EU AI Act: Transparenzpflichten und Durchsetzung für DACH-Unternehmen ab 2. August 2026

Der 2. August 2026 markiert für Unternehmen im gesamten DACH-Raum einen entscheidenden Zeitpunkt. An diesem Datum treten weitreichende Bestimmungen des EU AI Acts in Kraft, die insbesondere umfassende Transparenzpflichten und die Durchsetzung von Regeln für KI-Modelle mit allgemeinem Verwendungszweck, sogenannte General-Purpose AI, GPAI, umfassen. Während der EU AI Act als solcher bereits seit dem 1. August 2024 gilt und einige Fristen noch bevorstehen, erfordert dieser spezifische Stichtag von Unternehmen sofortiges, pragmatisches Handeln. Es geht darum, Compliance sicherzustellen, empfindliche Strafen zu vermeiden und gleichzeitig die Chancen verantwortungsvoller KI-Nutzung zu erkennen. Die Auswirkungen dieser Regulierung reichen von der Anpassung interner Prozesse über umfassende Schulungsmaßnahmen für Mitarbeitende bis hin zu einer grundlegenden Neubewertung eingesetzter KI-Tools.

Was der 2. August 2026 konkret bedeutet: Transparenz und Durchsetzung für GPAI

Der EU AI Act ist die weltweit erste umfassende KI-Verordnung. Sie verfolgt einen risikobasierten Ansatz, um vertrauenswürdige KI in Europa zu fördern. Seit dem Inkrafttreten der Verordnung werden ihre Bestimmungen schrittweise anwendbar. Der 2. August 2026 ist ein wichtiger Meilenstein für die unternehmerische Praxis.

1. Umfassende Transparenzpflichten nach Artikel 50: Ab dem 2. August 2026 müssen Anbieter und Betreiber bestimmter KI-Systeme weitreichende Transparenzpflichten erfüllen. Dies betrifft vier konkrete Anwendungsszenarien, die für viele Unternehmen im Mittelstand relevant sind: * Interaktion mit KI-Systemen: Nutzer müssen explizit darüber informiert werden, wenn sie direkt mit einem KI-System interagieren. Dies gilt für Chatbots, Sprachassistenten oder andere automatisierte Dialogsysteme, es sei denn, der KI-Charakter ist offensichtlich. Das bedeutet, ein einfacher Hinweis wie „Sie sprechen mit einem KI-Assistenten“ ist oft notwendig. * Generierte oder manipulierte Inhalte: Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen maschinenlesbare Markierungen, sogenannte Wasserzeichen, in diese Inhalte einbetten. Zusätzlich müssen sie einen Erkennungsmechanismus bereitstellen, der die künstliche Herkunft des Inhalts verifizierbar macht. Für generative Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, gilt hierfür eine Übergangsfrist bis zum 2. Dezember 2026. Dies soll Manipulation und Desinformation entgegenwirken. * Emotionserkennung und biometrische Kategorisierung: Betreiber solcher Systeme müssen die betroffenen Personen über deren Einsatz informieren. Dies ist besonders relevant in Kontexten, wo beispielsweise Gesichtserkennung oder Stimmanalyse zum Einsatz kommt, um emotionale Zustände oder biometrische Merkmale zu identifizieren. * Deepfakes und KI-generierte Texte von öffentlichem Interesse: Werden sogenannte Deepfakes, also manipulierte Medien, oder KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse veröffentlicht, muss die künstliche Herkunft des Inhalts offengelegt werden. Eine Ausnahme besteht, wenn eine substanzielle menschliche redaktionelle Überprüfung stattgefunden hat, die den Inhalt eigenständig validiert hat. Diese Vorgaben sollen das Vertrauen der Nutzer in digitale Inhalte stärken und die Verbreitung von irreführenden Informationen eindämmen.

