Zum Inhalt springen
MARCODES
Abstrakte Formen aus Mattglas: ein halb angehobener Schleier gibt den Blick auf einen orangen Kern frei

EU AI Act: Welche Pflichten ab August 2026 gelten

Ab dem 2. August 2026 gelten vor allem die Transparenzpflichten des AI Act: Chatbots müssen sich als KI zu erkennen geben, Deepfakes müssen gekennzeichnet werden, generierte Inhalte maschinenlesbar markiert sein. Die Pflichten für Hochrisiko-Systeme hat die EU auf Dezember 2027 und August 2028 verschoben, seit dem 27. Juli 2026 verbindlich.

8 min Lesezeit KI & AI

Für typische Anwendungen im Mittelstand, also Textentwürfe, Zusammenfassungen, interne Suche oder einen Chat auf der Website, sind die Pflichten überschaubar: Ein Chat muss sich als KI zu erkennen geben, und realistisch wirkende generierte Bilder, Videos oder Tonaufnahmen brauchen eine Kennzeichnung. Die strengen Regeln greifen erst, wenn KI über Menschen entscheidet, etwa bei der Auswahl von Bewerbern.

Welche Fragen sich bei der Einführung von KI im Betrieb insgesamt stellen, beschreibt unser Report zur KI-Integration im Mittelstand.

Ein Bodenstreifen als Zeitachse mit vier Marken, die aktuelle Frist ist orange, die verschobene steht nur gestrichelt.

Fristen

Der Zeitplan der KI-Verordnung

Die KI-Verordnung, Verordnung (EU) 2024/1689, ist am 1. August 2024 in Kraft getreten und gilt in Stufen:

  • 2. Februar 2025: Verbote bestimmter Praktiken (Art. 5) und die Pflicht zur KI-Kompetenz (Art. 4)

  • 2. August 2025: Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, Aufsichtsstrukturen und Sanktionen

  • 2. August 2026: allgemeine Anwendung, darunter die Transparenzpflichten nach Art. 50

  • Hochrisiko-Systeme nach Anhang III: ursprünglich 2. August 2026, nach der Änderung von 2026 nun 2. Dezember 2027

  • Hochrisiko-Systeme in regulierten Produkten nach Anhang I: ursprünglich 2. August 2027, nach der Änderung von 2026 nun 2. August 2028

Schon seit Februar 2025 verboten sind unter anderem manipulative Techniken, die Menschen zu schädlichen Entscheidungen verleiten, Bewertungssysteme für soziales Verhalten, das ungezielte Sammeln von Gesichtsbildern aus dem Internet und die Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen. Für ein Mittelstandsunternehmen ist vor allem der letzte Punkt praktisch relevant, etwa bei Werkzeugen, die die Stimmung von Beschäftigten in Videokonferenzen oder im Callcenter auswerten.

Die Verschiebung stammt aus dem sogenannten Digital-Omnibus, einem Paket der EU-Kommission vom November 2025 zum Abbau von Bürokratie bei digitalen Regeln. Parlament und Rat haben sich in der Nacht auf den 7. Mai 2026 vorläufig geeinigt. Zum Zeitpunkt dieses Beitrags steht die förmliche Annahme noch aus, sie soll vor dem 2. August 2026 erfolgen. Bis dahin gelten rechtlich die ursprünglichen Daten.

Aktualisierung vom 02.11.2026: Die Änderungsverordnung (EU) 2026/1744, die Digital-Omnibus-Verordnung zur KI, wurde am 24.07.2026 im Amtsblatt veröffentlicht und ist am 27.07.2026 in Kraft getreten. Die verschobenen Daten für Hochrisiko-Systeme gelten damit verbindlich, ebenso die Übergangsfrist bis 02.12.2026 für die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 bei Systemen, die vor dem 02.08.2026 auf dem Markt waren. Geändert wurde auch Art. 4 zur KI-Kompetenz: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen, ein bestimmtes Niveau müssen sie nicht garantieren. In Deutschland ist nach dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG, BGBl. 2026 I Nr. 223), in Kraft seit 29.07.2026, die Bundesnetzagentur die zuständige Marktüberwachungsbehörde, für Finanzdienstleistungen die BaFin.

Der parallel vorgeschlagene Digital Omnibus zu Datenschutz und Data Act ist dagegen noch nicht beschlossen, siehe EU Data Act: Was Hersteller vernetzter Geräte leisten müssen. Für Hersteller von Software und vernetzten Geräten gelten seit dem 11.09.2026 außerdem die Meldepflichten aus dem Cyber Resilience Act.

