Der 2. August 2026 ist nicht irgendein Stichtag in einem Compliance-Kalender – er ist der Moment, an dem der EU AI Act für die große Mehrheit der Unternehmen vom Papier in die Praxis wechselt. Wer in Deutschland Chatbots einsetzt, KI-generierte Texte veröffentlicht, Bewerbungen mit KI sichtet oder ein GPAI-Modell in seine Produkte integriert, ist ab diesem Tag unmittelbar betroffen. Die erste Phase (seit Februar 2025) betraf vor allem verbotene Praktiken. Jetzt folgt die nächste Welle: Transparenzpflichten nach Art. 50, die Durchsetzungsphase für GPAI-Modelle und die Aktivierung der Bußgeldkompetenz der EU-Kommission.

Dieser Artikel zeigt kompakt, welche Pflichten ab August 2026 konkret greifen, wie du dein Unternehmen in eine der vier Risikoklassen einordnest und welche To-dos du jetzt – nicht erst im Herbst – auf die Agenda setzen solltest.

Warum der August-Stichtag 2026 so wichtig ist

Der EU AI Act folgt einem risikobasierten Stufenplan. Seit dem 2. Februar 2025 sind vor allem unacceptable-risk-Systeme (z. B. Social Scoring, manipulative KI) und erste Governance-Vorgaben verbindlich. Ab dem 2. August 2026 treten zwei große Blöcke in Kraft:

  1. Transparenz- und Kennzeichnungspflichten (Art. 50) – betreffen praktisch jedes Unternehmen, das KI mit Personen interagiert oder Inhalte erzeugt.
  2. Durchsetzungsphase für GPAI-Modelle – die EU-Kommission und das AI Office erhalten ab diesem Datum ihre vollen Aufsichts- und Sanktionsbefugnisse gegenüber Anbietern allgemeiner KI-Modelle (OpenAI, Anthropic, Mistral, Google, Meta u. a.).

Was viele unterschätzen: Auch wenn die Hochrisiko-Vorgaben nach Anhang III offiziell erst ab dem 2. Dezember 2027 vollständig greifen, beginnt die Vorbereitungspflicht faktisch jetzt. Wer im August 2026 noch keine Risikoklassifizierung und keinen Governance-Prozess vorlegt, kann zivilrechtlich bereits belangt werden – und ab 2027 ist die Übergangsfrist nur noch kurz.

Was sich konkret ändert

  • Bußgelder werden real: Bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Mio. € oder 3 % für andere Pflichtverstöße (z. B. Transparenz, GPAI, Hochrisiko-Anbieterpflichten).
  • AI Office wird aktiv: Die EU-Behörde kann ab August 2026 Auskunfts- und Bewertungsbesuche bei GPAI-Anbietern durchführen.
  • Meldepflicht für systemische Risiken: GPAI-Modelle mit mehr als 10^25 FLOP Trainingsrechenleistung müssen als „systemisches Risiko" gemeldet werden.

Die vier Risikoklassen – wo steht dein Unternehmen?

Bevor du Pflichten abhakst, musst du wissen, in welcher Klasse du landest. Der AI Act unterscheidet vier Stufen:

1. Unacceptable Risk – verboten

Social Scoring durch Behörden, manipulativer Einsatz mit erheblicher Verhaltensänderung, ungezieltes Auslesen biometrischer Daten aus dem Internet, Emotionserkennung am Arbeitsplatz oder in Schulen (mit engen Ausnahmen). Diese Systeme darfst du weder entwickeln noch einsetzen.

2. High Risk – Hochrisiko-KI (Anhang III und Anhang I)

Anhang III listet acht Anwendungsfelder explizit als hochriskant: Personalmanagement (insbesondere Recruiting und Leistungsbewertung), Kreditwürdigkeitsprüfung, Versicherungs­tarifierung, Sicherheitskomponenten kritischer Infrastruktur, Bildungswesen (z. B. Zulassungsentscheidungen), Strafverfolgung, Migration und Justiz. Anhang I nimmt Güter mit Pflicht zur Konformitätsprüfung unter die Hochrisiko-Regeln. Für diese Systeme gelten Konformitätsbewertung, Risikomanagement, Daten-Governance, Logging, Aufsicht durch Menschen und ein umfassendes Qualitätsmanagement.

3. Limited Risk – begrenztes Risiko

Hierunter fallen die meisten Alltagsanwendungen: Chatbots, KI-gestützte Empfehlungssysteme, Deepfake-Tools, automatische Inhalte­generierung. Pflicht: Nutzer:innen müssen erkennen können, dass sie mit KI kommunizieren oder KI-generierte Inhalte sehen.

4. Minimal Risk – minimal

Spam-Filter, klassische Excel-Optimierung, simple Bildverbesserer – keine zusätzlichen Pflichten, freiwillige Verhaltenskodizes empfohlen.

Schnelltest: Wo bist du?

