„Gilt der AI Act jetzt eigentlich vollständig – oder wurde alles verschoben?“ Seit dem 2. August 2026 kursieren beide Behauptungen, und beide sind falsch. Richtig ist: Die Transparenzpflichten und das Sanktionsregime sind scharf geschaltet, die Hochrisiko-Pflichten wurden dagegen per EU-Verordnung auf Ende 2027 und 2028 verschoben. Hier ist der komplette Zeitplan – und was du als Unternehmen jetzt wirklich tun musst. Stand: August 2026.
Wichtig
Dieser Artikel ist eine redaktionelle Einschätzung aus der Weiterbildungspraxis, keine Rechtsberatung. Verbindlich klären kann deinen Einzelfall nur eine Kanzlei oder die zuständige Aufsicht – in Deutschland die Bundesnetzagentur.
2. August 2026: Der Stichtag, den gerade beide Lager falsch erklären
In LinkedIn-Feeds und Beratungs-Newslettern stehen derzeit zwei Erzählungen nebeneinander. Lager eins: „Der AI Act gilt jetzt vollständig – wer kein Compliance-Projekt hat, riskiert 35 Millionen Euro.“ Lager zwei: „Brüssel hat verschoben, du kannst dich zurücklehnen.“ Nach der einen kaufst du Beratung, die du nicht brauchst; nach der anderen ignorierst du Pflichten, die bereits gelten.
Was tatsächlich passiert ist: Der 2. August 2026 war von Anfang an als Haupt-Geltungsbeginn der KI-Verordnung geplant. Sechs Tage vorher, am 27. Juli 2026, trat die sogenannte Digital-Omnibus-Verordnung in Kraft – und nahm aus diesem Stichtag genau ein Paket heraus: die Pflichten für Hochrisiko-KI-Systeme. Alles andere kam wie geplant. Seit dem 2. August gelten damit die Transparenzpflichten aus Artikel 50, und die Aufsichtsbehörden dürfen erstmals untersuchen und Bußgelder verhängen. Verboten (etwa Social Scoring) und schulungspflichtig ist KI-Einsatz ohnehin schon seit Februar 2025.
Der Zeitplan: Was gilt seit wann – und was noch kommt
| Datum | Was gilt | Wen es betrifft |
|---|---|---|
| 2. Feb 2025 | Verbotene Praktiken (Art. 5) + Schulungspflicht „KI-Kompetenz“ (Art. 4) | Alle Unternehmen, die KI einsetzen |
| 2. Aug 2025 | Pflichten für Anbieter großer KI-Modelle (GPAI) | Modell-Anbieter wie OpenAI, Google oder Alibaba (Qwen) |
| 2. Aug 2026 | Transparenzpflichten (Art. 50) + Marktüberwachung und Bußgeldbefugnisse | Praktisch alle Unternehmen mit KI im Kundenkontakt oder KI-Inhalten |
| 2. Dez 2026 | Ende der Übergangsfrist: maschinenlesbare Markierung für KI-Systeme, die vor dem 2. Aug 2026 am Markt waren | Tool- und System-Anbieter |
| 2. Dez 2027 | Hochrisiko-Pflichten für eigenständige Systeme (Anhang III: u. a. Personalauswahl, Kreditvergabe, Bildung) – verschoben | Anbieter und Betreiber solcher Systeme |
| 2. Aug 2028 | Hochrisiko-Pflichten für produktintegrierte KI (Anhang I: u. a. Maschinen, Medizinprodukte) – verschoben | Produkthersteller |
Die Verschiebung ist keine Absichtserklärung, sondern geltendes Recht: Verordnung (EU) 2026/1744 vom 8. Juli 2026 („Digital-Omnibus-Verordnung zur KI“), veröffentlicht im EU-Amtsblatt am 24. Juli, in Kraft seit dem 27. Juli 2026. Sie ändert die KI-Verordnung (EU) 2024/1689 und setzt feste neue Daten – der zwischenzeitlich diskutierte Mechanismus, die Fristen an die Verfügbarkeit technischer Normen zu koppeln, hat es nicht ins finale Gesetz geschafft. Begründung der Verschiebung: Die harmonisierten Normen und Prüfstrukturen, ohne die niemand ein Hochrisiko-System sauber zertifizieren kann, sind schlicht noch nicht fertig.
