Der 2. August 2026 wird in Newslettern, Webinaren und LinkedIn-Beiträgen häufig als der Tag dargestellt, ab dem „der AI Act“ gilt. Das ist so nicht richtig, und der Unterschied ist keine Wortklauberei: Er entscheidet darüber, welche Pflichten Euer Unternehmen bereits hat und welche noch Zeit haben.

Dieser Beitrag ordnet den Stichtag ein: was ab dem 2. August 2026 gilt, was schon länger gilt, was ausdrücklich verschoben wurde und was das für ein mittelständisches Unternehmen praktisch bedeutet. Ohne Paragrafendeutsch, aber mit Belegen.

Das Wichtigste in Kürze

Fünf Sätze, die den Stichtag erklären

  • Der EU AI Act ist nicht neu: Er ist am 1. August 2024 in Kraft getreten und wird seitdem stufenweise anwendbar.
  • Am 2. August 2026 werden vor allem die Transparenzpflichten nach Artikel 50 anwendbar – die Regeln dazu, wann Menschen erfahren müssen, dass KI im Spiel war.
  • Ab demselben Tag beginnt die behördliche Durchsetzung der bereits anwendbaren Vorschriften.
  • Die umfassenden Hochrisiko-Pflichten wurden verschoben – auf den 2. Dezember 2027 beziehungsweise den 2. August 2028.
  • Der sinnvolle nächste Schritt ist eine ruhige Bestandsaufnahme: Welche KI setzt Ihr ein, in welcher Rolle, und was sagt Ihr Euren Nutzern darüber?

Schnellcheck: Wann ist eine Kennzeichnung erforderlich?

Sechs Situationen, die in der Praxis am häufigsten vorkommen – jeweils mit der Einordnung und dem nächsten sinnvollen Schritt.

Interner KI-Entwurf, der nicht veröffentlicht wird

Keine Pflicht Keine sichtbare Kennzeichnung nach Artikel 50 Absatz 4 allein aufgrund der KI-Nutzung.

Nächster Schritt: Intern prüfen und verantwortungsvoll weiterverarbeiten.

Öffentlicher Text zu einem Thema von öffentlichem Interesse, substanziell menschlich geprüft oder redaktionell kontrolliert, mit redaktioneller Verantwortung einer natürlichen oder juristischen Person

Ausnahme möglich Die Ausnahme von der sichtbaren Offenlegungspflicht kann grundsätzlich greifen.

Nächster Schritt: Prüfung, Freigabe und redaktionelle Verantwortung nachvollziehbar dokumentieren.

Öffentlicher KI-Text zu einem Thema von öffentlichem Interesse ohne echte menschliche Prüfung oder redaktionelle Kontrolle

Offenlegung nötig Eine klare Offenlegung ist grundsätzlich erforderlich.

Nächster Schritt: Hinweis sichtbar, verständlich und barrierefrei platzieren.

Website-Chatbot oder Voicebot mit direkter menschlicher Interaktion

Offenlegung nötig Die KI-Interaktion muss spätestens bei der ersten Interaktion offengelegt werden, sofern sie nicht ohnehin offensichtlich ist.

Nächster Schritt: Umsetzung des Systemanbieters prüfen und den Hinweis praktisch testen.

Realistisch wirkendes künstlich erzeugtes oder manipuliertes Bild, Audio oder Video

Einzelfall prüfen Eine sichtbare Deepfake-Offenlegung kann erforderlich sein.

Nächster Schritt: Konkreten Inhalt, Kontext und mögliche Ausnahmen prüfen.

Erkennbar illustrative KI-Grafik

Keine Pflicht Nicht allein wegen ihrer KI-Herkunft automatisch sichtbar kennzeichnungspflichtig. Die maschinenlesbare Markierung durch den Anbieter ist davon getrennt zu betrachten.

Nächster Schritt: Herstellerinformationen dokumentieren; freiwillige Transparenz je nach Kontext erwägen.

Der Schnellcheck bildet typische Situationen vereinfacht ab und ersetzt keine Prüfung des konkreten Einzelfalls.

Der Zeitplan: 2024 bis 2028

Der AI Act arbeitet mit gestaffelten Terminen. Mehrere davon haben sich 2026 geändert, weil der AI Omnibus – in den EU-Dokumenten „Digital Omnibus on AI“, förmlich die Verordnung (EU) 2026/1744 (öffnet in neuem Tab) – am 27. Juli 2026 in Kraft getreten ist. Wer noch mit einer Übersicht aus 2024 oder 2025 arbeitet, hat für die Hochrisiko-Systeme die falschen Daten im Kalender.

