Der EU AI Act ist nach einstimmiger Zustimmung aller Mitgliedstaaten im Coreper in Kraft und sieht eine stufenweise KI-Regulierung vor, die insbesondere für KMU mit konkreten Prüf- und Dokumentationspflichten verbunden ist. Für Unternehmen, die kleine Sprachmodelle einsetzen, steigt der Handlungsdruck: Der AI Act verlangt transparente, risikoarme KI-Nutzung sowie lückenlose Dokumentation. Gerade Start-ups und KMU sind laut Fraunhofer IPA unsicher, wie sie Anforderungen rechtskonform umsetzen. Wer Prüfverfahren und notifizierungspflichtige Stellen frühzeitig einbindet, vermeidet Compliance-Lücken zum Fristende 2025.

EU AI Act: Was Konformitätsbewertungen für Small Language Models bedeuten

Der EU AI Act ist seit August 2024 in Kraft und setzt Unternehmen, die kleine Sprachmodelle (Small Language Models, SLM) entwickeln oder einsetzen, unter konkreten Handlungsdruck. Für viele KMU läuft Ende 2025 eine zentrale Übergangsfrist ab, die bestimmte Pflichten aufschiebt. Wer die verbleibende Zeit nicht nutzt, riskiert Bußgelder und Marktzugangsprobleme.

Prüfverfahren: Wie Konformitätsbewertungen für SLMs ablaufen

Die KI-Verordnung unterscheidet Systeme nach Risikoklassen. Small Language Models, die in Hochrisikobereichen eingesetzt werden, also etwa in der Personalauswahl, im Bildungsbereich oder in kritischen Infrastrukturen, unterliegen einem verpflichtenden Konformitätsbewertungsverfahren, bevor sie in den Markt gebracht werden dürfen. Dieses Verfahren umfasst nach dem AI Act Anforderungen an technische Dokumentation, Datensatz-Governance, Transparenz gegenüber Nutzern sowie Systeme zur Qualitätssicherung und Protokollierung.

Für viele SLM-Anwendungen ist eine Selbstbewertung durch den Anbieter vorgesehen, sofern harmonisierte Normen eingehalten werden. Bei bestimmten Hochrisikosystemen, insbesondere solchen, die biometrische Erkennung oder sicherheitskritische Entscheidungen automatisieren, ist dagegen eine externe Prüfung durch eine notifizierte Stelle zwingend. Laut heise.de ist die Frage, wie KI zu regulieren ist, 2025 das zentrale Thema im IT-Recht, und die Nutzung soll transparent und ohne Risiken erfolgen.

Das Fraunhofer IPA bietet im Rahmen des Projekts KIRR kostenlose “Legal Quick Checks” an, bei denen eingereichte KI-Use-Cases von Unternehmen geprüft werden, inwieweit die Dokumentation die Anforderungen des AI Act erfüllt. Das zugehörige Online-Seminar findet am 23. September 2025 statt. Solche Angebote erleichtern besonders Start-ups und KMU den Einstieg in die Konformitätsprüfung.

Notifizierungspflichtige Stellen: Wer prüft, wer zertifiziert

Notifizierte Stellen sind von nationalen Behörden benannte und der EU-Kommission gemeldete Prüforganisationen. Sie dürfen Konformitätsbewertungen für Hochrisiko-KI-Systeme durchführen, bei denen eine externe Prüfpflicht besteht. In Deutschland ist die Deutsche Akkreditierungsstelle (DAkkS) für die Akkreditierung solcher Stellen zuständig.

Für SLM-Anbieter ist entscheidend: Nicht jedes Modell erfordert zwingend eine externe notifizierte Stelle. Die Pflicht zur Einschaltung einer solchen Stelle hängt vom konkreten Einsatzbereich und der Risikoklasse des Systems ab. Der AI Act wurde im Ausschuss der Ständigen Vertreter der EU-Mitgliedstaaten (Coreper) einstimmig angenommen, nachdem Deutschland und Italien ihren Widerstand aufgegeben hatten; Frankreich konnte keine ausreichende Sperrminorität mobilisieren. Die rechtliche Grundlage ist damit eindeutig gesetzt.

Übergangsfrist bis Ende 2025: Was KMU jetzt tun müssen

Der AI Act trat am 1. August 2024 in Kraft und gilt in Phasen. Bestimmte Anforderungen für Hochrisikosysteme nach Anhang I und Anhang III gelten gestaffelt. KMU profitieren dabei von verlängerten Übergangsfristen, die ihnen mehr Zeit für die Umsetzung lassen. Laut heise.de stehen 2025 neben der KI-Regulierung auch Fragen der Exportkontrolle, des Datenschutzes bei Trainingsdaten und der sicheren Datennutzung auf der regulatorischen Agenda.

Praktisch bedeutet das für KMU-Betreiber von SLMs:

1. Risikoklasse bestimmen: Zunächst muss geprüft werden, ob das eigene SLM in eine Hochrisikokategorie des AI Act fällt. Das Fraunhofer IPA bietet dafür kostenlose Legal Quick Checks an, die auch für kleine Unternehmen zugänglich sind.

