Gilt am 2. August 2026 wirklich noch etwas — trotz Digital Omnibus?

Ja. Die Transparenzpflichten nach Art. 50 wurden nicht verschoben und werden ab dem 2. August 2026 anwendbar. Verschoben wurden nur die umfangreichen Hochrisiko-Pflichten nach Anhang III, die jetzt erst ab dem 2. Dezember 2027 gelten.

Mein Unternehmen nutzt nur KI-Tools. Was muss ich tun?

Vor allem die Transparenz umsetzen: Kundenchatbots als KI kennzeichnen und selbst veröffentlichte KI-Inhalte oder Deepfakes offenlegen. Verbotene Praktiken nach Art. 5 sind ohnehin untersagt. Hochrisiko-Pflichten treffen dich nur, wenn du KI in einem sensiblen Bereich anbietest oder betreibst — und dann erst ab Ende 2027.

Wer ist in Deutschland für den EU AI Act zuständig?

Nach dem KI-Durchführungsgesetz die Bundesnetzagentur als zentrale, koordinierende Marktüberwachungsbehörde mit dem Koordinierungs- und Kompetenzzentrum KI-Verordnung (KoKIVO) und einem KI-Service-Desk, ergänzt durch den BfDI, das BSI und sektorspezifische Behörden.

Wie hoch können Bußgelder nach dem EU AI Act ausfallen?

Bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken; bis zu 15 Mio. Euro oder 3 % bei Verstößen gegen die in Art. 99 Abs. 4 genannten Pflichten, etwa die Transparenzpflichten. Für KMU und Start-ups gilt jeweils der niedrigere der beiden Werte.

EU AI Act · Fahrplan 2026

EU AI Act 2026: Was dein Unternehmen jetzt wissen muss

Stand: 31. Juli 2026 · Alle Angaben mit amtlicher Quelle belegt

Der 2. August 2026 galt lange als der große Stichtag für den AI Act. Doch kurz davor hat die EU den Zeitplan verschoben. Was für viele Unternehmen wirklich relevant wird, ist deshalb nicht die viel zitierte Hochrisiko-Perspektive, sondern vor allem eine Sache: Transparenz.

In 30 Sekunden

Am 2. August 2026 greift für die meisten Unternehmen vor allem Art. 50: Menschen müssen erkennen können, wenn sie mit KI zu tun haben.
Die Hochrisiko-Regeln wurden nach hinten verschoben — Anhang III auf den 2. Dezember 2027, regulierte Produkte auf den 2. August 2028.
Verbote und KI-Kompetenz gelten bereits seit dem 2. Februar 2025.
Ein Zertifikat brauchst du nicht. Auch keinen KI-Beauftragten. Ein internes Schulungsprotokoll reicht.
Wer sich eine KI bauen lässt und sie unter eigenem Namen betreibt, ist nicht Kunde der Agentur, sondern selbst Anbieter.

1. Warum viele Ratgeber seit Tagen falsch liegen

Am 27. Juli 2026 ist die Verordnung (EU) 2026/1744 in Kraft getreten — der sogenannte „Digital Omnibus". Sie wurde am 8. Juli angenommen, am 24. Juli im Amtsblatt veröffentlicht und trat drei Tage später in Kraft. Insgesamt ändert sie die KI-Verordnung an 43 Stellen.

Das ist kein Entwurf und kein politisches Signal. Es ist geltendes Recht.

Für Unternehmen sind drei Punkte entscheidend: Hochrisiko nach Anhang III verschiebt sich vom 2. August 2026 auf den 2. Dezember 2027. Hochrisiko in regulierten Produkten rutscht vom 2. August 2027 auf den 2. August 2028. Und Art. 4 zur KI-Kompetenz wurde entschärft: Es geht nicht mehr darum, ein bestimmtes Kompetenzniveau zu garantieren, sondern Maßnahmen zu ergreifen, die Kompetenz fördern.

Nicht verschoben wurde Art. 50. Die Transparenzpflichten kommen am 2. August — ohne Aufschub.

Aus der Praxis

Im März stand in einem Verbands-Newsletter einer Steuerkanzlei in Fulda noch: „Ab August 2026 Hochrisiko-Dokumentation für KI-gestützte Mandantenauswertung." Damals war das korrekt. Heute ist es falsch. Genau deshalb sind viele ältere Texte nicht nur veraltet, sondern praktisch irreführend.