Artikel 50 konkret: Diese vier Pflichten gelten jetzt
Artikel 50 ist keine einzelne „Kennzeichnungspflicht“, sondern vier verschiedene Pflichten – und für die meisten kleinen und mittleren Unternehmen sind nur zwei davon wirklich relevant.
1. KI im Kundenkontakt muss sich zu erkennen geben. Chatbots und Voicebots müssen so gestaltet sein, dass Nutzer wissen, dass sie mit einer KI interagieren – außer es ist aus dem Kontext ohnehin offensichtlich. Die Pflicht trifft formal den Anbieter des Systems; wer einen zugekauften Bot auf der eigenen Website betreibt, sollte trotzdem prüfen, ob der Hinweis tatsächlich erscheint – wie, zeigt Fall 1 unten.
2. KI-generierte Medien müssen maschinenlesbar markiert sein. Bilder, Audio und Video aus KI-Systemen müssen technisch als synthetisch erkennbar sein (Wasserzeichen, Metadaten). Das ist Aufgabe der Tool-Anbieter, nicht deine – als Nutzer prüfst du nur, ob dein Bildgenerator das leistet. Für Systeme, die vor dem 2. August 2026 auf dem Markt waren, läuft dafür eine Übergangsfrist bis zum 2. Dezember 2026.
3. Emotionserkennung und biometrische Kategorisierung: Informationspflicht. Wer solche Systeme einsetzt, muss Betroffene informieren. Für die allermeisten KMU: nicht einschlägig.
4. Deepfakes und bestimmte KI-Texte müssen offengelegt werden. Das ist die Betreiberpflicht, die dich direkt trifft: Täuschend echte KI-Bilder, -Videos oder -Stimmen realer Personen, Orte oder Ereignisse musst du als KI-generiert kennzeichnen. Bei Texten gilt die Pflicht nur, wenn sie die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren und niemand redaktionelle Verantwortung übernimmt.
Gut zu wissen
Dein Blogartikel braucht kein KI-Label. Ein Marketing- oder Fachtext, den KI vorbereitet und ein Mensch geprüft, überarbeitet und verantwortet hat, fällt nicht unter die Kennzeichnungspflicht – die zielt auf ungeprüft veröffentlichte KI-Texte zu Themen von öffentlichem Interesse. Wer dir erzählt, ab jetzt müsse „alles aus ChatGPT“ gekennzeichnet werden, verkauft dir eine Pflicht, die so nicht existiert.
Drei Praxisfälle: Chatbot, Midjourney, Bewerber-Screening
Fall 1 – Onlineshop mit zugekauftem KI-Chatbot. Der Bot beantwortet Fragen zu Versand und Retouren. Für die Systemgestaltung ist der Bot-Anbieter verantwortlich – als Betreiber prüfst du drei Dinge: Erscheint der KI-Hinweis sichtbar im Chatfenster selbst, nicht nur in Datenschutzerklärung oder AGB? Überlebt er eure Anpassungen an Begrüßungstext und Design? Und tritt der Bot nicht als Mensch auf – ein „Hallo, ich bin Lisa aus dem Support“ samt Foto konterkariert jeden Hinweis? Eine Formulierung, die die Pflicht erfüllen kann:
„Sie chatten mit unserem KI-Assistenten. Ihre Fragen beantwortet gern auch ein Mensch – Sie erreichen uns unter service@…“
Beispiel-Formulierung für den Chat-Einstieg aus der Beratungspraxis – als Vorlage gedacht, keine Rechtsberatung.Fall 2 – Agentur gestaltet Kunden-Posts mit Midjourney. Die maschinenlesbare Markierung der Bilddateien ist Sache von Midjourney als Anbieter, nicht der Agentur. Für typische Kampagnenmotive – illustrative Szenen, Produkt-Renderings, erkennbar gestaltete Bilder – besteht keine Offenlegungspflicht. Die Grenze ist der Deepfake: Wirkt das Motiv wie ein echtes Foto realer Personen, Orte oder Ereignisse – der Kunden-Geschäftsführer auf einer Bühne, auf der er nie stand, muss die Veröffentlichung als KI-generiert ausgewiesen werden. Beruhigend fürs Archiv: Inhalte von vor dem 2. August 2026 müssen nicht rückwirkend gekennzeichnet werden.
