EU AI Act: Transparenzpflichten und GPAI-Regulierung ab 2. August 2026

Die Einführung des EU AI Acts markiert einen Wendepunkt in der regulierten Nutzung künstlicher Intelligenz in Europa. Insbesondere der 2. August 2026 ist ein Stichtag, der für Unternehmen im DACH-Raum weitreichende Konsequenzen mit sich bringt. An diesem Datum treten entscheidende Bestimmungen der weltweit ersten umfassenden KI-Regulierung in Kraft, die direkte Auswirkungen auf die Geschäftsprozesse und KI-Strategien zahlreicher Organisationen haben werden. Es geht dabei primär um die Transparenzpflichten nach Artikel 50 und die Durchsetzungsbefugnisse für Allgemeine KI-Modelle, kurz GPAI (General Purpose AI). Diese Vorschriften erfordern von Anbietern und Nutzern von KI-Systemen, insbesondere jenen, die generative KI einsetzen, eine umgehende Anpassung. Ziel ist es, Compliance sicherzustellen und das Risiko erheblicher Bußgelder zu minimieren.

Der EU AI Act trat offiziell am 1. August 2024 in Kraft, doch seine Bestimmungen finden gestaffelt Anwendung. Während bestimmte Verbote von KI-Praktiken und grundlegende Anforderungen an die KI-Kompetenz bereits seit Februar 2025 gelten, und die Regeln für GPAI-Modelle seit August 2025 aktiv sind, markiert der 2. August 2026 den Zeitpunkt für die breite Anwendbarkeit weiterer Schlüsselpflichten. Für viele Unternehmen bedeutet dies, dass die Phase der Beobachtung endet und die Zeit des aktiven Handelns beginnt.

Kernpunkte des EU AI Acts ab August 2026: Was sich ändert

Die zum 2. August 2026 wirksamen Änderungen konzentrieren sich auf zwei wesentliche Bereiche, die für Unternehmen, die KI-Technologien entwickeln oder nutzen, von entscheidender Bedeutung sind.

Umfassende Transparenzpflichten nach Artikel 50

Ab dem Stichtag müssen Unternehmen sicherstellen, dass Nutzer informiert werden, sobald sie mit einem KI-System interagieren. Dies betrifft insbesondere interaktive Anwendungen wie Chatbots, virtuelle Assistenten oder automatisierte Kundendienstsysteme. Die Kennzeichnung muss klar und verständlich erfolgen, sodass für den Endnutzer jederzeit ersichtlich ist, dass er mit einer KI und nicht mit einem Menschen kommuniziert.

Ein weiterer wichtiger Aspekt von Artikel 50 betrifft KI-generierte Inhalte. Deepfakes, also mittels KI erzeugte oder manipulierte Bilder, Videos oder Audiodateien, müssen ebenso klar als solche gekennzeichnet werden. Dasselbe gilt für Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden und KI-generiert sind. Die Europäische Kommission hat hierzu am 20. Juli 2026 finale Leitlinien veröffentlicht. Diese Leitlinien bieten dringend benötigte praktische Orientierung für die Umsetzung dieser Kennzeichnungspflichten. Für Unternehmen bedeutet dies, dass nicht nur die technische Implementierung der KI, sondern auch die gesamte Kommunikationsstrategie und Content-Erstellung angepasst werden muss.

Durchsetzung für Allgemeine KI-Modelle (GPAI)

Obwohl die spezifischen Regeln für GPAI-Modelle bereits seit August 2025 Anwendung finden, erhält das neu geschaffene KI-Amt der Europäischen Kommission ab dem 2. August 2026 weitreichende Durchsetzungsbefugnisse. Dies verstärkt den Druck auf Anbieter von GPAI-Modellen, die systemische Risiken bergen könnten. Diese Anbieter sind verpflichtet, Risikobewertungen durchzuführen, potenzielle Risiken zu mindern und umfassende Transparenzpflichten zu erfüllen. Dazu gehört die Offenlegung von Informationen über Trainingsdaten und Copyright-Aspekte. Für Unternehmen, die auf externe GPAI-Modelle setzen oder diese selbst entwickeln, bedeutet dies eine erhöhte Sorgfaltspflicht bei der Auswahl und Integration dieser Technologien.