  1. In Kraft

    Die Verordnung (EU) 2024/1689 tritt in Kraft. Ab hier läuft die Uhr für alle folgenden Stufen – gelten muss deshalb noch nichts.

  2. Anwendbar

    Die Begriffsbestimmungen, die Pflicht zur KI-Kompetenz (englisch „AI Literacy“) und die verbotenen Praktiken des Artikels 5 werden anwendbar. KI-Kompetenz heißt seit der Neufassung durch den AI Omnibus: Wer KI anbietet oder einsetzt, muss Maßnahmen ergreifen, die den Aufbau von KI-Kompetenz bei den eigenen Leuten unterstützen – ein bestimmtes Kompetenzniveau muss er ausdrücklich nicht garantieren.

  3. Anwendbar

    Die Governance-Regeln und die Pflichten für Anbieter von GPAI-Modellen werden anwendbar. GPAI steht für „General Purpose AI“, also KI-Modelle für allgemeine Zwecke – die großen Sprachmodelle gehören dazu. Betroffen sind hier die Modellanbieter, nicht deren Anwender.

  4. Anwendbar + Durchsetzung

    Die Transparenzpflichten nach Artikel 50 werden anwendbar. Gleichzeitig beginnen das AI Office der EU-Kommission und die nationalen Behörden, die bereits anwendbaren Vorschriften durchzusetzen – je nach Zuständigkeit betrifft das GPAI-Vorschriften, Transparenzpflichten, verbotene Praktiken und KI-Kompetenz. Für Artikel 50 liegt die Durchsetzung ganz überwiegend bei den nationalen Marktüberwachungsbehörden (Zeitplan des AI Act Service Desk (öffnet in neuem Tab)).

  5. Übergang endet + neue Verbote

    Zwei Dinge an einem Tag. Erstens endet eine eng zugeschnittene Übergangsfrist: Für generative KI-Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, gilt allein für die technische Kennzeichnungspflicht nach Artikel 50 Absatz 2 eine Schonfrist von vier Monaten bis zu diesem Tag. Zweitens greifen die vom AI Omnibus neu eingefügten Verbote für bestimmte KI-Systeme zur Erzeugung nicht einvernehmlicher intimer Inhalte und von Missbrauchsdarstellungen – sie sind die einzigen Verbote des Artikels 5, die nicht schon seit Februar 2025 gelten.

  6. Frist für Bestands-GPAI

    Anbieter von GPAI-Modellen, die bereits vor dem 2. August 2025 auf dem Markt waren, müssen bis zu diesem Tag die GPAI-Anforderungen erfüllen.

  7. Hochrisiko (Anhang III)

    Erst jetzt gelten die umfassenden Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III – etwa in Bereichen wie Beschäftigung, Bildung oder Kreditwürdigkeit. Vorher war ein früheres Datum vorgesehen; der AI Omnibus hat es verschoben.

  8. Hochrisiko (Anhang I)

    Für Hochrisiko-KI, die in bereits regulierte Produkte nach Anhang I eingebaut ist – etwa Maschinen, Medizinprodukte oder Aufzüge –, gelten die Pflichten ab diesem Tag.

Warum „ab August 2026 gilt alles“ falsch ist

Hinter dem Missverständnis stecken vier Begriffe, die im Alltag gern in einen Topf geworfen werden. Wer sie auseinanderhält, versteht den ganzen Zeitplan.

Inkrafttreten

Der Tag, an dem ein Gesetz rechtlich existiert. Beim AI Act war das der 1. August 2024. Ab diesem Zeitpunkt steht fest, was kommt – aber daraus folgt noch keine einzige Pflicht für Euer Unternehmen.

Anwendbarkeit

Der Tag, ab dem eine konkrete Vorschrift tatsächlich befolgt werden muss. Der AI Act staffelt diese Termine bewusst über mehrere Jahre. Deshalb gelten die Verbote seit Februar 2025, die GPAI-Regeln seit August 2025 – und die Transparenzpflichten ab dem 2. August 2026, während die Hochrisiko-Anforderungen noch warten.

Übergangsfrist

Eine zusätzliche Schonfrist für Systeme, die es zum Stichtag schon gab. Sie ist immer eng zugeschnitten und gilt nie pauschal für „alles Alte“. Beim AI Act betrifft sie unter anderem Bestands-GPAI-Modelle (bis 2. August 2027) und – sehr eng – die technische Kennzeichnung bestimmter generativer Systeme (bis 2. Dezember 2026).

