EU AI Act ab 2. August 2026: Was gilt, was verschoben ist

Kaum ein Gesetz hat in den letzten Monaten für so viel Verwirrung gesorgt wie die EU-KI-Verordnung: Erst hieß es, ab dem 2. August 2026 gelte „alles", dann machte die Nachricht von einer „Verschiebung des AI Act" die Runde. Beides ist so nicht richtig. Dieser Beitrag ordnet, was zum 2. August 2026 tatsächlich auf Unternehmen zukommt, welche Fristen der Gesetzgeber verschoben hat — und was ein mittelständisches Unternehmen jetzt konkret tun sollte.

Was ändert sich am 2. August 2026 konkret?

Am 2. August 2026 werden die Transparenzpflichten des Art. 50 KI-VO anwendbar. Sie betreffen — anders als die Hochrisiko-Regeln — eine sehr breite Masse von Unternehmen, weil sie schon beim alltäglichen KI-Einsatz greifen können:

• Chatbot-Offenlegung: Interagiert ein KI-System direkt mit Menschen (z. B. ein Kundenservice-Chatbot auf der Website), müssen die Betroffenen erkennen können, dass sie mit einer KI kommunizieren — außer es ist aus den Umständen offensichtlich.
• Kennzeichnung KI-generierter Inhalte: Anbieter generativer KI müssen dafür sorgen, dass Ausgaben (Text, Bild, Audio, Video) in maschinenlesbarer Form als KI-generiert erkennbar sind. Für Systeme, die vor dem 2. August 2026 bereits auf dem Markt sind, gilt hierfür eine Übergangsfrist bis zum 2. Dezember 2026.
• Deepfake-Kennzeichnung: Wer mit KI erzeugte oder manipulierte Bild-, Audio- oder Videoinhalte veröffentlicht, die realen Personen, Orten oder Ereignissen täuschend ähnlich sind, muss die künstliche Erzeugung offenlegen.
• Information bei Emotionserkennung und biometrischer Kategorisierung: Werden solche Systeme eingesetzt, sind die betroffenen Personen zu informieren.

Für den Mittelstand heißt das praktisch: Der Website-Chatbot, KI-generierte Marketing-Bilder, automatisierte Kundenkommunikation oder KI-Videos im Vertrieb können ab diesem Stichtag kennzeichnungspflichtig sein. Welche Pflicht wen trifft, hängt davon ab, ob Sie das jeweilige System anbieten oder als Unternehmen einsetzen — diese Rollenfrage lohnt einen genauen Blick.

Welche Fristen wurden verschoben — und welche nicht?

Der Digital Omnibus on AI hat gezielt die Hochrisiko-Pflichten nach hinten geschoben, den Rest aber weitgehend unangetastet gelassen. Der Zeitplan im Überblick:

Wichtig zur Einordnung: Die Verschiebung ist kein Rückzieher vom AI Act. Verbote, GPAI-Regeln und Transparenzpflichten laufen weiter nach Plan — verschoben wurde der Teil mit den aufwendigsten Umsetzungspflichten, auch weil harmonisierte Normen und Leitlinien noch fehlten.

Was gilt schon heute — unabhängig vom 2. August?

Zwei Pflichtenpakete sind bereits scharf, werden im Mittelstand aber häufig übersehen:

• Die Verbote des Art. 5 (seit Februar 2025): Bestimmte KI-Praktiken — etwa Social Scoring, gezielte Manipulation vulnerabler Gruppen oder das ungezielte Auslesen von Gesichtsbildern — sind untersagt. Ein typischer Mittelständler setzt solche Systeme in der Regel nicht ein; prüfen sollte er es trotzdem, denn hier gilt der höchste Bußgeldrahmen (bis 35 Mio. € oder 7 %).
• Die GPAI-Pflichten (seit August 2025): Sie treffen primär die Anbieter großer KI-Modelle (etwa OpenAI, Google, Anthropic), nicht deren Nutzer. Relevant werden sie für Unternehmen, die eigene Modelle trainieren oder unter eigenem Namen anbieten.

Eine Änderung betrifft die KI-Kompetenz (Art. 4): Seit Februar 2025 mussten Unternehmen KI-Kompetenz ihres Personals „sicherstellen". Mit dem Digital Omnibus on AI wurde diese allgemeine Unternehmenspflicht umgestaltet — künftig sollen Kommission und Mitgliedstaaten KI-Kompetenz fördern und Unternehmen zu Schulungsmaßnahmen ermutigen. Wer Hochrisiko-KI betreibt, muss sein Personal für die menschliche Aufsicht aber weiterhin qualifizieren. Und unabhängig von der Rechtspflicht bleiben dokumentierte KI-Schulungen ein starker Baustein, um die eigene Sorgfalt nachweisen zu können.

