EU AI Act ab August 2026: Diese Pflichten gelten jetzt — trotz „Verschiebung“

Stand: August 2026

Korrekt ist rund um den EU AI Act: Mit dem Digital Omnibus gab es eine zeitliche Verschiebung. Konkret wurden die Hochrisiko-Pflichten auf Dezember 2027 verschoben. Doch Achtung: Die Transparenz- und Kennzeichnungspflichten nach Artikel 50 gelten aber unverändert seit dem 2. August 2026.

Wer also Chatbots, KI-generierte Inhalte oder AI Agents mit Außenwirkung einsetzt, ist ab sofort sehr wohl in der Pflicht.

Missverständnis debunked: „AI Act wurde doch verschoben“

Die Schlagzeilen der letzten Monate haben wohl einige Unternehmen in falscher Sicherheit gewiegt. Richtig ist: Der Digital Omnibus der EU-Kommission verschiebt die Pflichten für Hochrisiko-KI-Systeme vom 2. August 2026 auf den 2. Dezember 2027.  Das wurde im Mai 2026 vorläufig zwischen EU-Parlament und Rat vereinbart.

ABER: Die Transparenzpflichten nach Artikel 50 wurden davon ausdrücklich ausgenommen und gelten seit dem 2. August 2026 — genau wie im ursprünglichen Zeitplan der KI-Verordnung vorgesehen. Das Missverständnis ist so verbreitet, weil „AI Act verschoben“ als Nachricht zieht – und Newsportale haben das weitergetragen. Und dabei geht oft unter, welche Artikel betroffen sind.

Wer sich also auf die vermeintliche Verschiebung verlässt, riskiert ab sofort Verstöße — die Sanktionsbefugnisse der Behörden greifen seit demselben Stichtag.

Was ab 2. August 2026 konkret gilt (Checkliste)

für alle, die auf nummer sicher gehen wollen: Diese Transparenzpflichten aus der KI-Verordnung sind seit dem 2. August 2026 anwendbar.

• KI-Interaktion kennzeichnen: Nutzer müssen erkennen können, dass sie mit einem KI-System sprechen. Und zwar beim ersten Kontakt, klar und unmissverständlich. Das betrifft Chatbots genauso wie Voice Agents am Telefon; ein kleiner Hinweis in den AGB reicht nicht.
• KI-generierte und -manipulierte Inhalte kennzeichnet: Synthetische Inhalte (ob Text, Bild, Audio, Video) müssen maschinenlesbar als künstlich erzeugt markiert sein. Diese Pflicht trifft natürlich primär nicht Sie, sondern die Anbieter der KI-Systeme. Für Bestandssysteme, die vor dem Stichtag im Markt waren, gilt eine Übergangsfrist bis Dezember 2026.
• Deepfake-Kennzeichnung: Wenn Sie Deepfakes oder KI-generierte Texte zu Themen von öffentlichem Interesse veröffentlichen wollen, muss deren künstlicher Ursprung sichtbar offengelegt werden. Eine Ausnahme gilt aber dann, wenn ein Mensch redaktionelle Verantwortung übernimmt und die Inhalte nachweislich geprüft hat.
• KI-Kompetenz im Unternehmen (Art. 4): Ihre Pflicht, Mitarbeitende im Umgang mit KI zu schulen, gilt bereits seit Februar 2025. Und mit dem Start der Aufsichtsstrukturen werden diese Pflichten jetzt prüfungsrelevant. Dokumentierte Schulungen sind der einfachste Nachweis, den Sie liefern können.
• GPAI-Anbieter: Wenn Sie ein Anbieter eines KI-Basismodells sind, gelten seit August 2025 wiederum eigene Pflichten (Dokumentation, Urheberrecht, Trainingsdaten-Transparenz). Die meisten Unternehmen betrifft das nur indirekt — etwa bei der Auswahl eines Modellanbieters, der diese Pflichten erfüllt.

Wen es betrifft — drei typische Beispiele aus dem DACH Mittelstand

Fall 1: Support-Chatbot auf der Website

Der Klassiker: Ein Chatbot beantwortet Kundenanfragen, ohne dass klar ist, ob ein Mensch oder eine Maschine antwortet. Das ist wohl die aktuell populärste Integration von KI im DACH Raum. Seit dem 2. August 2026 gilt: der KI-Bot muss beim ersten Kontakt erkennbar sein.

Eine saubere Lösung ist einfach zu finden: ein deutlicher Hinweis wie „Sie chatten mit unserem KI-Assistenten“ direkt im Chatfenster — sichtbar, bevor die Konversation beginnt. Damit hat es sich.

