EU AI Act: Was ab dem 2. August 2026 gilt – und was verschoben wurde

Das Wichtigste in Kürze

• Die Digital-Omnibus-Verordnung (EU) 2026/1744 ist am 27. Juli 2026 in Kraft getreten;
  5 Tage vor dem Stichtag.
• Die Transparenz- und Kennzeichnungspflichten des Art. 50 KI-VO gelten unverändert ab dem 2. August 2026.
• Die Hochrisiko-Pflichten verschieben sich auf den 2. Dezember 2027 (Anhang III) und den 2. August 2028 (Anhang I).
• Zwei neue Verbote nach Art. 5 KI-VO greifen ab dem 2. Dezember 2026.
• Aus der Pflicht, KI-Kompetenz sicherzustellen, wird eine Pflicht, sie zu fördern.

Der 2. August 2026 galt lange als der nächste große Stichtag der KI-Verordnung (Verordnung (EU) 2024/1689) – nach dem Verbot bestimmter KI-Praktiken und der verbindlichen KI-Kompetenz („AI Literacy") bereits seit Februar 2025 sollten nun weitere zentrale Regelungen in Kraft treten. Am 27. Juli 2026 hat der Unionsgesetzgeber durch die Digital-Omnibus-Verordnung zu KI den Zeitplan neu geordnet. In den Schlagzeilen wurde daraus „Die EU verschiebt die KI-Regeln" – eine verkürzte Darstellung. Tatsächlich wurde nur ein klar abgegrenzter Teil der Regelungen verschoben; ausgerechnet die Pflichten, die die meisten Unternehmen unmittelbar treffen, bleiben unverändert und treten wie vorgesehen zum 2. August 2026 in Kraft.

Welche Änderungen treten ab dem 2. August 2026 in Kraft

Im Mittelpunkt stehen die Transparenz- und Kennzeichnungspflichten des Art. 50 KI-VO. Sie sind keine eigene Risikoklasse, sondern gelten horizontal – auch für Systeme, die im Übrigen als minimal riskant einzustufen sind. Zu unterscheiden sind vier Pflichten:

– Anbieter interaktiver Systeme müssen offenlegen, dass Menschen mit einer Maschine kommunizieren (Abs. 1).

– Anbieter generativer Systeme (Audio-, Bild-, Video- oder Textinhalte) müssen die Ausgaben maschinenlesbar als KI-erzeugt markieren (Abs. 2).

– Betreiber von Emotionserkennung und biometrischer Kategorisierung informieren die betroffenen Personen (Abs. 3).

– Betreiber müssen Deepfakes sowie veröffentlichte KI-Texte zu Themen von öffentlichem Interesse kennzeichnen (Abs. 4).

Die entscheidende Vorfrage lautet damit nicht „Welche Risikoklasse?“, sondern „Bin ich Anbieter oder Betreiber?“. Wer ein zugekauftes Modell im eigenen Produkt bereitstellt, kann beides zugleich sein. Praktisch geht es um das Kampagnenbild aus dem Bildgenerator, die synthetische Stimme im Servicecenter und den KI-Text zu einem gesellschaftspolitischen Thema.

Die EU-Kommission hat ihre finalen Leitlinien zu Art. 50 am 20. Juli 2026 vorgelegt und flankierend einen freiwilligen Verhaltenskodex mit einheitlichen EU-Icons veröffentlicht. Beides ist rechtlich unverbindlich, prägt aber die Erwartungshaltung der Aufsicht.
Praktisch wichtig: Ein KI-Text wird nicht dadurch kennzeichnungsfrei, dass ihn jemand bspw. mittels Rechtsschreibkorrektur oder sprachliches Polieren überarbeitet hat.

Für generative Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, gilt ein Übergangszeitraum von vier Monaten. Die maschinenlesbare Markierung nach Art. 50 Abs. 2 ist damit bis zum 2. Dezember 2026 umzusetzen.

Praktisch bedeutsam ist zudem die engere Definition des Sicherheitsbauteils (Art. 3 Nr. 14). Systeme, die ausschließlich der Nutzerunterstützung, der Leistungsoptimierung, der Automatisierung oder nicht sicherheitsrelevanter Qualitätskontrolle dienen, fallen künftig aus der Hochrisiko-Einstufung heraus. Die bloße Integration in ein reguliertes Produkt begründet für sich genommen keine Sicherheitsfunktion mehr. Bestehende Einstufungen sollten daher erneut geprüft werden.

Zwei neue Verbote ab Dezember 2026

Der Omnibus ist kein Rückbau. Art. 5 KI-VO untersagt künftig KI-Systeme, die nicht einvernehmlich erstelltes intimes Material identifizierbarer Personen oder Darstellungen sexuellen Kindesmissbrauchs erzeugen. Anbieter allgemeiner Bild- und Videogeneratoren trifft das auch dann, wenn eine solche Nutzung vorhersehbar ist und wirksame technische Schutzvorkehrungen fehlen.

KI-Kompetenz: Von der Sicherstellung zur Förderung

Art. 4 KI-VO verlangte bislang, ein ausreichendes Maß an KI-Kompetenz sicherzustellen. Dies gilt unabhängig von Unternehmensgröße oder Branche. Daraus wird nun eine Pflicht diese zu fördern.

Aus Governance-Sicht ändert das wenig: Wer Aufsicht nach Art. 26 Abs. 2 durch fachkundige Personen sicherstellen oder ein KI-Managementsystem nach ISO/IEC 42001 aufbauen will, benötigt Schulung mit Nachweis.

Aufsicht und Sanktionen

Deutschland hatte die Benennungsfrist zum 2. August 2025 verfehlt und nachgezogen:
Das KI-Durchführungsgesetz passierte am 10. Juli 2026 den Bundesrat. Die Bundesnetzagentur wird zentrale Marktüberwachungs-, Anlauf- und Beschwerdestelle und richtet ein Koordinierungs- und Kompetenzzentrum sowie Reallabore ein. Der Rechtsrahmen steht damit, die Vollzugskapazität baut sich sukzessive auf.

Der Bußgeldrahmen bleibt unverändert: bis zu EUR 35 Mio. oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu EUR 15 Mio. oder 3 % bei Verstößen gegen Art. 50 der Verordnung. Maßgeblich ist gewöhnlich der höhere Betrag, bei kleinen und mittleren Unternehmen ist der niedrigere Betrag heranzuziehen.

Unser Rat

• KI-Inventar aufbauen oder fortschreiben – je System mit Rollenzuordnung (Anbieter oder Betreiber) und Risikoeinstufung.
• Kennzeichnungs-Workflow in Marketing, Kommunikation und Kundenservice verankern.
• Hinweistexte in Chatbots und Assistenzsystemen prüfen.
• Verträge mit KI-Anbietern und Cloud-Plattformen auf Kennzeichnungs- und Informationspflichten prüfen.
• Schulungen fortführen und dokumentieren.
• Bestehende Einstufungen im Licht des neuen Begriffs „Sicherheitsbauteil“ erneut bewerten.

Fazit

Trotz der Verschiebung wesentlicher Hochrisiko-Pflichten um 16 Monate bleibt der 2. August 2026 für viele Unternehmen ein zentraler Stichtag. Was unmittelbar zählt, ist ohnehin schon einschneidend: „Transparenz“, „Kennzeichnung“ und die Frage, wer in der KI-Wirkungskette eigentlich Anbieter ist.