EU AI Act seit August 2026:
Was KMU jetzt konkret beachten müssen

Seit dem 2. August 2026 fragen sich viele Unternehmen, ob sie wegen des EU AI Acts jetzt sofort handeln müssen. Gleichzeitig wissen viele Betriebe gar nicht genau, welche KI-Systeme im Unternehmen bereits genutzt werden und welche Pflichten daraus tatsächlich entstehen.

Fest steht: Seit diesem Datum gelten für Unternehmen in der EU zusätzliche Transparenzpflichten aus dem EU AI Act. In der öffentlichen Diskussion kursieren dazu unterschiedliche Aussagen — teils, weil einzelne Fristen durch das im Mai 2026 beschlossene Vereinfachungspaket („AI Omnibus") nachträglich angepasst wurden. Wer sich orientieren will, sollte deshalb weniger auf ein einzelnes Datum schauen als auf zwei Fragen: Bin ich mit meinen konkreten KI-Anwendungsfällen überhaupt betroffen? Und welche Rolle nimmt mein Unternehmen dabei ein — Anbieter oder Betreiber eines KI-Systems?

Kurz zusammengefasst: Wer KI-Systeme im Kundenkontakt einsetzt (z. B. Chatbots) oder damit Inhalte erzeugt, die öffentlich wirken sollen, hat seit August 2026 konkrete Offenlegungspflichten zu prüfen. Für die technische Kennzeichnung durch Anbieter gilt grundsätzlich ebenfalls der 2. August 2026 — mit einer Übergangsfrist bis Dezember 2026 für Systeme, die bereits vor August 2026 am Markt waren. Welche Pflichten im Einzelfall greifen, hängt stark von der eigenen Rolle und dem konkreten Anwendungsfall ab.

Dieser Artikel richtet sich an Geschäftsführer und Entscheider im deutschen Mittelstand, die einordnen wollen, welche EU-AI-Act-Pflichten für ihr Unternehmen relevant sind — als praxisnahe erste Orientierung, nicht als Ersatz für eine rechtliche Prüfung im Einzelfall.

Was ist der EU AI Act — kurz erklärt

Der EU AI Act (offiziell: EU-Verordnung 2024/1689) ist die europäische KI-Verordnung, die den Einsatz von Künstlicher Intelligenz nach Risikoklassen reguliert — je höher das Risiko eines KI-Systems, desto mehr Pflichten treffen Anbieter und Betreiber. Er gilt seit Februar 2025 gestaffelt und wird bis 2027 in mehreren Stufen vollständig wirksam.

Für die meisten KMU sind dabei zunächst nicht die Hochrisiko-Regeln der Verordnung im Alltag spürbar, sondern die Transparenzpflichten nach Artikel 50 — verbunden mit der grundsätzlichen Frage, welche Rolle das eigene Unternehmen dabei einnimmt.

Bin ich betroffen? Drei typische Situationen

Ob und wie stark Ihr Unternehmen betroffen ist, hängt vom konkreten Anwendungsfall ab. Drei Beispiele, wie sich das in der Praxis unterscheidet:

• Ein Unternehmen nutzt ChatGPT oder ein ähnliches Tool intern, etwa für E-Mail-Entwürfe, Protokolle oder Recherche. Hier entsteht in der Regel keine Offenlegungspflicht gegenüber Kunden — die Nutzung bleibt intern und richtet sich nicht an die Öffentlichkeit.
• Ein Unternehmen setzt einen KI-Chatbot im Kundenservice ein. Hier sollte konkret geprüft werden, ob im Kundenkontakt ein klarer Hinweis auf die KI-Interaktion angezeigt wird.
• Ein Unternehmen erstellt realistisch wirkende KI-Bilder oder -Videos, etwa für Marketing oder Produktdarstellungen. Hier besteht in der Regel eine Offenlegungspflicht, dass der Inhalt künstlich erzeugt oder verändert wurde.

Welche Pflicht im Detail greift und wen sie trifft, hängt an zwei Dingen: dem konkreten Anwendungsfall — und der Rolle, die Ihr Unternehmen dabei einnimmt.

Anbieter oder Betreiber — warum diese Unterscheidung zuerst zählt

Der AI Act unterscheidet konsequent zwischen zwei Rollen, und die meisten Pflichten hängen davon ab, welche davon auf Sie zutrifft:

• Anbieter ist, wer ein KI-System entwickelt oder unter eigenem Namen auf den Markt bringt.
• Betreiber ist, wer ein KI-System im eigenen Geschäftsbetrieb einsetzt, ohne es selbst entwickelt zu haben.

