Der EU AI Act gilt ab heute – aber anders, als viele Unternehmen denken

Heute, am 2. August 2026, erreicht der EU AI Act einen seiner wichtigsten Anwendungstermine. Gleichzeitig lässt sich kaum ein Datum leichter falsch zusammenfassen.

Der AI Act tritt nicht erst heute in Kraft. Das geschah bereits am 1. August 2024. Einige Pflichten gelten seit Februar 2025 beziehungsweise August 2025. Auch treten heute nicht sämtliche High-Risk-Anforderungen gleichzeitig in Kraft: Der finale AI Omnibus hat zentrale Fristen auf 2027 und 2028 verschoben.

Dennoch ändert sich heute viel. Die Transparenzpflichten nach Artikel 50 werden anwendbar, und das AI Office sowie die nationalen Behörden gehen in die nächste Phase von Umsetzung, Aufsicht und Durchsetzung über.

Die präzise Botschaft lautet nicht „der gesamte AI Act startet heute“, sondern: Der AI Act wird auf einem geteilten Zeitplan operativ.

Der aktuelle Zeitplan

Was ab heute gilt

1. Menschen müssen erkennen, wenn sie mit KI interagieren

Anbieter von KI-Systemen, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, müssen darüber informieren, dass die Interaktion mit einem KI-System erfolgt – sofern dies nicht aus den Umständen und dem Kontext offensichtlich ist.

Bei Chatbots, Agenten und Assistenten gehört der Hinweis in die Benutzeroberfläche: vor oder spätestens zu Beginn der Interaktion, verständlich formuliert und auch auf Mobilgeräten, in eingebetteten Widgets und mit Hilfstechnologien wahrnehmbar.

2. Synthetische Inhalte brauchen technische Markierungen

Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen im Anwendungsbereich des Gesetzes sicherstellen, dass Ausgaben maschinenlesbar markiert und als künstlich erzeugt oder manipuliert erkennbar sind.

Ein sichtbarer Hinweis kann Nutzern helfen, ersetzt aber nicht automatisch die maschinenlesbare Herkunftsinformation. Teams müssen Metadaten, Content Credentials, Wasserzeichen, Erkennung, Interoperabilität und Exportwege prüfen.

3. Auch Betreiber haben eigene Informationspflichten

Betreiber müssen betroffene Personen bei erfasster Emotionserkennung oder biometrischer Kategorisierung informieren. Deepfakes sowie bestimmte KI-generierte oder manipulierte Texte zu Angelegenheiten von öffentlichem Interesse müssen unter den Voraussetzungen des Gesetzes gekennzeichnet werden.

4. Durchsetzung wird konkreter

Das AI Office und die Behörden der Mitgliedstaaten übernehmen ab heute die nächste operative Phase von Umsetzung, Aufsicht und Durchsetzung. Das bedeutet nicht, dass morgen jedes Unternehmen kontrolliert wird. Datierten Nachweisen kommt aber deutlich mehr Gewicht zu als dem Satz „wir planen die Umsetzung später“.

Was schon vorher galt

Verbotene KI-Praktiken und Anforderungen an KI-Kompetenz gelten seit dem 2. Februar 2025. Governance-Regeln und Pflichten für Anbieter von General-Purpose-AI-Modellen gelten seit dem 2. August 2025.

Fehlen heute ein KI-Inventar, klare Verantwortliche oder rollenbezogene Schulungen, ist diese Lücke nicht erst an diesem Morgen entstanden.

Was der AI Omnibus verschoben hat

Die High-Risk-Regeln folgen später. Für Annex-III-Anwendungsfälle gilt der 2. Dezember 2027. Für High-Risk-KI, die in regulierte Produkte nach Annex I eingebettet ist, gilt der 2. August 2028.

Das schafft zusätzliche Zeit für Risikomanagement, Daten-Governance, technische Dokumentation, Logging, menschliche Aufsicht, Konformitätsbewertung, Qualitätsmanagement und Post-Market-Monitoring. Es ist keine Einladung, die Klassifizierung bis kurz vor Ablauf der Frist aufzuschieben.

Fünf Maßnahmen für Unternehmen

1. KI-Inventar erstellen

Erfassen Sie jeden produktiven und internen Use Case mit Zweck, Nutzergruppe, Modellanbieter, Datenkategorien, Ausgabekanälen, Verantwortlichen und Bereitstellungsdatum.

2. Rolle je Use Case bestimmen

Ein Unternehmen kann Anbieter des eigenen Produkts und gleichzeitig Betreiber eines Drittsystems sein. Entscheidend sind Zweckbestimmung, Kontrolle, Vermarktung und Verteilung der Ausgaben.

3. Artikel-50-Journeys testen

Prüfen Sie Hinweise auf Desktop, Mobilgeräten, in Sprachversionen, eingebetteten Widgets, bei abgelehnter Einwilligung sowie mit Tastatur und Screenreader. Exporte benötigen eine eigene Prüfung.

4. Nachweise sichern

Speichern Sie datierte Screenshots, Release-IDs, Testergebnisse, rechtliche Begründungen, Lieferantendokumente, Ausnahmeentscheidungen und verantwortliche Personen.

5. Die Verlängerung als Bauzeit nutzen

Falls Annex III oder Annex I relevant sein könnten, planen Sie Risikomanagement, Daten-Governance, Dokumentation, Logging, Aufsicht, Cybersicherheit, Qualitätsmanagement und Monitoring jetzt.

Was ein öffentlicher Website-Scan leisten kann

Ein Scan der öffentlichen Oberfläche kann sichtbare KI-Hinweise, Transparenzseiten, Datenschutzinformationen, Consent-Signale und andere von außen erkennbare Lücken finden. Er hilft, Fragen zu priorisieren und Nachweise zu identifizieren, die Kunden ebenfalls sehen.

Er beweist keine vollständige AI-Act-Compliance. Interner Zweck, Trainingsdaten, Risikomanagement, menschliche Aufsicht in der Praxis, private Workflows und Systeme hinter einem Login benötigen eine vertiefte interne Prüfung.

Praktisches Fazit

Der 2. August ist weder eine erfundene Frist noch der Tag, an dem sämtliche Pflichten gleichzeitig eintreffen. Transparenz und Durchsetzung werden operativer, während High-Risk-Systeme einem längeren Zeitplan folgen.

Fragen Sie nicht nur, ob der AI Act verschoben wurde. Fragen Sie, welche Pflicht für welches System, in welcher Rolle und zu welchem Datum gilt – und welcher Nachweis diese Antwort belegt.

Primärquellen

• Europäische Kommission – EU AI Act und Anwendungszeitplan
• Europäische Kommission – Navigating the AI Act
• Europäische Kommission – Transparenz bei KI-generierten Inhalten
• EUR-Lex – Verordnung (EU) 2024/1689

Dieser Artikel bietet allgemeine technische und regulatorische Informationen und stellt keine Rechtsberatung dar. Die Anwendbarkeit hängt vom System, Zweck, der Rolle, dem Einsatzkontext und dem finalen Gesetzestext ab.