Ein Monat EU AI Act – ein Rückblick, was jetzt gilt

Seit dem 2. August 2026 ist der EU AI Act in seiner nächsten Stufe scharf. Die aufwendigen Hochrisiko-Pflichten wurden per „Digital Omnibus" auf Dezember 2027 verschoben – die Transparenz- und Kennzeichnungspflicht nach Art. 50 gilt aber unverändert seit dem Stichtag.

Ein Monat ist rum. Kein Weltuntergang, kein Roboteraufstand, keine Behörde, die morgens um acht bei dir vor der Tür steht. Aber: Dein Chatbot muss sich jetzt outen, dein Deepfake-Content braucht ein Label, und die große "Verschiebung", über die alle reden, betrifft wahrscheinlich gar nicht dich oder andere kleine Unternehmen.

Wir schauen uns an, was am 2. August 2026 wirklich passiert ist, was nur in den Schlagzeilen groß war, und was du als KMU jetzt konkret tun solltest — ohne Jurastudium.

Inhalt des Beitrags

Kapitel 1: Der 2. August 2026 – was ist eigentlich passiert?

Am 2. August 2026 wurden die Transparenzpflichten (Art. 50) und die GPAI-Regeln des EU AI Act anwendbar – die Hochrisiko-Pflichten aus Anhang III wurden hingegen durch den Digital Omnibus auf Dezember 2027 verschoben.

Der EU AI Act rollt nicht auf einen Schlag aus, sondern in Etappen — wie ein Software-Update, das in Phasen ausgerollt wird, nur mit mehr Bußgeldern und weniger Patch Notes.

• Februar 2025: Verbote bestimmter KI-Praktiken (Art. 5) und Pflicht zur KI-Kompetenz (Art. 4)
• August 2025: Governance-Regeln und Pflichten für General-Purpose-AI-Modelle (GPAI)
• 2. August 2026: Transparenz- und Kennzeichnungspflichten (Art. 50) treten in Kraft
• Ursprünglich ebenfalls für den 2. August 2026 geplant, jetzt verschoben: die vollen Hochrisiko-Pflichten aus Anhang III

Am 27. Juli 2026 hat der Gesetzgeber über die sogenannte Digital-Omnibus-Verordnung den Zeitplan noch einmal neu sortiert. Die Kurzfassung in den Schlagzeilen lautete "Die EU verschiebt die KI-Regeln" — das stimmt, ist aber eben nur die halbe Geschichte.

Kurzfassung: der Digital Omnibus der EU

Der Digital Omnibus ist eine EU-Verordnung, die Teile des AI-Act-Zeitplans anpasst, ohne die Pflichten selbst abzuschaffen: Die Hochrisiko-Fristen wurden nach hinten verschoben, die Transparenzpflichten blieben unangetastet.

Wichtig für dich: Eine Verschiebung ist kein Erlass. Die Pflichten entfallen nicht, sie rücken nur zeitlich nach hinten — für genau den Teil, den die wenigsten KMU überhaupt betrifft.

Kapitel 2: Die Verschiebung – nur mäßig relevant für die meisten KMU

Die Hochrisiko-Pflichten nach Anhang III wurden auf den 2. Dezember 2027 verschoben, Hochrisiko-KI in regulierten Produkten (Anhang I) auf den 2. August 2028 – betroffen sind vor allem Anbieter spezialisierter Systeme, nicht der typische KMU-Alltag.

Hier kommt die gute Nachricht des Monats: Wenn dein Unternehmen keine KI-gestützte Bewerber-Vorauswahl, kein medizinisches Gerät und keine kritische Infrastruktur betreibt, war die große "Verschiebung"-Schlagzeile für dich vermutlich gar nicht die relevante Nachricht.

Wer ist betroffen von Hochrisikosystemen

Zu den Hochrisiko-Kategorien nach Anhang III zählen unter anderem Systeme in den Bereichen Personalauswahl, Bildung, kritische Infrastruktur, Strafverfolgung, Migration und bestimmte biometrische Anwendungen. Kurzum alle Systeme in denen KI über Menschen entscheidet und kritische Infrastruktur.

• Automatisierte Vorauswahl oder Bewertung von Bewerbungen (HR-Bereich)
• KI-gestützte Bewertungssysteme im Bildungswesen (z. B. Prüfungsauswertung)
• Systeme in kritischer Infrastruktur (Energie, Wasser, Verkehr)
• Bestimmte biometrische Identifikation und Kategorisierung
• KI in regulierten Produkten wie Medizingeräten (Anhang I)

Warum keine Entwarnung?