Quelle: Verordnung (EU) 2026/1744 (EUR-Lex) · EU-Kommission, Rechtsrahmen KI

2. Der neue Fahrplan

Die KI-Verordnung gilt nicht auf einen Schlag, sondern in Stufen. Und genau deshalb lohnt sich der Blick auf die Daten.

Datum	Was passiert
01.08.2024	KI-Verordnung tritt in Kraft. Noch keine Pflichten.
02.02.2025	Verbote (Art. 5) und KI-Kompetenz (Art. 4) gelten.
02.08.2025	Regeln für Modelle mit allgemeinem Verwendungszweck, Governance, Sanktionen (Art. 99).
27.07.2026	Digital Omnibus in Kraft.
02.08.2026	Allgemeiner Geltungsbeginn. Für dich zählt: Art. 50 Transparenz.
02.12.2026	Neue Verbote. Bestehende generative Systeme müssen Art. 50 Abs. 2 erfüllen (Art. 111 Abs. 4).
02.08.2027	KI-Reallabore betriebsbereit. Bestands-Modelle mit allgemeinem Verwendungszweck konform.
02.12.2027	Hochrisiko nach Anhang III. Vorher war das der 02.08.2026.
02.08.2028	Hochrisiko in regulierten Produkten (Anhang I). Vorher 02.08.2027.

Für den Kalender reichen im Zweifel zwei Termine: der 2. August 2026 und der 2. Dezember 2026. Alles andere hat spürbar mehr Vorlauf.

Quelle: Verordnung (EU) 2024/1689 (EUR-Lex) · Verordnung (EU) 2026/1744 (EUR-Lex)

3. Was Transparenz konkret bedeutet

Art. 50 ist keine theoretische Detailregel, sondern eine praktische Informationspflicht. Menschen sollen erkennen können, wenn sie mit KI interagieren oder wenn KI-Inhalte vor ihnen liegen. Dahinter stehen vier Pflichten, die je nach Rolle unterschiedlich greifen:

Abs. 1 — Anbieter: Wer ein System betreibt, das direkt mit Menschen spricht, muss klar machen, dass es sich um KI handelt — außer das ist für den Nutzer ohnehin offensichtlich.
Abs. 2 — Anbieter: Generative KI muss ihre Ausgaben maschinenlesbar als künstlich markieren. Ausnahmen gelten nur für Hilfstools, die beim normalen Bearbeiten helfen oder Eingaben nicht wesentlich verändern. „Soweit technisch möglich“ ändert nichts an der Pflicht selbst, sondern nur an der Art ihrer Umsetzung.
Abs. 3 — Betreiber: Emotionserkennung und biometrische Kategorisierung müssen offengelegt werden. Zusätzlich gilt die DSGVO.
Abs. 4 — Betreiber: Deepfakes müssen gekennzeichnet werden. Gleiches gilt für KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren. Für Kunst und Satire genügt ein Hinweis, solange das Werk nicht gestört wird. Bei Texten entfällt die Pflicht, wenn ein Mensch redaktionell kontrolliert und eine verantwortliche Person benannt ist.

Wie der Hinweis aussehen muss, regelt Abs. 5: klar, eindeutig, barrierefrei und spätestens bei der ersten Interaktion.

Ein praktisches Beispiel

Ein Betreiber eines Angelbedarf-Shops hat seinen Support-Chat geöffnet — nicht als Admin, sondern als normaler Nutzer — und geprüft, ob dort steht, dass ein KI-System antwortet. Der Hinweis fehlte. Eine Zeile im Willkommenstext wurde ergänzt, dazu eine Nachricht an den Anbieter des Tools. Mehr war nicht nötig.

Quelle: Verordnung (EU) 2024/1689 (EUR-Lex) · EU-Kommission, Leitlinien Art. 50 · EU-Kommission, Verhaltenskodex Kennzeichnung

4. Hochrisiko: für die meisten noch nicht akut

Hochrisiko ist die große Baustelle der Verordnung — aber für die meisten Unternehmen noch nicht der aktuelle Engpass. Die Kategorie umfasst Risikomanagement, Dokumentation und Konformitätsbewertung. Sie greift für Anhang III erst ab dem 2. Dezember 2027, für regulierte Produkte aus Anhang I ab 2028.

