EU AI Act 2026: das gilt ab 2. August für KMU

Am 2. August 2026 wird ein weiterer, großer Teil der EU-KI-Verordnung wirksam, offiziell die Verordnung (EU) 2024/1689, meist AI Act genannt. Wenn du einen kleinen oder mittleren Betrieb führst und irgendwo KI im Einsatz hast, sei es ein Chatbot auf der Website, ein Textgenerator fürs Büro oder ein Bild-Tool fürs Marketing, betrifft dich dieser Stichtag. Nicht mit dem ganz großen Aufwand, aber mit ein paar konkreten Pflichten. Hier steht ohne Panik und ohne Fachchinesisch, was passiert und was du bis dahin geklärt haben solltest.

Was am 2. August 2026 passiert

Die KI-Verordnung gilt nicht auf einen Schlag, sondern in Stufen. Zwei davon sind schon aktiv: Seit dem 2. Februar 2025 sind bestimmte KI-Anwendungen ganz verboten, und seit demselben Datum gilt die sogenannte KI-Kompetenzpflicht, dazu gleich mehr.

Zum 2. August 2026 kommt die nächste, große Stufe. Ab diesem Datum gelten laut EU-Kommission unter anderem:

• Transparenzpflichten (Artikel 50): KI-generierte Inhalte müssen unter bestimmten Umständen als solche erkennbar sein. Ein Chatbot muss offenlegen, dass der Nutzer mit einer Maschine schreibt, und täuschend echte KI-Bilder oder -Videos von Personen und Ereignissen (Deepfakes) müssen gekennzeichnet werden. Dieser Teil bleibt vom unten stehenden Aufschub ausdrücklich unberührt.
• Aufsicht und Sanktionen (für diese Transparenzpflichten): Die nationalen Aufsichtsbehörden bekommen Durchsetzungsbefugnisse, und der Bußgeld-Rahmen greift. Verstöße können teuer werden. Je nach Art des Verstoßes drohen bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, bei verbotenen KI-Praktiken sogar bis zu 35 Millionen Euro oder 7 Prozent. Für kleine und mittlere Unternehmen sieht die Verordnung dabei niedrigere Obergrenzen vor.

Wichtige Korrektur zum ursprünglichen Zeitplan: Die strengeren Pflichten für Hochrisiko-KI-Systeme (etwa Risikomanagement, Dokumentation, menschliche Aufsicht bei KI, die zum Beispiel Bewerber vorsortiert oder Kreditwürdigkeit bewertet) sollten ursprünglich ebenfalls zum 2. August 2026 greifen. Der Rat der EU hat Ende Juni 2026 das sogenannte Vereinfachungspaket ("Digital Omnibus") final gebilligt, das genau diese Hochrisiko-Pflichten verschiebt: auf Dezember 2027 für eigenständige Hochrisiko-Systeme und auf August 2028 für Hochrisiko-KI, die in bereits reguliertes Equipment eingebettet ist. Nur die Transparenzpflichten aus Artikel 50 oben sind von dieser Verschiebung ausdrücklich ausgenommen.

Was das für dich als KMU heißt

Die guten Nachrichten zuerst: Die riesigen Bußgelder und die schwersten Pflichten zielen auf die Anbieter großer KI-Modelle, also auf OpenAI, Google und Co. Die allermeisten kleinen Betriebe bauen keine eigenen KI-Modelle, sie nutzen sie nur. Und für Nutzer ist die Liste überschaubar.

Zwei Dinge betreffen fast jeden, der KI im Betrieb einsetzt:

KI-Kompetenz (schon seit Februar 2025 Pflicht). Wer KI im Unternehmen einsetzt, muss dafür sorgen, dass die Leute, die damit arbeiten, ausreichend Bescheid wissen: was das Tool kann, wo seine Grenzen liegen, worauf man achten muss. Das ist keine teure Zertifizierung, sondern eine Frage von Einweisung und klaren Regeln. Einen ehrlichen Grundlagen-Überblick genau dazu gibt der Artikel Was KI wirklich kann - und was nicht.

Transparenz (ab 2. August 2026). Läuft auf deiner Seite ein Chatbot, muss der Besucher erkennen können, dass er mit einer KI spricht. Nutzt du KI-Bilder oder -Videos, die echt wirken sollen, gehören die gekennzeichnet. Das betrifft nicht jede mit KI geschriebene Marketing-Zeile, aber überall dort, wo sonst ein falscher Eindruck entsteht, gilt: offenlegen.

