EU AI Act ab 2. August 2026: Was jetzt gilt

Der 2. August 2026 ist wichtig, aber kein einheitlicher Starttermin für sämtliche Vorgaben des EU AI Acts. Während insbesondere Artikel 50 zur Transparenz anwendbar wird, hat die kurz zuvor verabschiedete Digital-Omnibus-Verordnung die materiellen Hochrisiko-Pflichten auf den 2. Dezember 2027 beziehungsweise den 2. August 2028 verschoben. Für die Geschäftsführung bedeutet das: kurzfristige Transparenzthemen erledigen, bereits geltende Pflichten nachweisen und die zusätzliche Vorbereitungszeit für Hochrisiko-Systeme planvoll nutzen.^S1S2S3

Das Wichtigste in Kürze

Neu ab 2. August 2026
Die Transparenzpflichten des Artikels 50 werden grundsätzlich anwendbar. Das ist jedoch keine pauschale sichtbare Kennzeichnungspflicht für jeden KI-Text und jedes KI-Bild.^S1S4
Bereits geltendes Recht
KI-Kompetenz und die bisherigen Verbote bestimmter KI-Praktiken gelten schon seit dem 2. Februar 2025.^S1S3
Später anwendbar
Hochrisiko-Pflichten für Systeme nach Artikel 6 Absatz 2 und Anhang III beginnen am 2. Dezember 2027; für KI in regulierten Produkten gelten sie grundsätzlich ab dem 2. August 2028.^S2S3
GPAI-Modelle
Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gelten grundsätzlich seit dem 2. August 2025; ab dem 2. August 2026 setzt die Kommission sie mit ihren Aufsichts- und Sanktionsbefugnissen durch.^S1S6
Managementaufgabe
Entscheidend ist die Rolle je Anwendung. Wer nur einen externen KI-Dienst nutzt, ist nicht automatisch Anbieter des zugrunde liegenden Modells.^S1S6
KI-Kompetenz praktisch entwickeln
Praxisnahe KI-Workshops helfen Führungskräften und Mitarbeitenden, Möglichkeiten, Grenzen und Regeln der eingesetzten Systeme auf den eigenen Arbeitsalltag zu übertragen.

Die Fristen im Überblick: Was gilt schon, was gilt ab jetzt?

Zeitplan des EU AI Acts ^S1S2S3S6
Datum	Regelungsbereich	Bedeutung für Unternehmen
2. Februar 2025	Allgemeine Bestimmungen, bisherige Verbote und KI-Kompetenz	Anbieter und Betreiber müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer in ihrem Auftrag tätiger Personen zu unterstützen; ein bestimmtes Niveau müssen sie nicht garantieren. Die bereits bestehenden Verbote sind zu beachten.
2. August 2025	Pflichten für Anbieter von GPAI-Modellen	Unter anderem technische Dokumentation, Informationen für nachgelagerte Anbieter und urheberrechtliche Compliance; für ältere Modelle gilt eine Übergangsregel.
2. August 2026	Allgemeine Anwendung, Artikel 50 und erweiterter Vollzug	Transparenzpflichten werden grundsätzlich anwendbar; die Kommission beginnt mit der Durchsetzung der GPAI-Pflichten.
2. Dezember 2026	Neue Verbote und besondere Übergangsfrist	Neue Verbote für bestimmte nicht einvernehmliche intime Inhalte und Darstellungen sexuellen Kindesmissbrauchs; Ende der Übergangsfrist für die Anbieterkennzeichnung bei älteren generativen Systemen.
2. Dezember 2027	Hochrisiko-KI nach Artikel 6 Absatz 2 und Anhang III	Insbesondere relevant für bestimmte Anwendungen in Personal, Bildung, Kreditwürdigkeitsprüfung, kritischer Infrastruktur und Biometrie.
2. August 2028	Produktbezogene Hochrisiko-KI nach Artikel 6 Absatz 1	Pflichten für KI, die mit bestimmten regulierten Produkten oder deren Sicherheitskomponenten verbunden ist.

