AI Act seit 2. August 2026: Was Unternehmen jetzt konkret prüfen müssen

Rechtsstand und Quellenabruf: 3. August 2026. Dieser Beitrag bietet fachliche Orientierung zur betrieblichen Umsetzung des AI Acts. Er ist keine Rechtsberatung und ersetzt keine Prüfung des konkreten Einzelfalls.

Seit dem 2. August 2026 gelten weitere zentrale Teile der europäischen KI-Verordnung. Dazu gehören insbesondere die Transparenzpflichten aus Artikel 50. Außerdem kann die Europäische Kommission die seit dem 2. August 2025 geltenden Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck seit dem 2. August 2026 vollständig durchsetzen. Für Modelle, die bereits vor dem 2. August 2025 auf dem Markt waren, gilt jedoch eine Übergangsfrist bis zum 2. August 2027.

Gleichzeitig wurden wichtige Pflichten für Hochrisiko-KI durch die Verordnung (EU) 2026/1744 verschoben. Die Anforderungen für eigenständige Hochrisiko-Anwendungen nach Anhang III gelten grundsätzlich ab dem 2. Dezember 2027. Für KI als Teil bestimmter regulierter Produkte nach Anhang I ist der Termin der 2. August 2028.

Das bedeutet aber nicht, dass Unternehmen das Thema bis dahin vertagen sollten. Verbote bestimmter KI-Praktiken gelten bereits seit dem 2. Februar 2025. Auch Maßnahmen zur Förderung der KI-Kompetenz sind schon erforderlich. Transparenzpflichten können seit dem 2. August 2026 direkt relevant sein.

Der Punkt ist: Es gibt nicht den einen AI-Act-Schalter. Entscheidend sind Rolle, System und konkreter Verwendungszweck.

Die meisten mittelständischen Unternehmen sind zunächst Betreiber. Ein Betreiber nutzt ein KI-System im eigenen Verantwortungsbereich für berufliche Zwecke. Ein einfaches Beispiel ist ein Bauträger, der einen eingekauften KI-Assistenten für Exposés, Kundenkommunikation oder die Auswertung von Projektunterlagen einsetzt.

Ein Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter dem eigenen Namen oder der eigenen Marke auf den Markt. Das ist vergleichbar mit einem Hersteller, der nicht nur ein Werkzeug benutzt, sondern es als eigenes Produkt anbietet.

Die Rolle kann wechseln. Wer ein KI-System entwickelt oder entwickeln lässt und es unter dem eigenen Namen in Verkehr bringt oder in Betrieb nimmt, ist Anbieter. Bei Hochrisiko-KI regelt Artikel 25 zusätzlich, wann Händler, Einführer, Betreiber oder andere Dritte selbst Anbieterpflichten übernehmen: etwa beim Anbringen des eigenen Namens, bei einer wesentlichen Änderung eines weiterhin hochriskanten Systems oder bei einer neuen Zweckbestimmung, durch die ein System erst zur Hochrisiko-KI wird. Deshalb reicht die Aussage „Wir haben die Software nur eingekauft“ nicht immer aus.

Ein Sprachmodell, eine Bilderkennung oder ein Prognosewerkzeug hat nicht automatisch eine feste Risikoklasse. Entscheidend ist, wofür das konkrete KI-System eingesetzt wird.

Eine KI, die Texte für eine interne Ideensammlung entwirft, ist anders zu bewerten als ein System, das Bewerber vorsortiert. Ebenso macht es einen Unterschied, ob eine Prognose lediglich Hinweise zur Projektplanung gibt oder Entscheidungen über den Zugang zu Wohnraum beeinflusst.

Deshalb sollte die Prüfung nicht bei Produktnamen beginnen. Sie sollte beim Prozess starten: Welche Entscheidung wird vorbereitet oder getroffen? Wer ist betroffen? Welche Daten fließen ein? Welche Folgen kann ein fehlerhaftes Ergebnis haben?

Ein KI-Inventar ist eine strukturierte Liste aller eingesetzten KI-Systeme. Es funktioniert ähnlich wie ein Geräteverzeichnis: Nur was bekannt ist, kann geprüft, geschützt und sinnvoll gesteuert werden.

Erfasst werden sollten nicht nur offiziell beschaffte Werkzeuge. Dazu gehören auch KI-Funktionen in vorhandener Software, selbst eingerichtete Assistenten und frei zugängliche Dienste, die Beschäftigte im Arbeitsalltag verwenden.

