EU AI Act ab 2. August 2026: Was jetzt für Ihr Unternehmen gilt

Der EU AI Act ist keine ferne Ankündigung mehr. Seit dem 2. August 2026 greifen die zentralen Pflichten für Hochrisiko-Systeme und die allgemeinen Transparenzregeln. Für die meisten Unternehmen bedeutet das vor allem eines: KI, die mit Menschen spricht – allen voran Chatbots – muss sich künftig klar als KI zu erkennen geben. Was theoretisch nach Brüsseler Bürokratie klingt, ist im Alltag überraschend konkret.

Ich erlebe in Gesprächen gerade zwei Reaktionen, und beide führen in die Irre. Die einen winken ab: „Betrifft uns nicht, wir machen doch nichts Riskantes.“ Die anderen erstarren: „Dann lassen wir das mit der KI lieber ganz.“ Beide Reaktionen entstehen aus demselben Grund – aus Unsicherheit darüber, was der EU AI Act eigentlich verlangt. Genau die will ich hier auflösen: sachlich, praxisnah und aus unternehmerischer Sicht, nicht aus der Perspektive eines Juristen.

Was der EU AI Act ist – in einem Satz

Der EU AI Act ist das erste umfassende Gesetz der Welt, das den Einsatz künstlicher Intelligenz reguliert. Er ist bereits im August 2024 in Kraft getreten und wird seitdem stufenweise scharf geschaltet – Stück für Stück, damit sich Unternehmen und Behörden vorbereiten können. Der 2. August 2026 ist eine der wichtigsten dieser Stufen, weil hier die Pflichten für Hochrisiko-Systeme und die allgemeinen Transparenzregeln greifen.

Die Grundidee ist ein risikobasierter Ansatz. Nicht jede KI wird gleich behandelt. Der EU AI Act sortiert Anwendungen nach ihrem Risiko in vier Stufen – und je höher das Risiko, desto strenger die Pflichten:

• Verbotenes Risiko. Einige Anwendungen sind schlicht untersagt – etwa Social Scoring nach chinesischem Vorbild oder manipulative Systeme, die Menschen gezielt ausnutzen. Diese Verbote gelten bereits seit Anfang 2025.
• Hohes Risiko. KI in sensiblen Bereichen wie Personalauswahl, Kreditvergabe, kritischer Infrastruktur oder Medizinprodukten. Hier gelten die strengsten Anforderungen an Dokumentation, Datenqualität, menschliche Aufsicht und Nachvollziehbarkeit.
• Begrenztes Risiko. Hier stehen die Transparenzpflichten im Mittelpunkt: Chatbots und generative KI müssen sich als KI zu erkennen geben, KI-Inhalte müssen gekennzeichnet werden. Genau diese Stufe betrifft die meisten Unternehmen.
• Minimales Risiko. Der Großteil aller KI-Anwendungen – Spamfilter, Empfehlungssysteme, Rechtschreibhilfen. Hier gelten keine besonderen Pflichten.

Für den typischen Mittelständler heißt das: Sie bewegen sich fast immer in den unteren beiden Stufen. Die Angst, unter die harten Hochrisiko-Regeln zu fallen, ist meist unbegründet – solange Sie KI nicht ausgerechnet für Personalentscheidungen, Bonitätsprüfungen oder ähnlich sensible Zwecke einsetzen.

Der Kern für den Mittelstand: die Transparenzpflicht

Wenn Sie aus diesem Beitrag nur eine Sache mitnehmen, dann diese: KI muss sich als KI zu erkennen geben. Das ist der Punkt, der die meisten Unternehmen praktisch betrifft, und er ist gleichzeitig der am einfachsten zu erfüllende.

Konkret bedeutet das zwei Dinge. Erstens: Wenn ein System so mit Menschen interagiert, dass diese meinen könnten, mit einem Menschen zu sprechen, muss offengelegt werden, dass hier eine KI antwortet. Der klassische Fall ist der Chatbot auf Ihrer Website. Zweitens: Inhalte, die von KI erzeugt oder wesentlich verändert wurden – Texte, Bilder, Audio, Video – müssen als solche erkennbar sein, insbesondere wenn sie täuschen könnten.

Das ist kein bürokratisches Ungetüm. Ein Hinweis wie „Sie chatten mit einem KI-Assistenten“ genügt in aller Regel. Ehrlich gesagt sollte das ohnehin selbstverständlich sein. Ich habe noch kein Unternehmen erlebt, das durch Offenheit an dieser Stelle Kunden verloren hätte – im Gegenteil. Wer transparent macht, dass eine KI im Hintergrund arbeitet, wirkt souverän, nicht rückständig.

