EU AI Act einfach erklärt: was seit August 2026 gilt

Sie lassen einen Chatbot Kundenanfragen beantworten. Sie schreiben Angebote mit KI-Unterstützung. Ihre Personalabteilung sortiert Bewerbungen mit einem Werkzeug vor, das mit KI arbeitet. In allen drei Fällen betrifft Sie die KI-Verordnung der EU, meist AI Act genannt.

Die wichtigste Nachricht zuerst: Seit dem 2. August 2026 gilt der Hauptteil der Verordnung. Der Termin ist bereits vorbei. Gleichzeitig hat die EU im Juli 2026 einen Teil der Pflichten verschoben, und zwar genau den Teil, vor dem die meisten Unternehmen Respekt hatten. Seit dem Sommer liegen außerdem die ersten Leitlinien der Kommission und ein Verhaltenskodex zur Kennzeichnung von KI-Inhalten vor. Sie machen die Transparenzpflichten greifbarer.

Auf dieser Seite lesen Sie, was jetzt gilt, was verschoben wurde und in welcher Reihenfolge Sie vorgehen sollten. Rechtsstand ist der 8. Oktober 2026.

Die Verordnung reguliert den Zweck, nicht die Technik

Der volle Name lautet Verordnung (EU) 2024/1689. Sie ist im August 2024 in Kraft getreten und gilt in Stufen.

Es ist eine Verordnung, kein deutsches Gesetz. Sie gilt in allen EU-Ländern unmittelbar. Deutschland regelt nur, wer sie überwacht. Das steht seit dem 29. Juli 2026 im Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz, kurz KI-MIG.

Für die eigene Einordnung ist ein Punkt entscheidend: Die Verordnung reguliert nicht KI als Technologie, sondern den Zweck, für den ein System eingesetzt wird. Dasselbe Sprachmodell kann in einem Fall frei nutzbar sein und im anderen Fall unter strenge Pflichten fallen. Es kommt auf den Anwendungsfall an, nicht auf das Produkt.

Vier Risikostufen, und die meisten Anwendungen liegen unten

Die Verordnung teilt KI-Anwendungen nach ihrem Schadenspotenzial ein.

Der häufigste Irrtum ist die Annahme, jede KI-Nutzung sei Hochrisiko. Die große Mehrheit der Anwendungen im Mittelstand liegt bei begrenztem oder minimalem Risiko. Hochrisiko entsteht dort, wo eine KI über Menschen entscheidet oder Entscheidungen über Menschen vorbereitet.

Ihre Rolle entscheidet über Ihre Pflichten

Die Verordnung trifft nicht nur die Hersteller von KI. Welche Pflichten Sie haben, hängt davon ab, welche Rolle Sie im konkreten Fall einnehmen.

Fast jedes Unternehmen, das KI beruflich nutzt, ist Betreiber. Die Betreiberpflichten sind deutlich schlanker als die Anbieterpflichten, aber es gibt sie.

Für wen die Verordnung nicht gilt

• Private Nutzung außerhalb einer beruflichen Tätigkeit fällt nicht darunter.
• Forschung und Entwicklung vor dem Inverkehrbringen ist ausgenommen, solange kein Einsatz unter realen Bedingungen stattfindet.
• Militär, Verteidigung und nationale Sicherheit sind ausgenommen.
• Freie und quelloffene KI-Systeme sind privilegiert, aber nicht pauschal ausgenommen. Sobald sie hochriskant sind, unter die verbotenen Praktiken fallen oder Transparenzpflichten auslösen, gelten die Regeln.

Die Termine im Überblick

Seit dem 2. August 2026 gelten die Transparenzpflichten

Diese Pflichten betreffen nicht jede KI-Nutzung. Sie betreffen die Fälle, in denen ein Mensch mit einer KI zu tun hat, ohne es zu merken.

Pflichten für Anbieter

• Ein KI-System, das direkt mit Menschen interagiert, muss sich zu erkennen geben. Beispiel: Ein Chatbot auf Ihrer Website muss erkennbar machen, dass er kein Mensch ist. Die Pflicht entfällt, wenn das aus dem Zusammenhang offensichtlich ist.
• Erzeugte Inhalte müssen maschinenlesbar markiert sein. Gemeint sind Audio, Bild, Video und Text aus generativer KI. Technisch geschieht das über Wasserzeichen oder Metadaten. Für Systeme, die vor dem 2. August 2026 bereits auf dem Markt waren, läuft eine Übergangsfrist bis zum 2. Dezember 2026.