Fall 2: KI-generierte Inhalte im Marketing

Nicht allzu genau nehmen kann man es bei Blogartikel, Social-Media-Posts und Produkttexten aus dem KI-Tool. All diese sind nicht pauschal kennzeichnungspflichtig. Kritisch wird es aber bei Deepfakes — etwa täuschend echten KI-Bildern realer Personen — und bei KI-Texten zu Themen von öffentlichem Interesse ohne redaktionelle Prüfung. Wenn Sie KI-Entwürfe von einem Menschen prüfen, überarbeiten und verantworten lassen, sind Sie bei Texten auf der sicheren Seite. Die maschinenlesbare Markierung der Roh-Ausgaben liegt beim Tool-Anbieter.

Fall 3: Interne AI Agents

Immer belibeter werden im DACH Raum intern genutzte AI Agents — etwa für Recherche, Datenaufbereitung oder Prozessautomatisierung. Diese lösen die Kennzeichnungspflichten gegenüber Endkunden meist nicht aus. Vorsichtig muss man aber sein, wenn es zu einer Außenwirkung kommt:

Sobald ein Agent eigenständig E-Mails an Kunden verschickt oder Inhalte veröffentlicht, greifen diese Transparenzregeln wieder. Sinnvoll ist es ohnehin, die Dokumentation jetzt schon aufzubauen. Loggen Sie, welche Systeme laufen und wer sie verantwortet.

Tipp: Compliance funktioniert übrigens am besten eingebaut statt später gelabelt: Systeme, die von Anfang an protokollieren und kennzeichnen, ersparen die Nachrüstung unter Zeitdruck.

Was Sie diese Woche tun sollten (3 Schritte)

1. Bestandsaufnahme aller KI-Touchpoints mit Außenwirkung: Listen Sie auf, wo Kunden, Bewerber oder die Öffentlichkeit mit Ihrer KI in Berührung kommen: Chatbots, Voice Agents, generierte Inhalte, automatisierte E-Mails.
2. Kennzeichnung nachrüsten: Ergänzen Sie bei jedem Touchpoint einen klaren, gut sichtbaren KI-Hinweis, der beim ersten Kontakt sichtbar ist. Prüfen Sie parallel, ob Ihre Tool-Anbieter die maschinenlesbare Markierung ihrer Ausgaben unterstützen.
3. Dokumentation der Systeme beginnen: Halten Sie fest, welche KI-Systeme im Einsatz sind. Ermitteln Sie, wofür und mit welchen Daten und unter wessen Verantwortung sie zum Einsatz kommen. Diese Übersicht brauchen Sie spätestens, wenn die Hochrisiko-Pflichten Ende 2027 greifen. Jede Behördenanfrage können Sie dann entspannter angehen.

FAQ

Ist der EU AI Act verschoben worden?

Nur teilweise. Der Digital Omnibus verschiebt die Pflichten für Hochrisiko-Systeme (Annex III) auf Dezember 2027. Die Transparenzpflichten nach Artikel 50 gelten unverändert seit dem 2. August 2026. Auch die bereits geltenden Regeln zu verbotenen Praktiken, KI-Kompetenz und GPAI-Modellen bleiben bestehen.

Gilt der AI Act auch für kleine Unternehmen?

Ja. Die Transparenzpflichten kennen keine Größengrenze. Der Ein-Personen-Betrieb mit Chatbot ist genauso erfasst wie der Konzern. Die im AI Act vorgesehenen KMU-Erleichterungen betreffen andere Bereiche. Auch die vereinfachte technische Dokumentation und reduzierte Bußgeldobergrenzen, nicht aber die Kennzeichnungspflicht selbst.

Welche Strafen drohen?

Verstöße gegen Artikel 50 können mit Bußgeldern bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden. Das hängt davon ab, welcher Betrag höher ist. Für KMU gelten allerdings niedrigere Obergrenzen. In der Praxis ist kurzfristig eher mit Beanstandungen und Nachbesserungsfristen zu rechnen als mit Maximalstrafen. Die nationalen Aufsichtsstrukturen (in Deutschland koordiniert die Bundesnetzagentur) sind noch im Aufbau. Ein Freifahrtschein ist das aber keinesfalls: Die Sanktionsbefugnisse gelten seit dem 2. August 2026.

Reicht DSGVO-Konformität?

Nein. Die DSGVO regelt den Umgang mit personenbezogenen Daten – der AI Act regelt den Einsatz von KI-Systemen selbst. Und das unabhängig davon, ob personenbezogene Daten verarbeitet werden oder nicht. Ein Chatbot kann vollständig DSGVO-konform sein und trotzdem gegen die Kennzeichnungspflicht verstoßen. Beide Regelwerke gelten parallel. Wie sie zusammenspielen, haben wir in unserem Artikel zum EU AI Act für AI Agents aufgeschlüsselt.

Unsere Systeme dokumentieren sich selbst — Audit-Log, Quellen-Grounding und Kennzeichnung sind eingebaut, nicht danach aufwändig gelabelt. Wie das in der Praxis aussieht, zeigen wir Ihnen in einem kostenlosen Discovery-Gespräch — oder Sie lesen zuerst, wie Sie AI Agents in 2 Monaten pilotieren.