Durchsetzung

Der Punkt, an dem Behörden Verstöße prüfen und sanktionieren können. Eine Pflicht kann also schon anwendbar sein, bevor jemand sie kontrolliert. Genau diese Lücke schließt sich zum 2. August 2026.

Kurz gesagt

Am 2. August 2026 tritt der AI Act nicht erstmals in Kraft, und es gilt auch nicht plötzlich die gesamte Verordnung. Anwendbar werden vor allem die Transparenzpflichten. Ab diesem Datum können die zuständigen Behörden außerdem die bereits anwendbaren Vorschriften sowie die dann geltenden Transparenzpflichten im jeweiligen Zuständigkeitsbereich durchsetzen.

Wer betroffen ist – und in welcher Rolle

Der AI Act verteilt Pflichten nicht nach Unternehmensgröße, sondern nach Rolle. Zwei davon braucht Ihr, um die Transparenzpflichten zu verstehen.

Anbieter

Wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke auf den Markt bringt beziehungsweise in Betrieb nimmt. Typisch: ein Softwarehaus, das ein KI-Produkt verkauft – oder ein Unternehmen, das ein eigenes KI-Werkzeug unter eigener Marke veröffentlicht.

Betreiber (Deployer)

Wer ein KI-System im Rahmen seiner beruflichen Tätigkeit einsetzt. Das ist die Rolle, in der die allermeisten Unternehmen stecken: Ihr nutzt ein Werkzeug, das jemand anders gebaut hat.

Die Rolle kann wechseln. Wer ein zugekauftes KI-System wesentlich verändert oder unter eigenem Namen weitergibt, kann dadurch selbst zum Anbieter werden. Und viele Unternehmen sind beides gleichzeitig – Anbieter für das eigene Produkt, Betreiber für die eingekauften Werkzeuge.

Sieben Situationen aus der Praxis

Website mit KI-Chatbot

Ihr seid Betreiber, der Chatbot-Hersteller ist Anbieter. Die Pflicht, dass Besucher erfahren, dass sie mit einer KI schreiben, richtet sich an den Anbieter – praktisch umgesetzt wird sie aber auf Eurer Seite. Prüft deshalb, ob der Hinweis dort auch wirklich sichtbar ist.

Kundenservice mit KI-Assistent

Schreibt oder spricht die KI direkt mit Kunden, gilt dasselbe wie beim Chatbot. Unterstützt sie nur intern die Mitarbeiterin, die selbst antwortet, greift die Hinweispflicht aus Artikel 50 Absatz 1 nicht – dann interagiert der Kunde mit einem Menschen.

Marketing mit Bildgenerator

Der Generator-Anbieter muss die Ausgaben maschinenlesbar als künstlich erzeugt markieren. Ihr als Betreiber müsst offenlegen, wenn ein Bild echt wirkende Personen, Orte oder Ereignisse zeigt, die es so nicht gab. Ein sichtbar illustratives Motiv ist etwas anderes als ein täuschend echtes Foto.

Automatisierte Fachartikel

Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, sind der Kernfall der Offenlegungspflicht für KI-Texte. Es gibt aber eine wichtige Ausnahme, wenn ein Mensch redaktionell prüft und verantwortet – dazu unten mehr.

HR-Abteilung mit KI-Werkzeugen

Hier ist Vorsicht angebracht, aber nicht wegen Artikel 50: KI im Bewerbermanagement kann in den Hochrisiko-Bereich nach Anhang III fallen. Diese Pflichten greifen erst ab dem 2. Dezember 2027 – Datenschutzrecht, Mitbestimmung und die Pflicht zur KI-Kompetenz gelten unabhängig davon bereits.

Eigenes KI-Produkt

Ihr seid Anbieter und tragt die technischen Pflichten selbst: Hinweis auf die KI-Interaktion, maschinenlesbare Kennzeichnung generierter Inhalte, dazu die Informationen, die Eure Kunden brauchen, um ihre eigenen Betreiberpflichten zu erfüllen.

Nur Standardsoftware eines Drittanbieters

Auch dann seid Ihr Betreiber – „wir nutzen ja nur ein fertiges Werkzeug“ ist keine Ausnahme. Die technische Kennzeichnung schuldet der Hersteller. Eure Aufgabe ist es zu wissen, welche KI-Funktionen in der Software stecken, und die Offenlegungspflichten zu erfüllen, die an Eurem Einsatz hängen.

