Kaum ein Gesetz hat in den letzten Jahren so viele Warnungen ausgelöst wie der EU AI Act. Bußgelder bis 35 Millionen Euro, umfangreiche Dokumentationspflichten, Verbote. Und dann, im Sommer 2026, die Meldung: Die wichtigsten Pflichten werden verschoben.

Was gilt jetzt eigentlich? Hier ist die Übersicht, wie wir sie unseren Kunden erklären.

Was seit 2025 gilt

Zwei Dinge sind schon länger in Kraft und werden oft übersehen.

Verbotene Praktiken seit Februar 2025. Manipulative Systeme, Social Scoring, biometrische Kategorisierung nach sensiblen Merkmalen, Emotionserkennung am Arbeitsplatz. Für die allermeisten Unternehmen irrelevant, aber der letzte Punkt sollte jeden aufhorchen lassen, der über KI-gestützte Mitarbeiterüberwachung nachgedacht hat.

KI-Kompetenz seit Februar 2025. Unternehmen müssen sicherstellen, dass Mitarbeiter, die KI-Systeme nutzen, dafür ausreichend geschult sind. Das gilt für jedes Unternehmen, das KI einsetzt, unabhängig von Größe und Risikoklasse. Es ist die Pflicht, die am häufigsten ignoriert wird, und die am einfachsten zu erfüllen ist.

Was seit August 2026 gilt

Transparenzpflichten. Wer einen Chatbot oder Sprachassistenten einsetzt, muss dafür sorgen, dass Nutzer erkennen, dass sie mit einer KI kommunizieren. Wer KI-generierte Bilder, Videos oder Audio veröffentlicht, die täuschend echt wirken, muss sie kennzeichnen. Für Texte gilt eine Ausnahme, wenn ein Mensch die redaktionelle Verantwortung trägt und den Text tatsächlich geprüft hat.

Konkret für die Website: Der Chatbot braucht einen Hinweis. Die von der KI vorformulierten und von einem Mitarbeiter freigegebenen Produkttexte brauchen keinen.

Aufsichtsstruktur. Seit August 2026 sind die nationalen Behörden für Überwachung und Durchsetzung zuständig. In Deutschland ist das die Bundesnetzagentur. Vorher gab es das Gesetz, aber niemanden, der es durchsetzte. Das hat sich geändert.

Pflichten für Anbieter großer Basismodelle gelten bereits seit August 2025. Das betrifft die Hersteller der Modelle, nicht die Unternehmen, die sie nutzen.

Was verschoben wurde

Im Juli 2026 ist der sogenannte Digital Omnibus in Kraft getreten. Er hat die Anwendung der Hochrisiko-Pflichten verschoben:

  • Für eigenständige Hochrisiko-Systeme, etwa in Personalauswahl, Kreditvergabe oder Bildungszugang: auf den 2. Dezember 2027
  • Für KI, die in regulierte Produkte eingebettet ist, etwa Maschinen oder Medizinprodukte: auf den 2. August 2028

Der Grund war praktisch: Die technischen Normen, an denen sich Unternehmen bei der Umsetzung orientieren sollen, waren nicht rechtzeitig fertig. Man kann schwer verlangen, dass jemand einen Standard erfüllt, den es noch nicht gibt.

Für Unternehmen, die tatsächlich Hochrisiko-Systeme einsetzen, ist das eine Gnadenfrist von gut einem Jahr. Wer sie nutzt, um jetzt sauber aufzusetzen, hat 2027 keinen Stress. Wer sie als Entwarnung versteht, hat ihn dann umso mehr.

Was nur Panikmache ist

„35 Millionen Euro Bußgeld.” Diese Zahl gilt für verbotene Praktiken. Wer kein Social Scoring betreibt und keine Mitarbeiter per Emotionserkennung überwacht, kommt damit nicht in Berührung. Für Verstöße gegen die übrigen Pflichten liegt der Rahmen bei bis zu 15 Millionen Euro oder drei Prozent des Umsatzes, und Behörden müssen bei kleinen und mittleren Unternehmen die wirtschaftliche Lage berücksichtigen. Das ist ernst, aber nicht existenzbedrohend, wenn man nicht mutwillig ignoriert.

„Jedes KI-Tool braucht eine Konformitätsbewertung.” Nein. Die überwältigende Mehrheit der KI-Nutzung im Mittelstand, von Textentwürfen über Übersetzungen bis zur Dokumentenerkennung, fällt in die Kategorie mit minimalem Risiko. Dafür gibt es keine besonderen Pflichten außer der Schulung.

„Wir müssen alles dokumentieren.” Sie müssen wissen, was Sie einsetzen, und nachweisen können, dass Ihre Mitarbeiter geschult sind. Das ist ein Inventar und eine Teilnehmerliste. Alles Weitere hängt davon ab, ob Sie tatsächlich ein Hochrisiko-System betreiben.

„Der AI Act macht KI in Europa unmöglich.” Der AI Act macht KI in Europa nachweispflichtig. Das ist ein Unterschied. Unternehmen, die wissen, was sie tun, haben durch das Gesetz eher einen Vorteil, weil ihre Kunden Sicherheit bekommen.

Was Sie jetzt konkret tun sollten

In dieser Reihenfolge, und für die meisten Unternehmen in ein bis zwei Tagen erledigt:

  1. Inventar anlegen. Welche KI-Systeme sind im Einsatz, wofür, mit welchen Daten.
  2. Einstufen. Für jedes System: verboten, Hochrisiko, transparenzpflichtig oder minimales Risiko. Bei den meisten wird es die letzte Kategorie sein.
  3. Chatbots und KI-Inhalte kennzeichnen. Das gilt seit August und ist schnell umgesetzt.
  4. Schulung durchführen und dokumentieren. Eine Stunde, Teilnehmerliste, fertig.
  5. Falls Hochrisiko dabei ist: Jetzt mit der Vorbereitung beginnen, nicht im Herbst 2027.

Wie diese Schritte zu einem dauerhaften Rahmen werden, steht im Artikel AI Governance Framework für den Mittelstand.

Ein Hinweis zum Schluss

Dieser Artikel ist eine Einordnung aus der Praxis, keine Rechtsberatung. Wer ein Hochrisiko-System betreibt oder unsicher ist, ob ein System darunter fällt, sollte das mit einer Kanzlei klären. Für alle anderen gilt: Das Gesetz ist handhabbar, wenn man weiß, was man einsetzt. Und das sollte man ohnehin wissen.

Sie wollen wissen, welche Pflichten Sie tatsächlich treffen? Wir gehen Ihr KI-Inventar in einem Gespräch durch und sagen Ihnen, was zu tun ist und was nicht.