Transparenz gegenüber Kunden ist kein Zugeständnis an die Regulierung. Sie ist ein Vertrauenssignal, das ohnehin klug ist.

Der eigentliche Aufwand liegt selten in der Umsetzung. Er liegt darin, überhaupt zu wissen, wo im eigenen Unternehmen KI läuft. Genau da beginnt die Arbeit – und genau da wird es interessant.

Der erste echte Schritt: eine KI-Inventur

Bevor Sie über Pflichten nachdenken, sollten Sie eine simple Frage beantworten können: Welche KI ist bei uns überhaupt im Einsatz? In den meisten Betrieben ist die ehrliche Antwort „mehr, als ich dachte“. KI steckt heute in vielen Werkzeugen, ohne dass „KI“ draufsteht – im E-Mail-Programm, im CRM, im Website-Baukasten, im Buchhaltungstool, im Bewerbermanagement.

Ich empfehle deshalb als ersten Schritt eine kleine, ehrliche Bestandsaufnahme. Sie beantworten für jedes eingesetzte System vier Fragen:

1. Wo setzen wir KI ein? Kundenkommunikation, Texterstellung, Bewerbervorauswahl, Datenauswertung – listen Sie jeden Fall auf, auch die unscheinbaren.
2. Interagiert die KI direkt mit Menschen? Wenn ja, greift die Transparenzpflicht. Das betrifft vor allem Chatbots und automatisierte Antwortsysteme.
3. In welchem Risikobereich bewegt sich der Einsatz? Geht es um sensible Entscheidungen wie Personalauswahl oder Kreditwürdigkeit – oder um harmlose Unterstützung im Alltag?
4. Wer ist verantwortlich? Für jeden Einsatz sollte eine Person benennbar sein, die weiß, was das System tut und auf welcher Grundlage.

Diese Inventur ist kein Selbstzweck. Sie ist die gleiche Denkweise, die ich bei jedem Digitalisierungsprojekt anlege: erst verstehen, was tatsächlich passiert, dann handeln. Wer nicht weiß, welche KI im Haus läuft, kann weder Chancen nutzen noch Pflichten erfüllen. Das ist derselbe Gedanke wie bei Prozessen generell – erst der Prozess, dann das Tool.

Warum der Stichtag trotz „Digital Omnibus“ verbindlich bleibt

An dieser Stelle kommt fast immer der Einwand: „Aber ich habe gehört, das wird alles noch verschoben und vereinfacht.“ Gemeint ist der sogenannte Digital Omnibus – ein Vorhaben der EU, mit dem mehrere digitale Regelwerke gebündelt vereinfacht und Unternehmen entlastet werden sollen. Rund um dieses Paket gibt es Diskussionen über einzelne Fristen, Erleichterungen für kleinere Anbieter und Nachjustierungen im Detail.

Diese Diskussionen sind real. Aber sie sind ein schlechter Grund, um jetzt abzuwarten – aus drei nüchternen Gründen:

• Der Rahmen steht. Der EU AI Act ist beschlossen und in Kraft. Der Digital Omnibus feilt an Details und Fristen, er kippt nicht das Gesetz. Die Grundpflichten, allen voran Transparenz, bleiben bestehen.
• Wer auf Aufschub wettet, verliert Zeit, nicht Arbeit. Selbst wenn einzelne Fristen sich verschieben, ändert das nichts an dem, was ohnehin zu tun ist: wissen, welche KI läuft, und sie sauber kennzeichnen. Diese Arbeit fällt so oder so an – nur später und unter mehr Druck.
• Compliance ist kein Sprint. Wer erst am Stichtag anfängt, arbeitet in Panik. Wer früh eine Inventur macht und Transparenz herstellt, hat die Sache in Ruhe erledigt, bevor sie dringend wird.

Ich rate meinen Kunden deshalb konsequent, mit dem geltenden Stichtag zu planen und mögliche Erleichterungen als Bonus zu betrachten, nicht als Rettungsanker. Das ist übrigens genau das Muster, das ich beim Thema Datenschutz immer wieder sehe: Eine Regel wird zum Vorwand, gar nichts zu tun. Warum das fast nie das eigentliche Hindernis ist, habe ich hier beschrieben – Datenschutz als Ausrede? Warum Digitalisierung trotzdem möglich ist.

Warum selbst gehostete KI hier zum Vorteil wird

Jetzt kommt der Teil, den viele überraschend finden: Der EU AI Act ist für Unternehmen, die KI kontrolliert und datenschutzkonform betreiben, kein Nachteil, sondern ein Wettbewerbsvorteil. Der Grund liegt im Kern der Regulierung. Sie verlangt Nachvollziehbarkeit – dass Sie wissen, welches System auf welcher Grundlage arbeitet, welche Daten hineingehen und was herauskommt.

