Der EU AI Act erreicht im August 2026 seinen großen Stichtag — doch wenige Wochen vorher hat Brüssel die strengsten Pflichten überraschend verschoben. Wir ordnen ein, was heute schon gilt, was vertagt wurde und was das ganz konkret für kleine und mittlere Unternehmen bedeutet.
Worum es geht
Der EU AI Act ist das weltweit erste umfassende Gesetz für Künstliche Intelligenz. Er reguliert risikobasiert: Je höher das Risiko einer KI-Anwendung für Menschen und Grundrechte, desto strenger die Pflichten — von schlichten Transparenzregeln bis zu vollständig verbotenen Praktiken. In Kraft ist er seit dem 1. August 2024, scharfgeschaltet wird er aber stufenweise über mehrere Jahre.
Das gilt heute schon
- Verbotene Praktiken (seit 2. Februar 2025): Acht KI-Anwendungen sind EU-weit untersagt — darunter manipulative KI, Social Scoring und die biometrische Echtzeit-Fernidentifikation im öffentlichen Raum zu Strafverfolgungszwecken.
- Pflichten für große KI-Modelle / GPAI (seit 2. August 2025): Anbieter von Allzweck-KI (wie den Modellen hinter ChatGPT & Co.) müssen Transparenz herstellen, systemische Risiken bewerten und eine Zusammenfassung ihrer Trainingsdaten bereitstellen.
Der Stichtag 2. August 2026 — und die überraschende Verschiebung
Eigentlich sollte der AI Act zum 2. August 2026 seine volle Wirkung entfalten, inklusive der umfangreichen Pflichten für Hochrisiko-Systeme. Doch mit dem sogenannten „Digital Omnibus“ — einer politischen Einigung vom 6./7. Mai 2026, von den Mitgliedstaaten am 13. Mai 2026 bestätigt — wurden genau diese strengen Fristen nach hinten geschoben:
- Eigenständige Hochrisiko-Systeme (Anhang III) — etwa in Biometrie, kritischer Infrastruktur, Bildung, Beschäftigung und Bewerberauswahl, Kreditscoring sowie Migration, Asyl und Grenzkontrolle: jetzt erst ab 2. Dezember 2027.
- In Produkte eingebettete Hochrisiko-KI (Anhang I) — etwa in Maschinen, Medizinprodukten, Spielzeug, Aufzügen und Fahrzeugen: jetzt erst ab 2. August 2028.
Was zum 2. August 2026 trotzdem scharf wird: Transparenz
Verschoben heißt nicht aufgehoben — und ein Teil betrifft ganz normale Unternehmen ab August 2026: die Transparenzpflichten nach Artikel 50.
- Offenlegung: Wer mit einer KI interagiert, muss das erkennen können — ein Chatbot ist als KI auszuweisen.
- Kennzeichnung: KI-generierte oder -manipulierte Inhalte und Deepfakes müssen als solche markiert werden.
- Synthetische Inhalte / Wasserzeichen: Für die technische Kennzeichnung KI-erzeugter Inhalte gilt eine kurze Übergangsfrist bis zum 2. Dezember 2026.
Neu hinzugekommen ist außerdem ein Verbot KI-generierter, nicht einvernehmlicher intimer Darstellungen sowie von Missbrauchsdarstellungen (CSAM), das ebenfalls ab dem 2. Dezember 2026 greift.
Was das für den Mittelstand bedeutet
- Entwarnung beim Schwersten — mit mehr Zeit. Die allermeisten KMU bauen keine Hochrisiko-Systeme. Und selbst wer betroffen ist, hat durch die Verschiebung deutlich länger Luft.
- Transparenz betrifft fast jeden. Sobald Sie KI für Chatbots, Texte, Bilder oder Videos einsetzen, fallen Sie unter die Kennzeichnungspflichten. Praktisch: Chatbots als KI ausweisen, KI-Medien sichtbar markieren.
- Datenschutz bleibt die zweite Baustelle. Der AI Act regelt KI-Risiken — nicht den Datenschutz. Wer Kundendaten in öffentliche KI-Dienste eingibt, hat ein DSGVO-Problem, das der AI Act nicht löst. Der saubere Weg ist ein datensouveränes, internes „Company Brain“.
- Die Verschiebung ist kein Freibrief. Wer jetzt ein Inventar der eigenen KI-Nutzung anlegt, Datenflüsse prüft und dokumentiert, ist bei der nächsten Stufe vorbereitet statt überrascht.
Mein Rat: ruhig vorbereiten statt hektisch reagieren
Kein Grund zur Panik, aber auch kein Grund zum Abwarten. Drei Schritte, mit denen Sie heute richtig liegen: (1) auflisten, wo in Ihrem Betrieb KI mitarbeitet, (2) KI-Interaktionen und -Inhalte kennzeichnen, (3) prüfen, welche Daten Ihre KI-Werkzeuge nach außen geben — und das bei Bedarf in eine datensichere Lösung holen. Genau hier begleite ich Sie: verständlich, bodenständig und auf Ihren konkreten Fall zugeschnitten.
Dieser Beitrag fasst den öffentlich bekannten Stand zum Erscheinungsdatum zusammen und ist eine allgemeine Einordnung, keine Rechtsberatung.
Quellen
- Europäische Kommission — AI Act, offizielle Übersicht & Zeitplan
- EU Artificial Intelligence Act — Implementation Timeline
- Gibson Dunn — EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines
- Travers Smith — EU agrees to delay key AI Act compliance deadlines
