfung oder Justiz. Hier gelten die strengen Pflichten. Ob Sie betroffen sind, hängt vom Einsatzzweck ab, dazu gleich mehr.
Transparenzpflichtige Systeme: Chatbots und KI-generierte Inhalte. Wer einen Chatbot auf der Kanzlei-Website einsetzt, muss sicherstellen, dass Besucher erkennen können, dass sie mit einer Maschine sprechen. Bei den gängigen Anbieter-Lösungen ist das bereits eingebaut.
Minimales Risiko: alles andere. Textentwürfe, Zusammenfassungen, Recherche, Übersetzungen. Hier landet der allergrößte Teil der KI-Nutzung in kleinen Kanzleien. Der AI Act stellt dafür keine besonderen Anforderungen über die allgemeinen Pflichten hinaus.
Welche Pflichten Sie als kleine Kanzlei konkret haben
Wenn Ihre Kanzlei Standard-Tools wie Copilot oder ChatGPT für Entwürfe, Zusammenfassungen und Recherche einsetzt, bleiben im Kern drei Pflichten aus dem AI Act:
Erstens: die KI-Kompetenzpflicht aus Artikel 4. Sie gilt seit Februar 2025 und wird seit August 2026 durchgesetzt. Ihre Mitarbeiter müssen verstehen, welche Tools sie nutzen, wie diese mit Daten umgehen und wo die Grenzen liegen. Schulung, Nachweis, fertig. Ich habe die Details im Beitrag zur KI-Kompetenzpflicht nach Artikel 4 aufgeschlüsselt.
Zweitens: Transparenz, wo KI auf Menschen trifft. Kundenkontakt per Chatbot muss als solcher erkennbar sein. KI-generierte Bilder oder Videos, die echt wirken könnten, müssen gekennzeichnet werden. Für den internen Einsatz von Textwerkzeugen gilt das nicht.
Drittens: wissen, was im Haus läuft. Keine explizite Einzelpflicht, aber die Voraussetzung für alles andere. Ohne eine Liste der eingesetzten Tools können Sie weder schulen noch einordnen, ob ein Hochrisiko-Fall vorliegt. Eine dokumentierte Freigabeliste plus eine KI-Nutzungsrichtlinie decken das ab.
Das ist der Normalfall. Kein Risikomanagementsystem, keine Konformitätsbewertung, keine Meldepflichten.
Wann eine kleine Kanzlei doch in den Hochrisiko-Bereich rutscht
Hochrisiko ist keine Eigenschaft des Tools, sondern des Einsatzzwecks. Dieselbe Software kann harmlos oder hochriskant sein, je nachdem, wofür Sie sie verwenden.
Zwei Konstellationen sind für kleine Kanzleien und Beratungen realistisch:
Personalentscheidungen. Wer KI einsetzt, um Bewerbungen zu filtern, Kandidaten zu bewerten oder Entscheidungen über Beförderung und Kündigung vorzubereiten, bewegt sich im Hochrisiko-Bereich nach Anhang III der Verordnung. Das gilt auch, wenn das Tool nur “vorsortiert”.
Kreditwürdigkeit. KI-gestützte Bonitätsbewertungen natürlicher Personen sind Hochrisiko. Für Finanzberater, die mit entsprechenden Tools arbeiten, ist das der Punkt, den sie prüfen sollten.
Als Betreiber eines Hochrisiko-Systems kämen Pflichten aus Artikel 26 auf Sie zu: das System nach den Vorgaben des Anbieters nutzen, menschliche Aufsicht durch geschulte Personen sicherstellen, die automatisch erzeugten Protokolle aufbewahren und betroffene Mitarbeiter vorab informieren. Machbar, aber deutlich mehr Aufwand. Die ehrliche Empfehlung für die meisten kleinen Kanzleien: Lassen Sie KI aus Personal- und Bonitätsentscheidungen einfach heraus. Dann stellt sich die Frage nicht.
Was nicht auf Sie zukommt
Der Vollständigkeit halber, weil diese Punkte in Verkaufsgesprächen gern auftauchen:
- Keine CE-Kennzeichnung und keine Konformitätsbewertung. Das ist Anbietersache.