Genau das leistet eine selbst gehostete oder datenschutzkonform betriebene KI von Haus aus. Der Unterschied zu einer beliebigen Cloud-KI, bei der Sie Daten in eine Blackbox schicken und hoffen, dass alles gut geht, ist erheblich:

• Sie behalten die Datenhoheit. Bei einer selbst gehosteten Lösung wissen Sie, wo Ihre Daten verarbeitet werden und dass sie nicht unkontrolliert in fremde Trainingsprozesse fließen. Das erfüllt gleichzeitig zentrale Anforderungen der DSGVO.
• Sie können dokumentieren. Weil das System unter Ihrer Kontrolle läuft, lassen sich Ein- und Ausgaben nachvollziehen und protokollieren. Die vom EU AI Act geforderte Nachvollziehbarkeit ist dann kein nachträgliches Kunststück, sondern eingebaut.
• Sie bestimmen die Grundlage. Sie wissen, mit welchen Inhalten die KI arbeitet – Ihr eigenes, geprüftes Firmenwissen statt einer undurchsichtigen Datenmasse. Das macht Ergebnisse besser und Verantwortung klar.
• Sie sind unabhängig. Sie hängen nicht davon ab, ob ein externer Anbieter seine Bedingungen ändert oder ein Modell abschaltet.

Anders gesagt: Wer KI ohnehin sauber, kontrolliert und im eigenen Haus aufsetzt, erfüllt die Anforderungen des EU AI Act fast nebenbei. Wer dagegen wahllos Cloud-Dienste nutzt, ohne zu wissen, was mit den Daten geschieht, wird der eigenen Blackbox später hinterherdokumentieren müssen. Das ist der eigentliche Grund, warum ich Websites und interne Systeme lieber datenschutzkonform und kontrollierbar baue als über schwer durchschaubare Fremddienste. Denselben Gedanken habe ich am Beispiel der Website ausgeführt – eine KI-Website, die mitarbeitet, statt nur zu informieren.

Was Sie jetzt konkret tun sollten

Genug Einordnung – hier ist die Handlungsliste, mit der Sie in überschaubarer Zeit auf der sicheren Seite sind. Nichts davon erfordert eine Rechtsabteilung. Es erfordert nur, dass Sie es angehen.

1. Machen Sie die KI-Inventur. Listen Sie auf, wo in Ihrem Unternehmen KI im Einsatz ist – auch versteckt in bestehenden Tools. Das ist die Grundlage für alles Weitere.
2. Kennzeichnen Sie sichtbare KI. Wenn Sie einen Chatbot oder ein automatisiertes Antwortsystem betreiben, weisen Sie klar darauf hin, dass hier eine KI antwortet. Prüfen Sie ebenso, ob KI-generierte Inhalte gekennzeichnet werden müssen.
3. Prüfen Sie sensible Einsätze gesondert. Nutzen Sie KI im Personalwesen, bei der Kreditvergabe oder in ähnlich sensiblen Feldern? Dann schauen Sie genau hin – hier können die strengeren Hochrisiko-Pflichten greifen.
4. Benennen Sie Verantwortliche. Für jeden relevanten KI-Einsatz sollte klar sein, wer weiß, was das System tut. Verantwortung lässt sich nicht an eine Software delegieren.
5. Bevorzugen Sie kontrollierbare Systeme. Bei neuen KI-Projekten sind selbst gehostete oder datenschutzkonform betriebene Lösungen im Zweifel die ruhigere Wahl – für Datenschutz und EU AI Act gleichermaßen.
6. Dokumentieren Sie mit Augenmaß. Halten Sie fest, welche KI Sie wofür einsetzen und warum sie unbedenklich ist. Eine schlanke Übersicht reicht für die meisten Betriebe – kein Aktenordner.

Und noch ein Hinweis, der oft untergeht: Beratung, Konzeption und die Umsetzung von KI-Projekten sind in Deutschland vielfach förderfähig. Wer den EU AI Act zum Anlass nimmt, KI im Unternehmen sauber aufzustellen, kann das häufig mit Förderung verbinden. Einen Überblick gebe ich in KI-Förderung 2026 in Deutschland.

Nüchtern statt nervös

Der EU AI Act ist kein Grund zur Panik und kein Grund, KI zu meiden. Er ist ein Grund, KI erwachsen einzusetzen: zu wissen, was man tut, es transparent zu machen und die Kontrolle über die eigenen Daten zu behalten. Für die meisten Unternehmen im Mittelstand läuft das auf zwei Dinge hinaus – eine ehrliche Inventur und eine klare Kennzeichnung. Beides ist an einem Nachmittag begonnen und in überschaubarer Zeit erledigt.