Die meisten KMU sind bei marktüblichen KI-Tools (Chatbot-Anbieter, Textgenerierung, Bildgenerierung) Betreiber, nicht Anbieter. Das ist wichtig, weil sich einzelne Pflichten — etwa die technische Kennzeichnung nach Art. 50 Abs. 2 — primär an den Anbieter des zugrunde liegenden Systems richten, während andere — etwa die Offenlegung im Kundenkontakt — den Betreiber selbst betreffen. Beide Rollen können in der Praxis relevant sein, auch wenn ein Unternehmen „nur" ein fertiges Tool eines Drittanbieters nutzt.

Chatbots und KI-Interaktion: Wer muss was kennzeichnen?

Art. 50 Abs. 1 richtet sich rechtlich zunächst an Anbieter eines KI-Systems: Sie müssen es so konzipieren, dass für Nutzer erkennbar ist, dass sie mit einer KI interagieren.

Setzt Ihr Unternehmen einen fertigen Chatbot eines Drittanbieters ein, sind Sie in der Regel Betreiber, nicht Anbieter. In der Praxis bedeutet das: Statt sich um die technische Konzeption zu kümmern, sollten Sie konkret prüfen, ob im tatsächlichen Kundenkontakt ein klarer KI-Hinweis angezeigt wird — etwa im Chat-Widget selbst oder in einem vorgeschalteten Hinweistext. Fehlt dieser Hinweis, sollte er nachgerüstet oder beim Tool-Anbieter eingefordert werden. Die Pflicht entfällt nur, wenn aus dem Kontext ohnehin offensichtlich ist, dass es sich um KI handelt.

Deepfakes und KI-generierte Texte: Wo die Offenlegungspflicht wirklich greift

Deepfake-Offenlegung (Art. 50 Abs. 4). Wer KI nutzt, um Bild-, Audio- oder Videoinhalte zu erzeugen oder zu manipulieren, die wie echte Personen, Objekte oder Ereignisse wirken, muss das offenlegen. Das betrifft in der Praxis vor allem realistisch wirkende KI-Bild- oder Videoinhalte, nicht erkennbar gestaltete Marketing- oder Illustrationsgrafiken.

KI-generierte Texte (Art. 50 Abs. 4). Hier ist die Reichweite enger, als oft dargestellt: Die Pflicht betrifft Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren — etwa journalistisch anmutende Beiträge zu gesellschaftlich relevanten Themen. Ein mit KI-Unterstützung entworfener Marketingtext, Produktbeschreibung oder Blogartikel eines Unternehmens fällt in aller Regel nicht automatisch darunter.

Zusätzlich entfällt die Kennzeichnungspflicht, wenn der Inhalt einer menschlichen Überprüfung oder redaktionellen Kontrolle unterzogen wurde und eine Person oder ein Unternehmen die redaktionelle Verantwortung für die Veröffentlichung trägt — was bei den meisten unternehmenseigenen Texten ohnehin der Fall ist, wenn ein Mensch den Text vor Veröffentlichung freigibt.

Technische Kennzeichnung durch Anbieter (Art. 50 Abs. 2): Wo die Dezember-Frist tatsächlich greift

Für die technische, maschinenlesbare Kennzeichnung von KI-Ausgaben (Text, Bild, Audio, Video) durch Anbieter — etwa über Wasserzeichen oder Metadaten — gilt grundsätzlich ebenfalls der 2. August 2026. Der Digital Omnibus on AI hat hierfür über eine Änderung von Art. 111 Abs. 4 AI Act eine Übergangsfrist bis zum 2. Dezember 2026 eingeführt, die sich ausdrücklich nur auf KI-Systeme bezieht, die bereits vor dem 2. August 2026 am Markt waren. Für Systeme, die ein Anbieter erst nach dem 2. August 2026 neu auf den Markt bringt, greift die technische Kennzeichnungspflicht ohne Übergangsfrist ab diesem Datum.

Für die meisten KMU als Betreiber ist diese Frist ohnehin zweitrangig: Die eigene, direkte Offenlegungspflicht im Kundenkontakt (Art. 50 Abs. 4) läuft unabhängig davon bereits seit August 2026.

Was ist der AI Omnibus?

Der AI Omnibus ist ein im Mai 2026 von EU-Kommission, Parlament und Rat beschlossenes Vereinfachungspaket zum EU AI Act. Er passt einzelne Fristen an — etwa mit der oben beschriebenen Übergangsregelung für die technische Kennzeichnungspflicht — und entlastet insbesondere Anbieter von KI-Systemen sowie Unternehmen, die selbst Hochrisiko-KI einsetzen, bei bestimmten Dokumentationspflichten.