Die Formulierung, der AI Act gelte ab dem 2. August 2026 „vollständig“, ist deshalb irreführend. Zwar werden weitere Marktüberwachungs-, Rechtsbehelfs- und Durchsetzungsmechanismen anwendbar. Das zentrale Hochrisiko-Pflichtenpaket ist davon aber ausdrücklich ausgenommen. Grund für die Verschiebung waren nach der Änderungsverordnung insbesondere noch nicht ausreichend verfügbare harmonisierte Normen, gemeinsame Spezifikationen, Leitlinien und vollständig eingerichtete nationale Strukturen.^S1S2S3

Zuerst die Rolle klären: Nutzer ist nicht automatisch Anbieter

Für die Pflichten ist nicht nur die Technik, sondern vor allem die Rolle des Unternehmens entscheidend. Wer einen externen KI-Dienst für interne Arbeit oder als Standardsoftware unter eigener Verantwortung nutzt, ist typischerweise Betreiber. Allein dadurch wird das Unternehmen nicht zum Anbieter des zugrunde liegenden GPAI-Modells.

Anders kann es aussehen, wenn eine KI-Lösung unter eigenem Namen oder eigener Marke bereitgestellt, erheblich verändert oder an Kunden beziehungsweise Konzerngesellschaften weitergegeben wird. White-Label-Angebote, tiefes Fine-Tuning und Eigenentwicklungen benötigen deshalb eine gesonderte Rollenprüfung.^S1S6

Kurzer Rollencheck ^S1S6
Mögliche Rolle	Typischer Ausgangspunkt	Erste Managementfrage
Betreiber	Das Unternehmen nutzt ein KI-System unter eigener Verantwortung, etwa als Cloud- oder Standarddienst.	Für welchen Zweck, mit welchen Daten und gegenüber welchen Personen wird das System eingesetzt?
Anbieter eines KI-Systems	Das Unternehmen entwickelt ein System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke in Verkehr beziehungsweise nimmt es entsprechend in Betrieb.	Werden Eigenmarke, White Label, erhebliche Änderungen oder eine Weitergabe an Dritte relevant?
Anbieter eines GPAI-Modells	Das Unternehmen stellt selbst ein Modell mit allgemeinem Verwendungszweck bereit; die bloße Nutzung eines externen Modells reicht dafür grundsätzlich nicht aus.	Wird ein eigenes oder erheblich verändertes Modell tatsächlich auf dem Markt bereitgestellt?
Importeur, Händler oder Produkthersteller	Das Unternehmen bringt Systeme aus Drittländern in die EU, stellt sie in der Lieferkette bereit oder verbindet KI mit einem eigenen regulierten Produkt.	Welche Lieferketten- und Produktrolle besteht für das konkrete System?

Transparenz ab 2. August 2026: keine pauschale Kennzeichnungspflicht

Artikel 50 unterscheidet zwischen technischen Pflichten der Anbieter und Offenlegungspflichten der Betreiber. Deshalb muss nicht jeder Inhalt, an dem ein generatives Werkzeug mitgewirkt hat, einen sichtbaren Hinweis tragen. Ob eine Pflicht besteht, hängt von der Unternehmensrolle, der Art des Inhalts und seinem Verwendungszweck ab.^S1S4S10

Typische Unternehmensfälle ^S1S4S10
Anwendungsfall	Was Artikel 50 grundsätzlich verlangt	Praktische Einordnung
Chatbot im Kundenservice	Der Anbieter des Systems muss grundsätzlich sicherstellen, dass Betroffene über die KI-Interaktion informiert werden, sofern sie für eine angemessen informierte und aufmerksame Person nicht ohnehin offensichtlich ist.	Bei Standardsoftware liegt diese Anbieterpflicht häufig beim Hersteller. Das einsetzende Unternehmen sollte Oberfläche, Vertrag und eigene Markenführung dennoch prüfen.
Generierte Audio-, Bild-, Video- oder Textausgabe	Anbieter generativer Systeme müssen grundsätzlich dafür sorgen, dass die Ausgaben maschinenlesbar gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind.	Diese technische Anbieterkennzeichnung ist nicht dasselbe wie eine sichtbare Offenlegung durch das nutzende Unternehmen.
Deepfake-Video, -Bild oder -Audio	Der Betreiber muss die künstliche Erzeugung oder Manipulation grundsätzlich offenlegen.	Vor einer externen Veröffentlichung sollte ein verbindlicher Klassifizierungs- und Freigabeschritt erfolgen.
KI-generierter oder manipulierter Text über eine Angelegenheit von öffentlichem Interesse	Bei einer Veröffentlichung zur Information der Öffentlichkeit besteht grundsätzlich eine Offenlegungspflicht für den Betreiber.	Die Pflicht greift für den Text nicht, wenn er menschlich überprüft oder redaktionell kontrolliert wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.
Gewöhnlicher Marketingtext, Geschäftskorrespondenz oder internes Protokoll	Keine pauschale sichtbare Kennzeichnung allein wegen der Verwendung eines generativen Werkzeugs.	Andere Vorgaben, etwa aus Datenschutz-, Wettbewerbs- oder Urheberrecht, können unabhängig davon relevant bleiben.
Emotionserkennung oder biometrische Kategorisierung	Betreiber müssen betroffene Personen grundsätzlich über den Betrieb informieren.	Emotionserkennung am Arbeitsplatz ist bereits weitgehend verboten. Eine Information der Beschäftigten macht einen verbotenen Einsatz nicht zulässig.