Die Transparenzpflichten nach Artikel 50

Artikel 50 der KI-Verordnung (öffnet in neuem Tab) ist der Teil des AI Act, der ab dem 2. August 2026 die meisten Unternehmen unmittelbar berührt. Sein Zweck lässt sich in einem Satz zusammenfassen: Menschen sollen erkennen können, wann sie es mit KI zu tun haben. Vier Bereiche sind dabei zu unterscheiden.

1. Direkte Interaktion mit KI

Pflicht

Anbieter von KI-Systemen, die unmittelbar mit Menschen interagieren, müssen sicherstellen, dass diese Menschen spätestens bei der ersten Interaktion erfahren, dass sie mit einer KI interagieren – es sei denn, das ist für eine hinreichend informierte und aufmerksame Person aus den Umständen ohnehin offensichtlich.

In der Praxis reicht dafür ein klarer, gut sichtbarer Satz, zum Beispiel:

Sie schreiben mit einem KI-gestützten Assistenten.

Entscheidend ist der Zeitpunkt: Der Hinweis gehört an den Anfang, nicht in die Datenschutzerklärung oder ins Impressum. Artikel 50 Absatz 5 verlangt ausdrücklich, dass die Information klar und unterscheidbar spätestens bei der ersten Interaktion oder Konfrontation gegeben wird – und dass sie die geltenden Barrierefreiheitsanforderungen erfüllt. Ein Hinweis, den ein Screenreader nicht vorliest, erfüllt seinen Zweck nicht.

2. Maschinenlesbare Kennzeichnung generierter Inhalte

Pflicht

Anbieter von KI-Systemen, die synthetische Texte, Bilder, Audio- oder Videoinhalte erzeugen oder wesentlich verändern, müssen die Ausgaben grundsätzlich in einem maschinenlesbaren Format als künstlich erzeugt oder verändert erkennbar machen. Die eingesetzte Lösung muss im Rahmen des technisch Machbaren wirksam, interoperabel, robust und zuverlässig sein.

Hier werden zwei Dinge oft verwechselt, die nichts miteinander zu tun haben:

  • Maschinenlesbare Markierung heißt: Eine Software kann erkennen, dass der Inhalt von einer KI stammt – etwa über Metadaten, Wasserzeichen oder ähnliche technische Verfahren. Für Menschen ist davon in der Regel nichts zu sehen.
  • Sichtbare Beschriftung heißt: Ein Mensch liest „mit KI erstellt“. Das ist eine andere Anforderung, die aus anderen Absätzen des Artikels folgt und längst nicht in jedem Fall verlangt wird.

Die technische Markierung schuldet der Anbieter des Generators, nicht Ihr als Betreiber. Was Ihr tun könnt: bei der Werkzeugauswahl danach fragen und die Antwort dokumentieren.

Ausnahme

Die Kennzeichnungspflicht greift nicht, soweit das KI-System eine unterstützende Funktion für eine Standardbearbeitung übernimmt oder die vom Betreiber gelieferten Eingabedaten beziehungsweise deren Bedeutung nicht wesentlich verändert. Eine Rechtschreibkorrektur oder ein automatischer Bildzuschnitt macht aus einem Text oder Foto also keinen kennzeichnungspflichtigen KI-Inhalt. Daneben gibt es eng gefasste weitere Ausnahmen, etwa für gesetzlich erlaubte Zwecke der Strafverfolgung.

3. Emotionserkennung und biometrische Kategorisierung

Pflicht

Betreiber von Systemen zur Emotionserkennung oder zur biometrischen Kategorisierung müssen die betroffenen Personen grundsätzlich über den Einsatz informieren.

Diese Information ist aber nur die halbe Miete. Parallel gelten das Datenschutzrecht und – je nach Anwendungsfall – die Verbote aus Artikel 5, etwa für Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen. Anders gesagt: Transparenz macht eine ansonsten unzulässige Anwendung nicht zulässig.

4. Deepfakes und Texte von öffentlichem Interesse

Pflicht

Betreiber müssen offenlegen, wenn Bild-, Audio- oder Videoinhalte künstlich erzeugt oder verändert wurden und als authentisch missverstanden werden können – der klassische Deepfake-Fall. Und: Bei KI-generierten oder KI-manipulierten Texten, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, ist grundsätzlich ebenfalls eine Offenlegung erforderlich.

