EU AI Act 2026: Welche KI-Pflichten ab August für Unternehmen greifen.

Der EU AI Act: Was jetzt konkret auf Unternehmen zukommt

Der 2. August 2026 ist im europäischen KI-Recht ein echter Stichtag. Ab diesem Tag greifen weitere weitreichende Teile der europäischen KI-Verordnung (AI Act). Zugleich verschiebt ein neues Gesetzespaket die schwersten Pflichten für Unternehmen nach hinten.

Für den Mittelstand ist das keine juristische Randnotiz. Es ist der Moment, ab dem der Einsatz von Künstlicher Intelligenz im Unternehmen nachweisbar geordnet sein muss.

Dieser Beitrag ordnet ein, was ab dem Sommer 2026 gilt, was aufgeschoben wurde und was jetzt ein erster sinnvoller Schritt in der Praxis ist.

Was ab dem 2. August 2026 gilt

Drei zentrale Punkte werden ab diesem Datum wirksam:

1. Die Transparenzpflicht
Wer einen Chatbot betreibt oder KI-erzeugte Inhalte wie Bilder, Ton oder Video veröffentlicht, muss ab sofort offenlegen, dass hier eine Maschine im Spiel ist. Menschen müssen klar erkennen können, ob sie mit einer KI interagieren oder KI-generiertes Material vor sich haben.

2. Beginn der Durchsetzung
Die Regeln für allgemein einsetzbare KI-Modelle (General Purpose AI), die bereits seit August 2025 auf dem Papier stehen, werden nun mit konkreter Aufsicht und möglichen Bußgeldern hinterlegt.

3. Nationale Aufsicht startet
In Deutschland übernimmt ab jetzt die Bundesnetzagentur die zentrale Marktüberwachung und richtet dafür eine Koordinierungsstelle ein. Sie wird in grundrechtssensiblen Bereichen von der Datenschutzaufsicht flankiert. Das entsprechende deutsche Durchführungsgesetz (KI-MIG) hat Mitte 2026 den Bundesrat passiert.

Was verschoben wurde: Aufschub bei Hochrisiko-KI

Parallel hat die EU im Sommer 2026 ein Vereinfachungspaket auf den Weg gebracht: den sogenannten Digital Omnibus.

Sein wichtigster Effekt für die Praxis: Die besonders aufwendigen Pflichten für Hochrisiko-Systeme kommen später.

Für Anwendungen in Bereichen wie Personalauswahl, Kreditvergabe oder kritischer Infrastruktur (Anhang III) verschiebt sich der Stichtag auf Dezember 2027.
Für produktbezogene Fälle (Anhang I) verschieben sich die Pflichten sogar auf August 2028.

Wichtig dabei: Wer Hochrisiko-KI plant, gewinnt zwar wertvolle Zeit für die Vorbereitung, verliert die Pflichten aber nicht.

Wo die Regeln zusätzlich verschärft werden

Der AI Act bedeutet jedoch nicht überall Entlastung. An einer Stelle wird ausdrücklich nachgeschärft: Die Erzeugung von KI-Missbrauchsmaterial, wie etwa sogenannte Nudifier-Anwendungen, wird durch die neuen Vorgaben klar verboten. Zudem erhält die zentrale europäische Aufsichtsstelle, das AI Office, erweiterte Befugnisse.

Die Linie lautet also nicht Deregulierung um jeden Preis, sondern: Verschiebung des Aufwands bei gleichzeitiger Verschärfung dort, wo es um den Schutz von Grundrechten geht.

Anbieter oder Betreiber: Die entscheidende Frage

Für die eigene Betroffenheit hängt fast alles an einer rechtlichen Unterscheidung:

Anbieter (Provider): Wer ein KI-System entwickelt, signifikant anpasst, mit eigenen sensiblen Daten trainiert oder unter eigenem Namen auf den Markt bringt. Hier gelten sehr hohe regulatorische Anforderungen.
Betreiber (Deployer): Wer ein fremdes KI-System lediglich im eigenen Unternehmen einsetzt.

Die meisten Mittelständler fallen in die Rolle des Betreibers. Für sie sind die Pflichten deutlich leichter zu erfüllen. Im Kern geht es um Transparenz gegenüber den eigenen Mitarbeitenden und Kunden, ein Mindestmaß an KI-Kompetenz im Haus (AI Literacy) und eine bewusste Auswahl der eingesetzten Systeme.

Die Gefahr: Wer ein eingekauftes KI-System zu stark anpasst oder unter eigenem Label weiterreicht, rutscht schnell unbeabsichtigt in die Anbieter-Rolle – inklusive aller damit verbundenen Hochrisiko-Pflichten. Diese Einordnung je System sauber zu klären, ist die eigentliche Hausaufgabe für Unternehmen.

Ihr erster Schritt: Die KI-Inventur

Der sinnvollste erste Schritt ist unspektakulär, aber enorm wirksam: eine KI-Inventur.

Listen Sie auf, welche KI-Werkzeuge in Ihrem Unternehmen tatsächlich genutzt werden – von der offiziell eingekauften Software bis hin zu den Chatbots, die einzelne Abteilungen still („Schatten-IT“) verwenden.

Klären Sie zu jedem System:

Welchen Zweck erfüllt die KI?
Sind wir bei diesem Tool Anbieter oder Betreiber?
Fällt das System in eine Hochrisiko-Kategorie?

Aus dieser Liste ergibt sich fast von selbst, wo ab August eine Kennzeichnung nötig ist, wo Compliance-Risiken liegen und wo eine schlichte interne KI-Richtlinie schnell Ordnung schafft. Die zusätzlichen Monate bis zum Inkrafttreten der schweren Hochrisiko-Pflichten sind ein Geschenk – sie sollten genutzt werden, um jetzt das Fundament zu gießen.

Hinweis: Dieser Beitrag ist eine allgemeine Information zum Stand Ende Juli 2026 und stellt keine Rechtsberatung im Einzelfall dar. Fristen und Zuständigkeiten können sich mit der formalen Veröffentlichung im Amtsblatt der EU noch ändern. Für die Bewertung des eigenen KI-Einsatzes sollte fachkundiger rechtlicher Rat eingeholt werden.

Quellen:
Verordnung (EU) 2024/1689 (AI Act), Artikel 50 und Übergangsfristen (EUR-Lex) · Europäische Kommission zum Digital-Omnibus-Paket (Juli 2026) · Bundesnetzagentur zur nationalen KI-Aufsicht und das deutsche KI-Marktüberwachungs- und Innovationsförderungsgesetz, KI-MIG (2026).

Mehr Einordnung im KI-Strategiebriefing

Diese und weitere Entwicklungen ordnen wir wöchentlich im KI-Strategiebriefing ein - kompakt, praxisnah und mit Blick auf strategische Entscheidungen.

Jeden Freitag um 8:00 Uhr · 30 Minuten · online

👉 Jetzt zum nächsten KI-Strategiebriefing anmelden:
www.ki-strategiebriefing.de