Der 2. August 2026 ist da. Damit wird ein großer Teil des europäischen AI Act anwendbar. Wer daraus schließt, die KI-Verordnung gelte nun vollständig, liegt allerdings daneben. Der kurz zuvor in Kraft getretene AI Omnibus hat den Zeitplan noch einmal verändert und insbesondere die Pflichten für Hochrisiko-KI verschoben.
Für Geschäftsführungen, IT- und Rechtsabteilungen kommt es deshalb nicht darauf an, den alten Fristenkalender besonders entschlossen weiterzuverwenden. Entscheidend ist, welche Vorschriften heute bereits gelten, welche erstmals durchgesetzt werden können und welche noch auf ihren Auftritt warten.
Die Verordnung (EU) 2024/1689 ist bereits am 1. August 2024 in Kraft getreten. Ihre Vorschriften werden jedoch schrittweise anwendbar. Der AI Omnibus hat diesen Zeitplan wenige Tage vor dem aktuellen Stichtag geändert.
Für Unternehmen ergibt sich zum 2. August 2026 folgende Lage:
Der 2. August 2026 ist damit ein wichtiger Stichtag. Er ist nur nicht der Schlussstein, als der er in älteren Übersichten häufig erscheint.
Unverändert relevant sind zunächst die verbotenen KI-Praktiken. Unternehmen dürfen beispielsweise keine KI einsetzen, die Menschen mit manipulativen oder täuschenden Techniken zu erheblich schädigenden Entscheidungen bewegt. Ebenfalls verboten sind unter anderem bestimmte Formen des Social Scoring, die ungezielte Sammlung von Gesichtsbildern zum Aufbau von Erkennungsdatenbanken und Emotionserkennung am Arbeitsplatz, soweit keine eng begrenzte Ausnahme greift.
Solche Einsatzszenarien sollten nicht erst im Einkauf oder kurz vor dem Produktivbetrieb geprüft werden. Die Verbotskontrolle gehört bereits in die Freigabe eines KI-Projekts. Ein System wird nicht dadurch harmloser, dass es schon bezahlt wurde.
Auch Artikel 4 bleibt anwendbar. Der AI Omnibus hat die Vorschrift allerdings neu gefasst. Anbieter und Betreiber müssen Maßnahmen ergreifen, welche die Entwicklung von KI-Kompetenz bei Beschäftigten und weiteren Personen unterstützen, die in ihrem Auftrag mit KI-Systemen arbeiten. Sie müssen dagegen keinen bestimmten Kompetenzstand jeder einzelnen Person garantieren.
Für Unternehmen spricht das weiterhin für rollenbezogene Schulungs- und Informationsmaßnahmen. Eine Entwicklerin benötigt andere Kenntnisse als ein Beschäftigter, der ein Sprachmodell für Zusammenfassungen nutzt. Entscheidend sind Vorkenntnisse, Nutzungskontext und mögliche Auswirkungen auf betroffene Personen. Eine einmalige allgemeine Schulungsfolie erfüllt diese Aufgabe selten vollständig. Sie erfüllt vor allem den Wunsch, eine Schulungsfolie zu besitzen.
Neu anwendbar sind die Transparenzvorgaben aus Artikel 50. Sie betreffen unter anderem direkt mit Menschen interagierende KI-Systeme, technisch erkennbare Markierungen synthetischer Inhalte sowie Offenlegungspflichten bei Deepfakes und bestimmten Texten zu Angelegenheiten von öffentlichem Interesse.
Für mittelständische Unternehmen kann dies beispielsweise Kundenchatbots, KI-generierte Werbeinhalte, synthetische Stimmen oder automatisierte Informationsangebote betreffen. Welche Pflicht greift, hängt davon ab, ob das Unternehmen Anbieter oder Betreiber ist und welche Funktion die KI konkret übernimmt.
Eine ausführliche Einordnung der sichtbaren Hinweise und maschinenlesbaren Kennzeichnungen enthält der K11-Beitrag „EU AI Act: Wann KI sichtbar werden muss“.
Wichtig ist eine neue Übergangsregelung: Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und bereits vor dem 2. August 2026 auf den Markt gebracht wurden, erhalten für die technische Kennzeichnungspflicht aus Artikel 50 Absatz 2 Zeit bis zum 2. Dezember 2026. Das ist keine allgemeine Schonfrist für sämtliche Transparenzpflichten. Sie betrifft eine bestimmte Anbieterpflicht und sollte auch so behandelt werden.
Die Pflichten für Anbieter von GPAI-Modellen gelten grundsätzlich bereits seit dem 2. August 2025. Dazu gehören technische Dokumentation, Informationen für nachgelagerte Anbieter, eine Strategie zur Einhaltung des europäischen Urheberrechts und eine öffentliche Zusammenfassung der verwendeten Trainingsinhalte. Für besonders leistungsfähige Modelle mit systemischem Risiko kommen weitere Anforderungen hinzu.
Seit dem 2. August 2026 kann das europäische AI Office diese Vorschriften umfassend durchsetzen. Es kann Informationen und Modellzugang verlangen, Bewertungen durchführen, Korrekturmaßnahmen anordnen und bei Verstößen Sanktionen verhängen.
