EU AI Act: Was seit dem 2. August 2026 wirklich gilt

Veröffentlicht: 26.08.2026 · Lesezeit: 9 Minuten · Kategorie: KI & Recht

Die Schlagzeilen im August hatten es genau falsch herum

Anfang August ging eine Welle von Warnungen durch die Fachpresse: Ab dem 2. August 2026 gälten die strengen Hochrisiko-Pflichten des EU AI Act, Unternehmen müssten jetzt Konformitäts­bewertungen vorlegen, Risikomanagement­systeme aufbauen, technische Dokumentation liefern.

Das war zu diesem Zeitpunkt bereits überholt.

Sechs Tage vor der Frist, am 27. Juli 2026, ist der sogenannte Digital Omnibus in Kraft getreten. Er verschiebt genau diese Hochrisiko-Pflichten um mehr als ein Jahr. Was dagegen nicht verschoben wurde und seit dem 2. August tatsächlich gilt, sind die Transparenz- und Kompetenzpflichten — und die betreffen sehr viel mehr Unternehmen als die Hochrisiko-Regeln je betroffen hätten.

Das Ergebnis: Viele Mittelständler bereiten sich derzeit auf Anforderungen vor, die erst Ende 2027 greifen, und übersehen dabei die, die heute schon scharf sind. Dieser Beitrag sortiert beides auseinander.

Was heute gilt

1. Kennzeichnungspflicht für KI-Inhalte (Artikel 50)

Menschen müssen erkennen können, wenn sie mit einer KI sprechen oder KI-erzeugte Inhalte vor sich haben. Konkret heißt das:

• Chatbots und Sprachassistenten müssen offenlegen, dass sie keine Menschen sind — es sei denn, das ist aus dem Zusammenhang für jeden offensichtlich.
• KI-erzeugte Texte, Bilder, Audio- und Videodateien müssen als solche gekennzeichnet werden, und zwar maschinenlesbar. Ein Hinweis im Kleingedruckten reicht dafür nicht.
• Bei Deepfakes und synthetischen Inhalten, die echten Personen oder Ereignissen ähneln, gilt die Kennzeichnung besonders streng.

Der Punkt „maschinenlesbar“ wird regelmäßig unterschätzt. Gemeint ist nicht der sichtbare Hinweis für den Leser, sondern eine technische Markierung in der Datei selbst — etwa über Metadaten oder Wasserzeichen. Wer KI-Inhalte produzieren lässt, sollte prüfen, ob das eingesetzte Werkzeug das überhaupt kann. Viele Werkzeuge tun es standardmäßig nicht.

2. KI-Kompetenz im Unternehmen (Artikel 4)

Wer KI-Systeme einsetzt, muss dafür sorgen, dass die Menschen, die damit arbeiten, über ausreichende KI-Kompetenz verfügen. Das ist eine Organisationspflicht, keine Zertifizierung — aber sie ist nachweispflichtig. Praktisch bedeutet das: dokumentierte Einweisungen, klare Zuständigkeiten, nachvollziehbare Regeln für den Umgang mit den Systemen.

3. Bußgelder

Verstöße gegen die Transparenzpflichten können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden — je nachdem, welcher Betrag höher ist. Für den Mittelstand ist die Prozentzahl die relevante.

Was verschoben wurde

Wichtig für die Einordnung: Verschoben heißt nicht gestrichen. Die Anforderungen an Hochrisiko-Systeme kommen, sie kommen nur später. Wer heute ein System aufbaut, das ab Ende 2027 unter Anhang III fällt, plant die Dokumentation besser gleich mit ein, statt sie nachträglich zu rekonstruieren.

Und noch etwas ist im Omnibus enthalten, das in der Berichterstattung fast unterging: Zwei neue Verbote greifen früher als die Erleichterungen. Die Verschiebung ist also kein pauschales Aufatmen.

Was das für ein mittelständisches Unternehmen konkret heißt

Die ehrliche Antwort für die meisten Betriebe lautet: Sie sind nicht Hochrisiko, aber Sie sind transparenzpflichtig. Ein Handwerksbetrieb mit Chatbot auf der Website, eine Agentur mit KI-generierten Bildern, ein Händler mit automatisierten Produkttexten — keiner davon fällt unter Anhang III. Alle drei fallen unter Artikel 50.

Eine praktikable Reihenfolge:

1. Inventur. Wo im Unternehmen läuft KI? Die Liste ist fast immer länger als gedacht — Chatbot, Textgenerierung, Bildbearbeitung, Übersetzung, Terminvereinbarung, Kandidaten­vorauswahl.
2. Kennzeichnung prüfen. Ist bei jedem Berührungspunkt mit Kunden erkennbar, dass KI im Spiel ist? Erzeugen die eingesetzten Werkzeuge maschinenlesbare Markierungen?
3. Kompetenz dokumentieren. Wer wurde wann eingewiesen, welche Regeln gelten? Eine Seite reicht oft — sie muss nur existieren und gelebt werden.
4. Einordnen, was später kommt. Nur wenn Sie Systeme in Personalauswahl, Kreditvergabe, Bildung oder ähnlichen Bereichen einsetzen, wird Anhang III für Sie relevant — dann aber ab Dezember 2027, mit erheblichem Vorlauf für die Dokumentation.

Der Punkt, der in der Praxis am häufigsten übersehen wird

Die Kennzeichnungspflicht trifft nicht nur, was Sie selbst erzeugen, sondern auch, was Sie erzeugen lassen. Wer Inhalte von Dienstleistern bezieht, sollte wissen, ob und womit dort KI im Spiel war. Das gehört in die Beauftragung, nicht in die nachträgliche Klärung.

Das ist unbequem, aber es ist auch eine Chance: Wer sauber kennzeichnet, während der Wettbewerb so tut, als sei alles handgemacht, baut Vertrauen auf — und muss später nichts zurückrudern.

Einordnung

Dieser Beitrag gibt den Stand von Ende August 2026 wieder und ersetzt keine Rechtsberatung. Die Rechtslage zum AI Act hat sich allein im Juli 2026 noch kurzfristig geändert; für verbindliche Aussagen zu Ihrem konkreten Fall führt kein Weg an einer fachkundigen Prüfung vorbei.

Was wir beisteuern können, ist die technische Seite: zu erkennen, wo in Ihren Abläufen KI tatsächlich steckt, ob die eingesetzten Werkzeuge maschinenlesbar kennzeichnen, und wie sich das ohne Bruch in bestehende Prozesse einfügt. Das ist Teil unserer KI-Beratung — wenn Sie an dieser Stelle Klarheit brauchen, schreiben Sie uns kurz.

Verwandte Beiträge: KI und DSGVO im Unternehmen · KI-Trends 2026 für Unternehmen

Quellen: Digital Omnibus, Amtsblatt der EU vom 24.07.2026, in Kraft seit 27.07.2026 · Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 4 und Art. 50 · Rat der EU, Pressemitteilung vom 29.06.2026 zur endgültigen Zustimmung. Abgerufen am 26.08.2026.