AI Act ab 2. August 2026: Was wirklich gilt und was verschoben wurde

Was gilt ab dem 2. August 2026 wirklich?

Zum 2. August 2026 greifen vor allem die Transparenzpflichten nach Artikel 50 der KI-Verordnung sowie die Durchsetzungsbefugnisse der EU-Kommission gegenüber Anbietern von KI-Modellen mit allgemeinem Verwendungszweck. Die vielzitierten Hochrisiko-Pflichten nach Anhang III wurden dagegen auf den 2. Dezember 2027 verschoben.

Wer in diesen Tagen nach dem Stichtag sucht, findet überwiegend Texte aus dem Jahr 2025. Sie beschreiben den 2. August 2026 als den großen Tag, an dem die Hochrisiko-Anforderungen scharf gestellt werden: Risikomanagementsystem, technische Dokumentation, Konformitätsbewertung, Registrierung in einer EU-Datenbank. Für ein mittelständisches Unternehmen mit fünfzig Beschäftigten klingt das nach einem Projekt von mehreren Monaten, und genau diese Panik trägt sich seit Wochen durch Newsletter und LinkedIn-Beiträge weiter.

Diese Darstellung ist überholt. Mit dem sogenannten Digital Omnibus on AI hat die EU einen Änderungsrechtsakt beschlossen, der die Fristen für Hochrisiko-Systeme deutlich nach hinten schiebt. Der Rat der EU und das Europäische Parlament haben sich am 7. Mai 2026 vorläufig geeinigt, das Parlament stimmte am 16. Juni 2026 zu, der Rat gab am 29. Juni 2026 sein finales grünes Licht. Unterzeichnet wurde der Rechtsakt nach Angaben des Rates am 8. Juli 2026. Die Veröffentlichung im Amtsblatt der EU, die für das Inkrafttreten am dritten Tag danach nötig ist, stand bei Redaktionsschluss dieses Artikels noch aus.

Für Unternehmen bedeutet das eine ungewohnte Lage: Die Entlastung ist politisch beschlossen, formal aber noch nicht vollständig vollzogen. Rechnen sollte man mit den neuen Fristen, planen ebenfalls, das Thema aber nicht komplett von der Agenda streichen. Was am 2. August 2026 tatsächlich passiert, ist trotzdem relevant, denn es betrifft deutlich mehr Unternehmen als die Hochrisiko-Regeln je getan hätten. Wer bereits eine interne KI-Richtlinie aufgesetzt hat, muss sie an wenigen, aber konkreten Stellen nachziehen.

Welche Pflichten wurden verschoben und wie lange?

Verschoben wurden die beiden Hochrisiko-Blöcke. Eigenständige Systeme nach Anhang III, etwa zur Bewerberauswahl, Kreditwürdigkeitsprüfung oder im Bildungsbereich, rücken vom 2. August 2026 auf den 2. Dezember 2027. In Produkte eingebettete Systeme nach Anhang I, etwa in Medizinprodukten oder Maschinen, rücken vom 2. August 2027 auf den 2. August 2028.

Der Verschiebungsgrund ist weniger politisch als praktisch. Die harmonisierten Normen, an denen sich Anbieter bei der Konformitätsbewertung orientieren sollen, lagen schlicht nicht rechtzeitig vor, und in mehreren Mitgliedstaaten fehlten die zuständigen nationalen Behörden noch. Eine Pflicht, deren Erfüllung mangels Maßstab niemand nachweisen kann, ist keine sinnvolle Pflicht. Der Digital Omnibus koppelt den Geltungsbeginn deshalb enger an die Verfügbarkeit dieser Unterstützungsmaßnahmen.

Für die Praxis heißt das: 16 Monate zusätzliche Zeit bei Anhang III und zwölf zusätzliche Monate bei Anhang I. Das ist viel, aber es ist keine Aufhebung. Ein Unternehmen, das eine KI zur Vorsortierung von Bewerbungen einsetzt, wird diese Pflichten erfüllen müssen, nur eben später. Wer die gewonnene Zeit nutzt, um jetzt in Ruhe zu klären, welche eigenen Anwendungen überhaupt in Anhang III fallen, steht Ende 2027 deutlich besser da als jemand, der das Thema für erledigt hält.