• Name des Systems und Anbieter
• Fachbereich und verantwortliche Person
• Konkreter Verwendungszweck
• Betroffene Personen oder Personengruppen
• Verwendete Daten und mögliche personenbezogene Daten
• Erzeugte Ergebnisse und daraus folgende Entscheidungen
• Menschliche Kontrolle vor der weiteren Nutzung
• Interne oder externe Veröffentlichung der Ergebnisse
• Vertrags-, Speicher- und Löschregeln
• Status der fachlichen Freigabe

Für Immobilienentwickler und Bauträger können beispielsweise KI-Funktionen in Dokumentenmanagement, Vertrieb, Planung, Mängelerfassung, Bewerbermanagement oder Kundenservice relevant sein. Ob daraus besondere Pflichten entstehen, hängt jeweils vom tatsächlichen Einsatz ab.

Für jedes System sollte feststehen, ob das Unternehmen Betreiber, Anbieter oder möglicherweise beides ist. Zusätzlich braucht es eine interne Verantwortung.

Eine sinnvolle Zuordnung besteht aus drei Ebenen: Der Fachbereich verantwortet den Prozessnutzen. Eine zuständige Stelle prüft Daten, Sicherheit und Regeln. Eine benannte Führungskraft gibt den Einsatz frei. Bei sensiblen Anwendungen sollten Datenschutz, Informationssicherheit, Personalvertretung und rechtliche Beratung früh beteiligt werden.

Besondere Aufmerksamkeit ist nötig, wenn eigene Assistenten gebaut, fremde Modelle angepasst oder KI-Funktionen in Kundenprodukte integriert werden. Hier kann aus einer einfachen Nutzung eine eigene Anbieterrolle entstehen.

Artikel 50 des AI Acts gilt seit dem 2. August 2026. Er betrifft bestimmte interaktive Systeme sowie KI-generierte oder manipulierte Inhalte. Die konkreten Pflichten unterscheiden zwischen Anbieter und Betreiber.

Anbieter interaktiver KI-Systeme müssen das System grundsätzlich so gestalten, dass Menschen erkennen, wenn sie direkt mit einer KI interagieren, sofern dies nicht ohnehin offensichtlich ist. Für Betreiber sind unter anderem Hinweise bei bestimmten Deepfakes, bei Emotionserkennung, bei biometrischer Kategorisierung und bei bestimmten KI-generierten Texten zu Themen von öffentlichem Interesse relevant.

Deepfake bedeutet hier vereinfacht: Bild-, Ton- oder Videoinhalte wirken echt, wurden aber durch KI erzeugt oder so verändert, dass sie authentisch erscheinen können.

Für generative KI-Systeme, die bereits vor dem 2. August 2026 auf den Markt gebracht wurden, enthält das geänderte Recht eine begrenzte Übergangsfrist bis zum 2. Dezember 2026. Diese betrifft die maschinenlesbare Kennzeichnung durch Anbieter nach Artikel 50 Absatz 2. Sie ist kein allgemeiner Aufschub für sämtliche Transparenzpflichten.

• Ist für Nutzer klar, dass sie mit einer KI und nicht mit einem Menschen kommunizieren?
• Werden Bild-, Audio- oder Videoinhalte eingesetzt, die als echt erscheinen und daher als Deepfake einzuordnen sein könnten?
• Werden KI-generierte Texte ohne menschliche Prüfung zu Themen von öffentlichem Interesse veröffentlicht?
• Gibt es eine feste Kennzeichnungsregel für Deepfakes sowie ungeprüfte KI-Texte zu Themen von öffentlichem Interesse?
• Bleiben technische Kennzeichnungen des eingesetzten Systems erhalten?
• Ist dokumentiert, wer vor einer Veröffentlichung prüft und freigibt?

Anbieter und Betreiber müssen nach dem seit Juli 2026 geänderten Artikel 4 Maßnahmen ergreifen, um die Entwicklung von KI-Kompetenz bei den beteiligten Personen zu unterstützen. Ein bestimmtes Kompetenzniveau jeder einzelnen Person müssen sie dabei nicht garantieren. KI-Kompetenz bedeutet nicht, dass alle programmieren lernen müssen. Beschäftigte sollten die eingesetzten Systeme, ihre Grenzen und die Regeln für den eigenen Aufgabenbereich verstehen.