Zu den kritischen Bereichen gehören etwa Beschäftigung (Anhang III Nr. 4) und Kreditwürdigkeit (Nr. 5). Art. 25, der aus einem Betreiber einen Anbieter machen kann, gilt ebenfalls nur für Hochrisiko-Systeme.

Wichtig ist trotzdem ein Punkt: Manche Verwendungen sind nicht irgendwann relevant, sondern von Anfang an verboten.

Ein Beispiel, das nicht durchgeht

Eine Gebäudereinigung mit 200 Mitarbeitenden sucht ein Tool für die Bewerbervorauswahl. Das wäre grundsätzlich Hochrisiko nach Anhang III Nr. 4 — und bis Dezember 2027 nicht das Hauptproblem. Im Demonstrator steckt aber ein Modul für Stimmungsanalyse im Videointerview. Genau das ist der Knackpunkt: Emotionserkennung am Arbeitsplatz ist seit dem 2. Februar 2025 verboten — mit dem höchsten Bußgeldrahmen der ganzen Verordnung. Das Modul muss also raus, bevor irgendetwas anderes bewertet wird.

Quelle: Verordnung (EU) 2024/1689 (EUR-Lex) · Verordnung (EU) 2026/1744 (EUR-Lex)

5. Anbieter oder Betreiber? Der Punkt, an dem es teuer wird

Die meisten KMU sind Betreiber. Das heißt: Sie setzen KI ein, sie entwickeln sie nicht. Anbieter ist dagegen, wer ein System entwickelt oder entwickeln lässt und es unter eigenem Namen auf den Markt bringt oder in Betrieb nimmt.

Genau an diesem „entwickeln lässt" entscheidet sich die Rolle.

Beispiel

Ein Elektrobetrieb aus Ingolstadt beauftragt eine Agentur mit einem Terminassistenten. Die Agentur programmiert, testet, liefert. Der Assistent läuft unter „Elektro-Assistent" auf der eigenen Website, mit eigenem Logo. Der Inhaber hat keine Zeile Code geschrieben und ist trotzdem Anbieter — weil er das System unter eigenem Namen in Betrieb genommen hat. Fällig ist damit Art. 50 Abs. 1 zum 2. August, und weil der Assistent frei formulierte Antworten erzeugt, auch Abs. 2. Lief das System schon vor dem 2. August, bleibt dafür Zeit bis zum 2. Dezember 2026.
Was im Vertrag steht, ändert daran nichts. Vertraglich lässt sich regeln, wer die Arbeit macht und wer im Innenverhältnis haftet. Die Rolle selbst bleibt beim Betrieb.

Quelle: Verordnung (EU) 2024/1689 (EUR-Lex)

6. Was Verstöße kosten

Die Bußgelder nach Art. 99 gelten seit dem 2. August 2025 und folgen drei Stufen:

Verbotene Praktiken: bis 35 Mio. € oder 7 % vom weltweiten Jahresumsatz.
Der große Katalog, inklusive Art. 50: bis 15 Mio. € oder 3 %.
Falsche Auskünfte an Behörden: bis 7,5 Mio. € oder 1 %.

Für Konzerne gilt jeweils der höhere der beiden Werte. Bei KMU und Start-ups kehrt sich das nach Art. 99 Abs. 6 um: Dann gilt der niedrigere Wert. Das ist mehr als eine Randnotiz.

Rechnet man das durch

Eine Bäckerei-Kette mit neun Filialen und 4 Mio. € Jahresumsatz betreibt einen Bestell-Chatbot ohne KI-Hinweis. Das ist ein Verstoß gegen Art. 50.
3 % von 4 Mio. € ergeben 120.000 €. Nicht 15 Mio. €, weil der niedrigere Wert greift.
Vermeidbar wäre das mit einem einzigen Satz im Chatfenster gewesen.

Die oft zitierte Behauptung, KMU bekämen pauschal 50 oder 75 Prozent Rabatt, steht nirgends im Gesetz. Sie ist schlicht falsch.