Setzt du KI in einem sensiblen Feld ein, etwa zur Vorauswahl von Bewerbern oder zur Bonitätsprüfung, kommen später die strengeren Hochrisiko-Pflichten dazu, dafür bleibt dir dank der Verschiebung jetzt aber deutlich mehr Zeit (Dezember 2027 beziehungsweise August 2028 statt August 2026). Für den Standard-Alltag, also Angebote entwerfen, Mails formulieren, Texte zusammenfassen, war das ohnehin nie der Fall.

Was du jetzt tun (und was du lassen) solltest

Tun:

1. Verschaff dir einen Überblick. Schreib einmal auf, wo in deinem Betrieb überhaupt KI mitläuft: Chatbot, Text- und Bild-Tools, vielleicht ein Recruiting- oder Buchhaltungsprogramm mit KI-Funktion. Was man nicht kennt, kann man nicht regeln.
2. Klär die KI-Kompetenz. Eine kurze interne Regel und eine Einweisung für alle, die KI nutzen, reichen für den Anfang. Wichtigster Punkt, der ohnehin gilt: KI liefert Entwürfe, geprüft und freigegeben wird von einem Menschen.
3. Setz die Kennzeichnung um. Chatbot als KI ausweisen, KI-Medien kenntlich machen. Meist ist das ein Satz oder ein kleiner Hinweis, kein Projekt.
4. Behalte den Hochrisiko-Fall im Blick. Nutzt du KI für Bewerberauswahl, Bonität oder Ähnliches? Die strengen Pflichten dafür sind auf Dezember 2027 beziehungsweise August 2028 verschoben, kommen aber sicher. Ein Blick jetzt erspart dir Stress später.

Lassen:

• Kauf nicht aus Angst. Rund um jeden Stichtag tauchen teure Compliance-Pakete und Panik-Zertifizierungen auf. Wer KI nur für Büro-Entwürfe nutzt, braucht das nicht. Erst der tatsächliche Einsatz entscheidet, welche Pflicht überhaupt greift.
• Verwechsle Nutzung nicht mit Anbieter-Rolle. Die schlagzeilentauglichen Millionenbußgelder gelten den Modell-Anbietern, nicht dem Handwerks- oder Shop-Betrieb, der ChatGPT für Angebotstexte einsetzt.

Wenn KI bei dir ohnehin fester Teil der Abläufe werden soll, lohnt es sich, sie von vornherein sauber und nachvollziehbar aufzusetzen, statt später nachzurüsten. Wie ein solcher Aufbau in der Praxis aussieht, zeigt der ESD AI-Stack an einem laufenden Beispiel. Und wenn du grundsätzlich wissen willst, wo KI stark ist und wo sie dich im Stich lässt, hilft der Artikel Was KI wirklich kann und was nicht.

Häufige Fragen: EU AI Act und KMU

Muss ich als kleiner Betrieb überhaupt etwas tun?
Wenn du KI nutzt, ja, aber meist wenig. Sorg dafür, dass dein Team weiß, wie man mit den Tools umgeht, und kennzeichne dort, wo KI im Spiel ist und sonst ein falscher Eindruck entstünde, etwa beim Chatbot. Ein aufwendiges Compliance-Programm brauchen die meisten KMU für die normale Nutzung nicht.

Muss ich jeden mit KI geschriebenen Text kennzeichnen?
Nein. Die Transparenzpflicht zielt auf Fälle, in denen Nutzer sonst getäuscht würden, also auf Chatbots und auf täuschend echte KI-Bilder oder -Videos. Ein mit KI vorformulierter Angebots- oder Website-Text, den du prüfst und verantwortest, fällt nicht automatisch darunter.

Was passiert, wenn ich nichts mache?
Ab dem 2. August 2026 können die Aufsichtsbehörden Verstöße gegen die Transparenzpflichten ahnden. Für die meisten kleinen Betriebe ist das Risiko überschaubar, solange sie die wenigen Nutzer-Pflichten erfüllen. Wer die Kennzeichnung ignoriert, geht ein echtes Bußgeldrisiko ein. Die strengeren Hochrisiko-Pflichten kommen erst 2027/2028, betreffen aber ohnehin nur KI in sensiblen Bereichen wie Bewerberauswahl oder Bonitätsprüfung.

Die Einschätzung kommt nicht vom Schreibtisch, sondern von jemandem, der KI selbst tief in einen laufenden Betrieb eingebaut hat. Wie das aussah, steht anonymisiert in der Case Study und der Geschichte dahinter. Dieser Artikel ist eine Orientierung, keine Rechtsberatung.