AI Act: Pflichten für Ihr Unternehmen ab dem 2. August 2026 (und was auf 2027 verschoben wird)

Der 2. August 2026 ist das wichtigste Datum im Leben der europäischen KI-Verordnung seit ihrem Inkrafttreten. An diesem Tag tritt der Großteil des AI Act in Kraft, einschließlich der Transparenzpflichten, die Chatbots, KI-generierte Inhalte und Deepfakes betreffen. Und das Ganze bringt zudem eine aktuelle Neuerung mit sich, die man gut verstehen sollte: Die Europäische Union hat soeben den sogenannten Digital Omnibus verabschiedet, der die Pflichten für Hochrisikosysteme auf Dezember 2027 verschiebt.

In diesem Artikel blicken wir auf den Kontext, erklären, was ab August gilt und was verschoben wurde, und beantworten die häufigsten Fragen, die uns Unternehmen stellen.

 

Was ist der AI Act und wo stehen wir aktuell

Die Verordnung (EU) 2024/1689, bekannt als AI Act oder europäisches Gesetz zur künstlichen Intelligenz, ist die weltweit erste umfassende Regelung zur künstlichen Intelligenz. Sie trat im August 2024 in Kraft, ihre Anwendung erfolgt jedoch stufenweise. Der zugrunde liegende Ansatz lautet: Je größer das Risiko, das ein KI-System für Menschen darstellt, desto größer sind die Pflichten für diejenigen, die es entwickeln oder nutzen.

 

Die Verordnung unterscheidet vier Risikostufen.

• Unannehmbares Risiko: Verbotene Praktiken, zum Beispiel subliminale Manipulation oder Social Scoring.
• Hohes Risiko: Systeme, die in Bereichen wie Personalauswahl, Bildung oder Zugang zu wesentlichen Dienstleistungen eingesetzt werden. Sie müssen strenge Anforderungen an Risikomanagement, Datenqualität und menschliche Aufsicht erfüllen.
• Begrenztes Risiko: Systeme mit Transparenzpflichten.
• Minimales Risiko: Der Rest, also die überwiegende Mehrheit, kann ohne zusätzliche Anforderungen weiter betrieben werden.

 

Bisher wurden zwei Meilensteine erreicht.

• Februar 2025: Die Verbote und die Pflichten zur KI-Kompetenz treten in Kraft, wonach Mitarbeitende, die mit diesen Systemen arbeiten, ausreichend geschult sein müssen.
• August 2025: Die Governance-Regeln und die Pflichten für Anbieter von Allzweckmodellen, wie große Sprachmodelle, treten in Kraft.

Was jetzt kommt: Der Zeitplan tritt in seine entscheidende Phase

Nachdem diese Meilensteine bereits erreicht wurden, stehen die Termine bevor, in denen sich fast alle noch ausstehenden Pflichten bündeln.

• August 2026: allgemeine Anwendung der Verordnung, wobei die Transparenzpflichten die wichtigste Neuerung darstellen.
• Dezember 2027: neue Frist für die Hochrisikosysteme nach Anhang III infolge der von der EU beschlossenen Verschiebung.
• August 2028: Stichtag für Hochrisikosysteme, die in regulierte Produkte nach Anhang I integriert sind.

Gehen wir Schritt für Schritt vor.

 

Was ab dem 2. August 2026 gilt

Das Datum August 2026 markiert die allgemeine Anwendung der Verordnung. Für die meisten Unternehmen besteht die spürbarste Änderung in den Transparenzpflichten gemäß Artikel 50, die sowohl Entwickler von KI-Systemen als auch deren Nutzer im Rahmen ihrer Tätigkeit betreffen.

Hinweis, wenn eine Person mit einer KI interagiert

Wenn Ihr Unternehmen über einen Kundenservice-Chatbot, einen virtuellen Assistenten oder einen Sprachassistenten verfügt, muss der Nutzer wissen, dass er mit einer Maschine spricht. Der Hinweis muss klar sein und spätestens zum Zeitpunkt der ersten Interaktion erfolgen, es sei denn, dies ist aus dem Kontext ohnehin ersichtlich.

 

Kennzeichnung von KI-generierten Inhalten

Anbieter von Systemen, die synthetischen Text, Bild-, Audio- oder Videoinhalte erzeugen, müssen eine technische Kennzeichnung in einem maschinenlesbaren Format in diese Inhalte einbetten, sodass automatisch erkennbar ist, dass sie künstlich erzeugt oder manipuliert wurden.