Stelle dir drei Fragen:

  • Berührt dein KI-System Personen (Bewerber:innen, Kund:innen, Mitarbeitende)?
  • Erzeugt oder verändert dein System Inhalte (Texte, Bilder, Audio, Video)?
  • Nutzt du ein GPAI-Modell (z. B. GPT-5, Claude, Llama 4, Mistral Large) als Teil deines Produkts?

Wenn du mindestens eine Frage mit „ja" beantwortest, fallen mindestens Transparenz- oder GPAI-Pflichten an – und damit greift der August-Stichtag.

Die sieben Pflichten, die ab August 2026 verbindlich werden

1. Kennzeichnungspflicht für KI-generierte Inhalte

Artikel 50 Absatz 4 verlangt, dass Anbieter von KI-Systemen, die synthetische Inhalte erzeugen, diese als „künstlich erzeugt" markieren – maschinenlesbar und für Nutzer:innen erkennbar. Praktisch heißt das:

  • Wasserzeichen oder Metadaten-Tags für KI-generierte Bilder (C2PA, IPTC-konform).
  • „Diese Antwort wurde von einer KI erstellt"-Hinweise bei Text- oder Audioinhalten.
  • Lückenlose Dokumentation, welches Modell mit welchem Prompt den Inhalt produziert hat.

2. Chatbot- und Disclaimer-Pflichten

Anbieter von KI-Systemen, die direkt mit Personen interagieren (z. B. Kundenservice-Bots, Sales-Bots, interne Helpdesk-Bots), müssen dies offenkundig machen. Nutzer:innen müssen vor oder bei der ersten Interaktion erkennen, dass sie mit einer Maschine sprechen.

3. Kennzeichnung von Deepfakes

Deepfake-Bilder, -Videos und -Audio müssen als manipuliert oder künstlich gekennzeichnet werden, sofern keine offensichtliche künstlerische, satirische oder dokumentarische Freiheit greift.

4. Emotionserkennung und Biometrie

Systeme zur Emotionserkennung oder biometrischen Kategorisierung benötigen ab August 2026 eine ausführliche Datenschutz-Folgenabschätzung (DSFA) und – bei strafverfolgendem Einsatz – eine gerichtliche oder unabhängige Genehmigung.

5. GPAI-Pflichten für Anbieter und Integratoren

Anbieter allgemeiner KI-Modelle müssen ab August 2026:

  • Technische Dokumentation für die AI Office bereithalten.
  • Informationen für Downstream-Provider bereitstellen, die diese in ihre eigene Konformitätsbewertung einfließen lassen.
  • Eine urheberrechtliche Compliance-Politik öffentlich zugänglich machen.
  • Trainingsdaten-Zusammenfassungen (detaillierte Beschreibung der Datensätze) veröffentlichen.
  • Modelle mit > 10^25 FLOP zudem einer systemischen Risikobewertung unterziehen.

Unternehmen, die GPAI-Modelle in eigene Produkte integrieren, haften mit, wenn sie die vom Anbieter gelieferten Informationen nicht auswerten.

6. KI-Kompetenzpflicht (Art. 4) – häufig unterschätzt

Seit Februar 2025 gilt: Anbieter und Betreiber müssen eine angemessene KI-Kompetenz ihrer Mitarbeitenden sicherstellen. In der Praxis bedeutet das: Schulungen, dokumentierte Lernpfade und regelmäßige Updates – nicht ein einmaliges Onboarding-Seminar. Die Aufsichts­behörden prüfen das mit.

7. Dokumentations- und Aufbewahrungspflichten

Logs und technische Dokumentation sind mindestens 6 Jahre aufzubewahren und auf Anfrage den Aufsichts­behörden zur Verfügung zu stellen. Ein Notfall-Reaktions-Plan („Plan B") für systemische Risiken ist ab einer gewissen Modellgröße verpflichtend.

Praxis-Tipps: So setzt du den August-Stichtag sauber um

Schritt 1: KI-Inventar aufsetzen

Erstelle eine Tabelle mit jeder KI-Anwendung im Unternehmen: Name, Zweck, Datengrundlage, Modellfamilie, Anbieter, betroffene Personengruppen, betroffene Rechtsräume. Ohne dieses Inventar kannst du keine Risikoklasse zuordnen. Tools wie interne AI-Register oder Plattformen wie Holistic AI, OneTrust oder Dataiku Govern helfen.

Schritt 2: Quick-Wins für Marketing und Content-Teams

  • In alle generativen Workflows (Texte, Bilder, Videos) automatische Kennzeichnungen einbauen (z. B. über C2PA-Manifeste oder prompt-basierte Footer).
  • Externe Agenturen vertraglich zur Offenlegung der KI-Nutzung verpflichten.
  • Redaktions-Handbuch um das „Vier-Augen-Prinzip bei KI-Fakt" ergänzen.

