EU AI Act: Was Unternehmen im DACH-Raum ab August 2026 wissen müssen

Künstliche Intelligenz ist im DACH-Raum längst kein abstraktes Konzept mehr. Sie hat sich in vielen Unternehmen als Werkzeug etabliert, um Prozesse zu optimieren und neue Möglichkeiten zu erschliessen. Doch mit der zunehmenden Verbreitung wachsen auch die regulatorischen Anforderungen, die nun in eine entscheidende Phase eintreten. Der EU Artificial Intelligence Act, kurz EU AI Act, ist die weltweit erste umfassende KI-Regulierung und wird die Art und Weise, wie Unternehmen KI nutzen und entwickeln, grundlegend verändern.

Der 2. August 2026 ist ein zentrales Datum, das sich Unternehmen im Kalender markieren sollten. An diesem Tag treten die meisten Bestimmungen des EU AI Act vollständig in Kraft. Flankiert wird dies in Deutschland durch das neue KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), das am 11. Juni 2026 vom Bundestag verabschiedet wurde. Dieses nationale Umsetzungsgesetz klärt Zuständigkeiten und schafft einen Rahmen für die Anwendung des EU AI Act in Deutschland. Für den DACH-Mittelstand bedeutet dies, dass die Zeit des Abwartens endgültig vorbei ist. Es ist unerlässlich, die eigenen KI-Anwendungen kritisch zu prüfen und Compliance-Strukturen aufzubauen, um sowohl Risiken zu minimieren als auch die enormen Potenziale der KI nachhaltig und rechtssicher zu nutzen.

Das deutsche KI-MIG: Klare Zuständigkeiten, unklare Herausforderungen

Mit der Verabschiedung des KI-Marktüberwachungs- und Innovationsförderungsgesetzes (KI-MIG) hat der Deutsche Bundestag einen wichtigen Schritt zur nationalen Umsetzung des EU AI Act getan. Dieses Gesetz überführt den europäischen Rechtsrahmen in deutsches Recht und legt fest, welche Behörden für die Umsetzung, Aufsicht und Unterstützung der Unternehmen zuständig sind. Eine zentrale Rolle wurde dabei der Bundesnetzagentur zugewiesen. Sie soll ein Koordinierungs- und Kompetenzzentrum aufbauen, das KI-Expertise bündelt und Unternehmen als Ansprechpartner dient. Dies ist ein pragmatischer Ansatz, um die Komplexität der deutschen Verwaltungslandschaft zu bewältigen und eine zentrale Anlaufstelle zu schaffen.

Die tatsächliche Bewährungsprobe steht jedoch noch bevor. Die einheitliche Umsetzung des AI Act über alle 16 Bundesländer hinweg birgt Herausforderungen. Der Digitalverband Bitkom hat bereits davor gewarnt, dass ohne eine starke Koordinierungsfunktion der Bundesnetzagentur und verbindliche Mechanismen ein „Flickenteppich“ unterschiedlicher Auslegungen entstehen könnte. Dies betrifft insbesondere den Einsatz von KI in öffentlichen Stellen der Länder. Eine solche Fragmentierung würde dem Ziel der europaweiten Harmonisierung entgegenwirken und die Rechtssicherheit für Unternehmen unnötig erschweren. Für den Mittelstand bedeutet dies, dass er sich nicht nur mit den EU-Vorgaben, sondern auch mit potenziell unterschiedlichen nationalen oder sogar regionalen Interpretationen auseinandersetzen muss. Dies erfordert eine genaue Beobachtung der Entwicklung und gegebenenfalls eine Anpassung der Compliance-Strategie, um bundesweit konsistente Standards zu gewährleisten und unnötige Rechtsunsicherheiten zu vermeiden.

Der EU AI Act im Detail: Was ab August 2026 wirklich gilt

Der EU AI Act tritt nicht auf einen Schlag in Kraft, sondern gestaffelt. Bereits seit Februar 2025 gelten die Verbote bestimmter KI-Praktiken sowie grundlegende Pflichten zur KI-Kompetenz. Regeln für General-Purpose AI (GPAI) Modelle sind seit August 2025 in Kraft. Doch der 2. August 2026 markiert den Hauptstichtag für die meisten verbleibenden und weitreichendsten Bestimmungen. Dies schliesst vor allem die Transparenzpflichten gemäss Artikel 50 (2) ein.

Diese Transparenzpflichten besagen, dass Anbieter von KI-Systemen, die synthetische Inhalte erzeugen oder manipulieren und vor dem 2. August 2026 auf den EU-Markt gebracht wurden, bis zum 2. Dezember 2026 sicherstellen müssen, dass diese Inhalte maschinenlesbar als KI-generiert gekennzeichnet sind. Für Systeme, die nach dem 2. August 2026 in Verkehr gebracht werden, gilt diese Pflicht sofort. Dies betrifft eine breite Palette von Anwendungen, von der Erstellung von Texten und Bildern bis hin zu Audio- und Videomaterial. Darüber hinaus müssen Betreiber von KI-Systemen, die sogenannte Deepfakes erstellen, diese für Nutzer, Zuschauer oder Zuhörer klar als solche kennzeichnen. Gleiches gilt für KI-generierte Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden, sowie für KI-basierte Chatbots und Auskunfts- oder Kommunikationssysteme, bei denen die Interaktion mit einer Maschine eindeutig kommuniziert werden muss. Für Unternehmen, die bereits generative KI einsetzen oder dies planen, bedeutet dies eine sofortige Notwendigkeit zur Implementierung entsprechender Kennzeichnungsmechanismen.

Es ist wichtig zu verstehen, dass der sogenannte