Pflichten für Betreiber

• Emotionserkennung und biometrische Kategorisierung müssen den betroffenen Personen offengelegt werden. Parallel ist die DSGVO zu beachten.
• Deepfakes müssen als solche gekennzeichnet werden. Bei künstlerischen, satirischen oder erkennbar fiktionalen Werken genügt ein Hinweis, der die Darstellung nicht stört.
• KI-generierte Texte zu Themen von öffentlichem Interesse müssen offengelegt werden. Diese Pflicht entfällt, wenn ein Mensch den Text geprüft hat und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.

Für den Geschäftsalltag heißt das konkret: Ein Angebot, das Sie mit KI-Unterstützung schreiben und selbst prüfen, ist nicht kennzeichnungspflichtig. Ein KI-Chatbot auf Ihrer Website ist es. Bei KI-generierten Werbebildern mit realistisch wirkenden Personen oder Produkten ist die Kennzeichnung der sichere Weg.

Was Leitlinien und Verhaltenskodex seit dem Sommer klären

Die Kommission hat am 10. Juni 2026 den Verhaltenskodex zur Transparenz KI-generierter Inhalte veröffentlicht und am 20. Juli 2026 ihre Leitlinien zu Art. 50. Beide sind keine Gesetze. Die Leitlinien zeigen aber, wie die Aufsicht die Pflichten lesen wird, und der Kodex gilt der Kommission als geeigneter Weg, sie zu erfüllen. Die wichtigsten Klarstellungen:

• Der Hinweis am Chatbot gehört an den Anfang. Er muss bei der ersten Interaktion klar erkennbar sein. Die Ausnahme „ohnehin offensichtlich“ ist eng gemeint. Das gilt auch für Sprachassistenten und KI-Agenten, die im Auftrag eines Unternehmens handeln.
• Redaktionelle Prüfung heißt inhaltliche Prüfung. Eine Rechtschreib- oder Grammatikkorrektur reicht nicht, um einen KI-Text von der Kennzeichnung zu befreien. Jemand muss den Inhalt fachlich prüfen und die Verantwortung für die Veröffentlichung tragen.
• Keine Rückwirkung. Bilder, Audio und Video, die vor dem 2. August 2026 erzeugt wurden, müssen nicht nachträglich gekennzeichnet werden. Für Texte zählt das Datum der Veröffentlichung.
• Werbebilder sind schnell Deepfakes. Ein KI-Bild, das ein Produkt besser aussehen lässt als in Wirklichkeit, gilt nach den Leitlinien als Deepfake. Die Ausnahme für künstlerische oder satirische Inhalte ist eng. Informations- und Werbeinhalte werden regulär gekennzeichnet.
• Nicht markierungspflichtig sind nach den Leitlinien unter anderem Quellcode, reine Maschine-zu-Maschine-Ausgaben, Ausgaben in geschlossenen Entwicklungsumgebungen und einfache Standardbearbeitungen.
• Ein gemeinsames Symbol. Der Kodex bringt ein EU-Icon-Set, mit dem Betreiber KI-Inhalte kennzeichnen können. Wer den Kodex unterzeichnet, kann sich EU-weit darauf stützen. Ende Juli 2026 hatten rund 190 Unternehmen und Organisationen unterzeichnet. Wer nicht unterzeichnet, muss mit gleichwertigen Maßnahmen nachweisen, dass er Art. 50 erfüllt.

Der Digital Omnibus verschiebt, er hebt nicht auf

Das Europäische Parlament hat am 16. Juni 2026 zugestimmt, der Rat am 29. Juni 2026. Die Verordnung (EU) 2026/1744 vom 8. Juli 2026, meist Digital Omnibus genannt, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Die wichtigsten Punkte:

• Die Hochrisiko-Pflichten wurden verschoben. Für Systeme nach Anhang III gilt jetzt der 2. Dezember 2027, für produktbezogene Systeme nach Anhang I der 2. August 2028.
• Die Einstufung als Hochrisiko wurde enger gefasst. Eine KI-Komponente in einem Produkt gilt nur dann als hochriskant, wenn ihr Ausfall oder ihre Fehlfunktion tatsächlich Risiken für Gesundheit oder Sicherheit verursachen kann.
• Die KI-Kompetenz nach Art. 4 bleibt Pflicht, wird aber offener formuliert. Anbieter und Betreiber müssen Maßnahmen ergreifen, die die KI-Kompetenz ihres Personals unterstützen. Ein bestimmtes Wissensniveau je Person wird nicht mehr verlangt.
• Zwei neue Verbote in Art. 5. Verboten sind KI-Systeme, die realistische intime oder sexuelle Darstellungen von Personen ohne deren Einwilligung erzeugen oder verändern, und KI-Systeme, die Darstellungen sexuellen Kindesmissbrauchs erzeugen. Beide Verbote gelten ab dem 2. Dezember 2026. Allgemeine generative Dienste fallen nur darunter, wenn das ihr Zweck ist oder eine solche Nutzung vorhersehbar ist und Schutzmechanismen fehlen.
• Kleine Unternehmen und Unternehmen mittlerer Kapitalisierung erhalten vereinfachte Pflichten, etwa bei der technischen Dokumentation und beim Qualitätsmanagement. Für sie gilt bei Bußgeldern der jeweils niedrigere Wert.
• Die Grundrechte-Folgenabschätzung darf auf eine vorhandene Datenschutz-Folgenabschätzung aufbauen. Wer den Cyber Resilience Act erfüllt, erfüllt damit auch die Cybersicherheitsanforderungen für Hochrisiko-Systeme nach Art. 15.
• Die Aufsicht durch das AI Office der Europäischen Kommission wurde gestärkt. Es ist jetzt allein zuständig für KI-Systeme, die auf einem Allzweck-Modell desselben Anbieters beruhen, und hat eigene Ermittlungs- und Sanktionsbefugnisse.
• Die Frist für das nationale KI-Reallabor wurde auf den 2. August 2027 verschoben.

Art. 50 wurde von der Verschiebung ausdrücklich nicht erfasst. Die Transparenzpflichten gelten seit dem 2. August 2026 unverändert.

Die Verschiebung ist eine Verlängerung der Vorbereitungszeit, keine Aufhebung. Wer ein Hochrisiko-System einsetzt oder plant, gewinnt sechzehn Monate. Die Pflicht selbst bleibt. Der Schluss „verschoben, also müssen wir nichts tun“ ist der wohl häufigste Irrtum zur aktuellen Rechtslage.

KI-Kompetenz ist die Pflicht, die alle betrifft

Art. 4 verlangt seit Februar 2025, dass Anbieter und Betreiber Maßnahmen ergreifen, damit die Personen, die KI in ihrem Auftrag einsetzen, über ausreichende KI-Kompetenz verfügen. Das Niveau richtet sich nach Vorkenntnissen, Ausbildung, Einsatzkontext und den betroffenen Personengruppen. Einbezogen sind auch Personen, die im Auftrag mit den Systemen arbeiten, etwa Dienstleister und freie Mitarbeitende.

Diese Pflicht trifft praktisch jedes Unternehmen, das KI beruflich nutzt. Sie ist zugleich die am einfachsten zu erfüllende: eine Schulung, eine interne Richtlinie und eine Aufzeichnung, wer wann geschult wurde.

Die Verordnung schreibt kein Zertifikat und kein bestimmtes Format vor. Sie regelt auch nicht ausdrücklich, wie zu dokumentieren ist. Eine Dokumentation ist trotzdem sinnvoll, weil Sie sonst im Zweifel nicht nachweisen können, dass Sie etwas getan haben. Nach den Fragen und Antworten der Kommission genügt das bloße Verteilen einer Nutzungsanweisung in der Regel nicht. Einen KI-Beauftragten verlangt die Kommission nicht. Durchgesetzt wird Art. 4 seit August 2026, weil erst seitdem die Aufsichts- und Sanktionsregeln greifen.

Wer die Verordnung durchsetzt

In Deutschland ist die Bundesnetzagentur die zentrale Marktüberwachungsbehörde, soweit keine Fachbehörde zuständig ist. Grundlage ist das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz, kurz KI-MIG, vom 22. Juli 2026, in Kraft seit dem 29. Juli 2026. Der Bundestag hatte es am 11. Juni 2026 beschlossen, der Bundesrat am 10. Juli 2026 gebilligt.