So lässt sich Artikel 50 praktisch umsetzen

Inhalt klassifizieren
Vor einer Veröffentlichung prüfen: Handelt es sich um einen Deepfake, einen KI-generierten öffentlichen Informationstext oder einen gewöhnlichen Unternehmensinhalt?^S1S4
Technik und Kommunikation trennen
Maschinenlesbare Kennzeichnung durch den Systemanbieter und eine gegebenenfalls erforderliche Offenlegung durch den Betreiber separat kontrollieren.^S1S2
Redaktionelle Verantwortung dokumentieren
Bei öffentlichen Informationstexten festhalten, wer die menschliche Überprüfung oder redaktionelle Kontrolle vorgenommen hat und wer die redaktionelle Verantwortung trägt.^S1S4
Kodex als Umsetzungshilfe prüfen
Der freiwillige EU-Transparenzkodex unterstützt die Umsetzung von Artikel 50 Absätzen 2, 4 und 5. Seine Einhaltung kann den Nachweis erleichtern, ist aber weder Gesetz noch abschließender Beweis für Rechtskonformität.^S4S5

Was längst gilt: KI-Kompetenz und verbotene Praktiken

Seit dem 2. Februar 2025 müssen Anbieter und Betreiber Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Nach der durch die Digital-Omnibus-Verordnung geänderten Fassung des Artikels 4 müssen sie für keine Person ein bestimmtes Niveau an KI-Kompetenz garantieren.^S1S2

Die Kommission und die Mitgliedstaaten sollen diese Bemühungen unterstützen; die Kommission veröffentlicht praktische Beispiele, das KI-Gremium gibt Empfehlungen ab. Der AI Act schreibt weder ein einheitliches Schulungsformat noch ein allgemeines Zertifikat oder einen festen jährlichen Turnus vor. Kompetenzmaßnahmen bleiben dennoch sinnvoll, um Risiken zu erkennen und den verantwortlichen Einsatz der verwendeten Systeme zu fördern.^S2

Ebenfalls bereits anwendbar sind die bisherigen Verbote des Artikels 5. Für den Mittelstand besonders relevant: Emotionserkennung am Arbeitsplatz ist bis auf eng begrenzte medizinische oder sicherheitsbezogene Zwecke weitgehend untersagt. Die 2026 ergänzten Verbote für KI-Systeme zur Erzeugung bestimmter nicht einvernehmlicher sexuell expliziter oder intimer Inhalte sowie von Darstellungen sexuellen Kindesmissbrauchs gelten dagegen erst ab dem 2. Dezember 2026.^S1S2S3

Empfohlener Nachweis zur KI-Kompetenz

Zielgruppen bestimmen
Zum Beispiel Geschäftsführung, Einkauf, IT, Personal, Marketing und Beschäftigte mit direktem Systemzugriff.^S1
Inhalte nach Risiko staffeln
Grundlagen für alle Nutzer; vertiefte Rollen-, Datenschutz-, Transparenz- und Kontrollthemen für besonders exponierte Funktionen.^S1
Teilnahme und Inhalte dokumentieren
Festhalten, wer wann zu welchen Systemen, Einsatzbedingungen und Risiken unterwiesen wurde.^S1
Bei Änderungen aktualisieren
Schulungsbedarf nach neuen Systemen, Funktionen, Einsatzgebieten oder regulatorischen Vorgaben erneut bewerten.^S1

