KI-Kennzeichnungspflicht 2026: Was für den Mittelstand beim EU AI Act gilt
- Florian Heeg
- vor 1 Tag
- 5 Min. Lesezeit
TL;DR
Der EU AI Act gilt bereits seit 1.8.2024, greift aber stufenweise. Der 2.8.2026 bringt nicht die befürchtete Hochrisiko-Welle, sondern die Transparenzpflichten aus Artikel 50.
Verbindlich ab 2.8.2026, ohne Übergangsfrist: die Chatbot-Offenlegungspflicht.
Nur mit Übergangsfrist bis 2.12.2026: die maschinenlesbare Kennzeichnung KI-generierter Inhalte bei Systemen, die schon vor dem 2.8.2026 im Einsatz waren.
Der Digital Omnibus (Verordnung (EU) 2026/1744, seit 27.7.2026 in Kraft) verschiebt die grossen Hochrisiko-Pflichten: Anhang III auf den 2.12.2027, Anhang I auf den 2.8.2028. Das betrifft die meisten Mittelstandstools nicht, da diese unter "begrenztes" oder "minimales" Risiko fallen.
Konkret zu tun: KI-Systeme inventarisieren, Risikoklasse bestimmen, Transparenz bis Dezember 2026 sauber umsetzen, Hochrisiko-Fristen im Blick behalten.
"In Kraft" ist nicht dasselbe wie "anwendbar"
Der EU AI Act selbst ist keine neue Nachricht. Die Verordnung gilt bereits seit dem 1. August 2024, ihre Regelungen entfalten sich aber schrittweise. Verbotene KI-Praktiken sind seit Februar 2025 untersagt, die Vorgaben für allgemeine KI-Modelle (GPAI) sowie die Governance-Strukturen seit August 2025 in Kraft. Der 2. August 2026 markiert die nächste Stufe, und genau diese wurde in den letzten Wochen entscheidend überarbeitet.
Das gilt ab 2. August 2026: die KI-Kennzeichnungspflicht nach Artikel 50
Was ab diesem Datum wirklich verbindlich wird, ist Artikel 50 des AI Act, die Transparenz- und Kennzeichnungspflicht. Sie betrifft deutlich mehr Unternehmen als vermutet, weil sie nicht an eine Hochrisiko-Einstufung gekoppelt ist, sondern schon beim alltäglichen KI-Einsatz greift:
Kennzeichnung KI-generierter Inhalte: Texte, Bilder, Audio- und Videodateien, die durch KI erzeugt oder verändert wurden, müssen maschinenlesbar als solche markiert sein.
Chatbots: Nutzerinnen und Nutzer müssen erkennen können, dass sie mit einem System und nicht mit einem Menschen kommunizieren.
Deepfakes: Künstlich erzeugte oder manipulierte Medien, die echten Personen oder Ereignissen täuschend ähnlich sind, müssen offengelegt werden.
Wichtig für die Praxis ist eine Unterscheidung, die oft übersehen wird: Nur die maschinenlesbare Kennzeichnung KI-generierter Inhalte hat für bereits vor dem 2. August 2026 im Einsatz befindliche Systeme eine Übergangsfrist bis zum 2. Dezember 2026. Die Chatbot-Offenlegungspflicht dagegen gilt ohne Übergangsfrist ab dem 2. August 2026: Wer heute schon einen Chatbot einsetzt, muss also sofort kenntlich machen, dass Nutzer mit einer KI kommunizieren.
Was der Digital Omnibus verschoben hat
Den eigentlichen Kurswechsel bringt der sogenannte Digital Omnibus (Verordnung (EU) 2026/1744), der am 27. Juli 2026 in Kraft getreten ist. Er ändert über 40 Artikel des AI Act und schiebt vor allem die Fristen nach hinten, die dem Mittelstand am meisten Sorgen bereitet hatten:
Eigenständige Hochrisiko-Systeme (Anhang III): Die eigentlich zum 2. August 2026 fälligen Pflichten verschieben sich auf den 2. Dezember 2027, ein Aufschub um 16 Monate.
In Produkte eingebettete Hochrisiko-KI (Anhang I): Die Frist wandert vom 2. August 2027 auf den 2. August 2028.
KI-Kompetenz (Artikel 4): Aus der Pflicht, ein bestimmtes Kompetenzniveau "sicherzustellen", wird die schwächere Vorgabe, es "zu fördern".
Nicht verschoben wurde die Transparenzpflicht aus Artikel 50, sie bleibt beim 2. August 2026. Schlagzeilen wie "EU verschiebt KI-Regeln" erzählen also nur die halbe Geschichte.
Wen der AI Act überhaupt betrifft
Der AI Act unterscheidet vier Risikoklassen: verboten, Hochrisiko, begrenztes Risiko und minimales Risiko. Je höher die Einstufung, desto umfangreicher die Pflichten. Die aufwendigen Anforderungen, Konformitätsbewertung, technische Dokumentation, Registrierung, betreffen ausschliesslich Hochrisiko-Systeme, etwa KI in der Personalauswahl, bei der Kreditvergabe, in kritischer Infrastruktur oder bei biometrischer Identifizierung.
Die meisten im Mittelstand eingesetzten Werkzeuge, Textassistenten, Auswertungstools, Kundenservice-Chatbots, fallen dagegen unter "begrenztes" oder "minimales" Risiko. Hier zählt vor allem Transparenz, nicht der volle Pflichtenkatalog. Die entscheidende Frage lautet deshalb: In welche Risikoklasse fällt die im eigenen Unternehmen eingesetzte KI überhaupt?
