EU AI Act: Was du in den nächsten 36 Tagen noch riskierst

26. Juni 20266 Min. Lesezeit

Am 2. August 2026 tritt der EU AI Act in seiner vollen Wirkung in Kraft. Das sind 36 Tage. Wer jetzt noch keinen einzigen Schritt in Richtung Compliance unternommen hat, riskiert mehr als eine Abmahnung. Und das betrifft auch Betriebe mit 10, 20 oder 50 Mitarbeitenden.

Was der EU AI Act mit deinem Alltag zu tun hat

Der EU AI Act ist das weltweit erste umfassende Regelwerk für Künstliche Intelligenz. Er gilt für jedes Unternehmen, das KI-Systeme in der EU einsetzt, bereitstellt oder entwickelt. Eine Größenausnahme für KMU gibt es dabei ausdrücklich nicht. Wer ChatGPT für Texte nutzt, einen Chatbot auf der Website betreibt oder KI-Funktionen im CRM-System aktiviert hat, ist als sogenannter „Betreiber" reguliert und hat konkrete Pflichten zu erfüllen.

Viele Unternehmen sind sich dessen nicht bewusst. Laut verfügbaren Compliance-Schätzungen haben mehr als 60 Prozent der europäischen KMU noch keinen Compliance-Prozess gestartet. Die Uhr läuft trotzdem.

Was schon gilt und was ab August dazukommt

Der AI Act ist kein Stichtag-Gesetz, das am 2. August 2026 auf einen Schlag in Kraft tritt. Er rollt seit August 2024 schrittweise aus. Das bedeutet: Einige Pflichten treffen dich bereits heute, ob du davon weißt oder nicht.

Seit 2. Februar 2025: Die KI-Kompetenzverpflichtung nach Artikel 4 gilt bereits. Unternehmen, die KI einsetzen, müssen sicherstellen, dass Mitarbeitende über ausreichende KI-Kompetenz verfügen. Wer kein strukturiertes Training nachweisen kann, hat bereits eine aktive Compliance-Lücke.
Seit 2. August 2025: Die Regeln für sogenannte GPAI-Modelle (General-Purpose AI) gelten seit einem Jahr. Das betrifft primär Anbieter wie OpenAI oder Google, aber auch Unternehmen, die eigene Systeme auf Basis dieser Modelle entwickeln.
**Ab 2. August 2026:**Transparenzpflichten nach Artikel 50 werden verpflichtend. Chatbots müssen als KI erkennbar sein. KI-generierte Inhalte müssen gekennzeichnet werden. Das betrifft die meisten KMU direkt.

Der Digital Omnibus: Erleichterung mit einem großen Vorbehalt

Am 7. Mai 2026 einigten sich EU-Gesetzgeber auf den sogenannten Digital Omnibus. Darin enthalten: eine Verschiebung der Hochrisiko-Fristen um 16 Monate. Wer ein KI-System mit hohem Risiko betreibt, zum Beispiel eine KI-gestützte Bewerberselektion oder ein Kreditvergabe-Tool, bekommt mehr Zeit. Die Pflichten nach Anhang III verschieben sich von August 2026 auf den 2. Dezember 2027.

Es gibt aber einen entscheidenden Vorbehalt: Der Rechtsakt ist noch nicht im Amtsblatt der EU veröffentlicht. Bis zur formalen Annahme gilt der AI Act in seiner Originalfassung. Wer die Verschiebung als Freifahrtschein interpretiert, begeht einen Planungsfehler.

Praxis-Tipp: Plant beide Fristen parallel. Richtet eure Pflichten-Roadmap auf den Originaltermin 2. August 2026 aus und nutzt eine mögliche Verlängerung als zusätzlichen Puffer für komplexere Maßnahmen.

Was dich wirklich trifft: Die Transparenzpflichten

Hochrisiko-KI ist für die meisten KMU kein Alltagsthema. Die Transparenzpflichten nach Artikel 50 hingegen schon. Sie gelten ab dem 2. August 2026 unverändert und betreffen praktisch jedes Unternehmen, das KI sichtbar einsetzt.

Chatbots im Kundenservice müssen für Nutzer klar als KI erkennbar sein.
KI-generierte Bilder, Videos oder Texte müssen als solche gekennzeichnet werden, wenn sie für echt gehalten werden könnten.
Eine rein maschinenlesbare Kennzeichnung in den Metadaten reicht dabei nicht aus. Der Hinweis muss für Menschen unmittelbar sichtbar sein.

Wer also mit KI-Assistenten Produkttexte erstellt, Kampagnenbilder generiert oder einen Chatbot auf der Website betreibt, fällt ab August direkt unter diese Regelung. Das trifft mehr Betriebe, als viele ahnen, wie die Compliance-Kalender-Übersicht von Legiscope zeigt.

