EU AI Act ab August 2026: Was jetzt wirklich gilt (und was nicht)

Mein LinkedIn-Feed hat seit ein paar Wochen ein Lieblingsdatum: den 2. August 2026. Kaum ein Tag ohne einen Beitrag, der herunterzählt: „Noch 30 Tage, dann schlägt der EU AI Act zu!", gerne garniert mit einem Warndreieck und der Zahl 35 Millionen Euro. Und ich verstehe jeden, der bei dieser Dauerbeschallung entweder in Panik verfällt oder das Thema komplett wegschiebt. Beides ist übrigens die falsche Reaktion.

Ich beschäftige mich seit Anfang des Jahres intensiv mit Compliance und Sicherheit, nicht weil ich Regulierung so wahnsinnig spannend finde (finde ich ehrlich gesagt nur bedingt), sondern weil ich KI-Lösungen baue und irgendwann verstanden habe, dass ich die Regeln kennen muss, nach denen meine eigenen Systeme spielen. Und je tiefer ich in den AI Act eingestiegen bin, desto klarer wurde mir: Das größte Problem an diesem Gesetz ist nicht das Gesetz. Es ist die Berichterstattung darüber.

Kennst du diese Gemengelage auch:

• Du nutzt ChatGPT, Copilot oder einen Chatbot auf der Website und fragst dich, ob du ab August ein „Hochrisiko-Unternehmen" bist?
• Ein Berater hat dir ein AI-Act-Audit zum fünfstelligen Preis angeboten, konnte aber nicht sagen, welche Pflicht dich konkret trifft?
• Du hast die Schlagzeile „35 Millionen Euro Bußgeld drohen!" gelesen und danach beschlossen, erstmal gar nichts zu machen?

Dann lass uns das gemeinsam entwirren. Versprochen: ohne Juristendeutsch und ohne Warndreieck.

Was längst gilt (und du vermutlich gar nicht gemerkt hast)

Zuerst das, was in der Countdown-Rhetorik gerne untergeht: Der EU AI Act ist kein Gesetz, das am 2. August 2026 „in Kraft tritt". In Kraft ist er seit dem 1. August 2024. Er wird nur in Stufen scharf geschaltet. Und zwei dieser Stufen sind längst aktiv.

Seit Februar 2025 gelten die Verbote des AI Act. Das betrifft KI-Systeme mit unannehmbarem Risiko: Social Scoring nach chinesischem Vorbild, manipulative Systeme, solche Dinge. Wenn du so etwas betreibst, hast du ein Problem, aber dann wusstest du das vermutlich auch schon vor dem AI Act. Für die allermeisten Unternehmen ist diese Stufe schlicht irrelevant. Und genau darin steckt eine gute Nachricht: Sie ist seit anderthalb Jahren aktiv, und die Welt ist nicht untergegangen.

Seit August 2025 gelten außerdem die Pflichten für Anbieter von GPAI-Modellen („General Purpose AI", also KI-Modelle mit allgemeinem Verwendungszweck), sprich für die, die große Basismodelle entwickeln und auf den Markt bringen. Auch das betrifft dich nur, wenn du zufällig OpenAI, Anthropic oder Google bist. (Falls ja: Grüße nach San Francisco, und danke fürs Lesen.)

Mit anderen Worten: Zwei Drittel des angeblichen Schreckgespensts laufen bereits. Und wahrscheinlich hast du davon exakt nichts gespürt. Das sollte man im Kopf behalten, wenn jetzt wieder der Weltuntergang ausgerufen wird.

Was am 2. August 2026 tatsächlich passiert

Jetzt zum eigentlichen Stichtag. Ab dem 2. August 2026 wird der AI Act weitgehend voll anwendbar. Die zwei Bausteine, die dann für normale Unternehmen relevant werden, sind die Pflichten für Hochrisiko-KI-Systeme und die Transparenzpflichten. Wobei sich beim ersten Baustein in den letzten Wochen etwas Entscheidendes getan hat. Dazu gleich.

Hochrisiko klingt dramatisch, ist aber präzise definiert. Anhang III des Gesetzes listet die Einsatzfelder auf, und die haben ein gemeinsames Muster: KI, die über Menschen entscheidet. KI in der Personalauswahl, wenn also ein System Bewerbungen vorsortiert oder bewertet. KI in der Kreditvergabe. KI in kritischer Infrastruktur. KI in der Bildung, etwa bei der Bewertung von Prüfungen. Wer solche Systeme anbietet oder einsetzt, bekommt echte Hausaufgaben: Risikomanagement, Dokumentation, menschliche Aufsicht, saubere Datengrundlagen.

Und jetzt die Pointe, die in den Countdown-Posts konsequent fehlt: Für genau diese Hochrisiko-Pflichten gilt der 2. August 2026 gar nicht mehr. Die EU hat sie mit dem sogenannten Digital Omnibus auf den letzten Metern verschoben: auf den 2. Dezember 2027 für eigenständige Hochrisiko-Systeme nach Anhang III und auf den 2. August 2028 für KI, die in regulierten Produkten steckt. Das ist keine Gerüchteküche: Das EU-Parlament hat am 16. Juni 2026 zugestimmt, der Rat hat Ende Juni final grünes Licht gegeben. Verschoben heißt allerdings nicht gestrichen – die Hausaufgaben bleiben dieselben, es gibt nur sechzehn Monate mehr Zeit dafür.

