EU AI Act gilt jetzt: Was sich seit dem 2. August 2026 geändert hat

Der Countdown ist abgelaufen. Seit dem 2. August 2026 ist der EU AI Act nicht mehr Ankündigung, sondern geltendes Recht in seiner vollen Breite: Die Hochrisiko-Pflichten für Anhang-III-Systeme sind scharf, die Transparenzpflichten nach Art. 50 gelten, und schwerwiegende Vorfälle sind meldepflichtig. Wer KI im Unternehmen einsetzt, arbeitet ab sofort in einem regulierten Umfeld — mit oder ohne Vorbereitung.

Dieser Ratgeber fasst zusammen, was sich konkret geändert hat, wen es trifft und wie Sie strukturiert nachziehen, falls der Stichtag schneller da war als Ihre Compliance.

Was seit dem 2. August 2026 konkret gilt

Hochrisiko-Pflichten (Anhang III). KI-Systeme in den acht Anhang-III-Bereichen — darunter Personalwesen und Bewerberauswahl, Kreditwürdigkeitsprüfung, kritische Infrastruktur, Bildung, Strafverfolgung und Migration — unterliegen jetzt dem vollen Pflichtenkatalog. Für Anbieter heißt das: Risikomanagementsystem, Daten-Governance, technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung. Für Betreiber — also die meisten Unternehmen, die solche Systeme nur einsetzen — greifen die Pflichten aus Art. 26: Betrieb nach Betriebsanleitung, wirksame menschliche Aufsicht durch geschulte Personen, Kontrolle der Eingabedaten und Aufbewahrung der automatisch erzeugten Protokolle. Welche Systeme genau darunterfallen, haben wir im Ratgeber zu Anhang III im Detail aufgeschlüsselt.

Transparenzpflichten (Art. 50). Chatbots müssen sich als KI zu erkennen geben. KI-generierte Texte, Bilder, Audio- und Videoinhalte müssen maschinenlesbar gekennzeichnet werden, Deepfakes sind ausdrücklich offenzulegen. Wer Emotionserkennung oder biometrische Kategorisierung einsetzt, muss die Betroffenen informieren. Das betrifft auch unspektakuläre Alltagsfälle: der Support-Chatbot auf der Website, KI-generierte Produktbilder im Shop, das automatisch erstellte Social-Media-Video.

Meldepflichten (Art. 73). Schwerwiegende Vorfälle mit Hochrisiko-Systemen — Todesfälle, ernste Gesundheitsschäden, weitreichende Grundrechtsverletzungen oder erhebliche Sach- und Umweltschäden — müssen den Marktüberwachungsbehörden gemeldet werden, im schwersten Fall innerhalb von zwei Tagen nach Kenntnis. Ohne funktionierendes KI-Monitoring lässt sich diese Frist realistisch nicht halten.

Reallabore. Ebenfalls seit dem Stichtag müssen die Mitgliedstaaten mindestens ein KI-Reallabor (Regulatory Sandbox) anbieten — interessant vor allem für Unternehmen, die eigene KI-Produkte entwickeln und Konformität unter Behördenbegleitung testen wollen.

Was noch NICHT gilt

Zwei Ausnahmen bleiben, und sie werden oft falsch verstanden:

• Anhang-I-Produkte bis 2. August 2027: Hochrisiko-KI als Sicherheitskomponente regulierter Produkte (Medizinprodukte, Maschinen, Fahrzeuge, Aufzüge) hat ein Jahr länger Zeit — weil hier die sektoralen Produktvorschriften mitspielen.
• Bestandssysteme: Hochrisiko-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, müssen erst bei einer wesentlichen Änderung nachgerüstet werden. Aber Vorsicht: Diese Übergangsregel schützt das System, nicht den Betreiber — die Betreiberpflichten aus Art. 26 und die Transparenzpflichten gelten für den laufenden Einsatz trotzdem.

Der Realitätscheck: Was sich in der Praxis ändert

Bußgelder von bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes (bei verbotenen Praktiken 35 Mio. / 7 %) sind die Schlagzeile — die vollständige Staffelung steht im Bußgeld-Ratgeber. Die Marktüberwachung wird nicht am ersten Tag flächendeckend prüfen. Das eigentliche Risiko der ersten Monate liegt woanders:

1. Vertragspartner fragen nach. Konzerne und öffentliche Auftraggeber bauen AI-Act-Klauseln in Verträge und Ausschreibungen ein. Wer kein KI-Inventar und keine Risikoklassifizierung vorlegen kann, verliert Aufträge, bevor eine Behörde überhaupt hinschaut.
2. Beschwerden öffnen Türen. Betroffene, Wettbewerber und Betriebsräte können Verstöße bei der Marktüberwachung anzeigen — gerade bei HR-Systemen ist der Betriebsrat ein aufmerksamer Beobachter.
3. Versicherer und Banken rechnen Compliance ein. KI-Vorfälle ohne dokumentierte Aufsicht werden zum Haftungs- und Konditionenthema.

Noch nicht compliant? Der Drei-Schritte-Plan

Der Stichtag ist vorbei, aber Nacharbeiten ist keine Kür, sondern Schadensbegrenzung mit klarer Reihenfolge:

Schritt 1: Inventar (Woche 1–2). Erfassen Sie jedes KI-System im Unternehmen — auch die Schatten-KI in Fachabteilungen und KI-Funktionen in eingekaufter Standardsoftware. Wie das systematisch geht, zeigt der Leitfaden zur KI-Inventarisierung.

Schritt 2: Klassifizierung (Woche 2–4). Jedes System gegen Art. 5 (verboten?), Anhang III (Hochrisiko?) und Art. 50 (transparenzpflichtig?) prüfen und das Ergebnis begründet dokumentieren. Die KI-Risikobewertung liefert die Methodik.

Schritt 3: Betreiberpflichten umsetzen (ab Woche 4). Für jedes Hochrisiko-System: menschliche Aufsicht benennen und schulen, Betriebsanleitungen einhalten, Eingabedaten-Kontrolle etablieren, Protokolle aufbewahren. Für alle transparenzpflichtigen Systeme: Kennzeichnung nachrüsten.

Jeder dokumentierte Schritt zählt. Eine Behörde, die auf ein datiertes Inventar, eine laufende Klassifizierung und einen Umsetzungsplan trifft, bewertet das anders als organisierte Ahnungslosigkeit.

Fazit

Der 2. August 2026 hat aus dem EU AI Act gelebte Compliance-Realität gemacht. Die gute Nachricht: Die Pflichten sind machbar, wenn jemand sie systematisch treibt. Genau dafür gibt es den externen KI-Beauftragten — er baut Inventar, Klassifizierung und Betreiberpflichten auf, hält die Dokumentation prüffest und beobachtet die Auslegungspraxis, die jetzt Monat für Monat konkreter wird. Den vollständigen Fristenüberblick bis 2027 finden Sie im Zeitplan-Ratgeber.