Ab 2. August 2026

Transparenzpflichten für Chatbots und generierte Inhalte

Art. 50 der KI-Verordnung regelt vier Fälle. Die Pflichten treffen teils den Anbieter, der ein KI-System entwickelt oder unter eigenem Namen anbietet, teils den Betreiber, der es in eigener Verantwortung einsetzt.

  1. Interaktion mit Menschen: Systeme, die direkt mit Menschen kommunizieren, etwa ein Chatbot, müssen so gestaltet sein, dass die Personen erfahren, dass sie mit einer KI sprechen. Das entfällt, wenn es für eine verständige Person ohnehin offensichtlich ist.

  2. Generierte Inhalte: Anbieter von Systemen, die Text, Bilder, Audio oder Video erzeugen, müssen die Ergebnisse maschinenlesbar als künstlich erzeugt markieren. Für Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, sieht die Änderungsverordnung eine Übergangsfrist bis 2. Dezember 2026 vor.

  3. Emotionserkennung und biometrische Kategorisierung: Betreiber müssen die betroffenen Personen informieren.

  4. Deepfakes und Texte zu öffentlichen Themen: Betreiber, die realistisch wirkende künstliche Bilder, Videos oder Tonaufnahmen von Personen, Orten oder Ereignissen veröffentlichen, müssen offenlegen, dass sie künstlich erzeugt sind. Für KI-generierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, gilt das ebenso, außer ein Mensch hat sie redaktionell geprüft und jemand trägt die redaktionelle Verantwortung.

Der Hinweis muss spätestens bei der ersten Interaktion oder Begegnung klar und erkennbar erfolgen und barrierefrei sein. Verstöße gegen die Transparenzpflichten können mit Bußgeldern bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge (Art. 99 KI-Verordnung).

Hochrisiko

Hochrisiko-Systeme und wer betroffen ist

Hochrisiko-KI ist nicht eine Frage der Technik, sondern des Einsatzzwecks. Anhang III der Verordnung nennt Bereiche, in denen KI-Entscheidungen erhebliche Folgen für Menschen haben können. Für Unternehmen außerhalb von Behörden und Justiz sind vor allem diese relevant:

  • Beschäftigung und Personal: Auswahl von Bewerbern, Filtern von Bewerbungen, Entscheidungen über Beförderung, Kündigung oder Aufgabenzuteilung, Leistungsbewertung

  • Zugang zu wesentlichen Leistungen: Kreditwürdigkeitsprüfung von Privatpersonen, Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen

  • Bildung: Zulassung, Bewertung von Lernergebnissen, Prüfungsaufsicht

  • Kritische Infrastruktur: KI als Sicherheitskomponente in Energie-, Wasser- oder Verkehrsnetzen

Nicht jedes System in diesen Bereichen ist automatisch hochriskant. Nach Art. 6 Abs. 3 gilt ein System aus Anhang III nicht als Hochrisiko-System, wenn es kein erhebliches Risiko darstellt, etwa weil es nur eine eng begrenzte Verfahrensaufgabe erledigt, das Ergebnis einer bereits abgeschlossenen menschlichen Tätigkeit verbessert oder eine Bewertung nur vorbereitet. Systeme, die Profile von Personen erstellen, bleiben immer hochriskant. Wer sich auf die Ausnahme beruft, muss seine Einschätzung dokumentieren.

Wer ein solches System nicht selbst entwickelt, sondern einkauft und einsetzt, ist Betreiber. Betreiber müssen das System nach Gebrauchsanweisung nutzen, eine menschliche Aufsicht durch geschulte Personen sicherstellen, die Protokolle aufbewahren und bei Einsatz am Arbeitsplatz die Beschäftigten und ihre Vertretung vorher informieren (Art. 26). Die umfangreicheren Pflichten zu Risikomanagement, Dokumentation und Konformitätsbewertung liegen beim Anbieter.

Mit der Verschiebung bekommen Unternehmen Zeit, aber keine Ausnahme. Wer ein Werkzeug zur Bewerbervorauswahl einführt, sollte die künftigen Anforderungen schon bei der Auswahl des Anbieters abfragen.