KI-Generierungssysteme, die bereits vor dem 2. August 2026 auf dem Markt waren, profitieren von einer Übergangsregelung und haben bis zum 2. Dezember 2026 Zeit, diese technische Kennzeichnung einzuführen.

Achtung: Diese Pflicht betrifft vor allem die Anbieter (diejenigen, die die Systeme entwickeln oder vermarkten). Unternehmen, die lediglich Tools von Drittanbietern nutzen, müssen die Kennzeichnung nicht selbst umsetzen, sollten sich aber vergewissern, dass ihre Anbieter diese Anforderung erfüllen.

 

Deepfakes kennzeichnen

Wer Bilder, Audio- oder Videoinhalte verbreitet, die Personen, Objekte oder reale Ereignisse künstlich nachbilden, muss deutlich sichtbar darauf hinweisen, dass es sich um manipulierte Inhalte handelt. Diese Pflicht gilt seit dem 2. August ohne Übergangszeitraum.

 

Informationspflicht bei Emotionserkennung und biometrischer Kategorisierung

Organisationen, die Systeme zur Emotionserkennung oder biometrischen Kategorisierung in den gesetzlich zulässigen Fällen einsetzen, müssen die betroffenen Personen vorab informieren. Im arbeits- und bildungsbezogenen Umfeld sind diese Systeme verboten, von sehr spezifischen Ausnahmen abgesehen.

 

Texte von öffentlichem Interesse

KI-generierte Texte, die veröffentlicht werden, um die Bürgerinnen und Bürger über Angelegenheiten von öffentlichem Interesse zu informieren, müssen ihren künstlichen Ursprung kennzeichnen, es sei denn, sie wurden einer menschlichen Überprüfung unterzogen und jemand übernimmt die redaktionelle Verantwortung.

 

Die große Neuerung: Der Digital Omnibus verschiebt das hohe Risiko auf 2027

Der ursprüngliche Zeitplan sah vor, dass die Pflichten für Hochrisikosysteme ebenfalls am 2. August 2026 in Kraft treten sollten. Das hat sich geändert. Nach der im Mai 2026 erzielten Einigung verabschiedete das Europäische Parlament im Juni den Digital Omnibus zur KI, und der Rat nahm ihn Ende desselben Monats förmlich an.

Das Ergebnis ist ein neuer Zeitplan: Die Hochrisikosysteme nach Anhang III, also jene, die in Bereichen wie Beschäftigung, Bildung, Biometrie, kritischen Infrastrukturen, Migration oder Zugang zu wesentlichen Dienstleistungen eingesetzt werden, müssen ihre Pflichten ab dem 2. Dezember 2027 erfüllen. Hochrisikosysteme, die in Produkte integriert sind, die durch die Sicherheitsvorschriften nach Anhang I reguliert werden, wie Maschinen oder Medizinprodukte, haben bis zum 2. August 2028 Zeit.

Der Grund für die Verschiebung ist praktischer Natur, da die harmonisierten technischen Normen und die zur Einhaltung erforderlichen Leitlinien noch nicht fertiggestellt waren und die europäische Unternehmenslandschaft Zeit und Rechtssicherheit forderte. Es sei betont, dass die Verschiebung weder die Verbote noch die Transparenzpflichten betrifft, die weiterhin nach ihrem ursprünglichen Zeitplan gelten.

 

Sanktionen und Aufsicht in Spanien

Das Sanktionssystem ist bereits seit 2025 in Kraft und entfaltet seine volle Wirkung mit der allgemeinen Anwendung der Verordnung. Die Geldbußen können bei verbotenen Praktiken bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes betragen und bei Verstößen gegen andere Pflichten, einschließlich der Transparenzpflichten, bis zu 15 Millionen Euro oder 3 % des Umsatzes.

In Spanien ist die zuständige Behörde die AESIA, die Spanische Agentur für die Aufsicht über künstliche Intelligenz, die ab August 2026 über volle Befugnisse zur Überprüfung und Sanktionierung verfügen wird.

Wie Sie sich vorbereiten können: vier sinnvolle Schritte

Man muss nicht bis Dezember 2027 warten, um loszulegen. Ein sinnvoller Ausgangspunkt umfasst vier Schritte.

• Erstens: eine Bestandsaufnahme der KI-Systeme erstellen, die die Organisation entwickelt oder nutzt, einschließlich derjenigen, die in Tools von Drittanbietern integriert sind.
• Zweitens: sie nach der Risikostufe der Verordnung einstufen, um zu wissen, welche Pflichten ab wann gelten.
• Drittens: die Fälle sofortiger Transparenzpflicht überprüfen, also Chatbots, Inhaltserstellung und jede Nutzung von Deepfakes in Kommunikation oder Marketing.
• Und viertens: den Spielraum bis Ende 2027 nutzen, um die Hochrisikosysteme in Ruhe anzupassen und dabei Daten, Prozesse und menschliche Aufsicht zu dokumentieren.

