Zuerst die Einordnung: „in Kraft“ ist nicht gleich „anwendbar“

Der EU AI Act ist keine neue Nachricht: In Kraft ist die Verordnung bereits seit dem 1. August 2024. Sie entfaltet ihre Wirkung aber stufenweise. Die verbotenen KI-Praktiken gelten seit Februar 2025, die Regeln für allgemeine KI-Modelle (GPAI) und die Governance-Strukturen seit August 2025. Der 2. August 2026 ist die nächste Stufe – und genau die wurde in den letzten Wochen entscheidend umgeschrieben.

Was zum 2. August 2026 wirklich greift: die Transparenzpflichten

Der Teil, der ab kommender Woche tatsächlich anwendbar wird, ist Artikel 50 – die Transparenz- und Kennzeichnungspflicht. Er betrifft weit mehr Unternehmen, als viele denken, weil er nicht an „Hochrisiko“ hängt, sondern am ganz normalen Einsatz von KI:

  • Kennzeichnung von KI-Inhalten: KI-generierte oder -manipulierte Texte, Bilder, Audio- und Videodateien müssen maschinenlesbar als künstlich erzeugt markiert werden.
  • Chatbots: Nutzer müssen erkennen können, dass sie mit einer KI und nicht mit einem Menschen kommunizieren.
  • Deepfakes: Künstlich erzeugte oder veränderte Medien, die echten Personen oder Ereignissen ähneln, müssen offengelegt werden.

Wichtig für die Praxis: Für bereits im Einsatz befindliche Systeme gilt eine Übergangsfrist bis zum 2. Dezember 2026. Wer also heute schon einen KI-Chatbot auf der Website oder KI-gestützte Content-Erstellung nutzt, hat noch etwas Luft – handeln sollte er aber jetzt.

Was der Digital Omnibus verschoben hat

Der eigentliche Wendepunkt heißt „Digital Omnibus“ (Verordnung (EU) 2026/1744), am 27. Juli 2026 in Kraft getreten. Das Paket ändert über 40 Artikel des AI Act und verschiebt vor allem die Fristen, die den Mittelstand am meisten beschäftigt hatten:

  • Eigenständige Hochrisiko-Systeme (Anhang III): Die Pflichten, die am 2. August 2026 gegriffen hätten, verschieben sich auf den 2. Dezember 2027 – also um 16 Monate.
  • In Produkte eingebettete Hochrisiko-KI (Anhang I): Frist vom 2. August 2027 auf den 2. August 2028 verschoben.
  • KI-Kompetenz (Artikel 4): Die Pflicht wurde von „sicherstellen“ zu „fördern“ abgeschwächt – ein bestimmtes Kompetenzniveau muss nicht mehr garantiert werden.

Was nicht verschoben wurde, ist genau die oben genannte Transparenzpflicht nach Artikel 50. Sie bleibt beim 2. August 2026. Die Schlagzeile „EU verlängert KI-Frist“ ist also nur die halbe Wahrheit.

Für wen der AI Act überhaupt relevant ist

Der AI Act arbeitet mit vier Risikoklassen: verboten, Hochrisiko, begrenztes Risiko und minimales Risiko. Je höher das Risiko, desto strenger die Pflichten. Die gefürchteten Anforderungen – Konformitätsbewertung, technische Dokumentation, Registrierung – gelten nur für Hochrisiko-Systeme: etwa KI in der Personalauswahl, bei der Kreditvergabe, in kritischer Infrastruktur oder bei biometrischer Identifizierung.

Die meisten Werkzeuge, die kleine und mittlere Unternehmen im Alltag nutzen – Textassistenten, Auswertungen, Kundenservice-Chatbots – fallen unter „begrenztes“ oder „minimales“ Risiko. Für sie gilt vor allem Transparenz, nicht der ganze Pflichtenkatalog. Entscheidend ist deshalb nur eine Frage: In welche Risikoklasse fällt Ihre KI überhaupt?

Was der Mittelstand jetzt konkret tun sollte

Die Verschiebung ist kein Freifahrtschein, sondern gewonnene Zeit. Sinnvoll investiert ist sie so:

  • Bestandsaufnahme: Welche KI-Systeme sind bei Ihnen im Einsatz – bewusst oder nebenbei über andere Software?
  • Risikoklasse bestimmen: Ordnen Sie jede Anwendung ein. Das entscheidet über den tatsächlichen Aufwand.
  • Transparenz umsetzen: Chatbot-Hinweise und Kennzeichnung von KI-Inhalten bis spätestens 2. Dezember 2026 sauber einrichten.
  • Kompetenz fördern: Auch wenn die Pflicht entschärft wurde – wer KI einsetzt, sollte wissen, wie er sie sicher und regelkonform nutzt.
  • Hochrisiko im Blick behalten: Wer solche Systeme betreibt, hat bis Dezember 2027 Zeit – nutzen sollte er sie, denn eine Konformitätsbewertung dauert Monate.

