EU AI Act 2026: Neue Pflichten für Unternehmen

Der EU AI Act ist das weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Seit Inkrafttreten am 1. August 2024 sind bereits zwei Stufen in Kraft getreten, darunter das Verbot besonders gefährlicher KI-Praktiken (Februar 2025) und die Pflichten für General Purpose AI (August 2025). Am 2. August 2026 folgt die dritte und umfangreichste Stufe mit Transparenzpflichten, Durchsetzungsbefugnissen, neuen Verboten und einem Bußgeldkatalog.

Hinzu kommt der Digital Omnibus on AI, eine im Juni 2026 verabschiedete Änderungsverordnung, die den AI Act nachjustiert, Fristen verschiebt und neue Verbote einführt. Dieser Artikel erklärt alles, was jetzt gilt, was verschoben wurde und was Unternehmen sofort umsetzen müssen.

Am 2. August 2026 treten mehrere Regelungen gleichzeitig in Kraft, darunter Transparenzpflichten für KI-Systeme (Artikel 50), Pflichten zur Förderung der KI-Kompetenz (Artikel 4), Betreiberpflichten einschließlich Risikobewertung und Anbieter-Prüfung, Durchsetzungsbefugnisse für das EU AI Office, neue Verbote durch den Digital Omnibus und der vollständige Bußgeldkatalog.

Was ist der EU AI Act

Die KI-Verordnung (offiziell Verordnung EU 2024/1689) schafft einen einheitlichen Rechtsrahmen für künstliche Intelligenz in der gesamten EU. Wie die DSGVO gilt sie unmittelbar in allen 27 Mitgliedstaaten, ohne nationale Umsetzungsgesetze. Die Verordnung betrifft jeden, der KI-Systeme in der EU anbietet, in Betrieb nimmt oder beruflich nutzt, unabhängig davon, ob das Unternehmen seinen Sitz in der EU hat. Sie folgt einem risikobasierten Ansatz und teilt KI-Systeme in vier Kategorien ein.

• Verboten (z. B. Social Scoring, manipulative KI)
• Hochrisiko (z. B. Personalauswahl, Kreditprüfung)
• Begrenztes Risiko (z. B. Chatbots, Deepfake-Generatoren)
• Minimal (z. B. Spam-Filter, Empfehlungsalgorithmen)

Was bereits gilt

Seit dem 2. Februar 2025 sind bestimmte KI-Praktiken komplett verboten: Social Scoring, manipulative KI-Systeme, biometrische Echtzeit-Erkennung im öffentlichen Raum, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie das ungezielte Scraping von Gesichtsbildern (TÜV Consulting, 2026). Außerdem müssen Unternehmen in der EU seit dem 2. Februar 2025 sicherstellen, dass ihre Mitarbeiter über ausreichende KI-Kompetenz verfügen. Jede Person, die beruflich mit KI-Systemen arbeitet, soll deren grundlegende Funktionsweisen, Risiken und Grenzen verstehen.

Seit dem 2. August 2025 gelten Pflichten für Anbieter von General Purpose AI (KI mit allgemeinem Verwendungszweck), darunter technische Dokumentation, Zusammenfassungen der Trainingsdaten und Urheberrechts-Policies (TÜV Consulting, 2026). Jedes eingesetzte KI-System muss identifiziert und einer der vier Risikokategorien zugeordnet werden.

Der AI Act unterscheidet dabei zwei zentrale Rollen. Anbieter entwickeln KI-Systeme und bringen sie auf den Markt, Betreiber setzen sie unter eigener Verantwortung beruflich ein. Beide müssen die KI-Kompetenz ihrer Mitarbeitenden fördern, wobei der Digital Omnibus den geforderten Standart dieser Verpflichtung gesenkt hat (Gibson Dunn, 2026). Betreiber müssen zusätzlich prüfen, ob eingesetzte KI-Tools von Drittanbietern die Anforderungen des AI Act erfüllen.

Verhältnis zur DSGVO

Der AI Act und die DSGVO gelten parallel. Die DSGVO schützt personenbezogene Daten, der AI Act reguliert Sicherheit und Transparenz des KI-Systems selbst. Wer ein KI-System einsetzt, das personenbezogene Daten verarbeitet, muss beide Verordnungen erfüllen. Artikel 10 des AI Act verweist bei Trainingsdaten ausdrücklich auf die DSGVO. Unternehmen, die bereits Datenschutz-Folgenabschätzungen durchführen, können Synergien nutzen. Die AI-Act-Pflichten kommen aber zusätzlich hinzu und ersetzen keine bestehenden Datenschutzpflichten. Gleiches gilt für das Barrierefreiheitsstärkungsgesetz (BFSG), das Unternehmen seit 2025 zur barrierefreien Gestaltung ihrer digitalen Angebote verpflichtet.

