Am 2. August 2026 tritt der EU AI Act in seine bisher wichtigste Phase: Transparenzpflichten werden verbindlich, und zum ersten Mal stehen Behörden bereit, die Regeln auch durchzusetzen. Bußgelder von bis zu 15 Millionen Euro sind ab sofort keine theoretische Größe mehr. Trotzdem hat sich laut einer aktuellen Bitkom-Studie ein erheblicher Teil der deutschen Unternehmen noch nie ernsthaft mit dem Thema beschäftigt. Wenn du dazugehörst, ist jetzt der richtige Moment, das zu ändern, denn der Aufwand ist für die meisten kleinen und mittleren Unternehmen kleiner, als er klingt.
Was ist der EU AI Act überhaupt?
Der EU AI Act (Verordnung (EU) 2024/1689) ist die weltweit erste umfassende gesetzliche Regulierung von Künstlicher Intelligenz. Er trat am 1. August 2024 in Kraft und entfaltet seine Wirkung schrittweise, ähnlich wie damals die DSGVO, nur mit einem deutlich klareren Stufenplan.
Ziel der Verordnung ist, dass KI-Systeme in der EU sicher, transparent und kontrollierbar bleiben. Unternehmen, die KI einsetzen oder entwickeln, tragen Verantwortung dafür, dass diese Systeme keine Grundrechte verletzen, niemanden manipulieren und nachvollziehbar funktionieren.
Die Verordnung gilt für alle Unternehmen, die KI-Systeme in der EU einsetzen, unabhängig davon, ob das Unternehmen selbst in der EU sitzt. Ein US-Anbieter, der seinen Chatbot europäischen Nutzern zur Verfügung stellt, fällt genauso unter den AI Act wie ein Düsseldorfer Mittelständler, der ChatGPT für interne Zwecke nutzt.
Die komplette Timeline: Was gilt ab wann?
| Datum | Was gilt | Status |
|---|---|---|
| 2. Februar 2025 | Verbotene KI-Praktiken (Art. 5), Schulungspflicht (Art. 4) | Gilt bereits |
| 2. August 2025 | Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) | Gilt bereits |
| 2. August 2026 | Transparenzpflichten (Art. 50), durchsetzbare Bußgelder, nationale Aufsicht | Ab sofort |
| 2. Dezember 2026 | Wasserzeichenpflicht für Anbieter generativer KI (Art. 50 Abs. 2) | Folgt |
| 2. Dezember 2027 | Hochrisiko-KI nach Anhang III: Konformitätsbewertung, Dokumentation | Verschoben |
| 2. August 2028 | Hochrisiko-KI in regulierten Produkten (Anhang I) | Verschoben |
Wichtig dabei: Die Verschiebung der Hochrisiko-Pflichten auf Dezember 2027 geht auf den sogenannten Digital Omnibus zurück, den Rat und Europäisches Parlament am 7. Mai 2026 verabschiedet haben. Sie betrifft ausschließlich die Anforderungen an Hochrisiko-Systeme, alle anderen Pflichten gelten unverändert weiter.
Was ab dem 2. August 2026 konkret gilt
Transparenzpflichten nach Art. 50
Das ist der Block, der für die meisten Unternehmen am meisten Praxisrelevanz hat. Ab dem 2. August müssen folgende Punkte erfüllt sein.
Chatbot-Offenlegungspflicht: Wer einen Chatbot oder Voicebot betreibt, der mit Menschen interagiert, muss Nutzer spätestens beim ersten Kontakt klar darüber informieren, dass sie mit einer KI kommunizieren. Die einzige Ausnahme gilt, wenn es aus dem Kontext offensichtlich ist, und diese Ausnahme legt die EU-Kommission sehr eng aus. Betroffen sind Kundendienst-Chatbots, automatisierte Telefonsysteme, KI-Assistenten auf Websites und automatisierte E-Mail-Antworten, die wie persönliche Nachrichten wirken.
Kennzeichnung KI-generierter Inhalte: KI-generierte oder KI-manipulierte Bilder, Audio- und Videoinhalte müssen als künstlich erzeugt gekennzeichnet sein. Das betrifft vor allem Deepfakes, aber genauso reguläre KI-generierte Marketingbilder oder KI-Voiceovers.
KI-Texte zu Themen von öffentlichem Interesse: Wer KI-generierte Texte zu Gesundheit, Sicherheit oder Verbraucherschutz veröffentlicht, muss sie kennzeichnen, es sei denn, ein Mensch hat den Text redaktionell geprüft und trägt erkennbar die Verantwortung dafür.