- Keine technische Dokumentation des KI-Modells. Ebenfalls Anbietersache.
- Kein gesetzlich vorgeschriebener “KI-Beauftragter”. Diese Rolle existiert im AI Act nicht.
- Keine Registrierung Ihrer Kanzlei in einer EU-Datenbank, solange Sie kein Hochrisiko-System betreiben.
Wenn Ihnen jemand eines davon als Pflicht für Ihre Kanzlei verkauft, fragen Sie nach der Fundstelle im Gesetz.
Bußgelder realistisch eingeordnet
Die berühmten 35 Millionen Euro oder 7 Prozent des Weltumsatzes aus Artikel 99 gelten für verbotene KI-Praktiken. Für die meisten anderen Verstöße liegt der Rahmen bei bis zu 15 Millionen Euro oder 3 Prozent.
Für kleine Unternehmen enthält die Verordnung eine oft übersehene Regelung: Bei KMU gilt jeweils der niedrigere der beiden Werte, und die Bußgelder sollen die wirtschaftliche Überlebensfähigkeit berücksichtigen. Die Verordnung verlangt außerdem, dass Sanktionen verhältnismäßig sind.
Das heißt nicht, dass nichts passieren kann. Es heißt, dass die realistische Gefahr für eine kleine Kanzlei nicht das Millionenbußgeld ist, sondern eine Prüfung, bei der keine Schulungsnachweise, keine Richtlinie und keine Tool-Liste vorliegen. Genau die Dinge, die sich in Tagen erledigen lassen.
Die DSGVO bleibt Ihre größere Baustelle
Zum Schluss die Einordnung, die ich in Beratungsgesprächen am häufigsten gebe: Für eine kleine Kanzlei ist die DSGVO im KI-Alltag fast immer relevanter als der AI Act. Auftragsverarbeitungsvertrag, Datenstandort, Rechtsgrundlage, Datenschutz-Folgenabschätzung für KI-Tools, Umgang mit Mandantendaten. Diese Fragen stellen sich bei jedem Tool, unabhängig von der Risikoklasse.
Der AI Act ersetzt die DSGVO nicht, er kommt dazu. Die gute Nachricht: Wer seine DSGVO-Hausaufgaben für KI-Tools gemacht hat, hat den größten Teil der AI-Act-Dokumentation nebenbei miterledigt. Eine Übersicht über alle Fristen des Jahres gibt es im Beitrag zu den KI-Compliance-Fristen 2026.
Fünf Schritte für diese Woche
- Tool-Inventur: Welche KI-Tools sind tatsächlich im Einsatz? Mitarbeiter fragen, Browser und installierte Software prüfen.
- Einsatzzwecke prüfen: Wird KI irgendwo für Personal- oder Bonitätsentscheidungen genutzt? Falls ja, stoppen oder sauber nach Artikel 26 aufsetzen.
- Nutzungsrichtlinie schreiben oder aktualisieren: eine Seite, klare Regeln.
- Team schulen: 60 Minuten, Teilnahme dokumentieren.
- Kundenkontaktpunkte prüfen: Falls ein Chatbot läuft, muss er als KI erkennbar sein.
Damit erfüllt eine typische kleine Kanzlei ihre Pflichten aus dem AI Act. Ohne Panik, ohne Millionenbudget.
Der nächste Schritt
Wenn Sie unsicher sind, wo Ihre Kanzlei steht, oder die Punkte oben nicht selbst aufsetzen wollen, sprechen Sie mich an. Ich gehe mit Ihnen Tool-Liste, Einsatzzwecke und Dokumentation durch und sage Ihnen ehrlich, was bei Ihrer Größe nötig ist und was nicht.
Jose Lugo ist CISSP-zertifizierter KI-Compliance-Berater mit Sitz in Deutschland. Er unterstützt Steuerberater, Kanzleien und Finanzberater bei der DSGVO- und AI-Act-konformen Einführung von KI-Tools.