EU AI Act einfach erklärt: was seit August 2026 gilt

Sie lassen einen Chatbot Kundenanfragen beantworten. Sie schreiben Angebote mit KI-Unterstützung. Ihre Personalabteilung sortiert Bewerbungen mit einem Werkzeug vor, das mit KI arbeitet. In allen drei Fällen betrifft Sie die KI-Verordnung der EU, meist AI Act genannt.

Die wichtigste Nachricht zuerst: Seit dem 2. August 2026 gilt der Hauptteil der Verordnung. Der Termin ist bereits vorbei. Gleichzeitig hat die EU im Juli 2026 einen Teil der Pflichten verschoben, und zwar genau den Teil, vor dem die meisten Unternehmen Respekt hatten.

Auf dieser Seite lesen Sie, was jetzt gilt, was verschoben wurde und in welcher Reihenfolge Sie vorgehen sollten. Rechtsstand ist der 26. August 2026.

Die Verordnung reguliert den Zweck, nicht die Technik

Der volle Name lautet Verordnung (EU) 2024/1689. Sie ist im August 2024 in Kraft getreten und gilt in Stufen.

Es ist eine Verordnung, kein deutsches Gesetz. Sie gilt in allen EU-Ländern unmittelbar. Deutschland regelt nur, wer sie überwacht. Das steht seit dem 29. Juli 2026 im Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz, kurz KI-MIG.

Für die eigene Einordnung ist ein Punkt entscheidend: Die Verordnung reguliert nicht KI als Technologie, sondern den Zweck, für den ein System eingesetzt wird. Dasselbe Sprachmodell kann in einem Fall frei nutzbar sein und im anderen Fall unter strenge Pflichten fallen. Es kommt auf den Anwendungsfall an, nicht auf das Produkt.

Vier Risikostufen, und die meisten Anwendungen liegen unten

Die Verordnung teilt KI-Anwendungen nach ihrem Schadenspotenzial ein.

Der häufigste Irrtum ist die Annahme, jede KI-Nutzung sei Hochrisiko. Die große Mehrheit der Anwendungen im Mittelstand liegt bei begrenztem oder minimalem Risiko. Hochrisiko entsteht dort, wo eine KI über Menschen entscheidet oder Entscheidungen über Menschen vorbereitet.

Ihre Rolle entscheidet über Ihre Pflichten

Die Verordnung trifft nicht nur die Hersteller von KI. Welche Pflichten Sie haben, hängt davon ab, welche Rolle Sie im konkreten Fall einnehmen.

Fast jedes Unternehmen, das KI beruflich nutzt, ist Betreiber. Die Betreiberpflichten sind deutlich schlanker als die Anbieterpflichten, aber es gibt sie.

Für wen die Verordnung nicht gilt

• Private Nutzung außerhalb einer beruflichen Tätigkeit fällt nicht darunter.
• Forschung und Entwicklung vor dem Inverkehrbringen ist ausgenommen, solange kein Einsatz unter realen Bedingungen stattfindet.
• Militär, Verteidigung und nationale Sicherheit sind ausgenommen.
• Freie und quelloffene KI-Systeme sind privilegiert, aber nicht pauschal ausgenommen. Sobald sie hochriskant sind, unter die verbotenen Praktiken fallen oder Transparenzpflichten auslösen, gelten die Regeln.

Die Termine im Überblick

Seit dem 2. August 2026 gelten die Transparenzpflichten

Diese Pflichten betreffen nicht jede KI-Nutzung. Sie betreffen die Fälle, in denen ein Mensch mit einer KI zu tun hat, ohne es zu merken.

Pflichten für Anbieter

• Ein KI-System, das direkt mit Menschen interagiert, muss sich zu erkennen geben. Beispiel: Ein Chatbot auf Ihrer Website muss erkennbar machen, dass er kein Mensch ist. Die Pflicht entfällt, wenn das aus dem Zusammenhang offensichtlich ist.
• Erzeugte Inhalte müssen maschinenlesbar markiert sein. Gemeint sind Audio, Bild, Video und Text aus generativer KI. Technisch geschieht das über Wasserzeichen oder Metadaten. Für Systeme, die vor dem 2. August 2026 bereits auf dem Markt waren, läuft eine Übergangsfrist bis zum 2. Dezember 2026.

Pflichten für Betreiber

• Emotionserkennung und biometrische Kategorisierung müssen den betroffenen Personen offengelegt werden. Parallel ist die DSGVO zu beachten.
• Deepfakes müssen als solche gekennzeichnet werden. Bei künstlerischen, satirischen oder erkennbar fiktionalen Werken genügt ein Hinweis, der die Darstellung nicht stört.
• KI-generierte Texte zu Themen von öffentlichem Interesse müssen offengelegt werden. Diese Pflicht entfällt, wenn ein Mensch den Text geprüft hat und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.