Die bloße Nutzung eines externen Sprachmodells macht ein mittelständisches Unternehmen normalerweise noch nicht zum Anbieter eines GPAI-Modells. Anders kann die Lage aussehen, wenn ein Modell wesentlich verändert, unter eigenem Namen angeboten oder in eine eigene Marktleistung integriert wird. Rollen entstehen nicht nach Stellenbeschreibung, sondern nach dem tatsächlichen Umgang mit dem System.
Einen vertiefenden Überblick zur Ermittlung der jeweiligen Pflichten bietet der K11-Beitrag „EU AI Act: Welche Pflichten gelten für Ihr KI-System?“.
Der AI Omnibus hat die umfangreichen Anforderungen an Hochrisiko-KI zeitlich nach hinten verschoben. Für Systeme aus Bereichen wie Beschäftigung, Bildung, Kreditwürdigkeitsprüfung oder kritischer Infrastruktur gelten die maßgeblichen Vorschriften grundsätzlich ab dem 2. Dezember 2027. Bei KI als Sicherheitskomponente bestimmter regulierter Produkte ist der 2. August 2028 entscheidend.
Damit sind Risikomanagement, technische Dokumentation, Protokollierung, menschliche Aufsicht und die besonderen Betreiberpflichten noch nicht in ihrer Gesamtheit anwendbar. Unternehmen sollten die zusätzliche Zeit trotzdem nicht als regulatorische Ferienwohnung betrachten.
Zum einen bleiben andere Vorschriften anwendbar. Ein KI-System zur Bewerberauswahl kann schon heute datenschutzrechtliche, arbeitsrechtliche oder diskriminierungsrechtliche Probleme verursachen. Zum anderen enthält Artikel 111 eine Übergangsregelung für bereits vorhandene Hochrisiko-Systeme. Ob und wann ein System in Verkehr gebracht oder in Betrieb genommen wurde und ob seine Konzeption später erheblich verändert wurde, kann für die künftige Anwendbarkeit entscheidend sein.
Unternehmen sollten deshalb Einführungsdatum, bestimmungsgemäßen Zweck, Versionen und wesentliche Änderungen nachvollziehbar dokumentieren. Ein Zeitaufschub hilft wenig, wenn später niemand mehr weiß, welche Systemversion eigentlich wann in Betrieb war.
Seit dem 2. August 2026 können das AI Office und die zuständigen nationalen Behörden die bereits anwendbaren Vorschriften durchsetzen. Das betrifft insbesondere verbotene Praktiken, KI-Kompetenz, Transparenzpflichten und die Vorgaben für GPAI-Anbieter. Die später anwendbaren Hochrisiko-Anforderungen können dagegen nicht durch einen besonders energischen Kalender vorgezogen werden.
Deutschland hat seine Aufsichtsstruktur kurz vor dem Stichtag mit dem im Bundesgesetzblatt veröffentlichten Durchführungsgesetz konkretisiert. Die Bundesnetzagentur übernimmt eine zentrale Rolle bei Koordinierung, Marktüberwachung, Beratung und Beschwerdebearbeitung. In regulierten Bereichen bleiben daneben bestehende Fachbehörden zuständig.
Auch die Bußgeldvorschriften sind nicht als einheitlicher Tarif für jede versäumte Dokumentation zu verstehen. Maßgeblich sind unter anderem Art, Schwere und Dauer eines Verstoßes sowie die Größe des Unternehmens. Entscheidend ist zunächst, ob die verletzte Pflicht zum betreffenden Zeitpunkt überhaupt anwendbar war.
Ein belastbarer AI-Act-Check beginnt nicht mit einer langen Richtlinie, sondern mit einer brauchbaren Übersicht. Unternehmen sollten jetzt:
In der Praxis sollten IT, Recht, Datenschutz, Informationssicherheit und betroffene Fachbereiche gemeinsam auf diese Übersicht zugreifen. Der AI Act ist kein reines IT-Projekt. Er wird allerdings auch nicht besser, wenn jede Abteilung ihre eigene Excel-Liste mit abweichender Wahrheit pflegt.
Seit dem 2. August 2026 gelten wichtige neue Vorschriften des AI Act, vor allem die Transparenzpflichten. Zugleich beginnt die praktische Durchsetzung bereits bestehender Anforderungen. Die umfassenden Pflichten für Hochrisiko-KI wurden dagegen durch den AI Omnibus auf Ende 2027 beziehungsweise August 2028 verschoben.
Für Unternehmen ist jetzt vor allem Präzision gefragt: Welche Systeme werden eingesetzt? Welche Rolle nimmt das Unternehmen ein? Welche Pflichten gelten heute, welche später und welche Übergangsregelungen greifen?
K11 unterstützt Unternehmen dabei, diese Fragen in eine belastbare KI-Governance zu übersetzen und mit Datenschutz, Informationssicherheit und bestehenden Managementsystemen zu verbinden. Denn Regulierung wird nicht dadurch übersichtlich, dass man sie in einen Ordner legt. Sie wird übersichtlich, wenn Zuständigkeiten, Systeme und Entscheidungen zusammenpassen.