Ausnahme

Bei offensichtlich künstlerischen, kreativen, satirischen oder fiktionalen Werken ist die Regel abgeschwächt: Hier genügt eine Offenlegung, die die Darbietung des Werks nicht beeinträchtigt – niemand muss einen Kinofilm mit einem Warnbanner überziehen.

Für Texte gilt die Offenlegungspflicht nach Artikel 50 Absatz 4 grundsätzlich dann nicht, wenn der Inhalt einen Prozess menschlicher Überprüfung oder redaktioneller Kontrolle durchlaufen hat und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt.

Zwei Klarstellungen, die in der Praxis viel Ärger sparen. Erstens ersetzt Artikel 50 nichts: Die Anforderungen an Hochrisiko-KI bleiben unverändert, und Transparenzpflichten aus anderen Gesetzen – europäischen wie deutschen – gelten daneben weiter. Zweitens beschreibt die FAQ der EU-Kommission zu Artikel 50 (öffnet in neuem Tab) die menschliche Prüfung als bewusste inhaltliche Auseinandersetzung durch fachkundige Personen und die redaktionelle Kontrolle als tatsächlich ausgeübte Kontrolle mit der Befugnis, Inhalte freizugeben, zu ändern oder abzulehnen. Rein formale oder oberflächliche Prüfungen – ausdrücklich genannt sind Rechtschreib- und Grammatikkorrektur – genügen dafür nicht.

Was nicht automatisch gekennzeichnet werden muss

Der hartnäckigste Irrtum zum AI Act lautet: „Alles, wo KI mitgeholfen hat, braucht ein Label.“ Das steht so nirgends.

Nicht jeder KI-generierte Text muss automatisch sichtbar als KI-generiert gekennzeichnet werden.

Die Offenlegungspflicht für Texte hat einen klaren Zuschnitt: Sie zielt auf Veröffentlichungen, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen. Und selbst dort greift die Ausnahme, sobald ein Mensch geprüft hat und jemand die redaktionelle Verantwortung trägt. Damit fallen typischerweise nicht unter die sichtbare Kennzeichnungspflicht:

  • interne Entwürfe, Konzepte und Arbeitsnotizen, die nie veröffentlicht werden
  • Geschäftskorrespondenz und E-Mails, die ein Mensch vor dem Absenden liest und verantwortet
  • Rechtschreib- und Grammatikkorrekturen sowie sprachliche Glättung
  • Übersetzungen und Zusammenfassungen für den internen Gebrauch
  • Protokolle, Angebote und Dokumentation, die nicht der öffentlichen Information dienen
  • veröffentlichte Texte, die inhaltlich durch einen Menschen geprüft oder redaktionell kontrolliert wurden und für deren Veröffentlichung eine natürliche oder juristische Person die redaktionelle Verantwortung trägt

Empfehlung, keine Pflicht

Ein freiwilliger Transparenzhinweis ist trotzdem oft die bessere Entscheidung – nicht wegen des AI Act, sondern wegen des Vertrauens Eurer Leser und Kunden. Wichtig ist nur, ihn nicht als gesetzlich zwingend darzustellen, wenn er es im konkreten Fall nicht ist.

Noch auslegungsbedürftig

Wo genau „öffentliches Interesse“ anfängt und wie tief eine „redaktionelle Kontrolle“ gehen muss, ist bislang nicht abschließend geklärt. Die EU-Kommission hat dazu Leitlinien und eine FAQ veröffentlicht; belastbare Behörden- oder Gerichtspraxis fehlt naturgemäß noch. Wer im Graubereich unterwegs ist, dokumentiert seine Prüfung – zum Stand der letzten fachlichen Prüfung dieses Beitrags ist das die beste verfügbare Absicherung.

Was Unternehmen jetzt tun sollten

Zehn Schritte, die sich auch ohne Rechtsabteilung abarbeiten lassen. Zusammen ergeben sie eine Bestandsaufnahme, die im Ernstfall zeigt, dass Ihr die Frage ernst genommen habt.