Trotzdem: Aufatmen ist erlaubt, Zurücklehnen nicht. Wer jetzt nicht mit einer groben KI-Inventur startet, verschenkt schlicht die gewonnene Vorbereitungszeit — die Pflicht kommt 2027 trotzdem, nur eben mit mehr Vorlauf. Und: Sollte dein Unternehmen doch ein Tool einsetzen, das näher an "Hochrisiko" liegt als gedacht (dazu mehr in Kapitel 5), lohnt sich der Blick jetzt schon.

Kapitel 3: Die Transparenzpflicht – das betrifft wirklich (fast) jeden

Artikel 50 des EU AI Act verpflichtet Anbieter und Betreiber bestimmter KI-Systeme dazu, Menschen ggü .erkennbar zu machen, wenn sie mit KI interagieren oder KI-generierte Inhalte konsumieren.

Während Kapitel 2 die Schlagzeile war, ist das hier das Kapitel, das wirklich fast jedes Unternehmen betrifft — auch dich, auch wenn du "nur" einen kleinen Chat-Widget auf deiner Website oder einen KI Assistenten im Email oder ERP System hast.

Chatbots und andere KI Tools kennzeichnen

Jedes KI-System, das direkt mit Personen interagiert – etwa Chatbots oder Voicebots – muss so gestaltet sein, dass Nutzer klar erkennen können, dass sie es mit KI zu tun haben. Sofort von Beginn an!

Anbieter von KI-Systemen, die mit natürlichen Personen interagieren, müssen sicherstellen, dass die betroffenen Personen darüber informiert werden, dass ein KI-System im Spiel ist. Ausnahme: Es ist aus dem Kontext völlig offensichtlich — was as in der Praxis heisst, weiss heute noch keiner. Beim Rechtsstreit werden dann nach und nach die Grauzonen durch Urteile langsam ausgeleuchtet.

Deepfakes kennzeichnen

Täuschend echte KI-generierte oder manipulierte Bild-, Audio- oder Videoinhalte müssen als solche gekennzeichnet werden.

Das betrifft nicht nur Hollywood-Deepfakes, sondern auch das schnell mit KI erzeugte Werbevisual oder das "optimierte" Produktfoto, das mit der Realität nur noch entfernt verwandt ist.

KI generierte Texte, wenn...

Auch KI-generierte Texte, die veröffentlicht werden, um die Öffentlichkeit über Themen von öffentlichem Interesse zu informieren, müssen gekennzeichnet werden — es sei denn, ein Mensch hat den Text redaktionell geprüft und übernimmt die Verantwortung dafür. Für die meisten Blogartikel und Unternehmensnews mit menschlichem Review bleibt hier also Luft, aber eben nicht automatisch für alles.

Was gilt für typische KMU in der Praxis?

Konkret heißt das für ein typisches KMU: Website-Chatbot braucht einen Hinweis, ein KI-generiertes Werbebild für Social Media braucht ein Label, und ein KI-Entwurf für den Newsletter, den vorher niemand gegengelesen hat, wird zum Risiko.

Bussgelder

Verstöße gegen die Transparenzpflichten können mit Bußgeldern von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden.

Zum Vergleich: Verbotene Praktiken nach Art. 5 werden noch härter bestraft, mit bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Die Transparenzpflicht liegt preislich also im "immer noch sehr unangenehm"-Bereich, nicht im "das übersteht kein KMU"-Bereich — trotzdem kein Grund, es drauf ankommen zu lassen.

Kapitel 4: Was tun, wenn ich schon einen KI-Chatbot auf der Website habe?

Bereits eingesetzte Website-Chatbots fallen unter die Informationspflicht aus Art. 50 Abs. 1 – Nutzer müssen beim ersten Kontakt klar erkennen können, dass sie mit KI sprechen.

Die gute Nachricht: Das ist meistens keine Neuentwicklung, sondern eine halbe Stunde UX-Text. Die schlechte Nachricht: "Wir dachten, das sei eh klar" reicht rechtlich nicht.

Sofortmassnahmen für Chatbots und KI Tools

• Sichtbarer Hinweis beim Öffnen des Chat-Fensters, nicht erst nach drei Klicks
• Verständliche Formulierung im Begrüßungstext, keine versteckte AGB-Klausel
• Kennzeichnung bleibt während der gesamten Konversation zugänglich, nicht nur beim ersten Satz
• Ausnahme prüfen: Ist der KI-Charakter wirklich für jeden sofort "offensichtlich"? Im Zweifel: kennzeichnen

Beispiel

Ein einfacher, rechtssicherer Startpunkt für den Begrüßungstext:

Hinweis: Du sprichst hier mit einem KI-Assistenten, keinem Menschen.

Kapitel 5: Was tun, wenn ich schon einen internen KI-Chatbot habe?