Was noch nicht gilt: das verschobene Hochrisiko-Pflichtenpaket

Die Digital-Omnibus-Verordnung hat die materiellen Anforderungen und Akteurspflichten für Hochrisiko-KI kurzfristig verschoben. Dazu zählen insbesondere Risikomanagement, Daten- und Daten-Governance-Anforderungen, technische Dokumentation, Protokollierung, Informationen für Betreiber, menschliche Aufsicht sowie Anforderungen an Genauigkeit, Robustheit und Cybersicherheit.^S1S2S3

Die neuen Hochrisiko-Termine ^S2S3
Kategorie	Anwendungsdatum	Mögliche Praxisfälle
Hochrisiko-KI nach Artikel 6 Absatz 2 und Anhang III	2. Dezember 2027	Bestimmte Systeme für Bewerberauswahl, Beschäftigtenmanagement, Bildung, Kreditwürdigkeitsprüfung, kritische Infrastruktur oder Biometrie.
Hochrisiko-KI in regulierten Produkten nach Artikel 6 Absatz 1	2. August 2028	KI-Funktionen in oder als Sicherheitskomponente von Produkten, die unter die im AI Act erfassten Harmonisierungsrechtsvorschriften fallen, beispielsweise Medizinprodukte, Spielzeug, Aufzüge oder Kraftfahrzeuge. Maschinen sind wegen der durch den Omnibus geschaffenen sektorspezifischen Lösung gesondert zu prüfen.

Bestandsschutz und offene Umsetzungspunkte

Für Hochrisiko-Systeme, bei denen die erste Einheit des betreffenden Typs und Modells vor dem jeweils neuen Anwendungsdatum erstmals rechtmäßig in Verkehr gebracht oder in Betrieb genommen wurde, greift grundsätzlich eine Bestandsschutzregel. Die Hochrisiko-Vorschriften werden insbesondere bei einer späteren erheblichen Änderung des Designs relevant. Versionen, Modellwechsel, Änderungsentscheidungen und der Zeitpunkt des ersten Inverkehrbringens sollten deshalb nachvollziehbar dokumentiert werden. Für Systeme, die bestimmungsgemäß von Behörden genutzt werden sollen, bleibt der 2. August 2030 als besondere Umstellungsfrist bestehen.

Am 2. August 2026 waren die Kommissionsleitlinien zur Hochrisiko-Einstufung auf der recherchierten Kommissionsseite weiterhin als Entwurf ausgewiesen; die zusätzliche Konsultation war am 23. Juli 2026 beendet worden. Der Entwurfsstatus und die rechtliche Wirkung sind getrennt zu betrachten: Auch nach ihrer endgültigen Annahme sind die Leitlinien nicht rechtsverbindlich. Sie geben die Auslegung der Kommission wieder und dienen als Richtschnur für die Durchsetzung. Die finale Fassung soll nach Angaben der Kommission bis Ende 2026 angenommen werden. Auch harmonisierte Normen befanden sich weiter in Entwicklung. Die Pflicht der Mitgliedstaaten, mindestens ein nationales KI-Reallabor betriebsbereit zu haben, wurde auf den 2. August 2027 verschoben.^S2S7S9

Sonderfall GPAI: relevant vor allem für Modellanbieter

Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck – General Purpose AI oder GPAI – gelten grundsätzlich seit dem 2. August 2025. Dazu gehören je nach Modell technische Dokumentation, Informationen für nachgelagerte Anbieter, eine Strategie zur Einhaltung des Urheberrechts und eine öffentliche Zusammenfassung der Trainingsinhalte. Für Modelle mit systemischem Risiko kommen zusätzliche Sicherheits- und Risikopflichten hinzu.

Ab dem 2. August 2026 setzt die Kommission diese Vorgaben mit ihren Aufsichts- und Sanktionsbefugnissen durch. Anbieter von Modellen, die bereits vor dem 2. August 2025 auf dem Markt waren, müssen die entsprechenden Pflichten erst bis zum 2. August 2027 erfüllen. Diese Übergangsregel gilt für Modellanbieter, nicht pauschal für Unternehmen, die solche Modelle über externe Dienste nutzen. Bei eigener Vermarktung, Bereitstellung unter eigener Marke, erheblichen Modelländerungen oder tiefem Fine-Tuning ist die Rolle jedoch gesondert zu prüfen.^S1S6

Wer kontrolliert – und welche Bußgelder sind möglich?

