EU AI Act: Was ab dem 2. August 2026 wirklich gilt – und was sich verschoben hat
Am 2. August 2026 erreicht die europäische KI-Verordnung ihre nächste große Stufe. Für viele Unternehmen ist das der Moment, an dem aus einem abstrakten Regulierungsthema konkreter Handlungsbedarf wird. Gleichzeitig hat sich durch das sogenannte Digital-Omnibus-Paket der EU einiges am Zeitplan geändert – und genau diese Mischung aus „es wird ernst“ und „manches verschiebt sich“ sorgt derzeit für Verwirrung. Wir ordnen ein, was jetzt tatsächlich gilt.
Was seit dem Inkrafttreten bereits verbindlich ist
Der EU AI Act ist bereits seit August 2024 in Kraft und wird stufenweise anwendbar. Seit Februar 2025 gelten die Verbote bestimmter KI-Praktiken – etwa manipulative Systeme oder Social Scoring. Ebenfalls seit Februar 2025 verpflichtet Artikel 4 alle Unternehmen, die KI einsetzen, ihre Mitarbeitenden im Umgang damit zu schulen (Stichwort KI-Kompetenz). Seit August 2025 gelten zudem die Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck.
Wer also heute noch keine dokumentierten KI-Schulungen und keinen geregelten KI-Einsatz hat, ist nicht „früh dran“ – sondern spät.
Was am 2. August 2026 dazukommt
Mit dem 2. August 2026 wird die Verordnung in weiten Teilen vollständig anwendbar. Praktisch besonders relevant sind die Transparenzpflichten: Chatbots müssen als solche erkennbar sein, KI-generierte Inhalte und insbesondere Deepfakes müssen gekennzeichnet werden. Wer Kundenkommunikation, Marketing oder Serviceprozesse mit generativer KI betreibt, muss das ab jetzt sauber ausweisen.
Außerdem greift ab diesem Datum die Durchsetzungsstruktur: Die nationalen Aufsichtsbehörden sind benannt, Sanktionen können verhängt werden. Der Bußgeldrahmen reicht – je nach Verstoß – bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.
Was sich durch den Digital Omnibus verschoben hat
Im Mai 2026 haben sich EU-Parlament und Rat politisch auf das Digital-Omnibus-Paket geeinigt, das unter anderem die Fristen für Hochrisiko-KI-Systeme entzerrt: Die vollen Pflichten für Hochrisiko-Systeme nach Anhang III – etwa KI in Personalauswahl, Kreditvergabe oder Bildung – greifen nun erst ab Dezember 2027. Für KI, die in regulierte Produkte integriert ist, gilt August 2028.
Das ist eine echte Entlastung – aber kein Freibrief. Denn erstens bleiben Transparenz-, Schulungs- und Verbotsregeln davon unberührt. Zweitens sind die Hochrisiko-Anforderungen (Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht) so umfangreich, dass Unternehmen die gewonnene Zeit für den Aufbau brauchen werden – nicht für weiteres Abwarten.
Was Unternehmen jetzt konkret tun sollten
Aus unserer Beratungspraxis ergeben sich drei Prioritäten. Erstens: ein vollständiges Inventar aller eingesetzten KI-Systeme – einschließlich der KI-Funktionen, die in Standardsoftware eingebettet sind. Ohne Inventar keine Risikoklassifizierung, ohne Klassifizierung keine belastbare Compliance-Aussage. Zweitens: Transparenzpflichten umsetzen, wo generative KI im Kundenkontakt läuft. Drittens: die Schulungspflicht nach Artikel 4 dokumentiert erfüllen – sie gilt seit über einem Jahr und ist der Punkt, an dem Aufsichtsbehörden am einfachsten ansetzen können.
Unternehmensgröße schützt übrigens nicht: Die Pflichten hängen nicht davon ab, wie groß ein Unternehmen ist, sondern davon, welche KI es einsetzt.
Unser Angebot
Wir kombinieren juristischen Hintergrund, TÜV-zertifizierte KI-Management- und Datenschutz-Expertise und Umsetzungserfahrung aus der regulierten Versicherungswirtschaft. Mit unserem KI-Governance-Starterpaket schaffen wir in vier Wochen die Grundlagen: Inventar, Risikoklassifizierung, KI-Richtlinie und Maßnahmenplan. Mehr dazu auf unserer Seite KI-Beratung – oder direkt im unverbindlichen Erstgespräch.