Fall 3 – Mittelständler screent Bewerbungen mit KI. Klingt nach dem großen Compliance-Fall, ist 2026 aber der entspannteste: KI in der Personalauswahl ist ein Hochrisiko-Kandidat nach Anhang III – und genau diese Pflichten greifen erst ab dem 2. Dezember 2027. Artikel 50 verlangt hier in aller Regel nichts. Der Termin gehört in den Kalender, nicht in eine Panik-Rechnung für diesen Herbst; bis dahin bleiben das KI-Inventar und die Schulung der Nutzer nach Artikel 4, die seit Februar 2025 gilt.
Was NICHT gilt: Der Hochrisiko-Countdown läuft bis Ende 2027
Die schweren Pflichten des AI Act – Risikomanagement, Qualitätsmanagementsystem, Konformitätsbewertung, technische Dokumentation, menschliche Aufsicht – hängen an der Einstufung als Hochrisiko-System. Genau diese Pflichten sind verschoben: für eigenständige Systeme nach Anhang III (etwa KI in der Personalauswahl, bei der Kreditvergabe oder im Bildungszugang) auf den 2. Dezember 2027, für KI in regulierten Produkten auf den 2. August 2028.
„Seit August gilt der AI Act vollständig – ohne Compliance-Projekt riskieren Sie 35 Millionen Euro Bußgeld.“
So oder ähnlich klingt gerade viel KI-Compliance-Marketing. Beide Hälften des Satzes sind falsch.Die 35 Millionen Euro (bzw. 7 % des Weltjahresumsatzes) sind der Maximalrahmen für verbotene Praktiken – Social Scoring, manipulative Systeme, ungezieltes Gesichtsdatenbank-Scraping. Wer so etwas nicht einsetzt, und das ist die übergroße Mehrheit aller Unternehmen, kann von diesem Rahmen nicht getroffen werden. Und die Hochrisiko-Compliance, für die große Beratungsprojekte tatsächlich nötig werden können, hat jetzt amtlich Zeit bis Ende 2027.
Deutschland: Die Bundesnetzagentur ist jetzt zuständig
Passend zum Stichtag hat Deutschland seine Aufsicht geregelt. Das KI-Durchführungsgesetz – offiziell KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) – passierte am 11. Juni 2026 den Bundestag, am 10. Juli den Bundesrat und ist seit dem 29. Juli 2026 in Kraft. Es macht die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde für die KI-Verordnung – inklusive Anlauf- und Beschwerdestelle, einem neuen Koordinierungs- und Kompetenzzentrum und mindestens einem KI-Reallabor, in dem Anwendungen unter Aufsicht getestet werden können (die EU-Frist für Reallabore wurde auf August 2027 verschoben).
Zum Sanktionsrahmen, ehrlich eingeordnet: Verstöße gegen die Transparenzpflichten und die meisten anderen Pflichten können mit bis zu 15 Millionen Euro oder 3 % des Weltjahresumsatzes geahndet werden; für KMU gilt jeweils der niedrigere der beiden Beträge. Das sind Obergrenzen, keine Preislisten – Bußgelder müssen verhältnismäßig sein, und das Durchführungsgesetz gibt der Behörde ausdrücklich Informations- und Beratungsangebote mit auf den Weg. Ein Freifahrtschein ist das trotzdem nicht: Seit dem 2. August darf sie untersuchen und sanktionieren, und Beschwerden von Kunden oder Wettbewerbern können Verfahren auslösen.
Deine To-do-Liste für den Herbst 2026
- KI-Inventar erstellen. Welche Tools sind im Einsatz, wofür, durch wen – inklusive der inoffiziellen ChatGPT-Nutzung im Team. Ohne diese Liste kannst du keine der folgenden Fragen beantworten. Wie du den Einsatz sauber aufsetzt, steht im Guide KI im Unternehmen einführen.
- Rolle klären: Anbieter oder Betreiber? Wer fremde Tools nutzt, ist Betreiber – mit überschaubaren Pflichten. Anbieterpflichten (Markierung, Systemgestaltung) treffen dich erst, wenn du ein KI-System unter eigenem Namen auf den Markt bringst. Diese eine Einordnung entscheidet über 90 % deiner Pflichten.
- Kennzeichnungs-Check machen. Gibt sich der Website-Chatbot als KI zu erkennen? Sind täuschend echte KI-Bilder realer Personen im Umlauf? Werden KI-Texte ungeprüft veröffentlicht? Meist ist das in einer Stunde erledigt.
- Schulungsnachweis dokumentieren. Die Schulungspflicht aus Artikel 4 gilt seit Februar 2025 unverändert weiter – der Digital Omnibus hat sie bestätigt und lediglich klargestellt, dass kein bestimmtes Kursformat vorgeschrieben ist. Was konkret verlangt wird, steht im Guide zur KI-Schulungspflicht; wie du Kompetenz im Team systematisch aufbaust, im Artikel AI Literacy.
