EU AI Act: Was ab 2. August wirklich gilt

Die Erleichterung war groß: Als die EU im Mai die Fristen für Hochrisiko-KI um 16 Monate verlängerte, atmeten viele Compliance-Abteilungen auf. Das Aufatmen war verfrüht. Artikel 50 des EU AI Act läuft unverändert am 2. August 2026 aus. Jedes Unternehmen, das einen Chatbot betreibt, KI-generierte Bilder veröffentlicht oder Deepfakes einsetzt, ist dann zur Transparenz verpflichtet. Bei Verstößen drohen Bußgelder bis zu 15 Millionen Euro.

Was der Mai-Aufschub nicht verlängert hat

Im Mai 2026 einigte sich die EU auf eine umfassende Novelle des KI-Gesetzes, die sogenannte Omnibus-Novelle. Unternehmen, die hochriskante KI-Systeme einsetzen, etwa in der Kreditvergabe, der Personalauswahl oder der medizinischen Diagnostik, erhalten 16 Monate mehr Zeit. Statt August 2026 gilt für eigenständige Hochrisiko-Systeme nun Dezember 2027, für KI in regulierten Produkten August 2028.

Was der Aufschub ausdrücklich nicht verlängert hat: Artikel 50 des EU AI Act. Er regelt Transparenzpflichten für KI-Systeme ohne Rücksicht auf deren Risikokategorie und gilt unverändert ab dem 2. August 2026. Zuständige Aufsichtsbehörde in Deutschland ist die Bundesnetzagentur, die seit März 2026 per Bundesgesetz als nationale Marktüberwachungsbehörde bestimmt wurde.

Vier Pflichten, die alle treffen

Artikel 50 definiert vier Transparenzpflichten, die ab August für nahezu jedes Unternehmen mit KI-Berührung relevant werden.

Erstens: Chatbot-Offenlegung. Jedes KI-System, das direkt mit Menschen interagiert, also Chatbots, virtuelle Assistenten oder automatisierte Telefonsysteme, muss Nutzer zu Beginn der Interaktion informieren, dass sie mit einer KI kommunizieren. Ein Hinweis wie „Dieser Chat wird von einem KI-System beantwortet“ reicht als Umsetzung aus.

Zweitens: Deepfake-Kennzeichnung. Wer mit KI reale Personen in manipulierten Bildern, Audios oder Videos darstellt, muss offenlegen, dass der Inhalt künstlich erstellt oder verändert wurde. Für künstlerische oder satirische Werke gilt eine abgemilderte Pflicht: Ein kleines Symbol oder eine kurze Einblendung reicht aus, aber eine vollständige Ausnahme gibt es nicht.

Drittens: Biometrische Erkennung und Emotionsanalyse. KI-Systeme, die Gefühle erkennen oder Personen biometrisch kategorisieren, müssen die Betroffenen vorab informieren.

Viertens: KI-generierte Texte zu öffentlichen Themen. Wer KI-Texte zu politischen, wirtschaftlichen oder gesellschaftlichen Fragen veröffentlicht, muss das kennzeichnen. Die Ausnahme gilt, wenn ein Mensch die inhaltliche Verantwortung tatsächlich übernommen und den Text redaktionell überarbeitet hat.

Fast die Hälfte noch nicht vorbereitet

Die Zahlen zeigen erheblichen Nachholbedarf. Laut einer Deloitte-Umfrage unter 500 deutschen Entscheidungsträgern haben 48,6 Prozent der Unternehmen noch nicht intensiv begonnen, die Anforderungen des EU AI Act umzusetzen. Nur 26,2 Prozent haben sich vertieft mit dem Thema beschäftigt. Gleichzeitig nutzen oder testen bereits 51,2 Prozent der befragten Mittelstandsunternehmen KI, der Anteil mit KI-Agenten stieg auf 16,6 Prozent.

Das ergibt ein Compliance-Paradox: Je mehr ein Unternehmen KI einsetzt, desto wahrscheinlicher fällt es unter die Transparenzpflichten. Und desto dringlicher wird die Vorbereitung, die viele noch aufschieben.

Aus der Industrie kommt offene Skepsis. Mehr als die Hälfte der befragten Unternehmen sieht ihre Innovationsmöglichkeiten durch die Regulierung eingeschränkt, weniger als ein Fünftel erwartet von ihr positive Effekte. Mehrere deutsche und europäische Technologieverbände hatten seit Herbst 2025 auf Aufschübe gedrungen, da Zertifizierungsstellen für Hochrisiko-KI noch im Aufbau seien. Dieses Argument half bei den Hochrisiko-Fristen, aber nicht bei den Transparenzpflichten.

Am 2. Dezember folgt die nächste Pflicht

Auf August folgt Dezember: Ab dem 2. Dezember 2026 müssen KI-generierte Audioinhalte, Bilder, Videos und Texte maschinell erkennbar markiert sein. Diese Wasserzeichenpflicht war ursprünglich für Februar 2027 vorgesehen und wurde durch die Omnibus-Novelle um zwei Monate vorgezogen.

Die Europäische Kommission arbeitete im Mai 2026 noch an einem finalen Code of Practice für diese maschinelle Kennzeichnung. Bis ein einheitliches EU-Symbol feststeht, empfiehlt der Entwurf als Übergangslösung eine visuelle Kennzeichnung mit dem Kürzel „KI“ in Deutschland. Die Bundesnetzagentur hat angekündigt, Unternehmen bei der Umsetzung zu beraten, bevor sie Bußgeldverfahren einleitet.

Für Unternehmen, die jetzt handeln wollen, empfehlen Compliance-Experten drei Schritte: eine vollständige Bestandsaufnahme aller verwendeten KI-Systeme, die Prüfung welche davon unter Artikel 50 fallen und die Umsetzung der entsprechenden Hinweispflichten und Kennzeichnungspflichten vor dem 2. August.