Was bleibt, ist die eigentliche Chance. Unternehmen, die KI kontrolliert und nachvollziehbar einsetzen, sind nicht nur regelkonform. Sie sind auch die, denen Kunden vertrauen und die aus KI echten Nutzen ziehen, statt sie aus Angst liegen zu lassen. Der EU AI Act belohnt genau die Arbeitsweise, die ohnehin die klügere ist.

Wenn Sie unsicher sind, wo Ihr Unternehmen steht, schauen wir gemeinsam drauf: Welche KI läuft bei Ihnen, was ist zu kennzeichnen, was ist unkritisch – und wo lohnt sich der nächste sinnvolle Schritt. Lassen Sie uns das in einem kurzen Gespräch durchgehen.

Häufige Fragen zum EU AI Act

Was gilt ab dem 2. August 2026 durch den EU AI Act?

Ab dem 2. August 2026 greifen die zentralen Pflichten des EU AI Act für Hochrisiko-KI-Systeme sowie die allgemeinen Transparenzregeln. Praktisch am wichtigsten für die meisten Unternehmen: KI-Systeme, die mit Menschen interagieren – etwa Chatbots – müssen sich klar als KI zu erkennen geben, und KI-generierte oder -manipulierte Inhalte müssen entsprechend gekennzeichnet werden. Der EU AI Act gilt seit August 2024 und wird stufenweise scharf geschaltet; der 2. August 2026 ist eine der wichtigsten dieser Stufen.

Gilt der EU AI Act auch für kleine und mittlere Unternehmen?

Ja. Der EU AI Act macht keine grundsätzliche Ausnahme für KMU. Entscheidend ist nicht die Unternehmensgröße, sondern die Rolle und der Anwendungsfall: Wer KI einsetzt, entwickelt, weitervertreibt oder in Produkte integriert, kann betroffen sein. Für die meisten KMU sind vor allem die Transparenzpflichten relevant – etwa die Kennzeichnung von Chatbots und KI-Inhalten. Hochrisiko-Pflichten treffen gezielt bestimmte Einsatzbereiche, etwa im Personalwesen, in der Kreditvergabe oder bei kritischer Infrastruktur.

Ändert der Digital Omnibus den Stichtag 2. August 2026?

Nein, auf den grundsätzlichen Stichtag sollte man sich nicht verlassen, um zu warten. Der sogenannte Digital Omnibus ist ein Paket, mit dem die EU digitale Regelwerke vereinfachen und entlasten will, und es gibt Diskussionen über einzelne Fristen und Erleichterungen. Für die Praxis heißt das aber: Der Rahmen des EU AI Act bleibt bestehen, die Transparenzpflichten sind beschlossen, und wer jetzt auf eine Verschiebung spekuliert, riskiert, im entscheidenden Moment nicht vorbereitet zu sein. Verbindlich planen sollte man mit dem geltenden Stichtag.

Muss ich meinen Chatbot als KI kennzeichnen?

Ja. Wenn ein System so mit Nutzern interagiert, dass diese meinen könnten, mit einem Menschen zu sprechen, muss transparent gemacht werden, dass es sich um KI handelt. Für einen Website-Chatbot bedeutet das in der Regel einen klaren Hinweis, dass hier eine KI antwortet. Das ist technisch einfach umzusetzen und sollte ohnehin selbstverständlich sein, weil Ehrlichkeit gegenüber Kunden Vertrauen schafft statt es zu gefährden.

Welche Strafen drohen bei Verstößen gegen den EU AI Act?

Der EU AI Act sieht gestaffelte Bußgelder vor, die je nach Schwere des Verstoßes bis in zweistellige Millionenbeträge oder einen Prozentsatz des weltweiten Jahresumsatzes reichen können. Für den Mittelstand ist die Botschaft nüchtern: Man muss keine Panik haben, aber man sollte den Rahmen ernst nehmen. Wer weiß, welche KI im Unternehmen läuft, und die Transparenzpflichten erfüllt, ist auf der sicheren Seite.

Wie helfen selbst gehostete KI-Systeme bei der Compliance?

Selbst gehostete oder datenschutzkonform betriebene KI-Systeme geben Ihnen die Kontrolle darüber, welche Daten wohin fließen. Sie wissen, welches Modell auf welcher Grundlage arbeitet, können Ein- und Ausgaben nachvollziehen und die Verarbeitung dokumentieren. Genau diese Nachvollziehbarkeit verlangt der EU AI Act im Kern. Wer KI ohnehin sauber und kontrolliert aufsetzt, erfüllt die Anforderungen fast nebenbei – statt später einer Blackbox hinterherzudokumentieren.