Transparenzpflichten ab dem 2. August 2026

Artikel 50 der KI-Verordnung (KI-VO) regelt die Transparenzpflichten, die ab dem 2. August 2026 gelten. Sie betreffen sowohl Anbieter als auch Betreiber von KI-Systemen und stellen den aktuellen Stand der Regulierung für die meisten Unternehmen dar. Verstöße werden mit Bußgeldern von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes geahndet (Verordnung EU 2024/1689, Art. 99).

Chatbots und KI-Assistenten

Betreiber von KI-Systemen, die direkt mit Personen interagieren, müssen diese Personen darüber informieren, dass sie mit einem KI-System kommunizieren. Das betrifft Chatbots auf Websites, Voicebots in Callcentern, KI-gestützte Telefonassistenten und virtuelle Assistenten in Apps. Die Information muss spätestens zu Beginn der Interaktion erfolgen, also bevor der Nutzer seine erste Eingabe macht oder das Gespräch beginnt.

Die Kennzeichnung kann schriftlich, visuell oder akustisch erfolgen, je nach Kommunikationskanal. Bei einem Website-Chatbot genügt ein sichtbarer Hinweis wie „Sie kommunizieren mit einem KI-Assistenten“. Bei Telefonbots muss der Hinweis zu Beginn des Gesprächs akustisch erfolgen. Eine Ausnahme besteht nur, wenn für eine durchschnittlich informierte, aufmerksame und verständige Person offensichtlich ist, dass sie mit einem KI-System interagiert. Die Kennzeichnung muss „klar und unterscheidbar“ erfolgen (artificialintelligenceact.eu, 2026).

Für Unternehmen gilt ab August 2026 ein klarer Grundsatz: Wer KI einsetzt, muss transparent damit umgehen. Nutzer und Betrachter müssen erkennen können, wann sie mit einer KI interagieren oder KI-generierte Inhalte vor sich haben. Die Kennzeichnung muss dabei nicht kompliziert sein, ein sichtbarer Hinweis auf der Website oder im jeweiligen Medium reicht in den meisten Fällen aus. Entscheidend ist, dass die Information vor oder bei der Nutzung sichtbar ist und nicht erst im Impressum versteckt wird. Einzige Ausnahme bilden Inhalte, die ein Unternehmen zwar mit KI-Unterstützung erstellt, aber anschließend selbst inhaltlich überarbeitet und unter eigener redaktioneller Verantwortung veröffentlicht.

Deepfakes und manipulierte Inhalte

Der AI Act definiert Deepfakes als KI-generierte oder manipulierte Bild-, Audio- oder Videoinhalte, die realen Personen, Objekten, Orten oder Ereignissen ähneln und fälschlicherweise als authentisch erscheinen könnten. Betreiber, die solche Inhalte veröffentlichen, müssen die KI-Herkunft spätestens bei der ersten Veröffentlichung offenlegen (EU-Kommission FAQ, 2026). Das betrifft nicht nur offensichtliche Fälschungen, sondern auch subtile Manipulationen, etwa wenn eine Person in einem Video andere Worte spricht als tatsächlich gesagt.

Für Unternehmen ist das besonders bei Marketing und Werbung relevant. KI-generierte Produktbilder, virtuelle Testimonials oder synthetische Sprecher in Werbevideos müssen als KI-generiert gekennzeichnet werden, wenn sie den Eindruck erwecken, echte Personen oder Szenen zu zeigen. Rein dekorative oder abstrakte KI-Bilder, etwa generierte Hintergrundmuster oder stilisierte Grafiken, fallen nicht unter die Deepfake-Regelung, da sie keine realen Personen oder Ereignisse imitieren.

Bei künstlerischen, satirischen, fiktionalen oder ähnlichen kreativen Werken reicht eine dezente Kennzeichnung aus, die das Nutzungserlebnis nicht beeinträchtigt. Ein kurzer Hinweis im Abspann eines Videos oder eine Fußnote genügt hier. Für alle anderen Deepfakes muss die Kennzeichnung deutlich sichtbar sein und spätestens bei der ersten Veröffentlichung erfolgen. Die technische Umsetzung obliegt den Anbietern: Sie müssen ihre KI-Systeme so gestalten, dass die generierten Inhalte in maschinenlesbarer Form als KI-erzeugt erkennbar sind.