Für den Geschäftsalltag heißt das konkret: Ein Angebot, das Sie mit KI-Unterstützung schreiben und selbst prüfen, ist nicht kennzeichnungspflichtig. Ein KI-Chatbot auf Ihrer Website ist es. Bei KI-generierten Werbebildern mit realistisch wirkenden Personen sollte der Einzelfall geprüft werden.

Der Digital Omnibus verschiebt, er hebt nicht auf

Die Verordnung (EU) 2026/1744, meist Digital Omnibus genannt, wurde am 24. Juli 2026 veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Die wichtigsten Punkte:

• Die Hochrisiko-Pflichten wurden verschoben. Für Systeme nach Anhang III gilt jetzt der 2. Dezember 2027, für produktbezogene Systeme nach Anhang I der 2. August 2028.
• Die Einstufung als Hochrisiko wurde enger gefasst. Eine KI-Komponente in einem Produkt gilt nur dann als hochriskant, wenn ihr Ausfall oder ihre Fehlfunktion tatsächlich Risiken für Gesundheit oder Sicherheit verursachen kann.
• Die KI-Kompetenz nach Art. 4 bleibt Pflicht, wird aber offener formuliert. Anbieter und Betreiber müssen Maßnahmen zur Förderung von KI-Kompetenz ergreifen. Ein bestimmtes Wissensniveau je Person wird nicht mehr verlangt.
• Kleine Unternehmen und Unternehmen mittlerer Kapitalisierung erhalten vereinfachte Pflichten.
• Die Aufsicht durch das AI Office der Europäischen Kommission wurde gestärkt.

Art. 50 wurde von der Verschiebung ausdrücklich nicht erfasst. Die Transparenzpflichten gelten seit dem 2. August 2026 unverändert.

Die Verschiebung ist eine Verlängerung der Vorbereitungszeit, keine Aufhebung. Wer ein Hochrisiko-System einsetzt oder plant, gewinnt sechzehn Monate. Die Pflicht selbst bleibt. Der Schluss „verschoben, also müssen wir nichts tun“ ist der wohl häufigste Irrtum zur aktuellen Rechtslage.

Nach den vorliegenden Quellen wurden außerdem neue Verbote aufgenommen, unter anderem für KI-Systeme zur Erzeugung intimer Deepfakes ohne Einwilligung, anwendbar ab dem 2. Dezember 2026. Der genaue Wortlaut sollte im Verordnungstext geprüft werden.

KI-Kompetenz ist die Pflicht, die alle betrifft

Art. 4 verlangt seit Februar 2025, dass Anbieter und Betreiber Maßnahmen ergreifen, damit die Personen, die KI in ihrem Auftrag einsetzen, über ausreichende KI-Kompetenz verfügen. Das Niveau richtet sich nach Vorkenntnissen, Ausbildung, Einsatzkontext und den betroffenen Personengruppen. Einbezogen sind auch Personen, die im Auftrag mit den Systemen arbeiten, etwa Dienstleister und freie Mitarbeitende.

Diese Pflicht trifft praktisch jedes Unternehmen, das KI beruflich nutzt. Sie ist zugleich die am einfachsten zu erfüllende: eine Schulung, eine interne Richtlinie und eine Aufzeichnung, wer wann geschult wurde.

Die Verordnung schreibt kein Zertifikat und kein bestimmtes Format vor. Sie regelt auch nicht ausdrücklich, wie zu dokumentieren ist. Eine Dokumentation ist trotzdem sinnvoll, weil Sie sonst im Zweifel nicht nachweisen können, dass Sie etwas getan haben. Das bloße Verteilen einer Nutzungsanweisung genügt nach den vorliegenden Quellen in der Regel nicht.

Wer die Verordnung durchsetzt

In Deutschland ist die Bundesnetzagentur die zentrale Marktüberwachungsbehörde, soweit keine Fachbehörden zuständig sind. Sie ist auch Anlaufstelle für Beschwerden. Grundlage ist das KI-MIG, in Kraft seit dem 29. Juli 2026. Bei der Bundesnetzagentur entsteht eine Koordinierungs- und Kompetenzstelle. Für Allzweck-KI-Modelle liegt die Aufsicht beim AI Office der Europäischen Kommission.

Was Verstöße kosten können

Es gilt jeweils der höhere Betrag. Für kleine und mittlere Unternehmen sowie Start-ups gilt der jeweils niedrigere der beiden Werte.