Verschobene Fristen und die Trugschluss der Entspannung

Es ist wichtig zu verstehen, dass nicht alle Teile des AI Acts zum 2. August 2026 vollumfänglich in Kraft treten. Die Anwendbarkeit für eigenständige Hochrisiko-KI-Systeme nach Anhang III der Verordnung wurde durch den sogenannten „Digital Omnibus“ auf den 2. Dezember 2027 verschoben. Für Hochrisiko-KI-Systeme, die als Sicherheitskomponente in regulierten Produkten nach Anhang I eingebettet sind, gilt sogar eine längere Übergangsfrist bis zum 2. August 2028. Diese Verschiebungen dürfen jedoch nicht als Aufschub der Vorbereitung missverstanden werden. Grundlegende Governance-Strukturen, eine umfassende KI-Inventur und die Etablierung von Compliance-Prozessen müssen bereits jetzt aufgebaut und dokumentiert werden. Wer jetzt zögert, verspielt wertvolle Zeit und läuft Gefahr, die späteren Fristen unter immensem Druck erreichen zu müssen.

Nationale Umsetzung und Konsequenzen für DACH-Unternehmen

Die Auswirkungen des EU AI Acts sind nicht auf die Grenzen der Europäischen Union beschränkt. Auch Unternehmen im DACH-Raum, insbesondere in Deutschland und der Schweiz, müssen sich auf die neuen Realitäten einstellen.

Deutschland: Das KI-Durchführungsgesetz (KI-MIG)

In Deutschland hat die Bundesregierung bereits am 11. Februar 2026 den Entwurf des KI-Durchführungsgesetzes (KI-MIG) beschlossen. Dieses Gesetz, das derzeit das parlamentarische Verfahren durchläuft, sieht die Bundesnetzagentur als zentrale Koordinierungsbehörde vor. Dies bedeutet, dass deutsche Unternehmen einen nationalen Ansprechpartner haben, aber auch eine nationale Instanz, die die Einhaltung der Vorschriften überwacht und durchsetzt. Die Einrichtung dieser nationalen Behörde unterstreicht die Ernsthaftigkeit, mit der der Gesetzgeber die Implementierung des AI Acts verfolgt.

Schweiz: Extraterritoriale Wirkung und enge Wirtschaftsbeziehungen

Obwohl die Schweiz kein EU-Mitgliedstaat ist, wird der AI Act aufgrund seines extraterritorialen Anwendungsbereichs und der engen Wirtschaftsbeziehungen zur EU starke Auswirkungen auf Schweizer Unternehmen haben. Der freie Datenverkehr zwischen der Schweiz und der EU, gesichert durch den Angemessenheitsbeschluss vom Januar 2024, verstärkt diese Relevanz zusätzlich. Schweizer Unternehmen, die Produkte oder Dienstleistungen in der EU anbieten, in der EU ansässige Nutzer ansprechen oder KI-Systeme nutzen, die in der EU entwickelt oder trainiert wurden, fallen unter den Anwendungsbereich des AI Acts. Eine Ignoranz dieser Realität kann gravierende Folgen haben.

Finanzielle Konsequenzen bei Nichteinhaltung

Die Nichteinhaltung des EU AI Acts kann gravierende finanzielle Konsequenzen nach sich ziehen. Die Verordnung sieht Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Diese Strafen übertreffen sogar die maximalen Bußgelder der Datenschutz-Grundverordnung (DSGVO) und stellen für viele Unternehmen, insbesondere kleine und mittlere Unternehmen (KMU), ein potenziell existenzbedrohendes Risiko dar. Es ist eine Fehlannahme zu glauben, nur große Konzerne seien betroffen. Auch der Mittelstand, der KI-Lösungen einsetzt, muss diese Risiken ernst nehmen.

Aktuelle Studien belegen die Dringlichkeit der Situation. Eine KPMG-Studie zur generativen KI in der deutschen Wirtschaft 2026 zeigt, dass 97 Prozent der Unternehmen KI als relevant für ihr Geschäftsmodell ansehen und 79 Prozent einen erheblichen Einfluss auf ihre Branche erwarten. Doch die flächendeckende Implementierung bleibt die Ausnahme. Weniger als ein Prozent der Unternehmen hat KI bislang vollständig und systematisch in allen relevanten Bereichen implementiert. Eine weitere Studie verdeutlicht, dass 78 Prozent der Unternehmen keine bedeutsamen Schritte zur Compliance unternommen haben und über 50 Prozent keine grundlegende KI-Inventur besitzen. Diese Zahlen sind alarmierend und zeigen eine erhebliche Diskrepanz zwischen Wahrnehmung und tatsächlichem Handeln.

Die Schnittstelle zu Datenschutz und Change Management

Der EU AI Act ist keine isolierte Regulierung. Er verzahnt sich eng mit bestehenden Datenschutzgesetzen und erfordert umfassendes Change Management innerhalb der Organisationen.