KI-generierte Texte

Texte, die von KI-Systemen erzeugt und zu Themen von öffentlichem Interesse veröffentlicht werden, müssen als KI-generiert gekennzeichnet werden. Die EU-Kommission FAQ fasst den Begriff „öffentliches Interesse“ bewusst weit: Er umfasst Politik, Gesundheit, Umwelt, Wirtschaft, Verbraucherschutz, Wissenschaft und weitere gesellschaftlich relevante Themen. In der Praxis bedeutet das, dass fast jeder veröffentlichte KI-Text unter diese Regelung fällt, ob Blogbeitrag, Newsletter, Pressemitteilung oder Social-Media-Post.

Eine wichtige Ausnahme: Wenn der Text einer echten menschlichen redaktionellen Kontrolle unterliegt, entfällt die Kennzeichnungspflicht. Das bedeutet, dass eine Person mit inhaltlicher Fachkenntnis den KI-generierten Text geprüft, die Fakten verifiziert und den Inhalt bei Bedarf angepasst hat. Reine Rechtschreibkorrekturen oder oberflächliches Gegenlesen reichen nicht aus. Die EU-Kommission FAQ stellt klar: Wer einen KI-Text lediglich kopiert und ohne inhaltliche Prüfung veröffentlicht, kann sich nicht auf die Ausnahme berufen. Wer hingegen einen KI-Entwurf als Ausgangspunkt nutzt, den Inhalt fachlich überarbeitet und eigenverantwortlich freigibt, muss nicht kennzeichnen.

Unabhängig von der Textkennzeichnung gilt für Anbieter von KI-Systemen eine separate technische Pflicht: Jedes KI-System, das synthetische Inhalte erzeugt, ob Bilder, Videos, Audio oder Text, muss diese in maschinenlesbarer Form als KI-generiert markieren. Das geschieht über Wasserzeichen, Metadaten, kryptografische Signaturen oder vergleichbare Verfahren. Speziell für diese Wasserzeichen-Pflicht gilt eine Übergangsfrist: KI-Systeme, die vor dem 2. August 2026 bereits auf dem Markt waren, müssen die maschinenlesbare Markierung erst ab dem 2. Dezember 2026 umsetzen (Gibson Dunn, 2026). Inhalte, die vor dem 2. August 2026 erstellt wurden, müssen nicht nachträglich gekennzeichnet werden. Die entsprechenden technischen Standards werden von CEN-CENELEC entwickelt, sind aber noch nicht final verabschiedet.

Bußgeldkatalog mit drei Stufen bis 35 Millionen Euro

Der EU AI Act sieht ein dreistufiges Sanktionssystem vor, das in seinen Höchstgrenzen die DSGVO (maximal 20 Millionen Euro oder 4 % Umsatz) deutlich übersteigt (Verordnung EU 2024/1689, Art. 99).

Verstöße gegen die verbotenen KI-Praktiken nach Artikel 5 werden mit bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bestraft. Das betrifft Social Scoring, manipulative KI, unzulässige biometrische Erkennung und die neuen Omnibus-Verbote.

Verstöße gegen die Transparenzpflichten (Artikel 50) sowie gegen Pflichten für Anbieter und Betreiber von Hochrisiko-KI kosten bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes.

Wer gegenüber Aufsichtsbehörden falsche, unvollständige oder irreführende Angaben macht, zahlt bis zu 7,5 Millionen Euro oder 1 % des weltweiten Jahresumsatzes. Für KMU und Start-ups gilt bei jeder Stufe der jeweils niedrigere Betrag (Festbetrag oder Umsatzanteil), nicht der höhere.

Ab dem 2. August 2026 beginnt die aktive Durchsetzung. Die Aufsichtsbehörden können Verstöße gegen die seit Februar 2025 geltenden Verbote und die neuen Transparenzpflichten mit diesen Bußgeldern ahnden. Das EU AI Office überwacht die GPAI-Pflichten auf europäischer Ebene. In Deutschland übernimmt die Bundesnetzagentur die Marktaufsicht, gestützt auf das am 11. Juni vom Bundestag verabschiedete KI-MIG (LTO.de, 2026).