- Hochrisiko-Radar stellen. Nutzt oder plant ihr KI in Personalauswahl, Kreditentscheidungen oder Bildungszugang: den 2. Dezember 2027 notieren und den Tool-Anbieter nach seinem Konformitätsfahrplan fragen. Mehr ist 2026 nicht nötig.
Auffällig an dieser Liste: Der größte Posten ist keine Anwaltsrechnung, sondern Kompetenzaufbau – und der lässt sich als Mitarbeiterschulung planen und unter bestimmten Voraussetzungen sogar fördern.
Häufige Fragen
Gilt der AI Act jetzt vollständig?
Nein. Seit dem 2. August 2026 gelten die Transparenzpflichten (Art. 50) und das Aufsichts- und Sanktionsregime; Verbote und Schulungspflicht gelten schon seit Februar 2025, GPAI-Pflichten seit August 2025. Die Hochrisiko-Pflichten wurden dagegen auf Dezember 2027 (Anhang III) und August 2028 (Anhang I) verschoben.
Was genau wurde verschoben – und wodurch?
Verschoben wurden ausschließlich die Pflichten für Hochrisiko-KI: eigenständige Systeme nach Anhang III auf den 2. Dezember 2027, produktintegrierte KI nach Anhang I auf den 2. August 2028. Rechtsgrundlage ist die Digital-Omnibus-Verordnung (EU) 2026/1744 vom 8. Juli 2026, in Kraft seit dem 27. Juli 2026.
Muss ich meinen Chatbot als KI kennzeichnen?
Ja. Seit dem 2. August 2026 müssen Nutzer erkennen können, dass sie mit einer KI interagieren – außer es ist aus dem Kontext offensichtlich. Ein klarer Hinweis im Chat-Fenster genügt. Die Pflicht liegt formal beim Anbieter des Systems, prüfen solltest du sie als Betreiber trotzdem.
Müssen alle KI-generierten Texte und Bilder gekennzeichnet werden?
Nein. Maschinenlesbar markieren müssen die Tool-Anbieter. Du selbst musst Deepfakes offenlegen – täuschend echte KI-Medien realer Personen, Orte oder Ereignisse. KI-Texte brauchst du nur zu kennzeichnen, wenn sie ungeprüft und ohne redaktionelle Verantwortung die Öffentlichkeit über Themen von öffentlichem Interesse informieren.
Welche Bußgelder drohen wirklich?
Der oft zitierte 35-Millionen-Rahmen gilt nur für verbotene Praktiken wie Social Scoring. Für Verstöße gegen Transparenz- und die meisten anderen Pflichten liegt die Obergrenze bei 15 Millionen Euro oder 3 % des Weltjahresumsatzes, für KMU gilt der niedrigere Betrag. Durchsetzbar sind Sanktionen erst seit dem 2. August 2026 – Bußgelder sind Maximalrahmen, kein Automatismus.
Gilt die KI-Schulungspflicht aus Artikel 4 noch?
Ja, unverändert seit dem 2. Februar 2025. Der Digital Omnibus hat die Pflicht bestätigt: Anbieter und Betreiber müssen weiterhin für ausreichende KI-Kompetenz sorgen – ein bestimmtes Kursformat oder Zertifikat schreibt das Gesetz nicht vor, ohne dokumentierte Maßnahmen stehst du im Prüfungsfall aber blank da.
Mach dein Team AI-Act-fit – bevor es die Aufsicht prüft
Die eine Pflicht, die dich seit 2025 sicher betrifft, ist der Kompetenznachweis – und genau der lässt sich am besten planen. Wir zeigen dir im kostenlosen Erstgespräch, welche KI-Schulung zu eurem tatsächlichen Einsatz passt, wie der Nachweis dokumentiert wird und ob die Kosten über Förderprogramme ganz oder teilweise übernommen werden können.
Kostenloses Erstgespräch sichern
Benedikt Backhaus – schreibt bei Scaly über KI-Tools, neue Modelle und aktuelle Entwicklungen rund um künstliche Intelligenz. Er beobachtet die KI-Szene laufend und ordnet ein, was neue Releases praktisch bedeuten – ehrlich und ohne Hype. Einschätzung, keine Rechtsberatung. Benedikt auf LinkedIn