Das Bußgeld-Risiko für kleine Unternehmen

Artikel 99 des AI Acts sieht drei Bußgeld-Stufen vor:

Bis zu 35 Mio. Euro oder 7 Prozent des Jahresumsatzes bei Verstößen gegen verbotene Praktiken
Bis zu 15 Mio. Euro oder 3 Prozent für die meisten anderen Verstöße
Bis zu 7,5 Mio. Euro oder 1 Prozent für falsche Angaben gegenüber Behörden

Für KMU gilt dabei jeweils der niedrigere der beiden Werte. Das macht den Rahmen handhabbar. Dennoch gilt: Ein durchgesetzter Verstoß kann für einen typischen DACH-Mittelständler existenzbedrohend sein, auch ohne den Maximalbetrag auszuschöpfen.

Was realistisch zu erwarten ist: Die ersten zwölf Monate nach August 2026 werden Behörden erfahrungsgemäß mit Hinweisen und Aufforderungen arbeiten. Das Muster aus der DSGVO-Einführung 2018 wiederholt sich wahrscheinlich. Die ersten echten Millionen-Sanktionen treffen nach 18 bis 24 Monaten typischerweise Konzerne. KMU kommen meist früher per Verwarnungen in Kontakt. Das ändert aber nichts daran, dass dokumentierbare Verstöße bereits ab dem 2. August verfolgt werden können.

Shadow AI: Das unterschätzte Risiko

Ein besonders unterschätzter Punkt: Shadow AI. Darunter versteht man die Nutzung von KI-Tools wie ChatGPT, Copilot oder Bildgeneratoren durch Mitarbeitende ohne formale Genehmigung und ohne Datenschutzprüfung. Wer sagt "Meine Mitarbeitenden nutzen das auf eigene Faust, das zählt nicht", liegt falsch. Wenn KI im Arbeitskontext eingesetzt wird, ist das Unternehmen verantwortlich, unabhängig davon, wer auf "Senden" gedrückt hat.

Shadow AI taucht weder im KI-Inventar noch im Risikomanagement auf. Genau das macht sie zum regulatorischen Problem. Eine klare interne KI-Richtlinie löst dieses Problem mit überschaubarem Aufwand.

Kontext ConRat AI: Plattformen, die DSGVO-konform auf deutschen Servern betrieben werden und Kundendaten nicht für KI-Training verwenden, helfen dabei, Shadow-AI-Risiken strukturell zu reduzieren. Wenn Mitarbeitende eine geprüfte, freigegebene Plattform nutzen, fällt der unkontrollierte Einsatz externer Tools deutlich geringer aus.

Was du jetzt konkret tun kannst

Für ein Unternehmen, das hauptsächlich KI-Tools mit minimalem oder begrenztem Risiko nutzt, ist der Compliance-Aufwand überschaubar. Laut Praxiserfahrungen aus dem KMU-Umfeld beschränkt er sich in vielen Fällen auf einen halben bis ganzen Arbeitstag, wenn man strukturiert vorgeht.

KI-Inventar anlegen: Welche KI-Tools werden im Betrieb genutzt, auch eingebettet in Buchhaltungs- oder CRM-Software? Shadow AI miterfassen.
Risikoklassen prüfen: Die meisten Standard-KI-Tools fallen in die Kategorie „minimales" oder „begrenztes Risiko". Hochrisiko-Systeme wie KI-gestützte Bewerberselektion erfordern mehr Aufwand.
Mitarbeiterschulung dokumentieren: Artikel 4 ist seit Februar 2025 in Kraft. Eine kurze, dokumentierte Einführung in die Grundlagen des verantwortungsvollen KI-Einsatzes erfüllt die Anforderung bereits.
Chatbot-Kennzeichnung anpassen: Falls ein Chatbot auf der Website läuft, muss dieser bis August 2026 klar als KI erkennbar sein.
Interne KI-Richtlinie erstellen: Regelt, welche Tools erlaubt sind, wie mit KI-generierten Inhalten umgegangen wird und wer verantwortlich ist.

Der AI Act Service Desk der EU-Kommission bietet dazu kostenlose Orientierung. In Deutschland richtet die Bundesnetzagentur ebenfalls einen KI-Service Desk speziell für Unternehmen ein.

Unser Fazit

Der 2. August 2026 ist kein Startschuss, bei dem noch nichts gilt. Die Kompetenzverpflichtung gilt seit über einem Jahr. Die Transparenzpflichten kommen in 36 Tagen. Wer jetzt noch abwartet, hat keine valide Begründung mehr. Für die meisten KMU im DACH-Raum ist der Compliance-Aufwand überschaubar und in wenigen Stunden zu bewältigen. Das einzige echte Risiko ist das Warten.