EU AI Act: Was ab dem 2. August 2026 für den Mittelstand gilt

Am 2. August 2026 erreicht der EU AI Act die nächste Stufe. Ab diesem Tag kann die EU die Regeln für KI-Modelle mit Bußgeldern durchsetzen, und die Transparenzpflichten für KI-Systeme werden anwendbar. Für Geschäftsführer im Mittelstand stellt sich damit eine sehr praktische Frage: Was davon trifft meinen Betrieb, und was muss bis dahin erledigt sein? Die gute Nachricht vorweg: Die meisten KMU sind Anwender von KI, nicht Anbieter, und für sie ist die Liste überschaubar und machbar.

Was passiert am 2. August 2026 konkret?

Am 2. August 2026 werden zwei Dinge scharfgeschaltet: die Durchsetzungs- und Bußgeldbefugnisse gegenüber Anbietern von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) und die Transparenzpflichten aus Artikel 50. Das KI-Büro der EU kann ab diesem Datum Dokumentation anfordern, Modelle selbst prüfen, Korrekturen verlangen und im Ernstfall ein Modell vom europäischen Markt nehmen.

Zugleich werden die Bußgeldvorschriften anwendbar. Verstöße gegen die verbotenen Praktiken kosten bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Für die meisten übrigen Pflichten liegt der Rahmen bei bis zu 15 Millionen Euro oder 3 Prozent (Artikel 99 des AI Act). Die Zahlen stehen fest, anwendbar werden sie ab dem Stichtag.

Bin ich als KMU ueberhaupt betroffen?

Die allermeisten mittelständischen Betriebe sind Betreiber von KI, nicht deren Hersteller, und damit gelten für sie vor allem drei Dinge: KI-Kompetenz, Transparenz und der Verzicht auf verbotene Praktiken. Die schweren GPAI-Pflichten, die am 2. August scharf werden, liegen bei den Modellanbietern wie OpenAI, Google oder Anthropic, nicht bei der Bäckerei, die ChatGPT für Angebotstexte nutzt. Ob Ihr konkreter Anwendungsfall trotzdem als Hochrisiko gilt, hängt vom Einsatzbereich ab. Eine erste Einordnung liefert unser Beitrag dazu, ob Ihr Unternehmen betroffen ist.

Welche Pflichten gelten längst?

Zwei Pflichten gelten bereits seit dem 2. Februar 2025 und gehen im Trubel um die neuen Stichtage oft unter: das Verbot bestimmter KI-Praktiken und die Pflicht zur KI-Kompetenz der Beschäftigten aus Artikel 4.

• Verbotene Praktiken: Dazu zählen Social Scoring, gezielte Manipulation und das ungerichtete Abgreifen von Gesichtsbildern aus dem Netz. Für einen normalen Betrieb ist das selten ein Thema, einmal prüfen sollten Sie es trotzdem.
• KI-Kompetenz (Artikel 4): Wer KI im Unternehmen einsetzt, muss dafür sorgen, dass die damit arbeitenden Menschen sie im Grundsatz verstehen. Der Digital Omnibus hat diese Pflicht Ende 2025 von sicherstellen auf fördern abgeschwächt, abgeschafft ist sie nicht.

Was wurde verschoben, worauf Sie sich nicht verlassen sollten?

Der sogenannte Digital Omnibus vom November 2025 hat die strengen Pflichten für Hochrisiko-KI nach hinten verschoben: auf den 2. Dezember 2027 für eigenständige Systeme und den 2. August 2028 für KI, die in regulierte Produkte eingebaut ist. Für kleinere Unternehmen wurden einzelne Erleichterungen zusaetzlich auf die neue Kategorie der Small Mid-Caps ausgeweitet.

Zwei Dinge sollten Sie dabei nicht verwechseln. Erstens: Verschoben sind die Hochrisiko-Pflichten, nicht die Transparenzpflichten und nicht die GPAI-Durchsetzung. Beide bleiben beim 2. August 2026. Zweitens: Der Omnibus steckt noch im Gesetzgebungsverfahren. Planen Sie mit den offiziellen Terminen, nicht mit Schlagzeilen ueber immer neue Aufschübe.

Was sollte ein Geschäftsführer bis zum Stichtag getan haben?

Bis zum 2. August 2026 sollten vier Dinge erledigt sein: eine Bestandsaufnahme, umgesetzte Transparenzhinweise, eine kurze Schulung und eine benannte Zuständigkeit.

• Bestandsaufnahme: Schreiben Sie auf, welche KI-Werkzeuge im Haus tatsächlich genutzt werden, von Microsoft Copilot ueber ChatGPT bis zu Chatbots und Automatisierungen. Ohne diese Liste lässt sich keine Pflicht sauber zuordnen.
• Transparenz umsetzen: Chatbots und Voicebots müssen erkennbar machen, dass ein Mensch mit einer KI spricht. KI-generierte Texte, Bilder und Stimmen sind entsprechend zu kennzeichnen.
• KI-Kompetenz aufbauen: Eine kurze, dokumentierte Schulung für die Mitarbeiter, die KI nutzen, erfüllt Artikel 4 und beugt Fehlern im Alltag vor.
• Zuständigkeit benennen: Eine Person, die den Überblick behält, reicht in den meisten KMU völlig aus.

In unseren Automatisierungs- und KI-Agenten-Projekten gehört der Transparenzhinweis inzwischen zum Standard: Jeder Voicebot und jeder Website-Chat, den wir ausliefern, sagt von sich aus, dass hier eine KI antwortet. Das ist kein größer Aufwand, muss aber von Anfang an mitgedacht werden.

Die Europäische Kommission stellt in ihren Leitlinien für GPAI-Anbieter klar, dass der Stichtag die bestehenden Pflichten durchsetzbar macht und keine neuen schafft. Für Anwender heißt das: Wer jetzt Ordnung schafft, muss am 2. August nichts überstürzen.

Häufige Fragen zum EU AI Act ab dem 2. August 2026

Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Der AI Act gilt unabhängig von der Größe, staffelt die Pflichten aber nach Rolle und Risiko. Die meisten KMU sind Betreiber und müssen vor allem für KI-Kompetenz und Transparenz sorgen. Nur wenige Anwendungen fallen in die strenge Hochrisiko-Klasse.

Was passiert genau am 2. August 2026?

An diesem Tag werden die Durchsetzungs- und Bußgeldbefugnisse gegenüber Anbietern von KI-Modellen mit allgemeinem Verwendungszweck anwendbar, und die Transparenzpflichten aus Artikel 50 greifen. Die Hochrisiko-Pflichten sind davon nicht betroffen.

Muss ich meinen Website-Chatbot kennzeichnen?

Ja. Artikel 50 verlangt, dass Nutzer erkennen können, dass sie mit einer KI und nicht mit einem Menschen sprechen. Ein klarer Hinweis im Chatfenster reicht in der Regel aus.

Wie hoch sind die Bußgelder?

Für verbotene Praktiken bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, für die meisten übrigen Verstöße bis zu 15 Millionen Euro oder 3 Prozent. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge als Obergrenze.

Wurden die Hochrisiko-Regeln wirklich verschoben?

Ja. Der Digital Omnibus von Ende 2025 hat die Hochrisiko-Pflichten auf den 2. Dezember 2027 für eigenständige Systeme und den 2. August 2028 für eingebettete Systeme verschoben. Die Transparenz- und GPAI-Regeln zum 2. August 2026 bleiben davon unberührt.