EU AI Act: Was ab 2026 für Unternehmen gilt
Seit dem 2. August 2026 gilt die europäische KI-Verordnung weitgehend vollständig – doch die strengen Regeln für Hochrisiko-KI wurden verschoben. Wir zeigen dir, welche Pflichten jetzt wirklich greifen, welche Fristen sich geändert haben und was du in deinem Unternehmen konkret tun solltest.
Worum geht es?
Die europäische KI-Verordnung, oft EU AI Act genannt, regelt den Einsatz von Künstlicher Intelligenz in der EU. Sie ist bereits am 1. August 2024 in Kraft getreten, wird aber schrittweise angewendet: Seit Februar 2025 sind bestimmte KI-Praktiken verboten, seit August 2025 gelten Regeln für die Anbieter großer KI-Modelle wie GPT, Claude oder Gemini.
Der 2. August 2026 war als großer Stichtag geplant – ab dann sollte die Verordnung im Kern vollständig gelten. Kurz davor hat die EU mit dem sogenannten Digital Omnibus nachgesteuert: Einige Pflichten wurden verschoben, andere bleiben unverändert.
Was hat sich durch den Digital Omnibus geändert?
Der Digital Omnibus (Verordnung (EU) 2026/1744) wurde Ende Juni 2026 endgültig beschlossen und ist am 27. Juli 2026 in Kraft getreten. Die wichtigsten Änderungen:
Hochrisiko-KI später: Die strengen Pflichten für eigenständige Hochrisiko-Systeme – etwa KI zur Bewerberauswahl, zur Leistungsbewertung von Beschäftigten oder zur Kreditwürdigkeitsprüfung – gelten erst ab dem 2. Dezember 2027. Für KI, die in regulierte Produkte eingebaut ist (zum Beispiel Maschinen oder Medizinprodukte), gilt der 2. August 2028.
KI-Kompetenz abgeschwächt: Unternehmen, die KI einsetzen, müssen die KI-Kompetenz ihrer Beschäftigten weiterhin fördern – ein bestimmtes Kompetenzniveau müssen sie nach der Änderung aber nicht mehr sicherstellen.
Neue Verbote: KI-Systeme, die sexualisierte Deepfakes ohne Einwilligung oder Darstellungen von Kindesmissbrauch erzeugen, werden verboten – mit einer Übergangsfrist bis zum 2. Dezember 2026.
Was gilt seit dem 2. August 2026?
Für die meisten Unternehmen sind vor allem die Transparenzpflichten wichtig. Sie gelten wie ursprünglich geplant:
KI muss sich zu erkennen geben: Wer zum Beispiel einen KI-Chatbot auf der Website oder im Kundenservice einsetzt, muss die Menschen darüber informieren, dass sie mit einer KI sprechen – es sei denn, das ist offensichtlich.
Deepfakes kennzeichnen: Täuschend echte KI-Bilder, -Videos oder -Tonaufnahmen von realen Personen, Orten oder Ereignissen müssen als KI-erzeugt gekennzeichnet werden.
Maschinenlesbare Kennzeichnung: Anbieter von KI-Systemen, die Texte, Bilder, Audio oder Videos erzeugen, müssen ihre Ergebnisse technisch markieren (zum Beispiel per Wasserzeichen). Für Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, gilt eine Übergangsfrist bis zum 2. Dezember 2026.
Die Verbote aus dem Jahr 2025 – etwa Social Scoring oder Emotionserkennung am Arbeitsplatz – gelten unverändert weiter.
Wer kontrolliert das in Deutschland?
Seit dem 29. Juli 2026 gilt in Deutschland das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG). Zentrale Aufsichtsbehörde ist die Bundesnetzagentur, soweit keine Fachbehörde wie die BaFin zuständig ist. Sie ist auch Beschwerdestelle und Anlaufstelle für Fragen. Über ihren KI-Service-Desk bietet sie Informationen, Leitfäden und ein Online-Tool, mit dem du einschätzen kannst, in welche Risikoklasse ein KI-System fällt.
Verstöße können teuer werden: Die KI-Verordnung sieht je nach Art des Verstoßes Bußgelder in Millionenhöhe vor – bei verbotenen Praktiken bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.
Was bedeutet das für dich und dein Unternehmen?
Wenn ihr KI-Tools wie ChatGPT, Claude oder Microsoft 365 Copilot im Büroalltag nutzt – zum Schreiben, Zusammenfassen oder Recherchieren –, seid ihr in aller Regel Betreiber eines KI-Systems mit geringem Risiko. Die Hochrisiko-Pflichten betreffen euch dann nicht. Relevant sind vor allem drei Punkte: Transparenz gegenüber Kundinnen und Kunden, die Kennzeichnung von KI-Inhalten und die KI-Kompetenz eurer Mitarbeitenden.
Das kannst du jetzt tun
Bestandsaufnahme: Liste auf, welche KI-Tools in deinem Unternehmen wofür genutzt werden.
Chatbots prüfen: Steht bei eurem Website-Chat oder Kundenservice klar, dass eine KI antwortet?
KI-Inhalte kennzeichnen: Lege fest, wann ihr KI-erzeugte Bilder, Videos oder Texte für die Öffentlichkeit als solche markiert.
Personalthemen im Blick behalten: Setzt ihr KI bei Bewerbungen oder Mitarbeiterbewertungen ein, nutzt die Zeit bis Dezember 2027 zur Vorbereitung.
Mitarbeitende schulen: Auch wenn die Pflicht abgeschwächt wurde – wer KI sicher und verantwortungsvoll einsetzen kann, macht weniger Fehler bei Datenschutz und Qualität.
Genau dafür gibt es bei Ewando den Kurs KI Starter: Im fünften Modul geht es um Datenschutz, Urheberrecht und den EU AI Act – verständlich erklärt und mit Praxisbezug.
Quellen
Gibson Dunn: EU AI Act Omnibus Agreement – Postponed High-Risk Deadlines and Other Key Changes
Cuatrecasas: Council of the EU approves Digital Omnibus on AI
Jones Walker: Yes, August 2 Still Matters – Transparency Obligations Remain
Haufe: Digital Omnibus – Was ändert sich an der KI-Verordnung?
datenschutzticker.de: Bundestag beschließt KI-Durchführungsgesetz
Stand: Oktober 2026. Ohne Gewähr.
Dieser Artikel ist keine Rechtsberatung. Für deinen konkreten Fall wende dich an eine Rechtsanwältin oder einen Rechtsanwalt.