Enger Bezug zur DSGVO und zum nDSG

Jeder Einsatz von KI, der personenbezogene Daten verarbeitet, muss weiterhin eine Rechtsgrundlage nach Artikel 6 DSGVO haben. Bei Hochrisiko-KI-Systemen ist zudem eine Datenschutz-Folgenabschätzung (DSFA) obligatorisch. Dies bedeutet, dass Unternehmen die Einhaltung beider Verordnungen gleichzeitig sicherstellen müssen. Für Schweizer Unternehmen ist das seit dem 1. September 2023 geltende revidierte Schweizer Datenschutzgesetz (nDSG) ebenfalls direkt auf KI-gestützte Datenbearbeitungen anwendbar. Vorsätzliche Verstöße können hier zu persönlichen Bussen bis zu 250.000 CHF für die verantwortliche Person führen, nicht nur für das Unternehmen. Die Komplexität steigt, und damit auch der Bedarf an interdisziplinärem Wissen in Recht, IT und Betriebswirtschaft.

Herausforderung Change Management und KI-Kompetenz

Die neuen Vorschriften stellen eine massive Herausforderung für das Change Management dar. Unternehmen müssen nicht nur technische Anpassungen vornehmen und neue Prozesse etablieren, sondern auch ihre Mitarbeiter schulen und ein Bewusstsein für die neuen Regeln schaffen. Die KI-Schulungspflicht, die sicherstellt, dass Mitarbeiter, die mit KI arbeiten, über die notwendige Kompetenz verfügen, gilt bereits. Bis August 2026 muss diese Pflicht durch dokumentierte Schulungskonzepte untermauert werden. Dies geht über reine Software-Schulungen hinaus. Es geht darum, ein grundlegendes Verständnis für KI, ihre Risiken, ihre Potenziale und die rechtlichen Rahmenbedingungen zu vermitteln. Nur so kann eine verantwortungsvolle und gesetzeskonforme KI-Nutzung im Unternehmen verankert werden.

Unerlässliche Handlungsempfehlungen für DACH-Unternehmen

Angesichts der bevorstehenden Fristen ist es für DACH-Unternehmen unerlässlich, jetzt zu handeln. Die Zeit des Zögerns ist vorbei. Konkrete Schritte sind notwendig, um Compliance zu gewährleisten und die Wettbewerbsfähigkeit nicht zu gefährden.

1. KI-Inventur durchführen: Beginnen Sie mit einer umfassenden Erfassung aller im Unternehmen eingesetzten KI-Systeme. Dies umfasst nicht nur selbst entwickelte Anwendungen, sondern auch externe SaaS-Tools und integrierte KI-Funktionen in Standardsoftware. Viele Unternehmen unterschätzen die Anzahl der bereits genutzten KI-Anwendungen, die oft unbemerkt im Hintergrund arbeiten. Eine detaillierte Inventur ist die Basis für alle weiteren Schritte.

2. Risikoklassifizierung vornehmen: Klassifizieren Sie jedes identifizierte KI-System gemäß dem risikobasierten Ansatz des AI Acts. Unterscheiden Sie zwischen unannehmbarem, hohem, begrenztem oder minimalem Risiko. Dokumentieren Sie diese Klassifizierung und die zugrunde liegenden Begründungen sorgfältig. Dies erfordert eine genaue Kenntnis der Definitionen des AI Acts und eine realistische Einschätzung der potenziellen Auswirkungen jedes Systems.

3. Governance-Strukturen etablieren: Benennen Sie klare Verantwortlichkeiten für KI-Compliance. Ideal wäre die Ernennung eines KI-Compliance-Beauftragten oder einer vergleichbaren Funktion. Diese Person oder dieses Team sollte für die Überwachung, Implementierung und Durchsetzung der KI-Vorschriften zuständig sein. Ohne klare Zuständigkeiten droht ein Verantwortungs-Vakuum, das die Compliance erheblich erschwert.

4. Transparenzmechanismen implementieren: Stellen Sie sicher, dass Nutzer jederzeit über die Interaktion mit KI informiert werden. Implementieren Sie technische und prozessuale Anpassungen, die eine korrekte Kennzeichnung von KI-generierten Inhalten, insbesondere Deepfakes und öffentlichen Informationen, gewährleisten. Dies kann die Integration von Labels in Benutzeroberflächen, die Anpassung von Content-Management-Systemen oder die Schulung von Mitarbeitern im Umgang mit solchen Inhalten umfassen.

