Ab 2. August 2026 gelten die Transparenzregeln des EU AI Acts. Externe Chatbots müssen sich als KI zu erkennen geben, Deepfakes brauchen einen Hinweis und bei bestimmten KI-Texten ist eine echte redaktionelle Kontrolle entscheidend. Die ursprünglich für 2026 vorgesehenen Hochrisiko-Regeln wurden dagegen verschoben.

Was sich am 2. August 2026 ändert

Der EU AI Act gilt bereits stufenweise. Verbotene KI-Praktiken und die Pflicht zur KI-Kompetenz greifen seit Februar 2025. Seit August 2025 gelten Regeln für Anbieter großer Basismodelle. Am 2. August 2026 folgt nun die nächste Stufe.

Für die meisten kleinen und mittleren Unternehmen stehen die Transparenzpflichten aus Artikel 50 im Mittelpunkt. Kunden, Beschäftigte und andere Betroffene sollen erkennen können, wann sie direkt mit KI kommunizieren oder realistisch wirkende Inhalte künstlich erzeugt wurden.

Eine wesentliche Änderung kam kurz vor dem Stichtag: Der im Juli 2026 in Kraft getretene AI Omnibus verschiebt die besonderen Pflichten für Hochrisiko-KI. Systeme aus Bereichen wie Beschäftigung, Bildung oder Kreditwürdigkeitsprüfung fallen nun grundsätzlich ab 2. Dezember 2027 unter die entsprechenden Anforderungen. Für Hochrisiko-KI in regulierten Produkten gilt der 2. August 2028.

Die Verschiebung ist keine Freistellung. Unternehmen sollten kritische Anwendungen jetzt erkennen und geordnet vorbereiten.

Chatbots und KI-Agenten müssen sich zu erkennen geben

Wer einen Chatbot, Sprachbot oder KI-Agenten bereitstellt, muss den Menschen spätestens bei der ersten Interaktion klar darüber informieren, dass er mit einem KI-System kommuniziert. Die EU-Kommission nennt eine schlichte Formulierung wie „Sie interagieren mit einem KI-System“.

Ein Name wie „Digitaler Assistent“ ist zu unbestimmt. Auch eine Information, die nur im Impressum oder in den Datenschutzbestimmungen steht, erreicht den Nutzer nicht rechtzeitig. Sinnvoll ist ein gut sichtbarer Hinweis direkt am Eingabefeld oder in der ersten Nachricht.

Bei intern eingesetzten Werkzeugen kann die KI-Natur im Einzelfall offensichtlich sein, etwa bei einem ausschließlich für geschulte Entwickler bereitgestellten Code-Assistenten. Für öffentlich erreichbare Kunden-Chats legt die Kommission die Ausnahme eng aus. Dort sollte die Kennzeichnung ausdrücklich erfolgen.

Nutzt ein Unternehmen eine fertige Lösung, liegt die technische Anbieterpflicht häufig beim Hersteller. Der Betreiber sollte trotzdem prüfen, ob der Hinweis tatsächlich angezeigt wird und dies im Vertrag festhalten. Bei Eigenentwicklungen, White-Label-Produkten oder starken Änderungen kann das Unternehmen selbst als Anbieter gelten.

Wann KI-Bilder, Videos und Texte gekennzeichnet werden müssen

Anbieter generativer KI-Systeme müssen Ausgaben wie Bilder, Audio, Video und Texte maschinenlesbar markieren. Diese technische Pflicht richtet sich in erster Linie an den Hersteller des Systems. Für bereits vor dem 2. August 2026 angebotene Systeme gilt nach dem AI Omnibus eine Übergangsfrist bis 2. Dezember 2026.

Unternehmen, die generative KI einsetzen, haben eigene Pflichten, wenn sie Deepfakes veröffentlichen. Gemeint sind realistisch wirkende Bilder, Ton- oder Videoaufnahmen, die bestehende oder realistisch erscheinende Personen, Gegenstände, Orte oder Ereignisse künstlich darstellen und fälschlich echt wirken können.

Das betrifft nicht nur politische Manipulation. Die Leitlinien nennen auch realistische CEO-Avatare und KI-generierte Produktbilder in der Werbung. Wenn die künstliche Darstellung die Wahrnehmung des echten Produkts beeinflussen kann, sollte ihr Ursprung sichtbar offengelegt werden.

Für Unternehmensblogs und News-Seiten ist eine weitere Regel relevant. KI-generierte oder manipulierte Texte zu Themen von öffentlichem Interesse müssen grundsätzlich gekennzeichnet werden. Die Kennzeichnung entfällt, wenn der Inhalt fachkundig geprüft wurde und eine Person oder das Unternehmen redaktionell verantwortlich ist. Nach den Leitlinien gehört mindestens ein Faktencheck zur menschlichen Prüfung.

Ein praktikabler Ablauf besteht aus drei Schritten:

1. Quellen und Tatsachen prüfen.

2. Inhalt und Formulierungen redaktionell bearbeiten.

3. Freigabe mit Name, Datum und Version dokumentieren.

Ein flüchtiges Lesen eines KI-Entwurfs genügt dafür nicht.

Vorsicht bei Emotionserkennung und biometrischer Analyse

Unternehmen, die zulässige Systeme zur Emotionserkennung oder biometrischen Kategorisierung verwenden, müssen die betroffenen Personen über den Betrieb informieren. Datenschutzrecht gilt daneben uneingeschränkt weiter.