Quelle: Verordnung (EU) 2024/1689 (EUR-Lex) · § 15 KI-MIG

7. Deutschland: Wer zuständig ist

Auch national ist der Rahmen inzwischen klar. Seit dem 29. Juli 2026 gilt das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG), verkündet am 28.07.2026 im BGBl. 2026 I Nr. 223.

Grundsätzlich ist die Bundesnetzagentur zuständig. Geht es um KI im regulierten Finanzgeschäft, übernimmt die BaFin. Ein Autohaus mit angeschlossener Finanzierungsvermittlung hat damit zwei Ansprechpartner: einen für den Chatbot, einen für die Bonitätsprüfung. Für Biometrie und Strafverfolgung gibt es eine eigene KI-Marktüberwachungskammer bei der Bundesnetzagentur; für Landesbehörden sind die Länder zuständig.

Unterstützung gibt es ebenfalls: Die Bundesnetzagentur betreibt einen KI-Service-Desk mit FAQ und einem Factsheet speziell für KMU und Start-ups.

Ein deutscher Sonderpunkt bleibt aber: § 15 KI-MIG schafft einen zusätzlichen Ordnungswidrigkeitentatbestand bis 50.000 €. Das kommt obendrauf — nicht anstelle der europäischen Bußgelder.

Quelle: KI-MIG (gesetze-im-internet.de) · § 2 KI-MIG · BGBl. 2026 I Nr. 223 · Bundesnetzagentur, KI-Service-Desk · BMDS zum Inkrafttreten

8. Was du diese Woche tun solltest

Für ein normales KMU ist der AI Act kein Großprojekt. Wenn man ihn sauber angeht, ist er in wenigen Stunden erledigt.

Beginne mit einer Liste: Jedes Tool mit KI-Bezug kommt in eine Tabelle. Name, Nutzer, Kundenkontakt, Text- oder Bilderzeugung, Entwickler. Diese Liste ist die Grundlage für alles Weitere — und genau das, was du im Zweifel einer Behörde vorlegen würdest.

Dann prüfst du jede Zeile mit drei Fragen. Läuft es unter deinem Namen? Dann bist du Anbieter. Spricht es direkt mit Menschen? Dann braucht es einen Hinweis. Geht es um Bewerbungen, Bonität oder Emotionen? Dann gehört der Fall zurück zu Abschnitt 4.

Und schließlich Art. 4: eine kurze interne Schulung, ein Protokoll mit Datum und Teilnehmenden. Kein Zertifikat, kein Beauftragter, keine zusätzliche Governance-Struktur.

Ein Beispiel aus der Praxis

Ein Hotel garni mit 30 Zimmern brauchte 40 Minuten, um vier Werkzeuge zu erfassen: Buchungs-Chatbot, KI-Texte für Zimmerbeschreibungen, Übersetzungstool und Telefonassistent für Zeiten ohne Rezeption. Ergebnis: Für Chatbot und Telefonassistent ist ein Hinweis nötig, für die Zimmertexte nicht. Insgesamt lag der Aufwand bei rund zwei Stunden.

Quelle: EU-Kommission, Q&A KI-Kompetenz · Verordnung (EU) 2024/1689 (EUR-Lex)

9. Die häufigsten Fragen

Betrifft mich das überhaupt, wenn ich nur ChatGPT im Büro nutze?

Ja, aber nur in einem überschaubaren Rahmen. Du bist Betreiber, und für dich ist vor allem Art. 4 relevant: Deine Mitarbeitenden sollen verstehen, was sie mit KI tun. Seit dem 27. Juli 2026 verlangt die Vorschrift nicht mehr, dass du ein bestimmtes Kompetenzniveau garantierst. Ein Schulungsprotokoll genügt.

Muss ich Marketingtexte kennzeichnen, die eine KI geschrieben hat?

Im Regelfall nein. Art. 50 Abs. 4 zielt auf Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren. Ein Produkttext oder Newsletter fällt nicht darunter. Und selbst dann entfällt die Pflicht, wenn ein Mensch redaktionell kontrolliert und eine verantwortliche Person benannt ist.

Muss ich alte Inhalte nachträglich kennzeichnen?