Emotionserkennung und biometrische Kategorisierung: Wer solche Systeme einsetzt, muss betroffene Personen darüber informieren.
Durchsetzbare Bußgelder
Ab dem 2. August stehen Behörden bereit, die die Regeln aktiv durchsetzen. In Deutschland übernimmt die Bundesnetzagentur die Rolle der zentralen KI-Aufsichtsbehörde. Das Bußgeldsystem ist dreistufig aufgebaut:
- Verstöße gegen verbotene KI-Praktiken (Art. 5): bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes
- Verstöße gegen Transparenzpflichten und andere Anforderungen: bis zu 15 Mio. Euro oder 3 % des Jahresumsatzes
- Falsche Angaben gegenüber Behörden: bis zu 7,5 Mio. Euro oder 1 % des Jahresumsatzes
Für KMU und Start-ups sieht die Verordnung verhältnismäßige Obergrenzen vor.
Die Schulungspflicht nach Art. 4: Was viele vergessen
Art. 4 des EU AI Act ist die Pflicht, die wirklich jedes Unternehmen in Deutschland betrifft, und sie gilt schon seit dem 2. Februar 2025.
Jedes Unternehmen, das KI-Systeme einsetzt oder bereitstellt, muss sicherstellen, dass seine Mitarbeiter und alle Personen, die in seinem Auftrag mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen. Eine Ausnahme nach Unternehmensgröße gibt es nicht.
Was "ausreichende KI-Kompetenz" bedeutet, definiert der AI Act bewusst nicht zu eng. Als Minimum gilt: Mitarbeiter sollen verstehen, was KI ist, wie sie funktioniert, welche KI-Systeme im eigenen Unternehmen eingesetzt werden und welche Chancen und Risiken damit verbunden sind. Das Kompetenzniveau muss dabei zum Risiko passen. Wer KI für Personalentscheidungen nutzt, braucht eine tiefere Schulung als jemand, der ChatGPT für E-Mail-Entwürfe verwendet.
Und ja, das muss dokumentiert werden. Halte Schulungsmaßnahmen und Kompetenznachweise fest, damit du im Fall einer Prüfung zeigen kannst, dass du deiner Pflicht nachgekommen bist. Ab dem 2. August 2026 wird genau das aktiv durchgesetzt.
Was ist mit Hochrisiko-KI?
Hochrisiko-KI-Systeme sind Systeme, die in besonders sensiblen Bereichen eingesetzt werden. Anhang III des AI Act listet acht Kategorien:
- Biometrische Identifizierung und Kategorisierung
- Kritische Infrastruktur (Energie, Wasser, Verkehr)
- Bildung und Berufsausbildung
- Beschäftigung und Personalverwaltung, etwa Bewerbungs-Screening
- Zugang zu wesentlichen Dienstleistungen, etwa Kreditvergabe oder Sozialleistungen
- Strafverfolgung
- Migration und Asyl
- Rechtspflege und demokratische Prozesse
Für diese Systeme gelten umfangreiche Anforderungen: Risikomanagement, technische Dokumentation, menschliche Aufsicht, Konformitätsbewertung. Die gute Nachricht: Diese Pflichten wurden durch den Digital Omnibus auf den 2. Dezember 2027 verschoben, und für die meisten kleinen und mittleren Unternehmen sind Hochrisiko-Systeme ohnehin nicht direkt relevant.
Eine Ausnahme lohnt sich trotzdem im Blick zu behalten: Wer KI im HR-Bereich einsetzt, etwa für automatisches Bewerbungs-Screening oder Mitarbeiter-Monitoring, sollte genau prüfen, ob das eigene System als Hochrisiko eingestuft werden könnte.
Was seit Februar 2025 bereits verboten ist
Unabhängig vom Stichtag im August gelten diese Verbote schon seit dem 2. Februar 2025:
- Social Scoring: KI-Systeme, die natürliche Personen anhand ihres sozialen Verhaltens bewerten oder einstufen, sind verboten.
- Emotionserkennung am Arbeitsplatz: KI-Systeme, die Emotionen von Mitarbeitern oder Schülern erkennen und auswerten, sind verboten, mit Ausnahmen für medizinische oder sicherheitsrelevante Zwecke.
- Biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen: nur mit sehr engen Ausnahmen für die Strafverfolgung erlaubt.
- Manipulative KI-Systeme: KI, die das Verhalten von Personen unterschwellig beeinflusst oder gezielt Schwächen bestimmter Personengruppen ausnutzt, ist verboten.
