EU AI Act: Transparenzpflichten ab August 2026

Der Zeitplan: was wann greift

Der EU AI Act (Verordnung (EU) 2024/1689) ist die weltweit erste umfassende KI-Regulierung. Er trat am 1. August 2024 in Kraft und wirkt stufenweise:

• Seit 2. Februar 2025: Verbote bestimmter KI-Praktiken (Art. 5) und die KI-Kompetenzpflicht (Art. 4).
• Seit 2. August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI), Governance-Strukturen und der Sanktionsrahmen.
• Ab 2. August 2026: Transparenzpflichten nach Art. 50 und Beginn der behördlichen Durchsetzung.

Der AI Act gilt nicht nur für Entwickler. Er unterscheidet „Anbieter" (die KI bereitstellen) und „Betreiber" (die KI einsetzen). Wer im Unternehmen ChatGPT, Copilot oder Bildgeneratoren nutzt, ist Betreiber und trägt Pflichten.

Was Artikel 50 konkret verlangt

Artikel 50 gilt unabhängig von der Risikoklasse. Er enthält vier Kernpflichten:

• Interaktion mit Menschen (Anbieterpflicht, Art. 50 Abs. 1): KI-Systeme, die direkt mit Menschen interagieren – etwa Chatbots –, müssen so gestaltet sein, dass die Person erkennt, dass sie mit einer KI kommuniziert. Es sei denn, das ist aus dem Kontext offensichtlich.
• Kennzeichnung synthetischer Inhalte (Anbieterpflicht, Art. 50 Abs. 2): Anbieter von KI, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugt, müssen den Output in maschinenlesbarem Format als künstlich erzeugt kennzeichnen.
• Emotionserkennung und biometrische Kategorisierung (Betreiberpflicht, Art. 50 Abs. 3): Betreiber müssen die betroffenen Personen über den Einsatz solcher Systeme informieren.
• Deepfakes und Texte zu öffentlichem Interesse (Betreiberpflicht, Art. 50 Abs. 4): Wer mit KI Deepfakes erzeugt, muss offenlegen, dass der Inhalt künstlich erzeugt wurde. Dasselbe gilt für KI-generierte Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden – ausgenommen, der Inhalt wurde einer menschlichen Kontrolle unterzogen und jemand trägt die redaktionelle Verantwortung.

Die Information muss klar und unterscheidbar spätestens bei der ersten Interaktion oder Exposition erfolgen.

Die KI-Kompetenzpflicht – oft übersehen

Schon seit dem 2. Februar 2025 gilt Art. 4: Anbieter und Betreiber müssen für ein ausreichendes Maß an KI-Kompetenz ihres Personals sorgen. Diese Pflicht trifft alle Unternehmen, die KI einsetzen – unabhängig von Größe und Risikoklasse, also auch das Unternehmen, das intern nur ein Tool wie ChatGPT nutzt. Ein eigener Bußgeldtatbestand ist dafür zwar nicht vorgesehen, doch die behördliche Durchsetzung beginnt auch hier am 2. August 2026, und Verstöße können als erschwerender Umstand gewertet werden.

Was verschoben wurde: der Digital Omnibus

Hier ist Genauigkeit geboten, denn die Rechtslage ist im Fluss. Mit dem sogenannten „Digital Omnibus on AI" (Kommissionsvorschlag COM(2025)837 vom 19. November 2025) haben sich Rat und Parlament auf eine Verschiebung der Hochrisiko-Fristen verständigt. Nach der politischen Einigung vom 7. Mai 2026 hat das Europäische Parlament in erster Lesung am 16. Juni 2026 zugestimmt, der Rat hat den Rechtsakt am 29. Juni 2026 förmlich angenommen. Aus steht damit nur noch die Veröffentlichung im EU-Amtsblatt; der Rechtsakt tritt am dritten Tag nach dieser Veröffentlichung in Kraft.

Inhaltlich sollen die Pflichten für Hochrisiko-Systeme verschoben werden: für eigenständige Hochrisiko-Systeme (Anhang III) vom 2. August 2026 auf den 2. Dezember 2027, für in Produkte eingebettete Hochrisiko-KI (Anhang I) auf den 2. August 2028.

Wichtig: Solange die Veröffentlichung im Amtsblatt aussteht, ist das Paket formell noch nicht wirksam; bis dahin bleibt der ursprüngliche Zeitplan die rechtliche Grundlage. Und: Die Transparenzpflichten nach Art. 50 und die KI-Kompetenzpflicht nach Art. 4 sind von der Verschiebung ausdrücklich nicht betroffen. Sie gelten unverändert ab dem 2. August 2026.

Bußgelder und deutsche Aufsicht

Der Sanktionsrahmen nach Art. 99 ist erheblich. Für verbotene KI-Praktiken drohen Bußgelder bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Für Verstöße gegen die Transparenz- und sonstigen Betreiberpflichten – also auch gegen Art. 50 – gelten bis zu 15 Millionen Euro oder 3 %. Für KMU und Start-ups gilt jeweils der niedrigere der beiden Beträge.

In Deutschland soll die Bundesnetzagentur die zentrale Marktüberwachungsbehörde werden. Das nationale Durchführungsgesetz (KI-Marktüberwachungs- und Innovationsförderungsgesetz, KI-MIG) hat den Bundestag am 11. Juni 2026 passiert, ist aber noch nicht vollständig in Kraft (Bundesrat und Verkündung stehen aus). Sektorbehörden wie die BaFin (Finanzsektor), der BfDI (Datenschutz) und die Landesmedienanstalten (Medien) sollen ihre jeweilige Zuständigkeit behalten.

Handlungsempfehlung

Beginnen Sie mit einem KI-Inventar: eine strukturierte Übersicht aller im Unternehmen genutzten KI-Systeme, inklusive der Funktionen, die „im Hintergrund" in SaaS-Lösungen von Drittanbietern laufen. Ordnen Sie jedes System den Risikokategorien zu und prüfen Sie, wo Transparenzpflichten greifen – konkret bei Chatbots, KI-generierten Marketinginhalten und Deepfakes. Passen Sie Chatbot-Hinweise und Kennzeichnungen bis zum 2. August 2026 an. Setzen Sie die KI-Kompetenzpflicht um, indem Sie relevante Mitarbeiter schulen und die Schulung dokumentieren. Und beobachten Sie den Digital Omnibus: Auf die Transparenzpflichten hat er keinen Einfluss, für Hochrisiko-Anwendungen verschafft er voraussichtlich mehr Zeit.