  1. KI-Inventar anlegen. Welche Werkzeuge mit KI-Funktionen sind im Einsatz – inklusive der KI-Funktionen, die still und leise in Standardsoftware eingezogen sind?
  2. Rolle je System bestimmen. Seid Ihr für dieses System Anbieter oder Betreiber? Im Zweifel schaut in die Vertragsunterlagen des Herstellers.
  3. Artikel-50-Auslöser prüfen. Gibt es direkte Interaktion mit Menschen, generierte Inhalte, Emotionserkennung oder öffentlich verbreitete Texte und Bilder?
  4. Herstellerinformationen einholen. Fragt schriftlich nach, wie der Anbieter die maschinenlesbare Kennzeichnung umsetzt – und hebt die Antwort auf.
  5. Technische Kennzeichnung nicht selbst basteln. Sie ist Aufgabe des Anbieters. Eure Aufgabe ist es, ihr Vorhandensein zu prüfen und zu dokumentieren.
  6. Sichtbare Hinweise dort setzen, wo sie hingehören. Chatbot-Einstieg, Telefonassistent, KI-gestützte Formulare – knapp, verständlich, vor der ersten Interaktion.
  7. Redaktionelle Freigaben regeln. Legt fest, wie veröffentlichte Texte inhaltlich durch einen Menschen geprüft oder redaktionell kontrolliert werden und welche natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt. Dokumentiert Prüfung, Freigabe, Datum und Verantwortlichkeit intern nachvollziehbar. Eine rein formale Rechtschreib- oder Grammatikprüfung genügt nicht.
  8. Dokumentation aufsetzen. Eine gepflegte Tabelle mit System, Rolle, Auslöser, Maßnahme und Datum genügt für den Anfang völlig.
  9. Verantwortlichkeiten benennen. Eine Person, die den Überblick behält, ist mehr wert als ein Gremium, das zweimal im Jahr tagt.
  10. Beschwerde- und Eskalationsweg festlegen. Wohin geht eine Beschwerde von außen, wer antwortet, in welcher Frist?

Parallel läuft eine Pflicht weiter, die seit dem 2. Februar 2025 gilt und gern übersehen wird: KI-Kompetenz bei allen, die mit den Systemen arbeiten. Seit der Neufassung durch den AI Omnibus ist sie bewusst weicher formuliert – verlangt sind Maßnahmen zur Förderung, kein garantiertes Kompetenzniveau. Praktisch bleibt die Frage dieselbe: Wissen Eure Leute, was das Werkzeug kann, wo seine Grenzen liegen und wann eine Ausgabe geprüft werden muss? Wir bieten dafür KI-Workshops an; strukturierte Bestandsaufnahmen begleiten wir unter AI Act Readiness.

Deutschland: Bundesnetzagentur und Fachaufsicht

Die EU-Verordnung gilt unmittelbar, die Aufsicht organisiert aber jeder Mitgliedstaat selbst. In Deutschland ist dafür das KI-Marktüberwachungs- und Innovationsförderungsgesetz – kurz KI-MIG – zuständig, das am 29. Juli 2026 in Kraft getreten ist.

Die Bundesnetzagentur übernimmt darin nach eigener Darstellung (öffnet in neuem Tab) eine zentrale Rolle. Sie ist seither Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für die KI-Verordnung. Im Einzelnen heißt das:

  • Marktüberwachung für KI-Systeme in Funkanlagen sowie für KI in sensiblen Bereichen – Personalmanagement, kritische Infrastruktur und Bildung.
  • Zentrale Anlaufstelle und Beschwerdestelle für Verstöße gegen die KI-Verordnung.
  • Zentrales Kompetenzzentrum, das die Marktüberwachungs- und notifizierenden Behörden koordiniert.
  • Innovationsförderung über KI-Reallabore, ausdrücklich mit Blick auf kleine und mittlere Unternehmen, sowie einen KI-Service-Desk mit einem Online-Werkzeug zur Einschätzung der Risikoklasse.

Sie ist damit aber nicht für jeden denkbaren Anwendungsfall zuständig. Die deutsche Aufsicht ist zweigleisig aufgestellt: Wo für ein Produkt bereits EU-weit einheitliche Regeln gelten, bleibt die bekannte Fachbehörde verantwortlich – genannt werden unter anderem die Bundesanstalt für Finanzdienstleistungsaufsicht für den Finanzsektor und die Landesmedienanstalten für den Medienbereich. Die Bundesländer können die Bundesnetzagentur für sich mitarbeiten lassen, statt eigene Stellen aufzubauen. Wer wissen will, wer im eigenen Fall zuständig ist, schaut deshalb zuerst auf die Branche und erst dann auf die Technik.

Bußgelder: die Zahlen im Verhältnis

Verstöße gegen die Transparenzpflichten aus Artikel 50 können nach Artikel 99 der KI-Verordnung (öffnet in neuem Tab) grundsätzlich mit bis zu 15 Millionen Euro geahndet werden oder – sofern es sich um ein Unternehmen handelt – mit bis zu drei Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Wert höher ist.

