EU AI Act für KMU: Welche Erleichterungen wirklich gelten

Ein verbreitetes Missverständnis über die KI-Verordnung lautet: Für kleine Unternehmen gilt sie nicht. Ein zweites, ebenso verbreitetes: Für kleine Unternehmen gilt sie genauso wie für Konzerne. Beides ist falsch. Die Verordnung (EU) 2024/1689 enthält an mehreren Stellen ausdrückliche Sonderregeln für KMU, Start-ups und Kleinstunternehmen — aber sie entlasten an anderen Punkten, als die meisten erwarten.

Wer die Erleichterungen falsch einschätzt, plant entweder zu viel Aufwand ein oder verlässt sich auf eine Ausnahme, die es so nicht gibt.

Wer überhaupt als KMU gilt

Die Verordnung definiert den Begriff nicht selbst, sondern verweist auf die Empfehlung 2003/361/EG der Kommission. Danach ist ein KMU ein Unternehmen mit weniger als 250 Beschäftigten, dessen Jahresumsatz 50 Mio. EUR oder dessen Jahresbilanzsumme 43 Mio. EUR nicht übersteigt. Ein Kleinstunternehmen liegt vor bei weniger als 10 Beschäftigten und höchstens 2 Mio. EUR Umsatz oder Bilanzsumme.

Entscheidend ist der zweite Teil der Definition, den viele überlesen: Partnerunternehmen und verbundene Unternehmen werden anteilig beziehungsweise vollständig hinzugerechnet. Ein Zehn-Personen-Team, das mehrheitlich zu einem größeren Konzern gehört, ist kein Kleinstunternehmen im Sinne der Empfehlung. Für Start-ups mit Beteiligungsstruktur ist das die praktisch wichtigste Prüfung — und sie sollte dokumentiert vorliegen, bevor man sich auf eine Erleichterung beruft.

Artikel 62: Was die Mitgliedstaaten leisten müssen

Artikel 62 richtet sich nicht an Unternehmen, sondern an Behörden. Er verpflichtet die Mitgliedstaaten zu vier Maßnahmen zugunsten von KMU-Anbietern mit Sitz in der Union: vorrangiger Zugang zu KI-Reallaboren, sofern die Zulassungsvoraussetzungen erfüllt sind; gezielte Sensibilisierungs- und Schulungsangebote zur Anwendung der Verordnung; dedizierte Kommunikationskanäle für Beratung und Rückfragen; sowie die Erleichterung der Beteiligung an der Normungsarbeit.

Der vorrangige Sandbox-Zugang ist die konkreteste dieser Zusagen — er verschafft kleinen Anbietern Prüfung unter Aufsicht, ohne dafür Konzernressourcen zu benötigen.

Wirtschaftlich relevanter ist Artikel 62 Absatz 2: Bei der Festsetzung der Gebühren für die Konformitätsbewertung nach Artikel 43 sind die besonderen Interessen und Bedürfnisse von KMU-Anbietern zu berücksichtigen; die Gebühren sind proportional zu Entwicklungsstand, Unternehmensgröße, Marktgröße und weiteren einschlägigen Indikatoren zu senken. Das ist eine Ermäßigung, keine Befreiung — und sie betrifft nur die Gebühr, nicht den Aufwand, der zu ihr führt.

Absatz 3 verpflichtet zusätzlich das Büro für Künstliche Intelligenz, standardisierte Vorlagen bereitzustellen und eine zentrale Informationsplattform für alle Akteure in der Union zu unterhalten. Wer heute plant, sollte diese Vorlagen im Blick behalten, statt eigene Dokumentationsstrukturen von Grund auf zu erfinden.

Vereinfachte technische Dokumentation und QMS

Zwei echte Substanzerleichterungen finden sich außerhalb von Artikel 62.

Die erste steht in Artikel 11 Absatz 1: KMU einschließlich Start-ups dürfen die in Anhang IV genannten Elemente der technischen Dokumentation in vereinfachter Form bereitstellen. Die Kommission ist beauftragt, dafür ein vereinfachtes Formular zu erstellen, das auf die Bedürfnisse kleiner Unternehmen und Kleinstunternehmen zugeschnitten ist. Die inhaltlichen Punkte des Anhangs IV entfallen damit nicht — sie dürfen kompakter beantwortet werden.