5. Datenschutz überprüfen und anpassen: Führen Sie für alle Hochrisiko-KI-Systeme eine Datenschutz-Folgenabschätzung (DSFA) durch. Überprüfen Sie zudem die Einhaltung der DSGVO beziehungsweise des nDSG. Achten Sie dabei besonders auf Aspekte wie Hosting auf EU-Servern, Zero-Data-Retention-Policies und die Existenz sowie Aktualität von Auftragsverarbeitungsverträgen (AVV) für Cloud-KI-Dienste. Eine enge Abstimmung zwischen der KI- und der Datenschutzabteilung ist hierbei unerlässlich.

6. Mitarbeiterschulungen forcieren: Entwickeln und implementieren Sie umfassende Schulungsprogramme für alle Mitarbeiter, die mit KI arbeiten. Ziel ist es, deren KI-Kompetenz und das Verständnis für die neuen Compliance-Anforderungen zu gewährleisten. Regelmäßige Auffrischungsschulungen sind hierbei ebenso wichtig wie die Initialschulungen, um das Wissen aktuell zu halten.

7. Anbieterprüfung intensivieren: Bei der Beschaffung von KI-Lösungen ist eine kritische Prüfung der Compliance des Anbieters mit dem EU AI Act und der DSGVO beziehungsweise dem nDSG unerlässlich. Fordern Sie entsprechende Nachweise an und integrieren Sie Compliance-Anforderungen fest in Ihre Beschaffungsverträge. Verlassen Sie sich nicht allein auf Marketingaussagen, sondern fordern Sie konkrete Belege für die Einhaltung der Vorschriften.

Kritische Einordnung aus Kapitel-H-Sicht

Die Datenlage ist eindeutig: Ein Großteil der Unternehmen im DACH-Raum ist unzureichend auf die bevorstehenden Pflichten des EU AI Acts vorbereitet. Die Diskrepanz zwischen der hohen Relevanz von KI für das Geschäftsmodell und der tatsächlichen Implementierung von Compliance-Maßnahmen ist besorgniserregend. Bei Kapitel H sehen wir diese Entwicklung mit einer Mischung aus Realismus und Pragmatismus. Es ist unsere Überzeugung, dass der AI Act, richtig angegangen, eine Chance bietet, die Nutzung von KI in Unternehmen auf ein solides, vertrauenswürdiges Fundament zu stellen. Dies geschieht durch Befähigung der Organisationen, nicht durch die Schaffung von Abhängigkeiten von externen Beratern oder überteuerten Softwarelösungen.

Wir distanzieren uns klar von Hype-Szenarien, die unrealistische Erwartungen schüren. Stattdessen fokussieren wir auf die reale Anwendung und die messbaren Vorteile einer verantwortungsvollen KI-Strategie. Die Einführung des AI Acts erzwingt eine dringend notwendige Auseinandersetzung mit den ethischen, rechtlichen und technischen Aspekten der KI-Nutzung. Wer diese Herausforderung jetzt proaktiv annimmt, schafft nicht nur Rechtssicherheit, sondern stärkt auch das Vertrauen von Kunden, Mitarbeitern und der Öffentlichkeit in die eigenen KI-Anwendungen. Dieses Vertrauen ist im digitalen Zeitalter ein entscheidender Wettbewerbsvorteil.

Fazit: Jetzt handeln, um Vertrauen und Wettbewerbsfähigkeit zu sichern

Der 2. August 2026 ist kein fiktives Datum in einer fernen Zukunft, sondern ein unmittelbar bevorstehender Stichtag. Ab diesem Zeitpunkt werden die Europäische Kommission und nationale Behörden die Einhaltung wesentlicher Teile des AI Acts aktiv durchsetzen. Für den DACH-Arbeitsmarkt bedeutet dies, dass Unternehmen, die bisher gezögert haben, ihre KI-Strategie zu entwickeln und umzusetzen, umgehend handeln müssen. Eine proaktive Auseinandersetzung mit den neuen Pflichten minimiert nicht nur erhebliche rechtliche und finanzielle Risiken. Sie stärkt auch das Vertrauen Ihrer Kunden und Mitarbeiter in eine verantwortungsvolle KI-Nutzung. Das ist ein konkreter Nutzen: Wer die regulatorischen Anforderungen frühzeitig und systematisch angeht, positioniert sich als vertrauenswürdiger Akteur im KI-Ökosystem und sichert langfristig seine Wettbewerbsfähigkeit. Ignoranz ist hier keine Option, sondern ein kalkuliertes Risiko, das hohe Verluste nach sich ziehen kann.