2. Durchsetzung für GPAI-Modelle: Auch die Durchsetzungsbefugnisse des EU AI Office und der nationalen Behörden für KI-Modelle mit allgemeinem Verwendungszweck, GPAI, greifen ab dem 2. August 2026. Anbieter von GPAI-Modellen müssen Transparenz- und Urheberrechtspflichten erfüllen. Für GPAI-Modelle, die systemische Risiken darstellen, wie beispielsweise Modelle, die mit einer Rechenleistung von mehr als 10^25 FLOP trainiert wurden, gelten strengere Regeln. Dazu gehören verschärfte Anforderungen an Qualitäts- und Risikomanagement sowie das Reporting an staatliche Stellen. Unternehmen, die solche Modelle entwickeln oder nutzen, müssen sich auf eine intensivere Prüfung und engere Zusammenarbeit mit den Behörden einstellen.

KI-Kompetenz: Eine unterschätzte und bereits gültige Pflicht

Ein oft übersehener, aber bereits seit dem 2. Februar 2025 geltender Aspekt des EU AI Acts ist die Pflicht zur Sicherstellung einer angemessenen KI-Kompetenz, auch AI Literacy genannt, gemäß Artikel 4. Diese Pflicht betrifft alle Unternehmen, die KI-Systeme einsetzen, und zwar unabhängig von deren Risikokategorie. Es ist ein Missverständnis, dass diese Anforderung erst mit den spezifischen Regeln für Hochrisiko-KI-Systeme wirksam wird. Unternehmen, die jetzt noch keine entsprechenden Maßnahmen ergriffen haben, sind bereits im Verzug.

Was bedeutet das konkret? Mitarbeitende, die mit KI-Systemen arbeiten oder deren Ergebnisse nutzen, müssen ein grundlegendes Verständnis für deren Funktionsweise, Einsatzmöglichkeiten, aber auch für deren Grenzen und potenzielle Risiken besitzen. Dies beinhaltet nicht nur die technische Bedienung eines Tools, sondern auch das kritische Hinterfragen von KI-generierten Ergebnissen, das Erkennen von möglichen Verzerrungen, sogenannten Biases, und das Bewusstsein für Datenschutz und ethische Implikationen. Eine Erhebung von dotmagazine zeigt, dass sich nur 36% der befragten Unternehmen vorbereitet fühlen. Dies deutet darauf hin, dass viele DACH-Unternehmen hier eine signifikante Lücke aufweisen.

Es gibt keinen vorgeschriebenen Lehrplan für diese Schulungen. Unternehmen müssen jedoch nachweisen können, dass sie ihrer Schulungspflicht nachgekommen sind. Dies erfordert eine systematische Vorgehensweise, die Dokumentation der Schulungsinhalte und der Teilnehmenden sowie eine regelmässige Überprüfung der vermittelten Kompetenzen. Für den Mittelstand bedeutet dies, dass Investitionen in interne oder externe Schulungsprogramme jetzt unvermeidbar sind. Es geht darum, das Personal zu befähigen, KI als Werkzeug verantwortungsvoll und effektiv einzusetzen, statt es unkritisch zu übernehmen.

Hochrisiko-KI: Keine direkte Pflicht am 2. August, aber Handlungsbedarf besteht

Entgegen mancher früherer Annahmen treten die vollständigen Anforderungen für Hochrisiko-KI-Systeme, gemäß Anhang III der Verordnung, *nicht* am 2. August 2026 in Kraft. Diese wurden durch das Digital Omnibus-Gesetz verschoben und werden erst später vollständig anwendbar: am 2. Dezember 2027 für eigenständige Hochrisiko-KI-Systeme und am 2. August 2028 für Hochrisiko-KI, die in Produkte wie Aufzüge oder medizinische Geräte integriert sind.