Was bedeutet die Hochrisiko-Verschiebung für den Mittelstand?

Auf den ersten Blick wirkt der 2. Dezember 2027 komfortabel weit weg. Drei Gründe, warum die gewonnene Zeit trotzdem kein Grund zum Zurücklehnen ist:

• Die Vorarbeit bleibt dieselbe. Ob ein KI-System überhaupt in eine Hochrisiko-Kategorie fallen könnte, lässt sich nur beurteilen, wenn man weiß, welche Systeme im Unternehmen laufen und welche Rolle man je System einnimmt. Ein KI-Inventar und eine Rollenklärung sind die Voraussetzung — und genau diese Grundlagen fehlen in den meisten Unternehmen heute.
• Der Markt wartet nicht auf den Gesetzgeber. Großkunden und öffentliche Auftraggeber verlangen schon jetzt vertragliche Zusicherungen zur KI-Compliance. Wer Nachweise liefern kann, gewinnt Ausschreibungen — unabhängig davon, welche Frist die Verordnung nennt.
• Die Organverantwortung läuft bereits. Unabhängig von einzelnen Stichtagen kann ein KI-Einsatz ohne dokumentierte Governance haftungsrelevant werden: Für Geschäftsführer kann sich aus mangelnder Sorgfalt ein persönliches Innenhaftungsrisiko ergeben — bei der GmbH nach § 43 GmbHG, bei der AG nach § 93 AktG. Ob eine solche Haftung im Einzelfall besteht, hängt von den konkreten Umständen ab und gehört in anwaltliche Prüfung.

Wer kontrolliert das in Deutschland?

Parallel zum EU-Zeitplan hat Deutschland seine Aufsichtsstruktur festgezurrt: Das Gesetz zur Durchführung der KI-Verordnung wurde am 11. Juni 2026 vom Bundestag beschlossen und hat am 10. Juli 2026 den Bundesrat passiert. Damit wird die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde für die KI-Verordnung. Bei ihr entstehen ein Koordinierungs- und Kompetenzzentrum für KI, eine zentrale Beschwerdestelle — an die sich auch Wettbewerber und Betroffene wenden können — sowie mindestens ein KI-Reallabor für die Erprobung neuer Anwendungen.

Für Unternehmen heißt das: Die Aufsicht ist ab jetzt kein abstraktes EU-Konstrukt mehr, sondern eine deutsche Behörde mit Zuständigkeit, Beschwerdeweg und wachsendem Prüfapparat.

Was sollten Geschäftsführer jetzt tun?

Aus unserer Audit-Praxis lassen sich die nächsten Monate auf drei Arbeitspakete verdichten:

• 1. KI-Inventar erstellen. Erfassen, was wirklich läuft — inklusive der KI-Funktionen in Microsoft 365, CRM-, HR- und Buchhaltungssoftware sowie der Tools, die Mitarbeiter auf eigene Faust nutzen (Schatten-KI). Ohne Inventar ist jede Compliance-Aussage Spekulation.
• 2. Transparenz-Check zum 2. August 2026. Alle Berührungspunkte durchgehen, an denen KI mit Kunden oder Öffentlichkeit interagiert oder Inhalte erzeugt: Chatbots, generierte Bilder und Videos, automatisierte Kommunikation. Je Fall klären, ob und wie zu kennzeichnen ist.
• 3. Fahrplan bis Ende 2027 aufsetzen. Rollen je System klären (Anbieter oder Betreiber), mögliche Hochrisiko-Kandidaten identifizieren und die Governance-Grundlagen (Verantwortlichkeiten, Richtlinie, Dokumentation) schrittweise aufbauen — mit genug Puffer vor dem 2. Dezember 2027.

Einen strukturierten Weg durch alle drei Pakete — mit Inventar, Rollen-Mapping, Gap-Analyse und priorisierter Roadmap — bietet ein KI-Audit. Den Gesamtüberblick über alle Pflichten gibt unser Leitfaden zum EU AI Act für den Mittelstand.

Häufige Fragen zum 2. August 2026

Abdoul Tchaou

Gründer von Governance AI · KI-Governance-Berater

Abdoul Tchaou ist KI-Architekt und Dozent für Künstliche Intelligenz. Er hat über 50 Fach- und Führungskräfte im souveränen Umgang mit KI geschult und unterstützt mittelständische Unternehmen bei EU-AI-Act-Compliance und KI-Governance. Mehr über uns