Eine allgemeine einstündige Schulung kann ein sinnvoller Einstieg sein, deckt unterschiedliche Einsatzrisiken aber häufig nicht ab. Eine Person, die KI nur für erste Textentwürfe nutzt, braucht anderes Wissen als jemand, der Vertragsunterlagen auswertet oder Entscheidungsvorlagen erstellt.

Eine dokumentierte Freigabe ist nicht für jeden beliebigen KI-Einsatz ausdrücklich als einheitliches Formular im AI Act vorgeschrieben. Trotzdem ist sie eines der wichtigsten betrieblichen Steuerungsinstrumente.

Ohne Freigabeprozess bleibt unklar, welcher Zweck geprüft wurde, welche Daten zulässig sind und wer die Verantwortung trägt. Außerdem verändern sich KI-Dienste laufend. Ein heute freigegebener Einsatz kann nach einem neuen Modell, einer zusätzlichen Datenquelle oder einer automatisierten Anbindung anders zu bewerten sein.

Eine schlanke Freigabe sollte mindestens Zweck, Rolle, Datenarten, betroffene Personen, menschliche Kontrolle, Transparenzmaßnahmen, Restgefahren und verantwortliche Führungskraft festhalten. Änderungen am Zweck oder an der technischen Einbindung müssen eine erneute Prüfung auslösen.

1. Inventarisieren: Alle offiziellen und inoffiziellen KI-Anwendungen erfassen.
2. Einordnen: Betreiber- oder Anbieterrolle sowie den konkreten Verwendungszweck klären.
3. Absichern: Daten, Transparenz, menschliche Kontrolle, Kompetenz und Verträge prüfen.
4. Freigeben: Entscheidung, Bedingungen und verantwortliche Personen dokumentieren.
5. Überwachen: Änderungen, Vorfälle und neue Einsatzzwecke regelmäßig bewerten.

Dieses Modell beginnt bewusst nicht bei einer bestimmten Technologie. Zuerst muss der Prozess belastbar sein. Erst danach lässt sich entscheiden, ob KI einen nachvollziehbaren Nutzen liefert und unter welchen Bedingungen sie eingesetzt werden kann.

• Gibt es ein vollständiges und aktuelles KI-Inventar?
• Ist für jeden Einsatz ein konkreter Zweck beschrieben?
• Ist geklärt, ob das Unternehmen Betreiber oder Anbieter ist?
• Wurde geprüft, ob verbotene Praktiken berührt sein könnten?
• Werden mögliche Transparenzpflichten aus Artikel 50 erfüllt?
• Gibt es Regeln für KI-generierte Texte, Bilder, Audio- und Videoinhalte?
• Wissen Beschäftigte, welche Daten sie verwenden dürfen?
• Sind Schulungen nach Aufgabe und möglicher Auswirkung abgestuft?
• Ist menschliche Kontrolle an den entscheidenden Stellen vorgesehen?
• Werden Freigaben, Einschränkungen und Änderungen nachvollziehbar dokumentiert?
• Sind Lieferanteninformationen und Verträge verfügbar?
• Gibt es einen festen Termin für die nächste Überprüfung?

Seit dem 2. August 2026 ist Abwarten keine sinnvolle Strategie mehr. Unternehmen müssen aber auch nicht jede KI-Nutzung vorsorglich als Hochrisiko behandeln. Entscheidend ist eine saubere Bestandsaufnahme mit konkreten Verwendungszwecken.

Wer KI-Inventar, Rollen, Transparenz, Kompetenz und Freigaben strukturiert aufsetzt, schafft mehr als formale Ordnung. Diese Grundlagen zeigen auch, welche Anwendungen einen belastbaren Prozessnutzen liefern und wo Daten, Abläufe oder Verantwortlichkeiten noch nicht bereit sind.

Für einen strukturierten Einstieg lässt sich die AI-Act-Ausgangslage prüfen. Dabei sollte nicht die eingesetzte Technik im Mittelpunkt stehen, sondern die Frage, ob Prozesse, Daten und Verantwortung tragfähig organisiert sind.

• Verordnung (EU) 2024/1689 über künstliche Intelligenz
• Verordnung (EU) 2026/1744 – Digital-Omnibus-Verordnung zur KI
• Europäische Kommission: Leitlinien zu Transparenzverpflichtungen für Anbieter und Betreiber von KI-Systemen
• Europäische Kommission: Transparenzpflichten nach Artikel 50 des KI-Gesetzes
• Europäische Kommission: Leitlinien für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck
• Europäische Kommission: KI-Kompetenz nach dem geänderten Artikel 4