Einen pauschalen Bestandsschutz gibt es nicht. Entscheidend ist nicht, wann du etwas veröffentlicht hast, sondern dass es nach dem 2. August weiter abrufbar ist. Was also online bleibt, sollte den Regeln entsprechen — geh deinen Bestand einmal durch. Eine echte Übergangsfrist gibt es nur an einer Stelle, und die trifft Anbieter generativer Systeme: Für Systeme, die vor dem 2. August auf dem Markt waren, läuft die Frist für die maschinenlesbare Markierung nach Art. 50 Abs. 2 bis zum 2. Dezember 2026 (Art. 111 Abs. 4).

Gibt es fertige Symbole für die Kennzeichnung?

Ja, und sie kosten nichts. Die EU-Kommission stellt Icons zur Kennzeichnung KI-generierter Inhalte bereit, die Urheber, Herausgeber und Betreiber frei verwenden dürfen. Vorgeschrieben ist ihre Nutzung nicht — die Verordnung verlangt nur, dass der Hinweis klar und eindeutig ist.

Kann ich vertraglich festlegen, dass meine Agentur der Anbieter ist?

Nein. Wer ein System entwickeln lässt und unter eigenem Namen in Betrieb nimmt, ist Anbieter — das ergibt sich aus der tatsächlichen Rolle, nicht aus dem Vertrag. Im Vertrag kannst du nur regeln, wer die Arbeit macht und wer intern haftet.

Brauche ich ein KI-Zertifikat oder einen KI-Beauftragten?

Nein. Die Q&A der Kommission ist hier eindeutig: kein Zertifikat, keine vorgeschriebene Governance-Struktur, kein Beauftragter. Ein internes Schulungsprotokoll reicht. Art. 4 hat auch keinen eigenen Bußgeldtatbestand — überwacht wird er ab dem 2. August 2026 trotzdem.

Stimmt es, dass KMU 50 % Rabatt auf die Bußgelder bekommen?

Nein. Diese Zahl steht nirgends im Gesetz. Tatsächlich gilt für KMU und Start-ups nach Art. 99 Abs. 6 der niedrigere der beiden Werte. Bei 4 Mio. € Umsatz und einem Art.-50-Verstoß sind das 3 % — also 120.000 € statt 15 Mio. €.

Muss ich jetzt C2PA-Wasserzeichen einbauen?

Nein. Der Verhaltenskodex zur Kennzeichnung (finale Fassung 10.06.2026, Kommissions-Bewertung 09.07.2026) ist freiwillig und technologieoffen — C2PA wird darin nicht einmal genannt. Er verlangt digital signierte Metadaten und ein nicht wahrnehmbares Wasserzeichen. Harmonisierte Normen dazu gibt es zum 31.07.2026 noch nicht. Die Pflichten aus Art. 50 gelten trotzdem.

Quelle: EU-Kommission, Q&A KI-Kompetenz · EU-Kommission, Verhaltenskodex Kennzeichnung · Verordnung (EU) 2024/1689 (EUR-Lex)

Lieber einmal erklärt bekommen?

Wir machen ein kostenloses Live-Webinar zum AI Act — 45 Minuten, echte Beispiele, Fragen erlaubt. Hier für das Webinar eintragen — wir melden uns bei dir. Kein Verkaufstermin, keine Anmeldegebühr. Oder lass dir nur Bescheid geben, wenn sich die Rechtslage ändert.

Quellen

Jede Jahreszahl, jeder Artikel und jeder Betrag auf dieser Seite stammt aus einer dieser Fundstellen — bis auf die letzte sind es amtliche. Alle Links wurden am 31. Juli 2026 auf Erreichbarkeit und Inhalt geprüft.

Keine Rechtsberatung. Diese Seite gibt einen sorgfältig recherchierten Überblick zum oben genannten Stand wieder. Sie ersetzt keine Rechtsberatung und begründet kein Mandatsverhältnis. Ob deine konkrete KI-Anwendung als Hochrisiko gilt, welche Rolle du im Einzelfall einnimmst und welche Pflichten daraus folgen, hängt von deinem Sachverhalt ab — lass das im Zweifel anwaltlich prüfen. Die socy.ai UG (haftungsbeschränkt) übernimmt keine Gewähr für Richtigkeit, Vollständigkeit und Aktualität. Rechtsstand: 31. Juli 2026.

Fehler gefunden oder etwas veraltet? Schreib uns: hello@socy.ai — wir prüfen das und korrigieren die Seite.

Zurück zur Startseite