Mit dem am 28. Juli 2026 im Bundesgesetzblatt (BGBl. I Nr. 223) verkündeten Gesetz zur Durchführung der europäischen KI-Verordnung trat am 29. Juli 2026 unter anderem das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) in Kraft. Die Bundesnetzagentur übernimmt eine zentrale Koordinierungs- und Kompetenzfunktion und ist grundsätzlich Marktüberwachungsbehörde, soweit keine spezialgesetzlich zuständige Fachbehörde vorgesehen ist.

Ein vollständiger One-Stop-Shop entsteht dadurch nicht. Abhängig von System, Produkt, Branche und Verstoß können auch Fach-, Landes-, Datenschutz- oder Medienaufsichtsbehörden zuständig sein. Die EU-Verordnung selbst gilt unmittelbar; das deutsche Gesetz regelt vor allem Zuständigkeiten, Zusammenarbeit, Innovationsförderung und den nationalen Vollzug. Vor einer Behördenkommunikation sollte die Zuständigkeit deshalb für den konkreten Fall bestimmt werden.^S8S9

Ausgewählte Höchstgrenzen ^S1S2
Verstoß	Grundsätzliche Höchstgrenze	Einordnung
Verstoß gegen Transparenzpflichten des Artikels 50	Bis zu 15 Millionen Euro oder bei Unternehmen bis zu 3 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist	Für KMU sowie für kleine Midcap-Unternehmen gilt als Obergrenze jeweils der niedrigere der beiden Werte.
Verstoß gegen Verbote des Artikels 5	Bis zu 35 Millionen Euro oder bei Unternehmen bis zu 7 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist	Für KMU gilt als Obergrenze der niedrigere der beiden Werte. Die Sonderregel für kleine Midcap-Unternehmen gilt für diese Bußgeldkategorie nicht.

30-Tage-Plan: Was die Geschäftsführung jetzt anstoßen sollte

Sieben priorisierte Arbeitspakete

1. KI-Inventar aktualisieren
Alle eingesetzten und geplanten Systeme, Zwecke, verantwortlichen Bereiche, externen Anbieter, betroffenen Personen und Veröffentlichungswege erfassen.^S1S2
2. Rolle je System festlegen
Betreiber-, Anbieter-, Importeur-, Händler-, Produkthersteller- und gegebenenfalls GPAI-Rolle dokumentieren. White Label, Eigenmarke, Fine-Tuning und Weitergabe besonders kennzeichnen.^S1S6
3. Verbotsprüfung abschließen
Bestehende Anwendungen gegen Artikel 5 prüfen; Emotionserkennung im Beschäftigungskontext besonders kritisch behandeln.^S1S3
4. Artikel-50-Prozess einführen
Chatbots, Deepfakes und öffentliche Informationstexte klassifizieren. Technische Kennzeichnung, sichtbare Offenlegung und redaktionelle Freigabe getrennt kontrollieren.^S1S4
5. KI-Kompetenz systematisch aufbauen
Kompetenzmaßnahmen nach Rolle und Risiko staffeln, absolvierte Schulungen und Unterweisungen dokumentieren und den Bedarf bei Systemänderungen neu bewerten. Praxisnahe KI-Workshops können Führungskräften und Mitarbeitenden helfen, Chancen, Grenzen und Regeln der eingesetzten Systeme besser zu verstehen.^S1S2
6. Verträge und Nachweise prüfen
Mit Anbietern klären, wie maschinenlesbare Kennzeichnung, Systeminformationen, Änderungen und Unterstützung bei der Compliance umgesetzt werden.^S1S2S4
7. Governance und Hochrisiko-Roadmap beschließen
Eine verantwortliche Stelle und einen Eskalationsweg festlegen. Mögliche HR-, Kredit-, Infrastruktur- und Produktanwendungen vormerken sowie Versionen und erhebliche Änderungen nachvollziehbar dokumentieren.^S1S2S3S7

Häufige Fragen zum 2. August 2026

Müssen wir ab sofort jeden KI-generierten Text kennzeichnen?

Nein. Eine Betreiber-Offenlegung betrifft insbesondere Deepfakes und KI-generierte oder manipulierte Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden. Für solche Texte greift die Pflicht nicht, wenn sie menschlich überprüft oder redaktionell kontrolliert wurden und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt. Interne Zusammenfassungen, gewöhnliche Geschäftskorrespondenz und normale Marketingtexte sind nicht allein wegen der KI-Nutzung sichtbar zu kennzeichnen.^S1S4S10

Dürfen wir KI weiterhin im Recruiting einsetzen?