Diese Zahl steht selten ohne Dramatik in Newslettern. Drei Einordnungen gehören dazu:

  • Sonderregel für kleinere Unternehmen: Für KMU einschließlich Start-ups gilt der jeweils niedrigere der beiden Höchstwerte. Seit dem AI Omnibus gilt dieselbe Erleichterung auch für sogenannte Small Mid-Caps, also Unternehmen, die aus der KMU-Definition herausgewachsen sind.
  • Verhältnismäßigkeit: Sanktionen müssen im Einzelfall wirksam, verhältnismäßig und abschreckend sein; Umstände wie Schwere, Dauer und Mitwirkung sind zu berücksichtigen. Der Höchstbetrag ist eine Obergrenze, kein Regelfall.
  • Andere Verstöße, andere Rahmen: Die oft zitierten 35 Millionen Euro beziehungsweise sieben Prozent gehören zu den verbotenen Praktiken nach Artikel 5 – nicht zu Artikel 50.

Sechs häufige Irrtümer

Irrtum „Am 2. August 2026 tritt der AI Act erstmals in Kraft.“

Richtig In Kraft ist er seit dem 1. August 2024. Der 2. August 2026 ist ein Anwendbarkeitsstichtag, kein Startschuss.

Irrtum „Ab diesem Datum gilt die gesamte Verordnung.“

Richtig Anwendbar werden vor allem die Transparenzpflichten nach Artikel 50. Wesentliche Teile – insbesondere die Hochrisiko-Pflichten – folgen später.

Irrtum „Jeder KI-Text braucht ein sichtbares KI-Label.“

Richtig Die Offenlegungspflicht betrifft Texte zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse – und greift nicht, wenn eine menschliche Prüfung stattgefunden hat und jemand die redaktionelle Verantwortung trägt.

Irrtum „Für Transparenz ist ausschließlich der Tool-Anbieter verantwortlich.“

Richtig Artikel 50 verteilt die Pflichten auf beide Rollen. Die technische Kennzeichnung schuldet der Anbieter, die Offenlegung bei Deepfakes und bestimmten Texten schuldet der Betreiber.

Irrtum „Wenn ich auf KI hinweise, darf ich jede KI-Anwendung einsetzen.“

Richtig Transparenz heilt nichts. Verbotene Praktiken bleiben verboten, und Datenschutz-, Arbeits- und Urheberrecht gelten unverändert daneben.

Irrtum „Die Hochrisiko-Vorschriften gelten weiterhin ab August 2026.“

Richtig Der AI Omnibus hat sie verschoben: auf den 2. Dezember 2027 für eigenständige Systeme nach Anhang III und auf den 2. August 2028 für Hochrisiko-KI in Produkten nach Anhang I.

Häufige Fragen

Muss ich jeden KI-generierten Text kennzeichnen?

Nein. Die Offenlegungspflicht nach Artikel 50 zielt auf Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen. Selbst dort entfällt sie grundsätzlich, wenn der Inhalt eine menschliche Überprüfung oder redaktionelle Kontrolle durchlaufen hat und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt. Interne Entwürfe, geprüfte E-Mails und Korrekturhilfen fallen in aller Regel nicht darunter.

Braucht mein Website-Chatbot einen Hinweis?

Ja, sofern nicht ohnehin offensichtlich ist, dass es sich um eine KI handelt. Ein kurzer Satz beim Einstieg in den Chat genügt – zum Beispiel „Sie schreiben mit einem KI-gestützten Assistenten“. Die Pflicht richtet sich an den Anbieter des Systems; als Betreiber solltet Ihr trotzdem prüfen, ob der Hinweis auf Eurer Seite tatsächlich erscheint.

Muss ein KI-generiertes Beitragsbild gekennzeichnet werden?

Das kommt darauf an, was zu sehen ist. Die maschinenlesbare Markierung schuldet der Anbieter des Bildgenerators. Eine sichtbare Offenlegung durch Euch als Betreiber ist vor allem dann gefordert, wenn das Bild echt wirkende Personen, Orte oder Ereignisse zeigt und als authentisch missverstanden werden kann. Bei einer erkennbar illustrativen Grafik ist die Lage entspannter – ein knapper Hinweis ist trotzdem oft die sauberere Lösung.

Wer ist Anbieter und wer Betreiber?

Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke auf den Markt bringt. Betreiber ist, wer ein KI-System im Rahmen seiner beruflichen Tätigkeit einsetzt. Die meisten Unternehmen sind Betreiber. Wer ein zugekauftes System wesentlich verändert oder unter eigener Marke weitergibt, kann selbst zum Anbieter werden.

