EU AI Act 2026: Was seit dem 2. August gilt — und was der KI-Omnibus verschoben hat

Der 2. August 2026 war lange als der Tag angekündigt, an dem der EU AI Act „voll anwendbar“ wird. So ist es nicht gekommen. Neun Tage vorher, am 27. Juli 2026, ist der KI-Omnibus (Verordnung (EU) 2026/1744) in Kraft getreten und hat die Hochrisiko-Pflichten verschoben: auf den 2. Dezember 2027 für Anhang-III-Systeme und den 2. August 2028 für KI in regulierten Produkten. Geblieben ist der Stichtag für die Transparenzpflichten nach Art. 50. Sie gelten seit dem 2. August 2026 für jedes Unternehmen, das Chatbots betreibt oder KI-erzeugte Inhalte veröffentlicht.

Dieser Ratgeber fasst zusammen, was seitdem konkret gilt, was noch nicht, wen es trifft und wie Sie die gewonnene Zeit sinnvoll nutzen.

Was seit dem 2. August 2026 konkret gilt

Transparenzpflichten (Art. 50). Chatbots müssen sich als KI zu erkennen geben. KI-generierte Texte, Bilder, Audio- und Videoinhalte müssen maschinenlesbar gekennzeichnet werden, Deepfakes sind ausdrücklich offenzulegen. Wer Emotionserkennung oder biometrische Kategorisierung einsetzt, muss die Betroffenen informieren. Das betrifft auch unspektakuläre Alltagsfälle: der Support-Chatbot auf der Website, KI-generierte Produktbilder im Shop, das automatisch erstellte Social-Media-Video. Anbieter generativer Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, haben für die Kennzeichnung nach Art. 50 Abs. 2 bis zum 2. Dezember 2026 Zeit. Für Sie als Betreiber heißt das: Prüfen Sie, ob Ihre Tools die Kennzeichnung technisch liefern. Welche Inhalte Sie selbst sichtbar kennzeichnen müssen, zeigt der Ratgeber zur KI-Kennzeichnungspflicht.

Bußgelder für GPAI-Anbieter. Die Kommission kann seit dem 2. August 2026 Geldbußen gegen Anbieter von KI-Modellen mit allgemeinem Verwendungszweck verhängen (Art. 101). Für Unternehmen, die solche Modelle nur nutzen, ist das indirekt relevant: Die großen Anbieter liefern seitdem mehr Dokumentation und technische Kennzeichnung.

Was schon vorher galt, gilt weiter. Die verbotenen Praktiken nach Art. 5 und die KI-Kompetenzpflicht nach Art. 4 sind seit dem 2. Februar 2025 in Geltung. Art. 4 hat der Omnibus neu gefasst: Unternehmen müssen die Entwicklung der KI-Kompetenz ihres Personals unterstützen, ohne ein bestimmtes Niveau garantieren zu müssen. Wie das in der Praxis aussieht, zeigt der Ratgeber zur KI-Kompetenzpflicht.

Was noch NICHT gilt

Hochrisiko-Pflichten (Anhang III) — ab 2. Dezember 2027. KI-Systeme in den acht Anhang-III-Bereichen, darunter Personalwesen und Bewerberauswahl, Kreditwürdigkeitsprüfung, kritische Infrastruktur, Bildung, Strafverfolgung und Migration, unterliegen dem vollen Pflichtenkatalog erst ab diesem Datum. Für Anbieter heißt das dann: Risikomanagementsystem, Daten-Governance, technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung. Für Betreiber greifen die Pflichten aus Art. 26: Betrieb nach Betriebsanleitung, wirksame menschliche Aufsicht durch geschulte Personen, Kontrolle der Eingabedaten und Aufbewahrung der automatisch erzeugten Protokolle. Welche Systeme genau darunterfallen, haben wir im Ratgeber zu Anhang III aufgeschlüsselt.

Hochrisiko-KI in Produkten (Anhang I) — ab 2. August 2028. KI als Sicherheitsbauteil sektoral regulierter Produkte (etwa Medizinprodukte, Maschinen, Aufzüge) hat noch länger Zeit, weil hier die Produktvorschriften mitspielen.

Meldepflichten bei schwerwiegenden Vorfällen (Art. 73). Sie knüpfen an Hochrisiko-Systeme an und werden damit mit dem Hochrisiko-Regime praktisch relevant. Wer bis dahin ein funktionierendes KI-Monitoring aufgebaut hat, kann die kurzen Meldefristen realistisch halten.

Bestandsschutz. Hochrisiko-Systeme, die vor dem jeweiligen Geltungsbeginn in Verkehr gebracht oder in Betrieb genommen wurden, fallen nur bei einer erheblichen Änderung ihrer Konzeption unter die Verordnung. Systeme für Behörden müssen trotzdem bis zum 2. August 2030 nachgerüstet sein.

Was der Omnibus sonst noch ändert, von neuen Verboten bis zu Erleichterungen für KMU, steht im Ratgeber zum KI-Omnibus.