Auch intern eingesetzte KI-Systeme, die mit Mitarbeitenden interagieren, fallen unter Art. 50 – die Verordnung unterscheidet nicht zwischen externen Kunden und internen Nutzern.

Der Denkfehler, der uns am häufigsten begegnet: "Ist doch nur intern, das zählt nicht." Zählt es doch. Der AI Act fragt nicht, ob die Person Kunde oder Kollege ist, sondern ob ein Mensch mit einem KI-System interagiert.

Zusätzlich greift hier die Pflicht des Arbeitgebers für die nötige KI Kompetenz der Mitarbeiter zu sorgen, die mit der KI umgehen ("AI Literacy")! Wichtiger Punkt: "nötige" - die Kompetenz muss ausreichen um die KI zuverlässig und sicher zu bedienen - wir brauchen nicht für alle plötzlich umfangreiche Lehrgänge, auch wenn das auf Linkedin gerne so verkauft wird. 

Abgrenzung u Hochrisiko

Wichtig ist hier die Abgrenzung zu Kapitel 2: Ein interner Chatbot, der Fragen zur Urlaubsregelung beantwortet, ist ein Transparenzfall. Ein KI-System, das eigenständig über Bewerbungen, Beförderungen oder Kündigungen mitentscheidet, kann dagegen in die Hochrisiko-Kategorie aus Anhang III rutschen — und damit potenziell unter die verschobenen, aber eben nicht abgeschafften Pflichten aus Kapitel 2 fallen. Hier lohnt sich im Zweifel eine kurze rechtliche Einordnung.

PRaxis Tipps

• Hinweis auf den KI-Charakter direkt im Onboarding oder Intranet-Eintrag des Tools platzieren
• Kurz dokumentieren, welche internen Tools KI nutzen und wo die Kennzeichnung erfolgt — nützlich für spätere Nachweise
• Bei Tools mit Entscheidungsrelevanz (HR, Beförderungen) Rücksprache mit Betriebsrat oder Rechtsberatung halten
• Nötige KI-Kompetenz der Mitarbeiter sicherstellen

Kapitel 6: Der EU Practical Guide – der Code of Practice zur Kennzeichnung

Die EU-Kommission hat am 10. Juni 2026 einen freiwilligen Code of Practice samt einheitlicher EU-Icons zur Kennzeichnung von KI-Inhalten veröffentlicht, ergänzt durch finale Leitlinien vom 20. Juli 2026.

Niemand liest 80 Seiten EU-Leitfaden zum Frühstück, also haben wir das für dich getan. Die Kurzversion: die Kommission liefert mit dem Code of Practice einen praktischen Weg zur Einhaltung von Artikel 50, ohne selbst neues bindendes Recht zu schaffen (Download als PDF hier).

Icons

Vorgesehen ist ein standardisiertes, kontrastreiches "KI"-Icon, das bei Bedarf um einen kurzen Text wie "Mit KI erstellt" ergänzt werden kann. Solange das Icon noch nicht final etabliert ist, empfiehlt sich weiterhin ein simples Klartext-Label wie "KI-generiert" — unspektakulär, aber wirksam.

Freiwilligkeit

Wichtig zu verstehen: Der Code ist freiwillig. Er ersetzt nicht die gesetzliche Pflicht aus Art. 50, sondern liefert eine anerkannte Vorlage, an der man sich orientieren kann — was im Zweifel auch gegenüber Behörden hilfreich ist, um zu zeigen, dass man sich ernsthaft bemüht hat.

Einordnung

Für dich als KMU heißt das: Du musst dir kein eigenes Label-Design ausdenken. Orientier dich an der Vorlage der Kommission, dann bist du auf der sicheren Seite, ohne bei null anzufangen.

FAQ

• Gilt der 2. August 2026 jetzt oder nicht? Ja, teilweise: Transparenzpflichten und GPAI-Regeln gelten seit diesem Datum. Die Hochrisiko-Pflichten wurden auf Dezember 2027 bzw. August 2028 verschoben.
• Muss ich meinen Chatbot sofort kennzeichnen? Ja, die Pflicht gilt bereits seit dem 2. August 2026, unabhängig davon, ob der Bot neu oder schon länger im Einsatz ist.
• Betrifft mich die Verschiebung der Hochrisiko-Pflichten? Nur, wenn du KI in sensiblen Bereichen wie HR-Entscheidungen, kritischer Infrastruktur oder regulierten Produkten einsetzt. Für die meisten KMU steht die Transparenzpflicht im Vordergrund.
• Muss ich den Code of Practice der EU befolgen? Nein, er ist freiwillig. Er ist aber eine praktische Orientierungshilfe, um die gesetzliche Pflicht aus Art. 50 nachweisbar umzusetzen.
• Was passiert bei Verstößen gegen die Transparenzpflicht? Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes sind möglich.