eu ai act: was zum 2. august 2026 greift
Ab 2. August 2026 gelten die Hochrisiko- und Transparenzpflichten. Was das für KMU heißt, was bis dahin zu tun ist - und was die Digital-Omnibus-Debatte daran ändern könnte.
von tokyn studio · 4 min lesezeit
TL;DR. Am 2. August 2026 wird der EU AI Act für die meisten Unternehmen erst richtig scharf: Die Pflichten für Hochrisiko-Systeme (Anhang III) und die Transparenzpflichten (Art. 50) werden anwendbar. Die meisten KMU sind dabei Betreiber, nicht Anbieter - mit deutlich leichteren, aber realen Pflichten. Parallel diskutiert die EU im „Digital Omnibus" eine mögliche Verschiebung einzelner Hochrisiko-Regeln. Planungsgrundlage bleibt der 2.8.2026. Stand: 2026-06.
> Schnell-Check: In welche Risikoklasse fällt euer KI-Einsatz? Unser kostenloser EU-AI-Act-Check ordnet ihn in 4 Fragen ein.
der 2. august 2026 - der eigentliche stichtag
Der EU AI Act ist seit dem 1. August 2024 in Kraft, aber gestaffelt. Bislang galten nur die ersten Stufen: seit Februar 2025 die verbotenen Praktiken und die KI-Kompetenz-Pflicht (Art. 4), seit August 2025 die Regeln für General-Purpose-AI-Modelle und die Governance-Struktur.
Der 2. August 2026 ist die Stufe, die den breiten Mittelstand trifft: Ab diesem Datum gelten die Pflichten für Hochrisiko-Systeme nach Anhang III und die Transparenzpflichten nach Art. 50. Wer KI nicht nur baut, sondern einsetzt, sollte bis dahin wissen, in welche Kategorie die eigenen Use-Cases fallen.
was ab diesem datum konkret gilt
Transparenzpflichten (Art. 50). Das ist die Regel, die fast jedes KMU mit Kundenkontakt betrifft. Wer einen Chatbot oder Voice Agent einsetzt, muss Nutzer darüber informieren, dass sie mit einer KI sprechen - sofern das nicht offensichtlich ist. KI-generierte oder -bearbeitete Inhalte (Bild, Audio, Video, Text mit öffentlicher Relevanz) müssen maschinenlesbar als solche gekennzeichnet sein. Aufwand: gering, aber Pflicht.
Hochrisiko-Systeme (Anhang III). Hierunter fallen klar umrissene Einsatzfelder: KI im Recruiting (Bewerber-Scoring, Lebenslauf-Filter), Bonitäts- und Kreditbewertung, KI in kritischer Infrastruktur, in der Bildung, im Zugang zu wesentlichen Diensten. Für diese Systeme gelten harte Pflichten - Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht, Protokollierung. Die gute Nachricht für die meisten KMU: Die typischen Use-Cases - Company-GPT für interne Recherche, E-Mail-Triage, Lead-Qualifizierung - sind in der Regel kein Hochrisiko.
GPAI - nächste Stufe. Modelle, die vor August 2025 auf den Markt kamen, müssen bis August 2027 nachziehen. Für euch als Betreiber heißt das vor allem: darauf achten, dass der eingesetzte Anbieter seine GPAI-Pflichten erfüllt (Dokumentation, Copyright-Policy, Trainingsdaten-Zusammenfassung).
seid ihr betroffen? anbieter vs. betreiber
Die zentrale Weichenstellung des AI Act: Anbieter (provider) entwickeln ein KI-System oder bringen es unter eigenem Namen in den Verkehr. Betreiber (deployer) setzen ein bestehendes System unter eigener Verantwortung ein. Die allermeisten KMU sind Betreiber - sie nutzen ChatGPT Enterprise, Copilot, einen Voice-Agent-Dienst oder ein über uns gebautes Setup.
Betreiberpflichten sind deutlich schlanker als Anbieterpflichten, aber nicht null - besonders bei Hochrisiko-Systemen: die Nutzung gemäß Anleitung, menschliche Aufsicht sicherstellen, Eingabedaten im Rahmen der eigenen Kontrolle relevant halten, Logs aufbewahren, betroffene Personen informieren. Wer ein System aber wesentlich verändert oder unter eigenem Namen weitervertreibt, kann selbst zum Anbieter werden - eine Grenze, die man kennen sollte, bevor man sie überschreitet.
die digital-omnibus-debatte: kommt eine verschiebung?
Ende 2025 hat die EU-Kommission im Rahmen des „Digital Omnibus" Vorschläge zur Vereinfachung des AI Act vorgelegt - darunter die Idee, einzelne Hochrisiko-Pflichten zu strecken oder an die Verfügbarkeit von Standards zu koppeln. Ob und in welcher Form das kommt, war zur Drucklegung dieses Beitrags nicht final entschieden.
Unsere Einschätzung: Plant mit dem 2.8.2026 als Baseline. Eine mögliche Erleichterung bei Hochrisiko-Regeln ändert nichts an den Transparenzpflichten und nichts daran, dass ihr eure Use-Cases klassifizieren solltet. Wer wartet, bis die Rechtslage „endgültig" ist, verschenkt genau die Vorlaufzeit, die das Gesetz einräumt.
checkliste bis august
1. Use-Case-Inventar. Jeden produktiven KI-Einsatz auflisten - mit Rolle (Anbieter/Betreiber) und Risikoklasse (verboten / hoch / begrenzt / minimal). 2. Transparenz-Bausteine. Hinweistexte für Chatbots, Voice Agents und KI-erzeugte Inhalte vorbereiten - DE und EN. 3. KI-Kompetenz (Art. 4). Schon seit Februar 2025 Pflicht und oft übersehen: Mitarbeitende, die KI einsetzen, brauchen ein angemessenes Grundverständnis. Ein kurzes internes Briefing reicht meist - aber es muss stattfinden. 4. Hochrisiko-Check. Recruiting-, Scoring- oder Bonitäts-KI im Einsatz? Dann früh die Anbieterpflichten prüfen - hier steckt der eigentliche Aufwand. 5. DSGVO-Abgleich. Der AI Act ersetzt die DSGVO nicht, er ergänzt sie. Wer beides parallel dokumentiert, halbiert den Aufwand (siehe unser DSGVO-+-AI-Beitrag).
was wir bei tokyn dazu tun
Wir bauen die AI-Act-Einordnung fest in unsere Beratungs- und Umsetzungsprojekte ein - kein separates Compliance-Projekt, sondern Teil des Setups:
- Use-Case-Klassifizierung (Anbieter/Betreiber, Risikoklasse) je Projekt
- fertige Transparenz-Hinweise für Voice und Text, DE + EN
- KI-Kompetenz-Briefing fürs Team
- Abgleich mit dem DSGVO-Verarbeitungsverzeichnis
Wer wissen will, wo die eigenen Use-Cases stehen: Ein 30-minütiges Erstgespräch ist kostenlos und ohne Pitch-Deck. Für die Grundlagen lohnt vorab unser EU-AI-Act-Leitfaden.
quellen
verwandter service
dein fall, konkret - reden wir.
30 Minuten, kein Pitch-Deck. Wir schauen uns deinen Use Case an und sagen ehrlich, ob und wie es sich lohnt.