Gelten die Hochrisiko-Regeln ab August 2026?

Nein. Der AI Omnibus, in Kraft seit dem 27. Juli 2026, hat sie verschoben: Die umfassenden Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III gelten ab dem 2. Dezember 2027, für Hochrisiko-KI in regulierten Produkten nach Anhang I ab dem 2. August 2028. Wer bereits ein solches System betreibt, das später in diese Kategorie fällt, gewinnt damit Zeit für eine saubere Vorbereitung.

Welche Behörde ist in Deutschland zuständig?

Auf Grundlage des KI-MIG, das am 29. Juli 2026 in Kraft getreten ist, ist die Bundesnetzagentur Marktüberwachungsbehörde, zentrale Anlaufstelle und Beschwerdestelle für die KI-Verordnung sowie koordinierendes Kompetenzzentrum. Ihre eigene Marktüberwachung erfasst KI in Funkanlagen und in den sensiblen Bereichen Personalmanagement, kritische Infrastruktur und Bildung. Die Aufsicht bleibt zweigleisig: Wo für ein Produkt bereits EU-weit einheitliche Regeln gelten, bleibt die bekannte Fachbehörde zuständig, etwa die BaFin im Finanzsektor und die Landesmedienanstalten im Medienbereich.

Was droht bei Verstößen gegen Artikel 50?

Grundsätzlich bis zu 15 Millionen Euro oder – sofern es sich um ein Unternehmen handelt – bis zu drei Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Wert höher ist. Für KMU einschließlich Start-ups und seit dem AI Omnibus auch für Small Mid-Caps gilt der jeweils niedrigere Höchstwert. Jede Sanktion muss im Einzelfall wirksam, verhältnismäßig und abschreckend sein.

Ist der Code of Practice verpflichtend?

Nein. Der Code of Practice on Transparency of AI-generated Content – nicht zu verwechseln mit dem Verhaltenskodex für GPAI-Modelle – wurde am 10. Juni 2026 veröffentlicht und ist ausdrücklich freiwillig. Kommission und AI Board haben ihn als geeignetes Instrument bewertet, um die Einhaltung der Transparenzpflichten nachzuweisen; bis Ende Juli 2026 hatten ihn rund 190 Unternehmen und Organisationen unterzeichnet. Verpflichtend ist die Verordnung selbst, nicht der Kodex. Und wer ihn unterzeichnet, gilt damit nicht automatisch als gesetzeskonform – die Behörde prüft weiterhin den Einzelfall.

Fazit: prüfen statt hektisch handeln

Der 2. August 2026 ist ein wichtiger Stichtag, aber kein Grund für Aktionismus. Anwendbar werden Transparenzpflichten, die sich für die meisten Unternehmen auf überschaubare Maßnahmen herunterbrechen lassen: wissen, welche KI im Haus ist, in welcher Rolle Ihr sie einsetzt, und an den richtigen Stellen sagen, dass KI beteiligt ist.

Der eigentliche Aufwand liegt nicht im Formulieren von Hinweisen, sondern in der Übersicht. Wer sein KI-Inventar kennt und seine Prüfungen dokumentiert, ist auf die Durchsetzung ab August 2026 vorbereitet – und hat gleichzeitig die Grundlage für die Hochrisiko-Anforderungen, die 2027 und 2028 folgen.

Rechtlicher Hinweis

Dieser Beitrag gibt allgemeine Informationen wieder — Stand der letzten fachlichen Prüfung: 1. August 2026. Er ersetzt keine individuelle Rechtsberatung. Ob und wie eine Pflicht in Eurem konkreten Fall greift, hängt von Details ab, die dieser Text nicht kennen kann. Im Zweifel zieht bitte rechtlichen Rat hinzu.

Transparenzhinweis

Für diesen Beitrag wurden Quellen mit KI-Unterstützung recherchiert und aufbereitet. Alle Angaben wurden anschließend redaktionell gegen die unten verlinkten offiziellen Quellen geprüft; die redaktionelle Verantwortung liegt bei Pixelschnitzel. Diesen Hinweis geben wir freiwillig – er ist in dieser Konstellation nicht in jedem Fall gesetzlich vorgeschrieben.

Quellen

Alle Angaben in diesem Beitrag stützen sich auf die folgenden offiziellen Quellen. Die Links öffnen in einem neuen Tab.