Schritt 3: HR und Recruiting absichern

Die EU-Kommission hat das KI-gestützte Screening von Bewerbungen und die Mitarbeitenden-Überwachung als klare Hochrisiko-Anwendungen klassifiziert. Empfehlung:

  • Bias-Audit vor dem produktiven Einsatz eines Screening-Tools.
  • Auskunftspflicht gemäß DSGVO Art. 22 einhalten: Bewerber:in muss wissen, dass und wie ein Algorithmus über sie entscheidet.
  • Menschliche Letztentscheidung garantieren und dokumentieren.

Schritt 4: IT-Security und Lieferanten­management

  • Vendor-Questionnaire um KI-Konformität erweitern: Bietet der Anbieter Model Cards, Datenkarten, Konformitätserklärung?
  • Vertragliche Audit-Rechte für GPAI-Anbieter und Cloud-Provider.
  • Incident-Response-Plan um „AI-Failure-Szenarien" erweitern.

Schritt 5: Schulungen und Governance

Ein „AI Lead" oder eine kleine Governance-Einheit (rechtlich + ethisch + technisch) reicht für KMU meist aus. Wichtig: klare Escalation-Pfade und ein Risk Committee, das spätestens ab Q4 2026 regelmäßig tagt.

FAQ – die häufigsten Fragen zum August-Stichtag

Was passiert, wenn mein Unternehmen am 3. August 2026 noch nicht compliant ist?

Du verstößt gegen geltendes EU-Recht. Die Aufsichts­behörden können Auskunfts- und Unterlassungs­bescheide erlassen. Bußgelder werden ab August 2026 schrittweise scharf­geschaltet; die ersten Verfahren betreffen vor allem große Plattformen – kleinere Unternehmen sollten dennoch nicht auf Milde hoffen, sondern den Aktenzustand dokumentieren.

Gelten die Pflichten auch für reine SaaS-Nutzung (z. B. ChatGPT-Team-Account)?

Ja – jedenfalls die Transparenz- und KI-Kompetenzpflicht. Du bleibst „Deployer" der KI und bist verantwortlich dafür, dass deine Nutzung im Einklang mit dem AI Act steht. Auch wenn OpenAI ein konformes Modell liefert, haftest du für den rechtswidrigen Einsatz.

Mein Unternehmen hat < 50 Mitarbeitende. Bin ich ausgenommen?

Nein. Eine Größen-Ausnahme sieht der AI Act nicht vor. KMU profitieren lediglich von vereinfachten Konformitätsverfahren, geringeren Schwellen für die interne Aufsicht sowie von erhöhter Priorität beim AI Office bei Auslegungsfragen – nicht aber von Pflicht-Erlass.

Wie verhält sich der EU AI Act zur DSGVO?

Beide Regime gelten parallel. Die DSGVO regelt personen­bezogene Daten, der AI Act regelt die Systeme selbst. Viele Pflichten überlappen sich (Datenminimierung, Zweckbindung, Auskunftsrechte). Eine kombinierte DSFA + AI-Risk-Assessment ist der pragmatischste Weg.

Was kommt nach August 2026?

  • 2. August 2027: Beginn der Anwendung einiger Hochrisiko-Bestimmungen, die in Produkt­vorschriften eingebettet sind (z. B. Medizinprodukte, Maschinen, Spielzeug).
  • 2. Dezember 2027: Vollständige Anwendung der Hochrisiko-Anforderungen nach Anhang III.
  • 2. August 2028: Übergangsphase endet für im Bestand befindliche Hochrisiko-Systeme.

Fazit: Jetzt anfangen, nicht im Dezember

Der EU AI Act wurde bewusst gestuft eingeführt – genau, damit Unternehmen Zeit zum Vorbereiten haben. Diese Zeit läuft jetzt ab. Wer im August 2026 noch kein KI-Inventar, keine Risiko­klassifizierung und keine Schulungs­nachweise vorlegen kann, verliert nicht nur Geld, sondern auch das Vertrauen von Kund:innen, Bewerber:innen und Aufsichts­behörden.

Deine To-do-Liste für August 2026:

  1. KI-Inventar vollständig.
  2. Risikoklasse jedes Systems dokumentiert.
  3. Kennzeichnung und Disclaimer in Produktion.
  4. GPAI-Vendor-Fragebogen verschickt, Antworten archiviert.
  5. KI-Kompetenz-Nachweis für alle betroffenen Mitarbeitenden.
  6. Incident-Response-Plan aktualisiert.
  7. Interner „AI Lead" benannt.

Das klingt nach viel, ist aber in 4–8 Wochen für ein mittelständisches Unternehmen realistisch umsetzbar – besonders wenn du auf bestehende DSGVO- und ISO-27001-Prozesse aufsetzt. Wer jetzt startet, verschafft sich einen echten Wettbewerbs­vorteil: Compliance-Bereitschaft ist 2026 ein Vertrauens- und Beschaffungs-Argument bei immer mehr Ausschreibungen.

Verwandte Artikel auf future-pulse.de