• Marktüberwachung für KI-Systeme, soweit keine Fachbehörde zuständig ist. Für Banken und Versicherungen bleibt die BaFin zuständig, für Landesbehörden und Medien regeln die Länder die Aufsicht. Die Datenschutzbehörden werden einbezogen.
• Zentrale Beschwerdestelle. Jede Person kann Verstöße melden. Dafür gibt es ein Online-Formular im KI-Service-Desk der Bundesnetzagentur. Die Behörde prüft und leitet an die zuständige Stelle weiter.
• Zentrale Anlaufstelle und KI-Service-Desk mit einem Compliance-Kompass, der bei der ersten Einordnung eigener Systeme hilft.
• Koordinierungs- und Kompetenzzentrum, das die Behörden bei schwierigen Fällen unterstützt und für eine einheitliche Auslegung sorgt.
• KI-Reallabor. Die Bundesnetzagentur muss mindestens eines betreiben. Ein Pilotprojekt mit Hessen und der Bundesdatenschutzbeauftragten wurde im März 2026 abgeschlossen. Einsatzbereit sein muss das Reallabor bis zum 2. August 2027.

Das KI-MIG schafft keine neuen inhaltlichen Pflichten. Es enthält aber eigene Bußgelder bis 50.000 Euro, etwa wenn Betreiber bestimmter Hochrisiko-Systeme eine Erläuterung nach Art. 86 verweigern oder Informations- und Dokumentationspflichten verletzen. Für Allzweck-KI-Modelle liegt die Aufsicht beim AI Office der Europäischen Kommission. Es setzt die Pflichten der Modellanbieter seit dem 2. August 2026 durch.

Leitlinien und Normen: wo die Auslegung steht

Die Verordnung sieht Leitlinien der Kommission und harmonisierte Normen vor, die die Pflichten konkretisieren. Der Stand im Oktober 2026:

Der Entwurf zur Hochrisiko-Einstufung enthält drei Aussagen, die für Unternehmen wichtig sind: Die Zweckbestimmung eines Systems ergibt sich aus allen Unterlagen, auch aus der Werbung. Eine Vertragsklausel, die Hochrisiko-Einsätze ausschließt, schützt nicht, wenn andere Unterlagen das Gegenteil nahelegen. Und menschliche Aufsicht allein nimmt einem System die Hochrisiko-Eigenschaft nicht.

Solange keine harmonisierte Norm im Amtsblatt steht, gibt es keine Konformitätsvermutung. Genau deshalb wurden die Hochrisiko-Fristen verschoben.

Was Verstöße kosten können

Es gilt jeweils der höhere Betrag. Für kleine und mittlere Unternehmen, Start-ups und seit dem Omnibus auch für Unternehmen mittlerer Kapitalisierung gilt der jeweils niedrigere der beiden Werte.

Für wen das jetzt konkret wichtig ist

• Unternehmen mit Chatbot oder KI-gestütztem Kundenkontakt. Sie sind seit dem 2. August 2026 unmittelbar betroffen. Die Kennzeichnung ist eine kleine Änderung, aber sie muss gemacht sein.
• Marketing und Kommunikation. Wer KI-generierte Bilder, Videos oder Stimmen einsetzt, sollte prüfen, wann eine Kennzeichnung nötig ist. Nach den Leitlinien ist der Fall bei realistisch wirkenden Personen eindeutig und bei Produktbildern, die mehr versprechen als die Wirklichkeit, ebenfalls. Für Texte ist ein Freigabeprozess mit inhaltlicher Prüfung der einfachste Weg.
• Personalabteilungen. Bewerberauswahl und Leistungsbewertung stehen in Anhang III und sind damit Hochrisiko. Durch die Verschiebung bleibt Zeit bis Dezember 2027, der Aufwand ist aber erheblich. Emotionserkennung am Arbeitsplatz ist bereits seit Februar 2025 verboten.
• Softwarehäuser und Entwicklungsdienstleister. Sobald Sie KI-Funktionen in ein Produkt einbauen und unter eigenem Namen ausliefern, sind Sie Anbieter. Prüfen Sie die Einstufung je Funktion, nicht je Produkt.
• Steuerkanzleien. In aller Regel sind Sie Betreiber, nicht Anbieter. Belegerkennung, Textentwürfe, Recherche und Zusammenfassungen liegen bei minimalem oder begrenztem Risiko. Praktisch relevant sind die KI-Kompetenz nach Art. 4, die Transparenz bei Mandantenkontakt über Chatbots und parallel die DSGVO.
• Kleine Unternehmen ohne eigene KI-Entwicklung. Der Aufwand ist überschaubar. Verbotene Praktiken ausschließen, KI-Kompetenz sicherstellen, Transparenz bei Kundenkontakt herstellen. Das ist der Kern.