Diese Verzögerung darf jedoch nicht als Freibrief missverstanden werden, untätig zu bleiben. Unternehmen, die solche Systeme entwickeln oder nutzen, sollten bereits jetzt mit der Vorbereitung beginnen. Die Einrichtung eines umfassenden Risikomanagementsystems, einer stringenten Daten-Governance, der Erstellung technischer Dokumentationen und der Aufbau von Konformitätsbewertungsverfahren sind zeitintensive Prozesse. Ein typisches Beispiel für Hochrisiko-KI im Unternehmenskontext sind Systeme, die in den Bereichen Beschäftigung und Personalverwaltung eingesetzt werden, etwa zur Bewerberauswahl, Leistungsbeurteilung oder zur Schichtplanung. Auch KI-gestützte Kreditvergabesysteme oder Anwendungen in kritischen Infrastrukturen fallen darunter. Diese Systeme können weitreichende Auswirkungen auf das Leben von Menschen haben, weshalb die Anforderungen an ihre Robustheit, Transparenz und Fairness besonders hoch sind. Wer hier zu spät beginnt, riskiert nicht nur die Compliance, sondern auch schwerwiegende Störungen im Geschäftsbetrieb, wenn die Deadlines in ein oder zwei Jahren tatsächlich greifen. Eine proaktive Haltung ist hier der einzig sinnvolle Weg.

Praktische Handlungsempfehlungen für DACH-Unternehmen

Die neuen Regelungen stellen insbesondere den Mittelstand im DACH-Raum vor große, aber beherrschbare Herausforderungen. Viele Unternehmen nutzen bereits KI-Tools wie ChatGPT, Microsoft Copilot oder KI-gestützte Bewerbermanagementsysteme, ohne sich der damit verbundenen rechtlichen Pflichten voll bewusst zu sein. Kapitel H empfiehlt folgende konkrete Schritte, um die Compliance zu gewährleisten und Wettbewerbsvorteile zu sichern:

1. KI-Inventur und Risikoklassifizierung: Erstellen Sie eine umfassende Liste aller in Ihrem Unternehmen eingesetzten KI-Systeme, intern wie extern. Klassifizieren Sie diese Systeme anhand des risikobasierten Ansatzes des AI Acts. Tools zur Bewerbervorauswahl, Leistungsbeurteilung oder Schichtplanung können schnell als Hochrisiko eingestuft werden. Eine genaue Bestandsaufnahme ist die Grundlage jeder weiteren Massnahme. 2. Transparenzmechanismen implementieren: Stellen Sie sicher, dass alle direkten KI-Interaktionen mit Nutzern klar gekennzeichnet sind. Für generierte Inhalte, ob Text, Bild oder Video, müssen maschinenlesbare Markierungen und Erkennungsmechanismen etabliert werden. Bei Deepfakes und KI-generierten Texten von öffentlichem Interesse ist eine sichtbare Offenlegung der künstlichen Herkunft zwingend erforderlich. Überprüfen Sie Ihre Websites, Kundenportale und Kommunikationskanäle auf entsprechende Anpassungen. 3. Governance und Dokumentation etablieren: Implementieren Sie ein robustes Governance-System, das den gesamten Lebenszyklus von KI-Systemen in Ihrem Unternehmen abdeckt. Dazu gehören die Erstellung und Pflege technischer Dokumentationen, eine klare Daten-Governance, die regelt, wie Daten für KI-Systeme gesammelt, verarbeitet und gespeichert werden, sowie umfassende Risikomanagementprozesse. Dies schafft nicht nur Compliance, sondern auch interne Klarheit und Nachvollziehbarkeit. 4. Mitarbeiterschulungen zur KI-Kompetenz: Um die bereits seit Februar 2025 geltende AI-Literacy-Pflicht zu erfüllen, sind systematische und dokumentierte Schulungen für alle relevanten Mitarbeitenden unerlässlich. Diese sollten nicht nur die rechtlichen Rahmenbedingungen abdecken, sondern auch die praktischen Auswirkungen der KI-Nutzung, das Erkennen von Fehlerquellen und das kritische Denken im Umgang mit KI-Ergebnissen fördern. 5. Anbieter-Compliance prüfen: Überprüfen Sie die Compliance Ihrer externen KI-Anbieter genau. Stellen Sie sicher, dass entsprechende vertragliche Vereinbarungen, wie beispielsweise Auftragsverarbeitungsverträge gemäß DSGVO, existieren und die Anforderungen des AI Acts abdecken. Die oft unkritische Verwendung von “Free-Versionen” kommerzieller KI-Anbieter ohne vertragliche Zusicherungen ist aus datenschutzrechtlicher und AI-Act-Sicht oft problematisch und birgt erhebliche Risiken. 6. Schnittstellen zur DSGVO beachten: Der AI Act ersetzt die DSGVO nicht, sondern ergänzt sie. Beide Verordnungen gelten parallel. Eine integrierte Compliance-Strategie ist erforderlich, da viele KI-Systeme personenbezogene Daten verarbeiten. Achten Sie auf Konsistenz und Überschneidungen in Ihren Richtlinien und Prozessen.