Damit sieht der Fahrplan so aus:

Und die Transparenzpflichten? Die sind deutlich breiter, aber auch deutlich harmloser: Wenn Menschen mit einer KI interagieren, müssen sie das wissen. Der Chatbot auf deiner Website darf also nicht so tun, als hieße er Sabine und sitze im Kundenservice in Hamburg. Ein ehrlicher Hinweis, dass man mit einem KI-Assistenten chattet. Das ist der Kern. Ich finde das nicht nur zumutbar, sondern richtig. Ich habe meine eigene KI-Assistentin Lea von Anfang an als KI vorgestellt, und beschwert hat sich darüber noch niemand. Eher im Gegenteil: Ehrlichkeit schafft Vertrauen.

Die Frage, die kaum jemand stellt: Anbieter oder Betreiber?

Hier liegt das größte Missverständnis, das mir in Gesprächen immer wieder begegnet. Der AI Act unterscheidet zwischen Anbietern, die ein KI-System entwickeln und auf den Markt bringen, und Betreibern, die es lediglich einsetzen. Die schweren Pflichten liegen ganz überwiegend beim Anbieter. Wer als Unternehmen ein fertiges Werkzeug für unkritische Aufgaben nutzt, also E-Mails formulieren lässt, Protokolle zusammenfasst oder Texte übersetzt, ist von der Hochrisiko-Welt weit entfernt.

Anders gesagt: Dass deine Marketingabteilung mit einem Sprachmodell Newsletter-Entwürfe schreibt, macht dich nicht zum Hochrisiko-Fall. Was dich dagegen sehr wohl in diese Kategorie befördert: dasselbe Sprachmodell entscheiden zu lassen, welche Bewerber zum Gespräch eingeladen werden. Es kommt eben nicht darauf an, welche KI du nutzt, sondern wofür du sie nutzt.

Und genau da würde ich ansetzen, am besten vor August. Verschaff dir einen ehrlichen Überblick, wo in deinem Unternehmen überall KI im Einsatz ist. Nach meiner Erfahrung ist diese Liste immer länger als gedacht: Schatten-KI lässt grüßen, das private ChatGPT-Konto in der Buchhaltung zählt nämlich mit. Dann stell für jeden Eintrag die eine entscheidende Frage: Entscheidet oder bewertet dieses System Menschen bei Jobs, Krediten, Noten, Versorgung? Wenn nein, sind deine Pflichten überschaubar: Transparenz herstellen, Mitarbeiter im Umgang mit KI schulen, dokumentieren, fertig. Wenn ja, hast du jetzt ein konkretes Projekt. Aber eben ein planbares Projekt, keinen Grund zur Schockstarre.

Und die 35 Millionen?

Ja, die Bußgelder sind real: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Aber diese Maximalsätze gelten für die schwersten Verstöße: für verbotene Praktiken, nicht für den Mittelständler, dessen Chatbot-Hinweis zwei Wochen zu spät online ging. (Und falls du zu den kleinen und mittleren Unternehmen gehörst: Für die sieht Artikel 99 ohnehin jeweils den niedrigeren der beiden Beträge vor.) Die Logik kennen wir von der DSGVO: Auch dort standen 20 Millionen Euro im Gesetz, auch dort wurde 2018 das Ende des Mittelstands ausgerufen. Und dann zeigte sich, dass es zuallererst die trifft, die das Thema komplett ignoriert haben.

Womit ich ausdrücklich nicht sagen will: alles egal. Die Pflichten sind real, und wer Systeme aus Anhang III einsetzt, hat jetzt Arbeit vor sich. Aber zwischen „Weltuntergang" und „betrifft mich nicht" liegt ein weiter, sehr vernünftiger Mittelweg, und der beginnt mit einer nüchternen Bestandsaufnahme statt mit einem Panik-Audit.

Warum AI Act und DSGVO zusammengehören

Was mir in der ganzen Debatte fehlt: Der AI Act kommt nicht in ein leeres Regal. Wer seine KI-Systeme DSGVO-konform aufgebaut hat, hat einen Großteil der Vorarbeit schon geleistet. Die Bestandsaufnahme, welche Systeme welche Daten verarbeiten? Gibt es dann schon. Die Frage, wer die Verantwortung trägt? Beantwortet. Die Dokumentation? Angefangen. Beide Regelwerke verlangen im Kern dasselbe: dass du weißt, was deine Systeme tun, und dass du es belegen kannst.

Deshalb halte ich nichts davon, den AI Act als neues, isoliertes Schreckgespenst zu behandeln. Er ist eine zweite Ebene auf einem Fundament, das die meisten ohnehin bauen mussten. Und wie bei der DSGVO gilt: Die Entscheidungen, die wirklich zählen, sind Architektur-Entscheidungen, keine Papier-Entscheidungen. Wer sie am Anfang trifft, baut einmal und baut richtig.

Ich gebe ehrlich zu: Auch ich lese EU-Verordnungen nicht zum Vergnügen (mein Feierabend hat Besseres verdient). Aber ich habe in den letzten Monaten gelernt, dass ein Wochenende mit dem Gesetzestext deutlich entspannter ist als ein Jahr mit diffuser Angst davor. Und dass die Antwort auf „Betrifft mich das?" fast immer konkreter ausfällt, als die Schlagzeilen vermuten lassen.

Wenn du gerade sortierst, was der AI Act für dein Unternehmen bedeutet, oder wenn dir jemand ein teures Audit verkaufen will und du erstmal eine zweite Meinung willst: Sprich mich an, schreib mir eine E-Mail oder ruf einfach an. Lass uns gemeinsam herausfinden, was für dich wirklich gilt und was nur Lärm ist.