Der Jurinator
Symbolbild zum EU AI Act

IT-Recht · · 6 Min. Lesezeit

Der EU AI Act - Wo stehen wir im August 2026

Seit über zwei Jahren ist der EU AI Act in Kraft, das weltweit erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz. “In Kraft” heißt aber nicht “vollständig anwendbar”. Die Verordnung entfaltet ihre Wirkung schrittweise, über mehrere Jahre verteilt. Zum 2. August 2026 sollte eigentlich ein zentraler Meilenstein erreicht werden: die Anwendbarkeit der Regeln für Hochrisiko KI Systeme. Kurz vor diesem Stichtag hat die EU jedoch nachjustiert. Dieser Beitrag erklärt, worum es beim AI Act geht, was aktuell gilt und was verschoben wurde.

Sinn und Zweck des AI Acts

Der AI Act, offiziell Verordnung (EU) 2024/1689, verfolgt einen risikobasierten Ansatz. Nicht jede KI Anwendung wird gleich streng reguliert. Die Regulierungsdichte richtet sich danach, welches Risiko ein KI System für Grundrechte, Sicherheit oder demokratische Prinzipien mit sich bringt.1 Grob unterscheidet das Gesetz vier Stufen:

  • Unannehmbares Risiko. Diese Systeme sind schlicht verboten. Ein Beispiel ist Social Scoring nach chinesischem Vorbild, bei dem Bürgerinnen und Bürger anhand ihres Verhaltens bewertet und je nach Punktestand benachteiligt werden. Auch die biometrische Echtzeit Überwachung im öffentlichen Raum durch die Polizei fällt grundsätzlich unter dieses Verbot, von eng gefassten Ausnahmen abgesehen.

  • Hohes Risiko. Diese Systeme sind erlaubt, müssen aber strenge Vorgaben erfüllen, etwa zu Risikomanagement, Dokumentation und menschlicher Aufsicht. Praktisch heißt das zum Beispiel: Ein Programm, das Bewerbungen automatisch vorsortiert und entscheidet, wer zum Vorstellungsgespräch eingeladen wird, zählt genauso dazu wie eine Software, die die Kreditwürdigkeit von Privatpersonen bewertet.

  • Begrenztes Risiko. Hier reichen im Wesentlichen Transparenzpflichten. Wer mit einem Chatbot spricht, muss das erkennen können. Und wenn ein Video oder Foto von einer KI erzeugt oder verändert wurde, muss das gekennzeichnet sein, etwa als sogenanntes Deepfake.

  • Minimales Risiko. Der Großteil der heute genutzten KI, von Spamfiltern bis zu Videospiel Gegnern, fällt hierunter und bleibt praktisch ohne zusätzliche Pflichten.

Ziel ist es, vertrauenswürdige KI in Europa zu fördern, ohne Innovation abzuwürgen. Ein Balanceakt, der die Debatte um den AI Act bis heute prägt.2

Der Zeitplan: Ein Gesetz in Stufen

Der AI Act wurde im Juni 2024 vom Europäischen Parlament verabschiedet und ist am 1. August 2024 in Kraft getreten. Seitdem laufen gestaffelte Fristen, nach denen einzelne Pflichten anwendbar werden:3

  • Seit 2. Februar 2025 gelten die Verbote für KI mit unannehmbarem Risiko (Social Scoring und Co.) sowie die Pflicht, im eigenen Unternehmen für ausreichende KI Kompetenz zu sorgen.

  • Seit 2. August 2025 gelten die Governance Regeln, also etwa die Einrichtung nationaler Aufsichtsbehörden, sowie die Pflichten für Anbieter von KI Modellen mit allgemeinem Verwendungszweck. Gemeint sind damit große Sprachmodelle wie GPT oder Gemini, die nicht für einen einzelnen Zweck entwickelt wurden, sondern als Basis für viele verschiedene Anwendungen dienen.

  • Seit 2. August 2026 gelten die Transparenzpflichten aus Artikel 50, dazu gleich mehr.

Was zum 2. August 2026 tatsächlich gilt

Die Kommission hat die Durchsetzung der Transparenzpflichten zum 2. August 2026 offiziell gestartet.4 Konkret bedeutet das für den Alltag:

Wer mit einem KI System interagiert, muss das erkennen können, sofern es nicht ohnehin offensichtlich ist. Der Kundenservice Chat auf einer Webseite muss also klar machen, dass am anderen Ende kein Mensch, sondern ein Sprachmodell antwortet, etwa durch einen kurzen Hinweis im Chatfenster.