2. Technische Dokumentation aufbauen: Selbst wenn noch keine externe Prüfpflicht besteht, sind Dokumentationspflichten ab dem Zeitpunkt des Inverkehrbringens relevant. KMU sollten jetzt damit beginnen, Trainingsdaten, Modelleigenschaften und Risikominderungsmaßnahmen zu dokumentieren.

3. Transparenzpflichten umsetzen: Nutzer müssen erkennen können, wenn sie mit einem KI-System interagieren. Für SLMs im Kundenkontakt ist das eine unmittelbare Anforderung, die keine Übergangsfrist kennt.

4. Förderprogramme und Beratung nutzen: Das Projekt KIRR des Fraunhofer IPA richtet sich explizit an die baden-württembergische Wirtschaft, doch ähnliche Angebote existieren bundesweit. Wer die Übergangsfrist bis Ende 2025 nutzt und Konformitätsprozesse proaktiv angeht, vermeidet kurzfristigen Handlungsdruck und potenzielle Marktzugangsprobleme.

Weiterführende Informationen zu Zertifizierungsanforderungen für kleine Sprachmodelle finden Sie unter EU AI Act: Konformitätsbewertung für Small Language Models, zu Compliance-Kosten für KMU unter EU AI Act: Compliance-Kosten für KMU sowie zu den Übergangsfristen unter EU AI Act: Übergangsfristen für kleine Sprachmodelle. Ergänzend lohnt ein Blick auf KI-Zertifizierung für Small Language Models im Mittelstand.

Quellen

• IT-Recht und Regulierung: Was 2025 zu erwarten ist – heise.de
• AI Act: EU-Staaten stimmen KI-Regulierung zu – heise.de
• EU AI Act: Mit Legal Quick Checks optimal vorbereitet auf die neuen Anforderungen – Fraunhofer IPA

Häufige Fragen

Was ist der EU AI Act und seit wann gilt er?

Der EU AI Act ist die europäische KI-Verordnung, auf die sich EU-Kommission, Europaparlament und Mitgliedstaaten nach rund zwei Jahren Verhandlungen geeinigt haben. Der Kompromiss wurde im Ausschuss der Ständigen Vertreter der Mitgliedstaaten (Coreper) einstimmig angenommen. Die Verordnung gilt seit 2024 und wird in Etappen wirksam: Bestimmte Anforderungen greifen schrittweise, sodass Unternehmen Zeit haben, ihre KI-Systeme an die neuen Vorgaben anzupassen.

Müssen auch Small Language Models (SLMs) eine Konformitätsbewertung durchlaufen?

Der EU AI Act richtet sich nach dem Risikoprinzip: Je höher das Risikopotenzial eines KI-Systems, desto strenger die Anforderungen an Transparenz, Dokumentation und Prüfverfahren. Small Language Models, die in Hochrisikobereichen eingesetzt werden, unterliegen denselben Prüfpflichten wie größere Modelle. Entscheidend ist nicht die Modellgröße, sondern der konkrete Anwendungsfall und die damit verbundene Risikoeinstufung gemäß Verordnung.

Welche Rolle spielen notifizierungspflichtige Stellen bei der Prüfung von KI-Systemen?

Für KI-Systeme der Hochrisikokategorie sieht der EU AI Act vor, dass externe, staatlich anerkannte Prüfstellen in den Konformitätsprozess einbezogen werden können. Diese sogenannten notifizierten Stellen bewerten, ob ein KI-System die gesetzlichen Anforderungen erfüllt. Gerade für Start-ups und KMU steigt damit die Unsicherheit, wie KI-Anwendungen rechtskonform umgesetzt werden können, wie etwa das Fraunhofer IPA mit seinem Forschungsprojekt KIRR und kostenlosen Legal Quick Checks für Unternehmen in Baden-Württemberg zeigt.

Welche Übergangsfristen gelten für KMU bis Ende 2025?

Der EU AI Act sieht eine gestaffelte Einführung vor, die kleineren Unternehmen Anpassungszeit einräumt. Die KI-Regulierung greift in Etappen, wobei das Jahr 2025 als wichtige Schwelle gilt. KMU sollten die Zeit bis Ende 2025 nutzen, um ihre KI-Anwendungen zu dokumentieren, Risikoeinstufungen vorzunehmen und gegebenenfalls Prüfverfahren einzuleiten. Wer jetzt handelt, vermeidet kurzfristigen Handlungsdruck, wenn weitere Anforderungsstufen in Kraft treten.

Wie können KMU praktisch prüfen, ob ihre KI-Anwendung den Anforderungen des EU AI Act entspricht?

Eine niedrigschwellige Möglichkeit sind sogenannte Legal Quick Checks, bei denen KI-Use-Cases von Unternehmen extern auf ihre Konformität mit dem AI Act sowie der ab 2027 geltenden Maschinenverordnung geprüft werden. Das Fraunhofer IPA bietet solche Prüfungen im Rahmen des Projekts KIRR kostenlos an. Ziel ist es, Unternehmen konkrete Auskunft zu geben, inwieweit die Dokumentation ihrer KI-Anwendung die gesetzlichen Anforderungen bereits erfüllt. Grundsätzlich empfiehlt es sich, frühzeitig Transparenz- und Dokumentationspflichten intern zu etablieren.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.