Konkrete To-dos für den Mittelstand
Die Fristverschiebung ist kein Freifahrtschein, sondern gewonnene Zeit:
Bestandsaufnahme machen: Welche KI-Systeme sind im Unternehmen im Einsatz, auch die, die "nebenbei" über andere Software mitlaufen?
Risikoklasse bestimmen: Jede Anwendung einordnen, denn davon hängt der tatsächliche Umsetzungsaufwand ab.
Transparenz umsetzen: Kennzeichnung von KI-Inhalten und Chatbot-Hinweise spätestens bis zum 2. Dezember 2026 sauber einrichten.
Kompetenz aufbauen: Auch wenn die Pflicht abgeschwächt wurde, wer KI einsetzt, sollte wissen, wie er sie sicher und regelkonform nutzt.
Hochrisiko-Fristen im Blick behalten: Bis Dezember 2027 ist Zeit, eine Konformitätsbewertung dauert aber erfahrungsgemäss Monate, frühzeitig starten lohnt sich.
Die Marktüberwachung liegt je nach Land bei unterschiedlichen Behörden, unterstützt von Fachstellen für einzelne Sektoren (z. B. Finanzaufsicht, Datenschutz). Eine sofortige Kontrollwelle ist unwahrscheinlich, ein dokumentiertes, nachvollziehbares Vorgehen sollte aber jederzeit vorweisbar sein.
Fazit: nüchtern statt panisch
Der 2. August 2026 ist kein Grund zur Panik, aber auch keine Entwarnung. Wer jetzt beginnt, den eigenen KI-Einsatz sauber einzuordnen, spart sich später Zeitdruck und teure Nacharbeit. Entscheidend ist eine realistische Einschätzung: Was betrifft das eigene Unternehmen, was nicht, und welcher Aufwand steht dem tatsächlich gegenüber?
Häufige Fragen zum EU AI Act
Tritt der EU AI Act am 2. August 2026 in Kraft?
Nein, die Verordnung ist bereits seit dem 1. August 2024 in Kraft und wird stufenweise anwendbar. Zum 2. August 2026 greifen die Transparenzpflichten aus Artikel 50, etwa die Kennzeichnung KI-generierter Inhalte. Die für diesen Termin erwarteten Hochrisiko-Pflichten wurden durch den Digital Omnibus auf Dezember 2027 verschoben.
Gilt der EU AI Act auch für kleine Unternehmen?
Ja, grundsätzlich unabhängig von der Unternehmensgrösse, sobald KI im EU-Binnenmarkt eingesetzt oder bereitgestellt wird. Der tatsächliche Aufwand richtet sich nach der Risikoklasse der eingesetzten Anwendungen. Wer nur Tools mit minimalem oder begrenztem Risiko nutzt, hat deutlich weniger Pflichten als ein Betreiber von Hochrisiko-KI.
Müssen KI-generierte Inhalte gekennzeichnet werden?
Ja. Ab dem 2. August 2026 müssen KI-generierte oder -manipulierte Inhalte wie Texte, Bilder, Audio- und Videodateien maschinenlesbar als künstlich erzeugt gekennzeichnet werden. Für Systeme, die schon vor diesem Stichtag im Einsatz waren, gilt für diese technische Kennzeichnung eine Übergangsfrist bis zum 2. Dezember 2026. Die Offenlegungspflicht für Chatbots ist davon getrennt zu betrachten: Sie gilt ohne Übergangsfrist bereits ab dem 2. August 2026.
Wurden die Hochrisiko-Pflichten des EU AI Act verschoben?
Ja. Der Digital Omnibus (Verordnung (EU) 2026/1744) verschiebt die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027. Für in Produkte eingebettete Hochrisiko-KI nach Anhang I gilt nun der 2. August 2028.
Wie hoch sind die Bussgelder beim EU AI Act?
Für die schwersten Verstösse, etwa den Einsatz verbotener KI-Praktiken, drohen bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Bei Verstössen gegen Transparenz- und Hochrisiko-Pflichten liegt die Obergrenze bei bis zu 15 Millionen Euro oder 3 %, bei falschen Angaben gegenüber Behörden bei bis zu 7,5 Millionen Euro oder 1 %. Für KMU und Start-ups gilt jeweils der niedrigere der beiden Beträge als Obergrenze.
Müssen Mitarbeitende zu KI geschult werden?
Die Pflicht zur KI-Kompetenz nach Artikel 4 gilt bereits seit Februar 2025. Der Digital Omnibus hat sie von "sicherstellen" zu "fördern" abgeschwächt, ein bestimmtes Kompetenzniveau muss also nicht mehr garantiert werden. Sinnvoll bleibt eine Sensibilisierung trotzdem: Wer KI einsetzt, sollte wissen, wie er sie sicher und regelkonform nutzt.
Ist ein Chatbot auf der eigenen Website Hochrisiko-KI?
In aller Regel nicht. Ein einfacher Kundenservice- oder Beratungs-Chatbot fällt meist unter "begrenztes Risiko" und muss lediglich transparent machen, dass Nutzer mit einer KI kommunizieren. Als Hochrisiko gelten vor allem Systeme in sensiblen Bereichen wie Personalauswahl, Kreditvergabe oder biometrischer Identifizierung.
Dieser Gastbeitrag stammt von Florian Heeg, Inhaber von Costshield IT Consulting.
Kommentare