Unterschiedliches Tempo in den Mitgliedstaaten

Die Frist zur Benennung nationaler KI-Aufsichtsbehörden lief am 2. August 2025 ab. Der Umsetzungsstand variiert erheblich. Finnland, Belgien und Polen haben bereits operative Strukturen aufgebaut. Frankreich hat die CNIL als zuständige Stelle benannt, verfügt aber Stand April 2026 noch nicht über vollständige Aufsichtsstrukturen. Für grenzüberschreitend tätige Unternehmen bedeutet das eine fragmentierte Aufsichtslandschaft mit unterschiedlichen Auslegungen (TÜV Consulting, 2026).

Was Unternehmen jetzt tun müssen

Die Verschiebung der Hochrisiko-Pflichten ist kein Grund zur Untätigkeit. Die Transparenzpflichten gelten ab dem 2. August 2026, und die Aufsichtsbehörden beginnen mit aktiven Kontrollen. Gerade wer eine neue Website plant, sollte die Anforderungen des AI Act von Anfang an im Webdesign berücksichtigen.

KI-Inventar und Risikobewertung

Jedes Unternehmen sollte erfassen, welche KI-Systeme es einsetzt oder anbietet. Ob Chatbot auf der Website, KI-gestütztes Recruiting-Tool, automatisierte Textgenerierung oder KI-basierte Bildbearbeitung. Jedes System muss identifiziert und einer Risikokategorie zugeordnet werden, denn von der Einstufung hängt ab, welche Pflichten gelten, welche Dokumentation erforderlich ist und welche Bußgelder bei Verstößen drohen (verboten, hochriskant, begrenztes Risiko, minimal). Gleichzeitig ist die eigene Rolle zu klären.

Verboten sind KI-Systeme wie Social Scoring, manipulative KI und biometrische Echtzeit-Überwachung im öffentlichen Raum. Hochrisiko-KI umfasst Systeme in sensiblen Bereichen wie Personalauswahl und Recruiting, Kreditwürdigkeitsprüfung, automatisierte Prüfungsbewertung in der Bildung, Strafverfolgung und kritische Infrastruktur. Diese unterliegen den strengsten Anforderungen mit Konformitätsbewertung und CE-Kennzeichnung (Pflichten verschoben auf Dezember 2027).

Begrenztes Risiko betrifft Chatbots, Deepfake-Generatoren und KI-Textgeneratoren. Für sie gelten die Transparenzpflichten nach Artikel 50, also Kennzeichnung und Offenlegung (TÜV Consulting, 2026). Minimales Risiko betrifft etwa Spam-Filter, KI-gestützte Bestandsoptimierung oder Empfehlungsalgorithmen. Diese KI-Systeme unterliegen keinen besonderen Auflagen des AI Act.

Transparenzpflichten umsetzen

Für Unternehmen gilt ab August 2026 ein klarer Grundsatz: Wer KI einsetzt, muss transparent damit umgehen. Nutzer und Betrachter müssen erkennen können, wann sie mit einer KI interagieren oder KI-generierte Inhalte vor sich haben. Die Kennzeichnung muss dabei nicht kompliziert sein, ein sichtbarer Hinweis auf der Website oder im jeweiligen Medium reicht in den meisten Fällen aus. Entscheidend ist, dass die Information vor oder bei der Nutzung sichtbar ist und nicht erst im Impressum versteckt wird. Einzige Ausnahme bilden Inhalte, die ein Unternehmen zwar mit KI-Unterstützung erstellt, aber anschließend selbst inhaltlich überarbeitet und unter eigener redaktioneller Verantwortung veröffentlicht. Wie bei der barrierefreien Websitegestaltung geht es auch bei der KI-Transparenz darum, Informationen für alle Nutzer zugänglich und verständlich zu machen.

Schulung und Governance

Der Digital Omnibus hat die Anforderungen an die KI-Kompetenz-Pflicht deutlich gesenkt. Das bedeutet aber nicht, dass Unternehmen das Thema ignorieren können. Fehlende Schulungen können bei Verstößen als erschwerender Umstand gewertet werden, dokumentierte Schulungsprogramme dagegen als mildernder Faktor. Die EU empfiehlt einen vierstufigen Ansatz. Allgemeines KI-Verständnis schaffen, die eigene Rolle im KI-Einsatz klären, die Risikostufen der eingesetzten Systeme bewerten und gezielte Maßnahmen pro Mitarbeitergruppe entwickeln.