 

Die Bedeutung eines zertifizierten Technologiepartners

Die Einhaltung der europäischen KI-Verordnung ist nicht nur eine rechtliche Frage. Hinter jeder Pflicht stehen technische Entscheidungen, von der Kennzeichnung synthetischer Inhalte über die Nachverfolgbarkeit von Daten bis hin zur menschlichen Aufsicht über die Modelle, und deren korrekte Umsetzung erfordert Erfahrung aus realen Daten- und KI-Projekten.

Die Zusammenarbeit mit einem zertifizierten Technologiepartner bietet Sicherheit in drei Bereichen: Sie ermöglicht die korrekte Einstufung der Systeme nach ihrer Risikostufe, wovon alles Weitere abhängt. Sie stellt sicher, dass die Entwicklungen die Anforderungen der Verordnung von Anfang an berücksichtigen, anstatt sie nachträglich nachzubessern. Und sie erleichtert die Dokumentation und Nachweise, die Aufsichtsbehörden wie die AESIA bei einer Prüfung verlangen können.

Bei LISDATA gehen wir Daten- und KI-Projekte auf dieser Grundlage an. Wir verfügen über die Zertifizierungen ISO 27001, ISO 9001 und das Esquema Nacional de Seguridad in der höchsten Kategorie und sind Microsoft Solutions Partner in den Bereichen Data & AI, Infrastructure und Digital & App Innovation. Zudem sind wir Teil des Claude Partner Network von Anthropic, mit mehr als zehn Fachkräften mit gültiger offizieller Zertifizierung, und unser gesamtes Data-Governance-Team ist in Data Management Fundamentals von DAMA International zertifiziert. Diese Nachweise belegen – im wahrsten Sinne des Wortes – geprüfte Prozesse und aktuelles Fachwissen genau in den Bereichen, die die Verordnung auf die Probe stellt.

 

Häufig gestellte Fragen (FAQ) zum AI Act

Wir beantworten einige der häufigsten Fragen zur Anwendung des AI Act in 2026 und 2027.

Wann tritt die europäische KI-Verordnung in Kraft?

Die Verordnung ist seit August 2024 in Kraft, wird jedoch stufenweise angewendet. Die Verbote gelten seit Februar 2025, die Regeln für Allzweckmodelle seit August 2025, die allgemeine Anwendung erfolgt am 2. August 2026, und die Hochrisikopflichten nach Anhang III wurden auf den 2. Dezember 2027 verschoben.

Betrifft der AI Act mein Unternehmen, wenn ich nur KI-Tools von Drittanbietern nutze?

Ja, das kann der Fall sein. Die Verordnung legt Pflichten nicht nur Anbietern auf, sondern auch den Betreibern, also den Organisationen, die KI-Systeme im Rahmen ihrer Tätigkeit nutzen. Wenn Sie einen Chatbot mit Kunden einsetzen oder Inhalte mit KI erzeugen, gelten für Sie die Transparenzpflichten.

Was ist Artikel 50 des AI Act?

Es ist der Artikel, der die Transparenzpflichten regelt. Er verlangt, dass darauf hingewiesen wird, wenn eine Person mit einer KI interagiert, dass synthetische Inhalte in maschinenlesbarem Format gekennzeichnet werden, dass Deepfakes markiert werden und dass über den Einsatz von Systemen zur Emotionserkennung oder biometrischen Kategorisierung informiert wird. Er gilt seit dem 2. August 2026.

Was hat sich mit dem Digital Omnibus geändert?

Der im Juni 2026 verabschiedete Digital Omnibus zur KI verschiebt die Pflichten für Hochrisikosysteme nach Anhang III auf den 2. Dezember 2027 und die für Systeme nach Anhang I auf den 2. August 2028. Er ändert weder die Verbote noch die Transparenzpflichten.

Welche Bußgelder sieht die Verordnung vor?

Bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken und bis zu 15 Millionen Euro oder 3 % des Umsatzes bei Verstößen gegen andere Pflichten, einschließlich der Transparenzpflichten.

Wer überwacht die Einhaltung in Spanien?

Die AESIA mit Sitz in A Coruña ist die nationale Aufsichtsbehörde und verfügt seit August 2026 über volle Befugnisse zur Überprüfung und Sanktionierung.