In Deutschland übernimmt das BSI die Marktüberwachung. Eine sofortige Durchsetzungswelle ist unwahrscheinlich – ein dokumentiertes Vorgehen sollte aber jederzeit nachweisbar sein.

Der ehrliche Blick

Der 2. August 2026 ist kein Grund zur Panik – aber auch keiner zum Nichtstun. Panikmache verkauft Beratung, löst aber kein Problem. Was Unternehmen wirklich brauchen, ist eine nüchterne Einordnung: Was betrifft mich, was nicht, und was kostet die Umsetzung realistisch?

Genau hier setzen wir bei Costshield an – herstellerunabhängig und ohne Interesse daran, Ihnen ein bestimmtes Compliance-Tool zu verkaufen. Wir verschaffen Ihnen Überblick über Ihre eingesetzte KI, ordnen sie den Risikoklassen zu und zeigen, welche Schritte für Sie tatsächlich anfallen – nicht mehr und nicht weniger.

KI-Einsatz unverbindlich einordnen lassen

Häufige Fragen zum EU AI Act

Tritt der EU AI Act am 2. August 2026 in Kraft?

Nein, in Kraft ist die Verordnung bereits seit dem 1. August 2024. Sie wird stufenweise anwendbar. Zum 2. August 2026 werden die Transparenzpflichten nach Artikel 50 anwendbar – etwa die Kennzeichnung KI-generierter Inhalte. Die zuvor für diesen Tag erwarteten Hochrisiko-Pflichten wurden durch den Digital Omnibus auf Dezember 2027 verschoben.

Gilt der EU AI Act auch für kleine Unternehmen?

Ja, grundsätzlich unabhängig von der Unternehmensgröße, sobald Sie KI im EU-Binnenmarkt einsetzen oder bereitstellen. Der tatsächliche Aufwand hängt aber von der Risikoklasse Ihrer Anwendungen ab. Wer nur Tools mit minimalem oder begrenztem Risiko nutzt, hat deutlich weniger Pflichten als ein Betreiber von Hochrisiko-KI.

Muss ich KI-generierte Inhalte kennzeichnen?

Ja. Ab dem 2. August 2026 müssen KI-generierte oder -manipulierte Inhalte wie Texte, Bilder, Audio und Video maschinenlesbar als künstlich erzeugt gekennzeichnet werden. Für bereits im Einsatz befindliche Systeme gibt es eine Übergangsfrist bis zum 2. Dezember 2026. Auch Chatbots müssen offenlegen, dass Nutzer mit einer KI kommunizieren.

Sind die Hochrisiko-Pflichten des EU AI Act verschoben worden?

Ja. Der Digital Omnibus (Verordnung (EU) 2026/1744) verschiebt die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027. Für in Produkte eingebettete Hochrisiko-KI nach Anhang I gilt nun der 2. August 2028.

Wie hoch sind die Bußgelder beim EU AI Act?

Für die schwersten Verstöße – etwa den Einsatz verbotener KI-Praktiken – drohen bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Bei Verstößen gegen Transparenz- und Hochrisiko-Pflichten liegt die Obergrenze bei bis zu 15 Millionen Euro oder 3 %. Für KMU und Start-ups gelten reduzierte Höchstgrenzen. In Deutschland übernimmt das BSI die Durchsetzung.

Muss ich meine Mitarbeiter zu KI schulen?

Die Pflicht zur KI-Kompetenz nach Artikel 4 gilt bereits seit Februar 2025. Der Digital Omnibus hat sie von „sicherstellen“ zu „fördern“ abgeschwächt – ein bestimmtes Kompetenzniveau muss also nicht mehr garantiert werden. Sinnvoll bleibt eine Sensibilisierung trotzdem: Wer KI einsetzt, sollte wissen, wie er sie sicher und regelkonform nutzt.

Ist ein Chatbot auf meiner Website Hochrisiko-KI?

In aller Regel nicht. Ein einfacher Kundenservice- oder Beratungs-Chatbot fällt meist unter „begrenztes Risiko“ und muss lediglich transparent machen, dass Nutzer mit einer KI kommunizieren. Als Hochrisiko gelten vor allem Systeme in sensiblen Bereichen wie Personalauswahl, Kreditvergabe oder biometrischer Identifizierung.