EU AI Act ab 2. August 2026: Was für einen 20-Personen-Betrieb wirklich gilt (Update)

Seit Wochen kursiert die Nachricht, am 2. August 2026 würden für kleine und mittlere Unternehmen scharfe KI-Pflichten greifen, inklusive der strengen Vorgaben für Hochrisiko-Systeme wie Bewerbervorauswahl oder Kreditwürdigkeitsprüfung. Das stimmt nach aktuellem Stand nicht mehr. Der Rat der EU hat am 29. Juni 2026 einen sogenannten Digital-Omnibus-Deal final bestätigt, der genau diese Fristen deutlich verschiebt. Für einen klassischen 20-Personen-Betrieb ändert das erheblich, was am Stichtag wirklich zu tun ist.

Was am 2. August 2026 tatsächlich in Kraft tritt

Am 2. August 2026 aktivieren sich ausschließlich die Transparenzpflichten aus Artikel 50 des EU AI Act, nicht die strengeren Hochrisiko-Pflichten aus Anhang III. Konkret heißt das: Wer einen Chatbot, einen Voice-Agenten oder KI-generierte Inhalte einsetzt, muss offenlegen, dass eine Person mit einer KI kommuniziert beziehungsweise dass ein Inhalt maschinell erzeugt wurde. Für Systeme, die zu diesem Zeitpunkt bereits im Markt sind, gilt bei den Kennzeichnungspflichten nach Artikel 50 Absatz 2 zusätzlich eine viermonatige Übergangsfrist bis zum 2. Dezember 2026, wie die Kanzlei Gibson Dunn in ihrer Analyse der finalen Omnibus-Einigung darlegt.

Was der Digital-Omnibus-Deal an den Fristen verschoben hat

Die Hochrisiko-Pflichten aus Anhang III für eigenständige KI-Systeme, etwa zur Bewerbervorauswahl, Kreditwürdigkeitsprüfung oder im Bildungsbereich, verschieben sich von ursprünglich 2. August 2026 auf den 2. Dezember 2027. Für KI, die in regulierte Produkte eingebettet ist, etwa Medizinprodukte, Maschinen oder Fahrzeuge nach Anhang I, verschiebt sich die Frist von 2. August 2027 auf den 2. August 2028. Beide neuen Stichtage gehen auf den Digital-Omnibus-Deal zurück: Nach einer vorläufigen politischen Einigung Anfang Mai 2026, der Zustimmung des Europaparlaments am 16. Juni 2026 und der endgültigen Bestätigung durch den Rat am 29. Juni 2026 stehen die neuen Fristen fest, auch wenn die förmliche Veröffentlichung im Amtsblatt noch aussteht. Den ursprünglichen Fahrplan mit dem alten Stichtag 2. August 2026 für Anhang III dokumentiert der AI Act Service Desk der EU-Kommission.

Was das für deinen 20-Personen-Betrieb bedeutet

Wer keine Hochrisiko-Anwendung wie Bewerbervorauswahl oder Kreditscoring einsetzt, muss zum 2. August 2026 lediglich die Transparenzpflicht erfüllen und hat für alles andere durch die Verschiebung spürbar mehr Zeit gewonnen. Die meisten Automatisierungen in einem 20-Personen-Betrieb, von der Rechnungsverarbeitung über das Reporting bis zum internen Wissensassistenten, fallen ohnehin in die Klasse mit minimalem Risiko und sind von der Verschiebung gar nicht betroffen, weil sie nie unter Anhang III fielen. Relevant wird die Transparenzpflicht vor allem dort, wo Kundinnen und Kunden direkt mit einer KI interagieren: beim Chatbot auf der Website, beim Voice-Agenten am Telefon oder bei KI-generierten Marketingtexten und Bildern.

In eigenen Projekten reicht dafür meist ein kurzer, gut sichtbarer Hinweis im Gespräch oder auf der Seite, etwa: "Sie sprechen mit einem KI-Assistenten von NordFlux." Der technische Aufwand ist überschaubar, die Pflicht selbst aber nicht verhandelbar.

So ordnest du deinen KI-Einsatz jetzt praktisch ein

Die Einordnung lässt sich in drei Schritten klären, ohne dass du auf die förmliche Omnibus-Veröffentlichung im Amtsblatt warten musst.

• Liste alle KI-Anwendungen im Betrieb auf, jeweils mit Einsatzzweck.
• Prüfe pro Anwendung, ob sie über Menschen entscheidet oder vorentscheidet, etwa bei Bewerbungen oder Kreditwürdigkeit. Nur dann ist Anhang III relevant, sonst fällt sie meist in die Klasse mit minimalem Risiko.
• Prüfe, ob Kundinnen und Kunden direkt mit der KI interagieren, etwa im Chat, am Telefon oder über generierte Inhalte. Falls ja, muss der Transparenzhinweis bis zum 2. August 2026 stehen.

Wer sich unsicher ist, wie die eigene Anwendung einzuordnen ist, bekommt in unserer KI-Beratung anschließend eine klare, schriftliche Einordnung nach Risikoklasse, nicht nur eine mündliche Einschätzung.

Update zu unserem ursprünglichen Beitrag

Dieser Beitrag aktualisiert unseren früheren Artikel EU AI Act: Ist mein Unternehmen betroffen?, der vor der finalen Bestätigung des Digital-Omnibus-Deals durch den Rat entstand und die neuen Verschiebungen auf Dezember 2027 und August 2028 noch nicht nennen konnte. Die dortige Einschätzung, dass die meisten Automatisierungen unkritisch sind, bleibt richtig, die konkreten neuen Stichtage ergänzen wir hier.

Häufig gestellte Fragen

Muss ich meinen Chatbot ab dem 2. August 2026 kennzeichnen?

Ja. Sofern Kundinnen und Kunden mit einem Chatbot oder Voice-Agenten interagieren, greift ab diesem Datum die Transparenzpflicht aus Artikel 50, unabhängig von der Verschiebung der Hochrisiko-Pflichten.

Gilt die Verschiebung auch, wenn ich bereits eine Hochrisiko-Anwendung einsetze?

Ja. Die neuen Fristen, 2. Dezember 2027 für eigenständige Systeme nach Anhang III und 2. August 2028 für eingebettete Systeme nach Anhang I, gelten unabhängig davon, wann die Anwendung eingeführt wurde.

Woher stammen die neuen Fristen?

Sie ergeben sich aus dem Digital-Omnibus-Deal, der nach der Zustimmung des Europaparlaments am 16. Juni 2026 vom Rat der EU am 29. Juni 2026 final bestätigt wurde, dokumentiert unter anderem von der Kanzlei Gibson Dunn.

Brauche ich trotzdem eine Risikoeinordnung für meine KI-Anwendungen?

Ja. Eine kurze schriftliche Übersicht bleibt sinnvoll, weil sie zeigt, dass du deinen KI-Einsatz bewusst und kontrolliert steuerst, unabhängig vom genauen Stichtag.