Zwei Punkte im Zeitplan sind neu hinzugekommen statt verschoben worden. Der Digital Omnibus führt ein zusätzliches Verbot ein: KI-Systeme, die zur Erzeugung von Darstellungen sexuellen Kindesmissbrauchs oder nicht einvernehmlicher intimer Bilder dienen, dürfen ab dem 2. Dezember 2026 weder in Verkehr gebracht noch eingesetzt werden. Und die Mitgliedstaaten bleiben verpflichtet, bis zum 2. August 2027 KI-Reallabore einzurichten, in denen Unternehmen neue Anwendungen unter Aufsicht erproben können.

Wen treffen die Transparenzpflichten nach Artikel 50?

Artikel 50 trifft praktisch jedes Unternehmen, das Menschen mit einem KI-System interagieren lässt oder KI-erzeugte Inhalte veröffentlicht. Ein Chatbot auf der Website, ein Sprachassistent in der Telefonanlage oder generierte Bilder in der Kommunikation müssen ab dem 2. August 2026 als KI erkennbar sein.

Das ist der eigentliche Kern des Stichtags, und er wird in den meisten Ratgebern unterschlagen, weil er unspektakulär wirkt. Die Logik dahinter ist einfach: Wer mit einer Maschine spricht, soll das wissen. Konkret bedeutet das eine Offenlegung an der Stelle, an der die Interaktion beginnt, nicht versteckt in den Nutzungsbedingungen. Ein Hinweis wie „Du chattest mit einem KI-Assistenten" direkt im Chatfenster erfüllt den Zweck. Ausgenommen sind Fälle, in denen der KI-Einsatz für eine verständige Person aus dem Kontext ohnehin offensichtlich ist.

Bei künstlich erzeugten oder manipulierten Inhalten kommt eine zweite Ebene dazu: Anbieter müssen die Ausgaben maschinenlesbar kennzeichnen, damit sich synthetische Inhalte technisch als solche erkennen lassen. Für Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, sieht der Digital Omnibus eine Schonfrist von drei Monaten vor. Diese Bestandssysteme müssen die Kennzeichnungs- und Erkennungsanforderungen erst zum 2. Dezember 2026 erfüllen.

Wer die Pflicht verletzt, riskiert mehr als eine Rüge. Die KI-Verordnung sieht für Verstöße gegen die Pflichten von Anbietern und Betreibern einen Bußgeldrahmen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes vor, je nachdem welcher Betrag höher ist. Bei einem Mittelständler mit 20 Millionen Euro Umsatz wäre der Umsatzanteil zwar der kleinere Wert, die reine Höhe des Rahmens zeigt aber, dass der Gesetzgeber Transparenz nicht als Formalie versteht. Praktisch relevanter als das theoretische Maximum ist ohnehin, dass die Kennzeichnung eines Chatbots eine Aufgabe von Minuten ist, nicht von Wochen.

Der zweite Block, der am 2. August 2026 greift, betrifft die meisten KMU nur mittelbar. Die Kommission erhält ihre Durchsetzungsbefugnisse gegenüber Anbietern von KI-Modellen mit allgemeinem Verwendungszweck, also gegenüber OpenAI, Google, Anthropic, Mistral und vergleichbaren Häusern. Die inhaltlichen GPAI-Pflichten selbst gelten bereits seit dem 2. August 2025. Neu ist ab August 2026 nur, dass die Kommission sie auch durchsetzen kann. Für Unternehmen, die diese Modelle einsetzen, verschiebt das die Verantwortung nicht, aber es erhöht den Druck auf die Anbieter, Dokumentation und Trainingsdaten-Angaben tatsächlich zu liefern. Wer ohnehin über den Betrieb von Modellen auf eigener Infrastruktur nachdenkt, hat an dieser Stelle einen Vorteil, weil Anbieterpflichten und Betreiberpflichten dann nicht auf zwei Parteien mit unterschiedlichen Interessen verteilt sind.

Wer setzt die Regeln in Deutschland durch?

Die Bundesnetzagentur wird zentrale Marktüberwachungsbehörde für die KI-Verordnung in Deutschland. Der Bundestag beschloss das Gesetz zur Durchführung der KI-Verordnung am 11. Juni 2026, der Bundesrat billigte es am 10. Juli 2026. Ein Antrag auf Anrufung des Vermittlungsausschusses fand keine Mehrheit.