Am Arbeitsplatz ist KI-gestützte Emotionserkennung grundsätzlich schon seit Februar 2025 verboten. Es bestehen nur enge Ausnahmen für medizinische oder sicherheitsbezogene Zwecke. Angebote, die anhand von Stimme, Gesicht oder Verhalten Stimmung, Stress oder Aufmerksamkeit von Beschäftigten bewerten sollen, gehören deshalb vor dem Einsatz auf den Prüfstand.

KI-Schulung ist keine neue Pflicht – sie gilt bereits

Artikel 4 verpflichtet Anbieter und Betreiber, die KI-Kompetenz ihrer Beschäftigten und weiterer im Auftrag handelnder Personen zu unterstützen. Der AI Omnibus hat die Regel präzisiert: Unternehmen müssen geeignete Maßnahmen treffen, aber keinen bestimmten Kenntnisstand jeder einzelnen Person garantieren.

Eine allgemeine einstündige Schulung kann für gelegentliche Textkorrekturen ausreichen, nicht aber für Beschäftigte, die KI im Personalbereich, in der Kundenkommunikation oder für sensible Daten einsetzen. Umfang und Inhalt müssen zu Aufgabe, Vorkenntnissen und Risiko passen.

Ein nachvollziehbarer Mindeststandard umfasst:

- eine Grundlagenschulung für alle KI-Nutzer,

- vertiefte Inhalte für Personal, Marketing, IT, Datenschutz und Führung,

- Regeln für vertrauliche und personenbezogene Daten,

- Hinweise zu Fehlern, Urheberrecht und Faktenprüfung,

- dokumentierte Teilnahme und regelmäßige Aktualisierung.

Ein gesetzlich vorgeschriebenes Zertifikat gibt es nicht.

Hochrisiko-KI beginnt nicht erst beim selbst entwickelten System

Viele Mittelständler entwickeln keine eigene KI. Sie können trotzdem Betreiber eines Hochrisiko-Systems sein, wenn eine Standardsoftware Entscheidungen über Menschen trifft oder vorbereitet.

Besondere Aufmerksamkeit verdienen Anwendungen für:

- Auswahl und Ranking von Bewerbern,

- Leistungsbewertung, Beförderung, Kündigung oder Aufgabenverteilung,

- biometrische Identifikation und Kategorisierung,

- Kreditwürdigkeitsprüfung natürlicher Personen,

- Zugang und Bewertung in Bildung oder beruflicher Weiterbildung,

- sicherheitsrelevante Funktionen regulierter Produkte.

Die besonderen Hochrisiko-Anforderungen wurden auf Ende 2027 beziehungsweise August 2028 verschoben. Unternehmen sollten die zusätzliche Zeit nutzen, um Zweck, Anbieterunterlagen, menschliche Kontrolle, Protokollierung, Informationswege und Vorfallmanagement zu klären.

Was KMU jetzt konkret tun sollten

Der erste Schritt ist kein umfangreiches Handbuch, sondern eine vollständige Bestandsaufnahme. Für jede Anwendung sollten Werkzeug, Anbieter, Zweck, Nutzergruppe, verwendete Daten und verantwortliche Stelle erfasst werden.

Danach folgt eine einfache Einordnung:

1. Enthält die Anwendung eine verbotene Praxis?

2. Könnte sie ein Hochrisiko-System sein?

3. Kommuniziert sie direkt mit Menschen oder erzeugt sie kennzeichnungspflichtige Inhalte?

4. Bleibt sie im Bereich geringen Risikos?

Bis zum 2. August sollten externe Chatbots und Agenten einen sichtbaren KI-Hinweis erhalten. Marketing und Redaktion benötigen Regeln für Deepfakes, synthetische Medien und die Prüfung von Texten. Produkte mit Emotions- oder biometrischer Analyse sollten bis zur fachlichen Bewertung nicht eingesetzt werden.

Parallel gehören KI-Richtlinie, Schulung und Lieferantenverträge auf den aktuellen Stand. Bei eingekauften Lösungen sollte der Anbieter schriftlich erklären, welche Rolle er nach dem AI Act übernimmt, wie Kennzeichnungen umgesetzt werden und wie er bei Vorfällen oder Behördenanfragen unterstützt.

Wie hoch können Bußgelder ausfallen?

Der AI Act sieht je nach Verstoß unterschiedliche Obergrenzen vor. Bei verbotenen Praktiken sind bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes möglich. Verstöße gegen Betreiberpflichten und die Transparenzregeln können grundsätzlich mit bis zu 15 Millionen Euro oder 3 Prozent geahndet werden.

Für KMU gilt jeweils der niedrigere Wert aus Festbetrag und Umsatzprozentsatz. Behörden müssen außerdem Schwere, Dauer, Verschulden, Kooperation, Unternehmensgröße und wirtschaftliche Tragfähigkeit berücksichtigen. Die genannten Beträge sind Höchstgrenzen und keine pauschalen Bußgelder.

Ein sinnvoller Startpunkt

Für viele KMU reicht zunächst ein kompakter Umsetzungsrahmen: KI-Inventar, Rollenprüfung, Kennzeichnung, redaktionelle Freigabe, Schulung und ein klarer Eskalationsweg für kritische Anwendungen. Personalentscheidungen, biometrische Funktionen, Kreditwürdigkeitsprüfung und Eigenentwicklungen sollten gesondert rechtlich und technisch geprüft werden.

LOGIN unterstützt Unternehmen bei der Bestandsaufnahme, der technischen Bewertung eingesetzter KI-Dienste und der Umsetzung praxistauglicher Richtlinien und Schulungen.

Hinweis: Dieser Beitrag gibt den Stand vom 25. Juli 2026 wieder und ersetzt keine Rechtsberatung.