Die zweite steht in Artikel 63: Kleinstunternehmen im Sinne der Empfehlung 2003/361/EG dürfen bestimmte Elemente des nach Artikel 17 geforderten Qualitätsmanagementsystems vereinfacht erfüllen, sofern sie keine Partnerunternehmen oder verbundenen Unternehmen haben. Artikel 63 stellt zugleich unmissverständlich klar, was davon nicht berührt wird: Die Anforderungen der Artikel 9 bis 15 — Risikomanagementsystem, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit und Robustheit — bleiben ebenso bestehen wie die Pflichten aus Artikel 72 und 73 zur Beobachtung nach dem Inverkehrbringen und zur Meldung schwerwiegender Vorfälle.

Damit ist die Grenze klar gezogen. Erleichtert wird die Form der Nachweisführung, nicht die Substanz der Anforderungen. Ein Kleinstunternehmen, das ein Hochrisiko-KI-System anbietet, muss dieselben Risiken beherrschen wie ein Großunternehmen — es darf sie nur schlanker dokumentieren.

Der Bußgeld-Deckel nach Artikel 99 Absatz 6

Die vielleicht wirtschaftlich bedeutsamste Sonderregel steht im Sanktionsartikel. Die Bußgeldrahmen des Artikels 99 sind durchgängig als Doppelschwellen formuliert: ein fester Höchstbetrag oder ein Prozentsatz des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist. Für KMU einschließlich Start-ups kehrt Artikel 99 Absatz 6 diese Logik um: Hier gilt jeweils der niedrigere der beiden Werte als Obergrenze.

Für ein Unternehmen mit geringem Umsatz bedeutet das eine erhebliche Begrenzung der Höchstsanktion. Es bedeutet nicht, dass Verstöße folgenlos bleiben — die Bemessungskriterien des Artikels 99 Absatz 7, darunter Art und Schwere des Verstoßes, Vorsatz und die Kooperation mit der Behörde, gelten unverändert. Wie sich diese Kriterien in der Praxis auswirken, ist Gegenstand eigener Betrachtung; eine vertiefte Aufbereitung des Sanktionsrahmens findet sich auf ki-bussgeld.de.

Was das für die Vorbereitung bedeutet

Mit dem Digital Omnibus verschiebt sich die Durchsetzung der Hochrisiko-Pflichten auf den 02.12.2027. Für kleine Anbieter ist das kein Grund zur Entspannung, sondern der einzige realistische Aufbauzeitraum. Denn die Erleichterungen greifen alle erst dann, wenn die Grundlagen stehen: Ein vereinfachtes Dokumentationsformular hilft nur, wenn die zu dokumentierenden Prozesse existieren. Eine reduzierte Gebühr hilft nur, wenn das System die Konformitätsbewertung besteht.

Drei Schritte sind unabhängig von der Unternehmensgröße vorgelagert. Erstens: die Rolle klären — Anbieter oder Betreiber, mit sehr unterschiedlichen Pflichtenkatalogen. Zweitens: die KMU-Eigenschaft belastbar dokumentieren, einschließlich Beteiligungsstruktur. Drittens: die eingesetzten und entwickelten KI-Systeme inventarisieren und klassifizieren, denn ohne Risikoeinstufung lässt sich keine der Sonderregeln überhaupt zuordnen.

Der gemeinsame Nenner: Alle Erleichterungen der Verordnung setzen an der Darstellung an, nicht am Nachweis selbst. Wer belastbare Spuren seiner Entwicklungs-, Test- und Betriebsentscheidungen führt, kann sie in jeder geforderten Form ausgeben — im vereinfachten Formular ebenso wie in der vollständigen Anhang-IV-Struktur. Wer sie nicht führt, dem nützt auch das kürzeste Formular nichts.

Genau hier setzt der Gedanke der Trust-Infrastructure an: nicht ein Dokumentensatz, der zum Stichtag erzeugt wird, sondern eine laufend mitlaufende Evidenzbasis, aus der sich Nachweise in der jeweils geforderten Tiefe ableiten lassen. Für kleine Teams ist das keine Kür, sondern die einzige skalierbare Option.

Mehr zur AEGIRA Trust-Platform: aegira.ai