Der AI Act verbietet Recruiting-KI nicht pauschal. Bestimmte Systeme können jedoch Hochrisiko-KI nach Anhang III sein; das entsprechende Pflichtenpaket gilt ab dem 2. Dezember 2027. Bis dahin bleiben unter anderem Datenschutz-, Arbeits-, Antidiskriminierungs- und Mitbestimmungsrecht relevant.^S1S2S3

Ist jährlich eine zertifizierte KI-Schulung vorgeschrieben?

Nein. Artikel 4 verpflichtet Anbieter und Betreiber dazu, Maßnahmen zu ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer in ihrem Auftrag tätiger Personen zu unterstützen. Ein bestimmtes Niveau müssen sie nicht garantieren. Vorgeschrieben sind weder ein bestimmtes Format noch ein allgemeines Zertifikat oder ein fester Jahresrhythmus. Umfang und Wiederholung sollten sich an Rolle, Vorkenntnissen, System, Einsatzkontext und Risiko orientieren. Ein praxisnaher KI-Workshop ist daher oft ein sinnvoller Einstieg, um KI-Kompetenz strukturiert und bezogen auf die im Unternehmen eingesetzten Systeme aufzubauen.^S1S2

Gilt die Übergangsfrist bis Dezember 2026 auch für Deepfake-Offenlegungen?

Nein. Die Frist bezieht sich auf die Anbieterpflicht zur maschinenlesbaren Kennzeichnung bei generativen Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden. Sie ist kein allgemeiner Aufschub der Betreiberpflichten.^S1S2

Sind wir durch die Nutzung eines externen KI-Assistenten GPAI-Anbieter?

Nicht allein durch die Nutzung. Anbieterpflichten können jedoch entstehen, wenn das Unternehmen ein System oder Modell selbst bereitstellt, unter eigener Marke vermarktet oder erheblich verändert. Grenzfälle wie White Label und tiefes Fine-Tuning sind einzeln zu prüfen.^S1S6

Ist immer die Bundesnetzagentur zuständig?

Nein. Sie hat eine zentrale Koordinierungs- und Kompetenzfunktion und ist grundsätzlich Marktüberwachungsbehörde, soweit keine speziell zuständige Fachbehörde vorgesehen ist. Je nach Sachverhalt können weitere Bundes-, Landes-, Datenschutz- oder Medienbehörden zuständig sein.^S8S9

Können wir mit Hochrisiko-Vorbereitungen bis Ende 2027 warten?

Das wäre riskant. Die Anforderungen sind umfangreich, andere Rechtsgebiete gelten bereits und erhebliche spätere Änderungen können den Bestandsschutz beeinflussen. Die zusätzliche Zeit sollte für Klassifizierung, Daten- und Dokumentationsprozesse, Zuständigkeiten, Verträge und technische Kontrollen genutzt werden.^S1S2S3

Fazit: Drei Zeitachsen statt eines Big Bang

Die Geschäftsführung sollte den 2. August 2026 weder als Start der gesamten KI-Regulierung noch als folgenlosen Zwischentermin behandeln. KI-Kompetenz und bisherige Verbote gelten längst. Neu im Vordergrund stehen Transparenz und Durchsetzung. Die Hochrisiko-Pflichten folgen später, verlangen aber erhebliche Vorbereitung.

Die tragfähige Managemententscheidung lautet daher: kurzfristig Artikel 50 und bestehende Pflichten absichern, zugleich eine belastbare Roadmap für mögliche Hochrisiko-Systeme aufsetzen. Der Aufschub schafft Vorbereitungszeit – keine Handlungsfreiheit.^S1S2S3S4

KI-Kompetenz in der Praxis aufbauen

KI-Kompetenz entsteht nicht allein durch Richtlinien. In unseren KI-Workshops entwickeln Führungskräfte und Mitarbeitende ein gemeinsames Verständnis für Möglichkeiten, Grenzen und den verantwortlichen Einsatz von KI – bezogen auf konkrete Anwendungsfälle im eigenen Unternehmen.

EU AI Act ab 2. August 2026: Was jetzt gilt – und was verschoben wurde