Was du jetzt konkret tun solltest
Sofort, bis zum 2. August 2026:
- KI-Inventar erstellen. Welche KI-Systeme setzt dein Unternehmen ein? Das schließt Tools ein, die einzelne Abteilungen eigenständig nutzen, oft ohne Wissen der IT. ChatGPT im Marketing, KI-Übersetzungstools im Einkauf, automatisierte Antwortentwürfe im Kundendienst, alles zählt.
- Chatbots kennzeichnen. Ein Chatbot oder Voicebot muss ab sofort beim ersten Kontakt auf seinen KI-Charakter hinweisen. Technisch reicht dafür oft ein einziger Satz wie "Sie sprechen mit unserem KI-Assistenten."
- KI-generierte Inhalte prüfen. Schau dir deine Marketingprozesse an: Werden KI-generierte Bilder, Videos oder Texte veröffentlicht? Lege jetzt Prozesse und Kennzeichnungsstandards fest.
- KI-Kompetenz dokumentieren. Die Schulungspflicht gilt seit Februar 2025, hol die Dokumentation jetzt nach: Wer hat welche Schulung absolviert, welche Systeme nutzen welche Mitarbeiter?
In den nächsten sechs Monaten:
- Risikobewertung durchführen. Welche deiner KI-Systeme könnten als Hochrisiko eingestuft werden? Bei Personalentscheidungen, Kreditvergabe oder ähnlichen Bereichen lohnt sich eine rechtliche Einschätzung.
- KI-Anbieter prüfen. Liefern deine Anbieter die notwendige Dokumentation, sind sie DSGVO-konform, wo werden deine Daten verarbeitet?
- Verantwortlichkeiten klären. Wer ist bei euch für KI-Compliance zuständig? Das muss keine eigene Stelle sein, aber die Zuständigkeit sollte klar benannt sein.
KMU-Erleichterungen: Was kleine und mittlere Unternehmen wissen sollten
Der EU AI Act sieht gezielte Erleichterungen für KMU vor: eine vereinfachte Dokumentation für Unternehmen, die KI nur einsetzen statt selbst zu entwickeln, verhältnismäßige Bußgeld-Obergrenzen für Unternehmen bis 750 Mitarbeiter, und KI-Reallabore, also regulatorische Sandboxes, in denen Unternehmen KI-Systeme unter behördlicher Begleitung testen können. Jeder EU-Mitgliedstaat muss mindestens ein solches Reallabor eingerichtet haben.
Von der Schulungspflicht und den Transparenzpflichten sind KMU allerdings nicht befreit.
EU AI Act und DSGVO: Wo liegt der Unterschied?
Eine Frage, die uns häufig gestellt wird: Wenn mein Unternehmen bereits DSGVO-konform ist, bin ich dann auch beim AI Act auf der sicheren Seite? Nicht automatisch, denn beide Regelwerke verfolgen unterschiedliche Ziele. Die DSGVO schützt personenbezogene Daten und regelt deren Verarbeitung, der EU AI Act reguliert KI-Systeme selbst, ihre Transparenz, Sicherheit und gesellschaftlichen Auswirkungen.
Es gibt Überschneidungen, gerade wenn KI-Systeme personenbezogene Daten verarbeiten. Unternehmen mit soliden DSGVO-Strukturen haben eine gute Ausgangsbasis, aber AI-Act-Compliance verlangt zusätzliche Maßnahmen.
Fazit: Was jetzt zu tun ist
Der EU AI Act ist kein theoretisches Compliance-Thema mehr. Ab dem 2. August 2026 stehen Behörden bereit, die Regeln durchzusetzen, und die Bußgelder sind real. Die gute Nachricht: Für die meisten kleinen und mittleren Unternehmen bleibt der Aufwand überschaubar. Die wichtigsten Schritte sind ein KI-Inventar, die Kennzeichnung von Chatbots, klare Prozesse für KI-generierte Inhalte und eine dokumentierte Schulung der Mitarbeiter.
Wer jetzt handelt, ist auf der sicheren Seite und hat gleichzeitig einen Vorsprung gegenüber Wettbewerbern, die das Thema noch ignorieren. Bei Helmke Digital unterstützen wir Unternehmen mit KI-Schulungen und Erstberatungen dabei, den EU AI Act rechtssicher umzusetzen, mehr dazu auf der Seite zur KI-Beratung in Düsseldorf. Und wenn du erstmal nur wissen willst, wo dein Unternehmen aktuell steht: In einem kostenlosen Erstgespräch schauen wir gemeinsam auf dein KI-Inventar und die nächsten sinnvollen Schritte.
Stand: Juli 2026. Quellen: Verordnung (EU) 2024/1689, TÜV Rheinland Consulting, oneAgent, Bitkom KI-Studie 2026.