Der Realitätscheck: Was sich in der Praxis ändert

Bußgelder von bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes (bei verbotenen Praktiken 35 Mio. / 7 %) sind die Schlagzeile, die vollständige Staffelung steht im Bußgeld-Ratgeber. Die Marktüberwachung prüft nicht flächendeckend. Das eigentliche Risiko liegt woanders:

1. Vertragspartner fragen nach. Konzerne und öffentliche Auftraggeber bauen AI-Act-Klauseln in Verträge und Ausschreibungen ein, unabhängig davon, wann die Hochrisiko-Pflichten greifen. Wer kein KI-Inventar und keine Risikoklassifizierung vorlegen kann, verliert Aufträge, bevor eine Behörde überhaupt hinschaut.
2. Beschwerden öffnen Türen. Betroffene, Wettbewerber und Betriebsräte können Verstöße bei der Marktüberwachung anzeigen. Ein Chatbot ohne KI-Hinweis ist dafür ein naheliegender Anlass.
3. Versicherer und Banken rechnen Compliance ein. KI-Vorfälle ohne dokumentierte Aufsicht werden zum Haftungs- und Konditionenthema.

Der Drei-Schritte-Plan bis Dezember 2027

Schritt 1: Inventar (sofort). Erfassen Sie jedes KI-System im Unternehmen, auch die Schatten-KI in Fachabteilungen und KI-Funktionen in eingekaufter Standardsoftware. Wie das systematisch geht, zeigt der Leitfaden zur KI-Inventarisierung.

Schritt 2: Klassifizierung und Transparenz (nächste Wochen). Jedes System gegen Art. 5 (verboten?), Anhang III (Hochrisiko?) und Art. 50 (transparenzpflichtig?) prüfen und das Ergebnis begründet dokumentieren. Transparenzpflichtige Systeme gleich nachrüsten, denn diese Pflicht gilt schon. Die KI-Risikobewertung liefert die Methodik.

Schritt 3: Hochrisiko-Pflichten aufbauen (bis Ende 2027). Für jedes Hochrisiko-System: menschliche Aufsicht benennen und schulen, Betriebsanleitungen einhalten, Eingabedaten-Kontrolle etablieren, Protokollierung einrichten und, wo nötig, die Grundrechte-Folgenabschätzung vorbereiten.

Jeder dokumentierte Schritt zählt. Eine Behörde oder ein Auftraggeber, der auf ein datiertes Inventar, eine laufende Klassifizierung und einen Umsetzungsplan trifft, bewertet das anders als organisierte Ahnungslosigkeit.

Fazit

Seit dem 2. August 2026 ist der EU AI Act für die meisten Unternehmen vor allem eine Transparenz- und Kompetenzfrage, die Hochrisiko-Stufe folgt im Dezember 2027. Die Pflichten sind machbar, wenn jemand sie systematisch treibt. Genau dafür gibt es den externen KI-Beauftragten. Er baut Inventar, Klassifizierung und Betreiberpflichten auf, hält die Dokumentation prüffest und beobachtet die Auslegungspraxis. Den vollständigen Fristenüberblick bis 2030 finden Sie im Zeitplan-Ratgeber.

Rechtsstand: Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744, geprüft am 29. September 2026.

Häufige Fragen

Ist der EU AI Act jetzt vollständig anwendbar? +

Nein. Seit dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50 und die übrigen allgemeinen Vorschriften. Die Hochrisiko-Pflichten hat der KI-Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) verschoben: für Anhang-III-Systeme auf den 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I auf den 2. August 2028. Bereits seit 2025 gelten die Verbote (Art. 5), die KI-Kompetenzpflicht (Art. 4) und die GPAI-Pflichten.

Wir sind noch nicht compliant — was ist jetzt am wichtigsten? +

Zuerst das, was schon gilt: Schulungsnachweise für Art. 4 und die Kennzeichnung nach Art. 50 für Chatbots und KI-erzeugte Inhalte. Parallel ein vollständiges KI-Inventar und die Risikoklassifizierung jedes Systems gegen Anhang III. Für jedes Hochrisiko-System dann bis Dezember 2027 die Betreiberpflichten nach Art. 26 aufbauen — menschliche Aufsicht, Betrieb nach Betriebsanleitung, Kontrolle der Eingabedaten, Protokollaufbewahrung. Dokumentieren Sie jeden Schritt mit Datum.

Welche Transparenzpflichten gelten seit dem 2. August 2026? +

Nach Art. 50 müssen Nutzer erkennen können, dass sie mit einer KI interagieren (Chatbots), KI-generierte oder manipulierte Inhalte müssen maschinenlesbar gekennzeichnet sein, Deepfakes sind offenzulegen, und der Einsatz von Emotionserkennung oder biometrischer Kategorisierung ist den Betroffenen mitzuteilen. Für generative Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, gilt für die Kennzeichnungspflicht nach Art. 50 Abs. 2 eine Übergangsfrist bis zum 2. Dezember 2026.

Drohen jetzt sofort Bußgelder? +

Das Sanktionsregime der Mitgliedstaaten ist seit August 2025 in Kraft. Verstöße gegen die Transparenzpflichten nach Art. 50 können mit bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden, verbotene Praktiken mit bis zu 35 Mio. Euro oder 7 %. Für KMU und kleine Midcap-Unternehmen gilt jeweils der niedrigere Betrag. Die Marktüberwachung baut sich schrittweise auf; Beschwerden von Wettbewerbern, Betroffenen oder Betriebsräten können Prüfungen aber jederzeit auslösen.