KI generierte oder manipulierte Inhalte müssen gekennzeichnet werden. Erzeugt eine KI ein Bild, ein Video oder einen Text, muss diese Information mitgeliefert werden, meist maschinenlesbar. Ein gängiges Verfahren dafür ist eine Art digitales Wasserzeichen: eine für Menschen unsichtbare Markierung, die aber von Software ausgelesen werden kann und anzeigt, dass der Inhalt künstlich erzeugt wurde. Ein KI generiertes Video, in dem eine Politikerin etwas sagt, das sie nie gesagt hat, muss also klar als solches erkennbar gemacht werden, sonst liegt ein sogenanntes Deepfake ohne Kennzeichnung vor, und genau das will Artikel 50 verhindern.

Für bereits bestehende Systeme, die solche synthetischen Inhalte erzeugen und schon vor dem 2. August 2026 auf dem Markt waren, gilt eine Übergangsfrist bis zum 2. Dezember 2026. Wer sein System erst nach dem Stichtag auf den Markt bringt, muss die Kennzeichnung dagegen sofort umsetzen.5

Was ursprünglich zum 2. August 2026 kommen sollte, aber verschoben wurde

Kurz vor dem Stichtag hat die EU nachgesteuert. Am 19. November 2025 hatte die Europäische Kommission ein Vereinfachungspaket vorgeschlagen, den sogenannten Digital Omnibus on AI. Nach politischer Einigung im Trilog am 7. Mai 20266, Annahme durch das Europäische Parlament und Zustimmung des Rates wurde die Änderungsverordnung als Verordnung (EU) 2026/1744 am 24. Juli 2026 im Amtsblatt veröffentlicht und trat bereits am 27. Juli 2026 in Kraft, nur wenige Tage vor dem ursprünglichen Stichtag.7

Der wichtigste Punkt der Änderung: Die Pflichten für Hochrisiko KI Systeme wurden nach hinten verschoben, weil die dafür nötigen technischen Normen und Prüfstrukturen nach Einschätzung des Gesetzgebers noch nicht ausreichend verfügbar waren.8 Konkret betrifft das zum Beispiel jenes Bewerbungs Sortier Tool aus dem Beispiel weiter oben, oder eine KI Software, die in einem Medizinprodukt als Sicherheitskomponente steckt. Solche Systeme galten ursprünglich ab 2. August 2026 (beziehungsweise 2027) als Hochrisiko und mussten entsprechend strenge Vorgaben erfüllen. Jetzt gilt:

  • Eigenständige Hochrisiko Systeme nach Anhang III, etwa in den Bereichen Personalwesen, Bildung, kritische Infrastruktur, Kreditvergabe oder Strafverfolgung, greifen nun erst ab dem 2. Dezember 2027.

  • In regulierte Produkte eingebettete Hochrisiko KI nach Anhang I, etwa als Sicherheitsbauteil in Maschinen, Medizinprodukten oder Fahrzeugen, greift nun erst ab dem 2. August 2028.9

Wichtig für die Einordnung: Die Vorschriften selbst wurden inhaltlich kaum verändert, nur ihr Anwendungsbeginn wurde verschoben. Unternehmen, deren Systeme in den Hochrisikobereich fallen, sollten die zusätzliche Zeit deshalb als Vorbereitungsfrist verstehen und nicht als dauerhafte Entwarnung. Zumal der Digital Omnibus gleichzeitig die Aufsichtsbefugnisse des europäischen AI Office gestärkt hat.9

Was das für den Alltag bedeutet

Für die meisten Menschen, die im August 2026 mit KI in Berührung kommen, ist vor allem eines spürbar: Chatbots, Sprachassistenten und KI generierte Inhalte müssen jetzt klar als solche erkennbar sein. Die tiefgreifenderen Pflichten für Unternehmen, die Hochrisiko KI entwickeln oder einsetzen, etwa umfangreiche Risikomanagementsysteme oder Konformitätsbewertungen, lassen dagegen noch bis Ende 2027 beziehungsweise 2028 auf sich warten.

Fazit

Der EU AI Act bleibt ein Gesetz im Werden. Die Verbote unannehmbarer Praktiken und die Governance Strukturen gelten längst, die Transparenzpflichten sind seit August 2026 hinzugekommen. Bei den anspruchsvollsten Pflichten, jenen für Hochrisiko KI, hat die EU dagegen kurzfristig auf die Bremse getreten. Ob es bei den neuen Fristen bleibt oder ob eine weitere Anpassung folgt, wird sich zeigen.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.

Quellen

Dieser Beitrag stützt sich ausschließlich auf offizielle Quellen der Europäischen Union. Die meisten der verlinkten Seiten sind auch in deutscher Sprache verfügbar, in der Regel über einen Sprachumschalter direkt auf der jeweiligen Seite.

in

Verwandte Artikel