Praxis

Was für typische Mittelstands-Anwendungen gilt

Die meisten KI-Anwendungen in kleinen und mittleren Unternehmen fallen in die Gruppe mit geringem Risiko. Für sie gelten die Transparenzpflichten, soweit einschlägig, und Art. 4 zur KI-Kompetenz der Mitarbeiter (zur Neufassung siehe die Aktualisierung oben). Eine Übersicht:

  • Chat auf der Website oder im Kundenportal: Hinweis, dass ein KI-System antwortet, direkt im Chatfenster. Wer den Chat selbst entwickelt, ist Anbieter und muss das einbauen.

  • KI-gestützte Texte für Website und Marketing: Produkt- und Leistungstexte, die ein Mitarbeiter prüft und freigibt, lösen nach Art. 50 keine Kennzeichnungspflicht aus.

  • Generierte Bilder: Kennzeichnung nötig, wenn sie realistisch wirken und echte Personen, Orte oder Ereignisse darstellen. Illustrationen ohne Täuschungspotenzial sind nicht gemeint.

  • Interne Werkzeuge: Zusammenfassungen, Übersetzungen, Suche in eigenen Dokumenten mit einem Sprachmodell oder Programmierhilfe sind meist kein Hochrisiko-Fall. Datenschutz und Vertraulichkeit bleiben trotzdem zu klären.

  • Bewerbermanagement mit KI-Bewertung: Hochrisiko-Fall, siehe oben.

Beispiel: Ein Chat auf der Website

Ein Unternehmen lässt einen Chat entwickeln, der Fragen zu Produkten beantwortet und dafür ein Sprachmodell eines externen Anbieters nutzt. Das Unternehmen ist damit Anbieter des Chat-Systems im Sinne von Art. 50 Abs. 1. Es reicht ein gut sichtbarer Satz im Chatfenster vor der ersten Antwort, etwa: „Sie schreiben mit einem KI-Assistenten.“ Der Hinweis gehört nicht ins Impressum oder in die Datenschutzerklärung, sondern an die Stelle, an der das Gespräch beginnt. Unabhängig davon ist in der Datenschutzerklärung zu beschreiben, welche Daten an den Modellanbieter gehen.

Bevor Pflichten erfüllt werden, steht die Frage, ob KI an der Stelle überhaupt das richtige Werkzeug ist. Oft löst eine Regel, eine Suche oder ein Formular dieselbe Aufgabe zuverlässiger. Dazu haben wir eine eigene Seite: Wann KI bei Ihnen Quatsch ist. Und wer KI-Dienste einsetzt, sollte die Abhängigkeit vom Anbieter im Blick behalten, wie unser Beitrag Vendor-Lock-in bei OpenAI zeigt.

Eine erste Einschätzung, ob ein System unter die Verordnung fällt, bietet der Compliance-Kompass im KI-Service Desk der Bundesnetzagentur. Das Werkzeug gibt eine unverbindliche Orientierung.

Kurz beantwortet

Häufige Fragen

  • Meist nicht, wenn ein Mensch die Texte prüft und Ihr Unternehmen die redaktionelle Verantwortung trägt. Die Kennzeichnungspflicht für Texte betrifft vor allem ungeprüft veröffentlichte Inhalte, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren sollen. Anders ist es bei realistisch wirkenden Bildern, Videos oder Tonaufnahmen echter Personen oder Ereignisse: Die müssen gekennzeichnet werden.

  • Auch intern eingesetzte KI fällt unter die Verordnung, meist aber in die Gruppe mit geringem Risiko. Dann gelten vor allem Art. 4, nach dem Sie die KI-Kompetenz Ihrer Mitarbeiter mit Maßnahmen unterstützen, ohne ein bestimmtes Niveau garantieren zu müssen, und, wo zutreffend, Transparenzpflichten. Anders sieht es aus, wenn das Werkzeug über Menschen entscheidet, etwa bei Bewerbungen oder Leistungsbewertung. Dann gelten die Regeln für Hochrisiko-Systeme.

KI einführen, ohne sich in Pflichten zu verlieren

Unser Report zur KI-Integration im Mittelstand zeigt, wo KI im Betrieb hilft, welche Daten sie braucht und welche Fragen vor der Einführung geklärt sein sollten.

Zum Report KI-Integration im Mittelstand

Nachweise

Quellen und Stand

Geprüft am 02.11.2026, siehe Aktualisierung im Abschnitt zum Zeitplan. Dieser Beitrag ist keine Rechtsberatung. Ob ein konkretes System unter die Verordnung fällt, klären Sie mit einem Anwalt.

Artikel teilen