Was Sie jetzt tun sollten

1. Erstellen Sie eine Liste Ihrer KI-Anwendungen. Schreiben Sie auf, welche Werkzeuge im Unternehmen genutzt werden, wofür und von wem. Ohne diese Liste lässt sich nichts einordnen.
2. Bestimmen Sie je Anwendung Ihre Rolle. Anbieter oder Betreiber? Die Antwort kann je Anwendung unterschiedlich ausfallen.
3. Ordnen Sie jede Anwendung einer Risikostufe zu. Beginnen Sie mit der Frage, ob eine verbotene Praktik vorliegt. Prüfen Sie danach Anhang III.
4. Prüfen Sie Ihre Transparenzpflichten. Gibt es einen Chatbot? Veröffentlichen Sie KI-generierte Inhalte? Diese Pflichten gelten seit dem 2. August 2026 und sind schnell umzusetzen. Maßstab sind die Leitlinien der Kommission und der Verhaltenskodex.
5. Schulen Sie Ihre Mitarbeitenden und halten Sie das fest. Erlaubte Werkzeuge, verbotene Daten, Prüfung der Ergebnisse, Umgang mit Fehlern.
6. Schreiben Sie eine interne KI-Richtlinie. Sie brauchen keine dreißig Seiten. Sie brauchen klare Regeln, an die sich Menschen halten können.
7. Prüfen Sie parallel die DSGVO. Sobald personenbezogene Daten verarbeitet werden, gelten beide Regelwerke nebeneinander. Die Einhaltung des einen ersetzt das andere nicht. Mehr dazu auf der Seite DSGVO beim KI-Einsatz.
8. Planen Sie Hochrisiko-Anwendungen frühzeitig. Wenn Sie eine Anwendung aus Anhang III einsetzen oder planen, beginnen Sie jetzt mit Risikomanagement und Dokumentation. Dezember 2027 klingt weit weg, ist es aber nicht.

Diese Schritte decken einen Teil der Anforderungen ab, nicht alle. Sie schaffen die Grundlage.

Der dringendste nächste Schritt

Erstellen Sie die Liste Ihrer KI-Anwendungen und prüfen Sie zwei Dinge daran: Ist eine verbotene Praktik dabei, und löst eine Anwendung eine Transparenzpflicht aus?

Beides gilt bereits. Die Arbeit an den Hochrisiko-Pflichten hat bis Dezember 2027 Zeit. Wenn Sie die Verordnung in Ruhe durchgehen möchten, führt die interaktive Lerneinheit in rund 30 Minuten durch die wichtigsten Punkte.

Rechtlicher Hinweis

Die Angaben beruhen auf dem Stand vom 8. Oktober 2026. Der Digital Omnibus ist seit Ende Juli 2026 in Kraft. Zu den Transparenzpflichten liegen Leitlinien und Verhaltenskodex vor, zur Hochrisiko-Einstufung erst ein Entwurf, und die harmonisierten Normen sind noch nicht im Amtsblatt zitiert. Maßgeblich ist der Verordnungstext in der geänderten Fassung.

Quellen

• Verordnung (EU) 2024/1689 (KI-Verordnung), konsolidierte Fassung
• Verordnung (EU) 2026/1744 (Digital Omnibus zur KI-Verordnung), EUR-Lex, veröffentlicht am 24.07.2026
• AI Act Volltext und Explorer
• Art. 50 KI-VO, Transparenzpflichten
• Anhang III, Hochrisiko-Anwendungen
• Europäische Kommission, Verhaltenskodex zur Transparenz KI-generierter Inhalte
• Europäische Kommission, Leitlinien zu den Transparenzpflichten nach Art. 50
• Europäische Kommission, Entwurf der Leitlinien zur Hochrisiko-Einstufung
• KI-MIG, Gesetzestext
• Bundesnetzagentur, Ziele, Zielgruppen und Zeitplan der KI-Verordnung
• Bundesnetzagentur zur Umsetzung der KI-Verordnung
• BMDS, Gesetz zur Durchführung der KI-Verordnung