EU AI Act: Was seit August 2026 gilt

Dieser Artikel ist keine Rechtsberatung. Er fasst den Stand vom 16. August 2026 zusammen, mit Quellen am Ende. Ob ein konkretes System unter eine Pflicht fällt, klärt eine Einstufung im Einzelfall.

Seit dem 2. August 2026 gelten die Transparenzpflichten des EU AI Act (Artikel 50): Ein Chatbot muss sich als KI zu erkennen geben, und KI-erzeugte Inhalte müssen unter bestimmten Bedingungen gekennzeichnet sein. Die Hochrisiko-Pflichten aus Anhang III wurden mit der Verordnung (EU) 2026/1744 kurz vor der Frist auf den 2. Dezember 2027 verschoben, die Bußgeldvorschriften für Transparenzverstöße gelten trotzdem ab sofort.

Der Zeitplan hat sich sechs Tage vor dem Stichtag geändert. Am 24. Juli 2026 wurde der sogenannte Digital Omnibus als Verordnung (EU) 2026/1744 im Amtsblatt veröffentlicht, in Kraft seit dem 27. Juli 2026. Ein großer Teil der Beiträge, die derzeit zu „EU AI Act 2026" auffindbar sind, wurde vorher geschrieben und nennt den alten Zeitplan. Wer im August 2026 eine KI-Anwendung einführt oder beauftragt, braucht den neuen.

Die Frage betrifft mehr Unternehmen als im letzten Jahr: Laut Bitkom nutzten 2025 bereits 36 Prozent der deutschen Unternehmen ab 20 Mitarbeitern KI, fast doppelt so viele wie 2024.

Die Fristen nach dem Digital Omnibus

Pflicht	Ursprünglicher Termin	Stand heute
Verbotene Praktiken (Art. 5)	2. Februar 2025	gilt unverändert
KI-Kompetenz im Unternehmen (Art. 4)	2. Februar 2025	gilt, seit 27. Juli 2026 abgeschwächt: „unterstützen" statt „sicherstellen"
Pflichten für Anbieter großer KI-Modelle (GPAI)	2. August 2025	gilt unverändert
Transparenz (Art. 50): Chatbots, KI-erzeugte Inhalte	2. August 2026	gilt seit 2. August 2026
Maschinenlesbare Kennzeichnung für Systeme, die vor dem 2. August 2026 auf dem Markt waren	2. August 2026	Übergangsfrist bis 2. Dezember 2026
Hochrisiko-Systeme nach Anhang III, einschließlich der Betreiberpflichten (Art. 26)	2. August 2026	verschoben auf 2. Dezember 2027
Hochrisiko-KI in regulierten Produkten (Anhang I)	2. August 2027	verschoben auf 2. August 2028
Zwei neue Verbote, unter anderem KI zur Erzeugung nicht einvernehmlicher intimer Aufnahmen	neu ergänzt	ab 2. Dezember 2026

Zwei Punkte aus der Tabelle werden regelmäßig falsch wiedergegeben. Erstens: Die Verschiebung auf den 2. Dezember 2027 ist ein festes Kalenderdatum. Ein früherer Entwurf hatte die Frist an die Verfügbarkeit harmonisierter Normen geknüpft, diese Bedingung steht nicht im finalen Text. Zweitens: Verschoben wurde nur das Hochrisiko-Regime. Die Transparenzpflichten sind planmäßig in Kraft getreten.

Was für Ihr Unternehmen jetzt konkret gilt

Für ein Unternehmen, das KI einsetzt oder einführen will und keine Hochrisiko-Anwendung nach Anhang III betreibt, bleiben drei Pflichten und eine Entwarnung.

Verbotene Praktiken. Social Scoring, manipulative Techniken und Emotionserkennung am Arbeitsplatz sind seit Februar 2025 untersagt. Für die üblichen Anwendungen im Mittelstand, etwa Dokumentenauslese oder Assistenten auf eigenen Daten, ist das selten einschlägig, die Prüfung dauert im Normalfall Minuten.

KI-Kompetenz. Artikel 4 verlangt seit dem 27. Juli 2026 nur noch, die Entwicklung von KI-Kompetenz der Mitarbeiter zu unterstützen, statt sie sicherzustellen. Eine dokumentierte Einweisung in die eingesetzten Werkzeuge erfüllt das für die meisten Betriebe.

Transparenz nach Artikel 50. Das ist der Teil, der seit dem 2. August 2026 neu greift. Konkret: Ein Kundenservice-Chatbot muss sich als KI zu erkennen geben, sofern das nicht offensichtlich ist. KI-erzeugte oder manipulierte Bilder, Audio und Video (Deepfakes) müssen als solche offengelegt werden. KI-generierte Texte, die zur Information der Öffentlichkeit veröffentlicht werden, sind kennzeichnungspflichtig, sofern keine redaktionelle Kontrolle durch Menschen stattfindet. Für Systeme, die vor dem 2. August 2026 auf dem Markt waren, gilt allein für die maschinenlesbare Kennzeichnung eine Übergangsfrist bis zum 2. Dezember 2026.