Bei der Bundesnetzagentur entsteht ein Koordinierungs- und Kompetenzzentrum, kurz KoKIVO. Es bündelt die KI-Expertise des Bundes an einer Stelle, stellt sie anderen Behörden zur Verfügung und dient Unternehmen als Informationsquelle. Die Behörde ist außerdem Anlauf- und Beschwerdestelle für Bürgerinnen und Bürger. Ausgenommen von ihrer Marktüberwachung bleiben KI-Systeme öffentlicher Stellen der Länder und Kommunen, die ihre eigenen Aufsichtswege behalten.

Für den Mittelstand ist ein anderer Teil des Gesetzes interessanter als die Zuständigkeitsfrage. Die Bundesnetzagentur bekommt ausdrücklich einen Innovationsauftrag: Sie soll KMU und Startups beraten und mindestens ein KI-Reallabor einrichten und betreiben, in dem sich neue Anwendungen unter behördlicher Aufsicht erproben lassen. Das ist eine ungewöhnliche Konstruktion, weil dieselbe Stelle beaufsichtigt und berät, für kleinere Unternehmen ohne eigene Rechtsabteilung aber die pragmatischste Lösung.

Ein Bußgeldtatbestand aus dem nationalen Gesetz verdient besondere Aufmerksamkeit, weil er unabhängig von der Systemklassifizierung greift. Wer gegen Mitwirkungs- und Auskunftspflichten gegenüber der zuständigen Behörde oder einer notifizierenden Stelle verstößt, riskiert nach Angaben von heise online bis zu 50.000 Euro. Das trifft nicht denjenigen, der eine falsche KI einsetzt, sondern denjenigen, der auf eine behördliche Anfrage nicht oder unvollständig antwortet. Praktisch heißt das: Ein Unternehmen muss jederzeit auskunftsfähig sein, welche KI-Systeme es in welchem Kontext betreibt. Genau daran scheitern viele, weil sich Werkzeuge über Fachabteilungen verteilt und unkoordiniert eingeschlichen haben. Wie schnell aus verstreuten Einzeltools ein Compliance-Problem wird, zeigt sich beim Thema Schatten-KI im Unternehmen.

Was sollte ein KMU in den verbleibenden zwei Wochen tun?

Drei Aufgaben sind vor dem 2. August 2026 realistisch zu schaffen: die Kennzeichnung aller kundenseitigen KI-Interaktionen prüfen, ein Inventar der eingesetzten KI-Systeme anlegen und die KI-Kompetenz der Beschäftigten nach Artikel 4 dokumentieren. Alles Weitere hat bis Ende 2027 Zeit.

Der erste Punkt ist der kürzeste. Jeder Kontaktpunkt, an dem eine Person mit einem KI-System interagiert, braucht einen erkennbaren Hinweis. Das betrifft den Website-Chatbot, automatische Antwortsysteme im Support, Sprachdialogsysteme am Telefon und KI-generierte Inhalte in Newsletter oder auf Social Media. In den meisten Fällen genügt eine Textzeile im Widget oder ein kurzer Satz zu Beginn des Telefonats. Wenn dein Unternehmen einen zugekauften Chatbot einsetzt, lohnt eine Nachfrage beim Anbieter, ob die Kennzeichnung bereits im Standard enthalten ist oder aktiviert werden muss.

Der zweite Punkt ist der aufwendigere, aber auch der nützlichere. Ein KI-Inventar listet, welches System in welcher Abteilung für welchen Zweck eingesetzt wird, welche Datenkategorien dabei verarbeitet werden und wer intern verantwortlich ist. Eine Tabelle mit fünf Spalten genügt für den Anfang. Dieses Inventar ist die Grundlage für die Auskunftsfähigkeit gegenüber der Bundesnetzagentur, es überschneidet sich stark mit dem Verarbeitungsverzeichnis nach DSGVO und es beantwortet nebenbei die Frage, welche Systeme später unter Anhang III fallen könnten. Wie sich AI Act und DSGVO in der Umsetzung überschneiden, ist dabei der Hebel, der doppelte Arbeit vermeidet.