KI-Kompetenz: Eine Pflicht, die schon länger läuft

Bereits seit dem 2. Februar 2025 verpflichtet Art. 4 Unternehmen dazu, Maßnahmen zur Förderung einer ausreichenden KI-Kompetenz bei Mitarbeitenden zu treffen, die mit KI-Systemen arbeiten. Der AI Act schreibt dafür keine bestimmte Schulungsform, Zertifizierung oder ein standardisiertes Dokumentationsformat vor — entscheidend ist, dass Mitarbeitende im Umgang mit den eingesetzten Systemen ausreichend geschult und sensibilisiert sind. Eine einfache interne Dokumentation, welche Maßnahmen getroffen wurden (Schulungen, Einweisungen, Nutzungsrichtlinien), ist trotzdem sinnvoll, um die Umsetzung im Zweifel nachweisen zu können.

Zuständige Behörde in Deutschland

Die Bundesnetzagentur übernimmt in Deutschland eine zentrale Rolle als Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für den AI Act. Je nach reguliertem Bereich können daneben weitere Fachbehörden zuständig sein, etwa für spezifische, bereits sektoral regulierte Anwendungen. Bei Verstößen können die zuständigen Behörden Sanktionen verhängen, deren Höhe sich nach Art und Schwere des Verstoßes richtet.

Hochrisiko-KI: Kein Thema, das man pauschal abhaken sollte

Anders als teils dargestellt, sind Hochrisiko-Pflichten nicht generell „kein akutes Thema" für den Mittelstand. Gerade Recruiting- und Personalmanagement-Anwendungen (z. B. KI-gestütztes Bewerber-Screening) können unter die Hochrisiko-Kategorie nach Anhang III fallen und sollten gesondert geprüft werden.

Wichtig ist dabei die Unterscheidung zwischen zwei unterschiedlichen Fristenregimen:

• Eigenständige Hochrisiko-Systeme nach Anhang III (z. B. im Bereich Personalmanagement) unterliegen einem eigenen Zeitplan.
• Produktbezogene Hochrisiko-Systeme, die als Sicherheitskomponente in bereits regulierten Produkten verbaut sind (z. B. Maschinen, Medizinprodukte), folgen einem separaten Zeitplan, der sich am jeweiligen Produktrecht orientiert.

Für Unternehmen mit Recruiting-, Personalmanagement- oder produktintegrierten KI-Anwendungen lohnt sich daher eine gesonderte, einzelfallbezogene Einordnung — pauschale Entwarnung ist hier nicht angebracht.

KMU-Erleichterungen: Für wen sie wirklich gelten

Der AI Omnibus sieht vereinfachte technische Dokumentation und weitere Erleichterungen vor — diese richten sich aber vor allem an KMU, die selbst KI-Systeme anbieten oder Hochrisiko-KI einsetzen. Ein Unternehmen, das lediglich marktübliche KI-Tools eines Drittanbieters im Alltag nutzt (also in der Rolle des Betreibers bleibt), hat nicht automatisch dieselben technischen Dokumentationspflichten wie ein Anbieter — und profitiert entsprechend auch nicht im gleichen Maß von den spezifisch dafür gedachten Erleichterungen.

Häufige Fragen zum EU AI Act für KMU

Checkliste: Was KMU jetzt konkret tun sollten

• KI-Tools und Anwendungsfälle erfassen — welche Systeme setzen wir wo im Unternehmen ein?
• Eigene Rolle bestimmen — sind wir für den jeweiligen Anwendungsfall Anbieter oder Betreiber?
• Kundenkontakt und Transparenzhinweise prüfen — wird KI-Interaktion im tatsächlichen Kontakt klar angezeigt?
• Recruiting-, Marketing- und Deepfake-Anwendungen gesondert betrachten — hier gelten teils eigene, strengere Maßstäbe.
• KI-Kompetenzmaßnahmen organisieren und dokumentieren — Schulungen, Einweisungen, interne Richtlinien.
• Datenschutz, Urheberrecht, Geschäftsgeheimnisse und Arbeitsrecht mitdenken — der AI Act steht nicht isoliert neben anderen rechtlichen Anforderungen.
• Interne Verantwortlichkeiten festlegen — wer gibt KI-gestützte Inhalte frei, wer kontrolliert die Einhaltung?

Diese Checkliste ersetzt keine rechtliche Prüfung, hilft aber, den eigenen Handlungsbedarf strukturiert einzuordnen.