Die Entwarnung. Die Betreiberpflichten für Hochrisiko-Systeme aus Artikel 26, darunter Protokollierung, menschliche Aufsicht nach Anbietervorgaben und Grundrechte-Folgenabschätzung, greifen erst mit dem Anhang-III-Regime am 2. Dezember 2027. Wer heute prüft, ob ein geplantes System überhaupt unter Anhang III fällt, etwa bei Personalauswahl oder Kreditvergabe, verschafft sich diese Antwort trotzdem jetzt: Die Einstufung kostet am Projektanfang einen Bruchteil dessen, was eine Nachrüstung 2027 kostet.

Die Bußgelder gelten schon

Die Bußgeldvorschriften des Artikel 99 sind seit dem 2. August 2025 anwendbar, seit dem 2. August 2026 auch für Transparenzverstöße.

Verstoß	Obergrenze
Verbotene Praktiken (Art. 5)	35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes
Die meisten übrigen Verstöße, auch gegen Art. 50	15 Mio. Euro oder 3 Prozent
Falsche Angaben gegenüber Behörden	7,5 Mio. Euro oder 1 Prozent

Bei Konzernen gilt der jeweils höhere Betrag. Für kleine und mittlere Unternehmen einschließlich Start-ups gilt nach Artikel 99 Absatz 6 der jeweils niedrigere. Die Größenordnung bleibt auch dann ein Vielfaches dessen, was eine saubere Einstufung kostet.

Deutschland hat seit Ende Juli eine zuständige Behörde

Fast ein Jahr lang war offen, wer den AI Act in Deutschland beaufsichtigt. Das ist seit dem 29. Juli 2026 geklärt: Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), vom Bundestag am 11. Juni 2026 beschlossen, benennt die Bundesnetzagentur als zentrale Marktüberwachungsbehörde. Dort entstehen ein KI-Service Desk mit Orientierungshilfen für kleine und mittlere Unternehmen und ein Reallabor für die Erprobung von KI-Systemen. Für Finanzdienstleister bleibt die BaFin zuständig, für Produkte aus Anhang I die jeweiligen Produktsicherheitsbehörden.

Für die Praxis heißt das: Die Zeit, in der Verstöße mangels Behörde folgenlos blieben, ist vorbei. Ansprechpartner und Beschwerdestelle existieren.

Sechs Fragen, die Sie heute beantworten können sollten

Setzt ein System bei Ihnen eine der verbotenen Praktiken aus Artikel 5 ein?
Gibt sich jeder Chatbot mit Kundenkontakt als KI zu erkennen?
Werden KI-erzeugte Bilder, Audio oder Video aus Ihrem Haus als solche offengelegt?
Veröffentlichen Sie KI-generierte Texte ohne redaktionelle Prüfung, und sind diese gekennzeichnet?
Ist die Einweisung Ihrer Mitarbeiter in die eingesetzten KI-Werkzeuge dokumentiert?
Liegt für jedes geplante oder laufende KI-Projekt eine schriftliche Einstufung vor, ob Anhang III einschlägig ist?

Wer alle sechs mit Ja oder einem begründeten Nein beantworten kann, hat den Stand August 2026 abgedeckt. Die Fragen fünf und sechs gehören in die Projektakte, nicht in den Kopf eines Einzelnen: Welche Nachweise ein beauftragtes KI-Projekt liefern sollte, steht in Audit-Trail für eine KI-Anwendung, und was davon in den Vertrag gehört, in KI-Anwendung beauftragen: Was 2026 im Vertrag stehen muss.

Wie wir das handhaben

re-entry ist eine KI-App-Fabrik in Deutschland. Jeder Produktions-Build wird mit einem schriftlichen EU-AI-Act-Einstufungsmemo ausgeliefert, zusammen mit Auftragsverarbeitungsvertrag und EU-Hosting. Sieht ein Vorhaben nach Anhang III aus, sagen wir das im Scoping-Gespräch, bevor Geld fließt. Die meisten internen Tools fallen in die Kategorien minimales oder begrenztes Risiko, und die Artikel-50-Pflichten werden im Build direkt umgesetzt, etwa die Offenlegung im Chatbot.

Der Pilot-Build kostet 14.900 Euro für drei Wochen, der Produktions-Build 49.000 Euro für sechs Wochen, jeweils zuzüglich Umsatzsteuer und zum Festpreis vor Arbeitsbeginn. Das Repository liegt ab dem ersten Tag in Ihrer GitHub-Organisation, mit jedem Commit und jedem Review nachvollziehbar.

EU AI Act: Was seit August 2026 für Unternehmen wirklich gilt