Durchsetzung und Konsequenzen bei Nichteinhaltung

Die Durchsetzung der neuen Regeln erfolgt durch das EU AI Office der Europäischen Kommission und die nationalen Marktüberwachungsbehörden der Mitgliedstaaten. In Deutschland übernimmt die Bundesnetzagentur eine zentrale Rolle und hat hierfür bereits einen „KI Service Desk“ sowie eine Beschwerdestelle eingerichtet. Unternehmen können dort Unterstützung bei der Einordnung ihrer KI-Systeme und Fragen zur Umsetzung erhalten. Dies zeigt, dass die Behörden bereit sind, die Einhaltung zu überwachen und durchzusetzen.

Die Nichteinhaltung der Transparenzpflichten kann zu empfindlichen Bußgeldern führen. Diese können bis zu 15 Millionen Euro oder 3% des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Bei schwerwiegenderen Verstößen, insbesondere gegen verbotene KI-Praktiken, können die Strafen sogar bis zu 35 Millionen Euro oder 7% des weltweiten Jahresumsatzes erreichen. Es ist wichtig zu verstehen, dass diese Sanktionen nicht nur für große Konzerne gelten, sondern auch für kleine und mittlere Unternehmen. Die Konsequenzen gehen jedoch über reine finanzielle Strafen hinaus: Reputationsschäden, der Verlust von Kundenvertrauen und mögliche Wettbewerbsnachteile können ebenso gravierend sein.

Fazit

Der 2. August 2026 ist kein abstraktes Datum in ferner Zukunft, sondern ein Stichtag, der jetzt konkrete Maßnahmen von allen Unternehmen im DACH-Raum erfordert, die KI-Systeme einsetzen. Die Transparenzpflichten des EU AI Acts sind ab diesem Tag vollumfänglich durchsetzbar, und die nationalen Behörden sind auf die Überwachung vorbereitet. Angesichts der potenziellen finanziellen Risiken und der bereits seit 2025 geltenden KI-Kompetenzpflicht ist eine proaktive und integrierte Compliance-Strategie unerlässlich. Unternehmen müssen rechtliche Fallstricke vermeiden und das Vertrauen in den verantwortungsvollen Einsatz von KI stärken.

Wer jetzt handelt, sichert sich nicht nur gegen Bußgelder ab, sondern etabliert auch eine vertrauenswürdige und zukunftsorientierte Nutzung von KI. Dies kann einen entscheidenden Wettbewerbsvorteil darstellen und die Akzeptanz und Effektivität von KI-Anwendungen im eigenen Unternehmen nachhaltig verbessern. Kapitel H unterstützt Sie dabei, diese Herausforderungen systematisch und pragmatisch anzugehen, um Ihre Mitarbeitenden zu befähigen und Ihr Unternehmen für eine sichere und effektive KI-Zukunft aufzustellen. Zögern Sie nicht, jetzt zu handeln.