Der dritte Punkt wird am häufigsten übersehen, weil er kein neuer Stichtag ist. Die Pflicht zur KI-Kompetenz nach Artikel 4 gilt bereits seit dem 2. Februar 2025. Anbieter und Betreiber müssen sicherstellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt, gemessen an Vorkenntnissen, Einsatzkontext und den betroffenen Personengruppen. Die Kommission stellt in ihren FAQ klar, dass es dafür keine formale Zertifizierung braucht. Eine dokumentierte interne Schulung, angepasst an die tatsächlichen Anwendungsfälle, reicht aus. Entscheidend ist, dass es überhaupt eine Dokumentation gibt. In Berufen mit besonderer Verschwiegenheitspflicht kommt eine eigene Ebene dazu, wie der Blick auf KI bei Berufsgeheimnisträgern nach Paragraf 203 StGB zeigt.

Wie dringend das Thema für die Breite der Wirtschaft ist, zeigt eine Umfrage des ifo Instituts vom Mai 2026: 54,5 Prozent der Unternehmen in Deutschland nutzen künstliche Intelligenz, bei mittleren Unternehmen sind es 47,2 Prozent und bei kleinen 51,2 Prozent. Auf der anderen Seite steht ein Befund des Statistischen Bundesamts aus dem Erhebungsjahr 2025: Für 62 Prozent der Unternehmen, die KI nicht einsetzen, sind unklare Rechtsfolgen ein Hemmnis. Rechtsunsicherheit ist damit kein Randthema, sondern der meistgenannte Bremsklotz. Ein sauberes Inventar und eine dokumentierte Schulung lösen einen erheblichen Teil davon.

Fazit

Die Erleichterung durch den Digital Omnibus ist echt, und sie ist substanziell. Wer im Frühjahr noch ein Hochrisiko-Projekt mit Konformitätsbewertung bis Anfang August durchziehen wollte, hat jetzt 16 Monate mehr. Das ist keine Kleinigkeit, sondern der Unterschied zwischen hektischer Symbolerfüllung und einer Umsetzung, die im Betrieb tatsächlich trägt.

Zugleich wäre es ein Fehler, den 2. August 2026 deshalb als Nicht-Ereignis abzutun. Die Transparenzpflichten nach Artikel 50 treffen mehr Unternehmen als die Hochrisiko-Regeln je getan hätten, weil ein Chatbot auf der Website heute Standard ist und eine Kreditwürdigkeitsprüfung per KI nicht. Der Aufwand ist klein, die Sichtbarkeit eines Verstoßes dafür groß: Eine fehlende Kennzeichnung sieht jeder Besucher und jeder Wettbewerber sofort.

Formal ist die Lage noch nicht abgeschlossen. Die Veröffentlichung des Änderungsrechtsakts im Amtsblatt stand bei Redaktionsschluss aus, und erst drei Tage danach tritt er in Kraft. Wer auf Nummer sicher gehen will, prüft den Stand kurz vor dem Stichtag noch einmal, statt sich auf Sekundärquellen zu verlassen.

Die drei Aufgaben für die verbleibenden Tage sind überschaubar: Kennzeichnung prüfen, Inventar anlegen, Kompetenznachweis dokumentieren. Alle drei zahlen auf die späteren Fristen ein, keine davon ist verlorene Arbeit. Wer sie jetzt erledigt, hat den Dezember 2027 nicht mehr zu fürchten.

---

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Die Rechtslage zur KI-Verordnung befindet sich in Bewegung, insbesondere solange der Änderungsrechtsakt nicht im Amtsblatt der EU veröffentlicht ist. Für die Bewertung des eigenen Einzelfalls ist qualifizierter rechtlicher Rat einzuholen.

Quellen

1. Rat der EU: Vorläufige Einigung zur Vereinfachung der KI-Regeln (07.05.2026)
2. Rat der EU: Finale Zustimmung zum Digital Omnibus on AI (29.06.2026)
3. Deutscher Bundestag: Ja zur Durchführung der Verordnung über künstliche Intelligenz (11.06.2026)
4. Bundesrat: 1067. Sitzung am 10. Juli 2026
5. heise online: Bundestag beschließt KI-Gesetz, Bundesnetzagentur wird zentrale Aufsicht
6. Verordnung (EU) 2024/1689, KI-Verordnung im Volltext (EUR-Lex)
7. Artikel 4 KI-Verordnung: KI-Kompetenz
8. Europäische Kommission: FAQ zur KI-Kompetenz
9. Durchsetzung von Kapitel V der KI-Verordnung ab 02.08.2026
10. ifo Institut: Mehr als die Hälfte der Unternehmen in Deutschland nutzt KI (Juni 2026)
11. Statistisches Bundesamt: Unternehmen mit Einsatz künstlicher Intelligenz