Konkret muss die Schulung zum jeweiligen Arbeitsalltag passen. Wer im Online-Marketing KI-Texte erstellt, muss die Kennzeichnungspflichten kennen. Wer im Kundenservice einen Chatbot betreut, braucht Wissen über die Offenlegungspflicht. Und wer KI-Tools einkauft oder evaluiert, sollte die Risikokategorien des AI Act einordnen können.

Größere Unternehmen sollten zusätzlich eine KI-Governance-Struktur aufbauen. Das erfordert keinen eigenen „KI-Beauftragten“, aber klare Zuständigkeiten für die Einhaltung des EU AI Act. Dazu gehören ein aktuelles KI-Inventar, regelmäßige Risikobewertungen und ein Prozess zur Meldung schwerwiegender Vorfälle. Besonders wichtig ist die Prüfung von Drittanbietern. Gerade bei SaaS-Tools wie ChatGPT, Midjourney oder Copilot liegt die Transparenzpflicht beim Betreiber, also beim Unternehmen selbst, nicht beim Softwareanbieter.

Erleichterungen für KMU und Mittelstand

Bereits der ursprüngliche AI Act sah Erleichterungen für KMU vor, etwa niedrigere Bußgelder und bevorzugten Zugang zu Regulatory Sandboxes. Der Digital Omnibus on AI hat diese Abgrenzung deutlich ausgebaut. Die strenge KI-Kompetenz-Pflicht wurde zur Empfehlung abgeschwächt, die Hochrisiko-Fristen um 16 Monate verschoben und mit den Small Mid-Caps eine neue Kategorie geschaffen, die den typischen deutschen Mittelstand abdeckt (Deloitte, 2026).

Neben der klassischen KMU-Definition (unter 250 Mitarbeitende, unter 50 Millionen Euro Umsatz) gibt es jetzt die neue Kategorie Small Mid-Caps. Diese umfasst Unternehmen mit weniger als 750 Mitarbeitenden und einem Jahresumsatz von höchstens 150 Millionen Euro (Orrick, 2026). Für diese Unternehmen gelten vereinfachte Dokumentationspflichten.

KMU und Start-ups zahlen bei Bußgeldern den jeweils niedrigeren Betrag (Festbetrag oder Umsatzanteil), erhalten bevorzugten Zugang zu Regulatory Sandboxes und können vereinfachte Formulare für die technische Dokumentation nutzen. Wer eine individuelle Webanwendung entwickeln lässt, kann diese Erleichterungen von Anfang an in die Planung einbeziehen.

Was noch kommt

Am 2. Dezember 2027 werden die Hochrisiko-Pflichten für eigenständige KI-Systeme (Annex III) anwendbar, am 2. August 2028 folgen die Pflichten für KI in regulierten Produkten (Annex I). Öffentliche Stellen haben bis August 2030 Zeit für die Anpassung (Gibson Dunn, 2026).

Verwandte Artikel

• BFSG-Quick-Check: Gilt die Barrierefreiheitspflicht für meine Website?
• Barrierefreie Website: Der Leitfaden für Unternehmen
• Web App Entwicklung: So entsteht Ihre individuelle Webanwendung
• Individuelles Webdesign, Vorteile und Ablauf mit einer Agentur
• Online Marketing Leitfaden: Strategie, Website, Daten

Quellen

• EU-Kommission: Leitlinien zu Transparenzpflichten für Anbieter und Betreiber von KI-Systemen (2026)
• EU-Kommission: FAQ zu Transparenzpflichten nach Artikel 50 des AI Act (2026)
• Verordnung (EU) 2024/1689, Artikel 99 – Bußgelder
• Gibson Dunn: EU AI Act Omnibus Agreement – Postponed High-Risk Deadlines and Other Key Changes (2026)
• TÜV Consulting: EU AI Act 2026 – Zwischenstand (2026)
• Deloitte: EU AI Act – Digital Omnibus (2026)
• TÜV Consulting: Transparenzpflichten im EU AI Act – Artikel 50 (2026)
• artificialintelligenceact.eu: Transparency Rules – Article 50 Guide (2026)
• LTO.de: KI-Aufsicht – Das Gesetz hinter dem AI Act tritt in Kraft (2026)
• artificialintelligenceact.eu: Small Businesses Guide to the AI Act (2024)
• Orrick: EU's Digital Omnibus on AI – 7 Key Changes You Need to Know (2026)