Für wen das jetzt konkret wichtig ist

• Unternehmen mit Chatbot oder KI-gestütztem Kundenkontakt. Sie sind seit dem 2. August 2026 unmittelbar betroffen. Die Kennzeichnung ist eine kleine Änderung, aber sie muss gemacht sein.
• Marketing und Kommunikation. Wer KI-generierte Bilder, Videos oder Stimmen einsetzt, sollte prüfen, wann eine Kennzeichnung nötig ist. Bei realistisch wirkenden Darstellungen realer Personen ist der Fall eindeutig.
• Personalabteilungen. Bewerberauswahl und Leistungsbewertung stehen in Anhang III und sind damit Hochrisiko. Durch die Verschiebung bleibt Zeit bis Dezember 2027, der Aufwand ist aber erheblich. Emotionserkennung am Arbeitsplatz ist bereits seit Februar 2025 verboten.
• Softwarehäuser und Entwicklungsdienstleister. Sobald Sie KI-Funktionen in ein Produkt einbauen und unter eigenem Namen ausliefern, sind Sie Anbieter. Prüfen Sie die Einstufung je Funktion, nicht je Produkt.
• Steuerkanzleien. In aller Regel sind Sie Betreiber, nicht Anbieter. Belegerkennung, Textentwürfe, Recherche und Zusammenfassungen liegen bei minimalem oder begrenztem Risiko. Praktisch relevant sind die KI-Kompetenz nach Art. 4, die Transparenz bei Mandantenkontakt über Chatbots und parallel die DSGVO.
• Kleine Unternehmen ohne eigene KI-Entwicklung. Der Aufwand ist überschaubar. Verbotene Praktiken ausschließen, KI-Kompetenz sicherstellen, Transparenz bei Kundenkontakt herstellen. Das ist der Kern.

Was Sie jetzt tun sollten

1. Erstellen Sie eine Liste Ihrer KI-Anwendungen. Schreiben Sie auf, welche Werkzeuge im Unternehmen genutzt werden, wofür und von wem. Ohne diese Liste lässt sich nichts einordnen.
2. Bestimmen Sie je Anwendung Ihre Rolle. Anbieter oder Betreiber? Die Antwort kann je Anwendung unterschiedlich ausfallen.
3. Ordnen Sie jede Anwendung einer Risikostufe zu. Beginnen Sie mit der Frage, ob eine verbotene Praktik vorliegt. Prüfen Sie danach Anhang III.
4. Prüfen Sie Ihre Transparenzpflichten. Gibt es einen Chatbot? Veröffentlichen Sie KI-generierte Inhalte? Diese Pflichten gelten seit dem 2. August 2026 und sind schnell umzusetzen.
5. Schulen Sie Ihre Mitarbeitenden und halten Sie das fest. Erlaubte Werkzeuge, verbotene Daten, Prüfung der Ergebnisse, Umgang mit Fehlern.
6. Schreiben Sie eine interne KI-Richtlinie. Sie brauchen keine dreißig Seiten. Sie brauchen klare Regeln, an die sich Menschen halten können.
7. Prüfen Sie parallel die DSGVO. Sobald personenbezogene Daten verarbeitet werden, gelten beide Regelwerke nebeneinander. Die Einhaltung des einen ersetzt das andere nicht. Mehr dazu auf der Seite DSGVO beim KI-Einsatz.
8. Planen Sie Hochrisiko-Anwendungen frühzeitig. Wenn Sie eine Anwendung aus Anhang III einsetzen oder planen, beginnen Sie jetzt mit Risikomanagement und Dokumentation. Dezember 2027 klingt weit weg, ist es aber nicht.

Diese Schritte decken einen Teil der Anforderungen ab, nicht alle. Sie schaffen die Grundlage.

Der dringendste nächste Schritt

Erstellen Sie die Liste Ihrer KI-Anwendungen und prüfen Sie zwei Dinge daran: Ist eine verbotene Praktik dabei, und löst eine Anwendung eine Transparenzpflicht aus?

Beides gilt bereits. Die Arbeit an den Hochrisiko-Pflichten hat bis Dezember 2027 Zeit. Wenn Sie die Verordnung in Ruhe durchgehen möchten, führt die interaktive Lerneinheit in rund 30 Minuten durch die wichtigsten Punkte.

Rechtlicher Hinweis

Die Angaben beruhen auf dem Stand vom 26. August 2026. Der Digital Omnibus ist erst seit Ende Juli 2026 in Kraft, viele Auslegungsfragen sind offen und Leitlinien der Kommission stehen teilweise noch aus. Maßgeblich ist der Verordnungstext in der geänderten Fassung.

Quellen

• Verordnung (EU) 2024/1689 (KI-Verordnung), Verordnungstext
• Verordnung (EU) 2026/1744 (Digital Omnibus zur KI-Verordnung), veröffentlicht am 24.07.2026
• AI Act Volltext und Explorer
• Art. 50 KI-VO, Transparenzpflichten
• Anhang III, Hochrisiko-Anwendungen
• Bundesnetzagentur zur Umsetzung der KI-Verordnung
• BMDS, Gesetz zur Durchführung der KI-Verordnung