KI-Gesetz: Was seit dem 2. August 2026 gilt und was verschoben wurde

Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50 des KI-Gesetzes (Verordnung (EU) 2024/1689): Chatbots, Deepfakes, KI-generierte Inhalte und Emotionserkennungssysteme müssen offengelegt werden. Die Pflichten für Hochrisikosysteme haben an diesem Datum dagegen nicht begonnen: Sie wurden auf den 2. Dezember 2027 (Anhang III) und den 2. August 2028 (Anhang I) verschoben. Verbotene Praktiken, KI-Kompetenz, GPAI-Regeln und das Sanktionsregime bleiben uneingeschränkt anwendbar.

Diese Verschiebung beruht auf dem Digital Omnibus zur KI, verabschiedet als Verordnung (EU) 2026/1744, am 24. Juli 2026 im Amtsblatt veröffentlicht und seit dem 27. Juli 2026 in Kraft. Es handelt sich nicht mehr um einen Vorschlag, sondern um geltendes Recht. Dieser Artikel zeigt mit Stand 1. Oktober 2026, was das Gesetz heute verlangt und was noch vorzubereiten ist.

Was bereits vor dem 2. August 2026 galt

Um zu verstehen, was sich im August geändert hat, lohnt es sich, daran zu erinnern, was bereits galt. Das KI-Gesetz ist nicht als Gesamtpaket in Kraft getreten — es wird seit August 2024 schrittweise umgesetzt:

• 2. Februar 2025: Verbot von Praktiken mit inakzeptablem Risiko (Artikel 5) — Social Scoring, unterschwellige Manipulation, bestimmte biometrische Echtzeit-Verwendungen. Diese Regeln sind bereits in Kraft und durchsetzbar.
• 2. Februar 2025: KI-Literalitätspflicht (Artikel 4) — Anbieter und Betreiber müssen Maßnahmen zur KI-Kompetenz ihres Personals ergreifen (durch den KI-Omnibus gelockerte Formulierung).
• 2. August 2025: Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI, Artikel 51–56) — anwendbar auf Anbieter von Modellen wie LLMs. Das Sanktionsregime (Artikel 99) gilt seit demselben Datum.

Dieser schrittweise Kalender ist bewusst gewählt: Er gibt Organisationen Zeit, sich an die komplexesten Anforderungen anzupassen. Der KI-Omnibus hat ihn für Hochrisikosysteme weiter gestreckt, ohne die Frist für die Transparenz anzutasten.

2. August 2026: Was gilt und was verschoben wurde

KI-Hochrisikosysteme (Anhang III): verschoben auf den 2. Dezember 2027

Dies sollte der Kern des 2. August 2026 sein, doch der KI-Omnibus hat diese Pflichten auf den 2. Dezember 2027 verschoben. Anhang III listet acht Bereiche auf, in denen KI-Systeme automatisch als hochriskant eingestuft werden:

• Biometrie: biometrische Fernidentifikation, biometrische Kategorisierung, Emotionserkennung
• Kritische Infrastruktur: Verwaltung von Strom-, Wasser-, Gas- und Verkehrsnetzen
• Bildung und Ausbildung: Systeme zur Bestimmung des Zugangs zu Bildungseinrichtungen, Schülerbeurteilung
• Beschäftigung und Personalwesen: Rekrutierungstools, Leistungsmanagement, Bewerberbeurteilung
• Wesentliche Dienste: Kredit-Scoring, Versicherung, Bewertung von Sozialleistungsanträgen
• Strafverfolgung: Erstellung von Täterprofilen, Bewertung der Beweiszuverlässigkeit, Rückfallrisikobewertung
• Justiz und demokratische Prozesse: Unterstützung bei gerichtlichen Entscheidungen
• Grenzmanagement: Risikobewertung von Personen an Grenzen, Dokumentenprüfung

Wenn Ihre Organisation ein KI-System in einem dieser Bereiche entwickelt oder nutzt, gelten die Pflichten des Kapitels III des KI-Gesetzes ab dem 2. Dezember 2027 für Sie — unabhängig davon, ob das Tool intern entwickelt oder von einem SaaS-Anbieter bezogen wurde. Die Verschiebung verschafft Zeit, keine Befreiung.

Transparenzpflichten für alle (Artikel 50): anwendbar seit dem 2. August 2026

Artikel 50, den der KI-Omnibus nicht verschoben hat, betrifft nicht nur Hochrisikosysteme — er gilt seit dem 2. August 2026 für alle KI-Systeme, die mit Menschen interagieren oder synthetische Inhalte erzeugen:

• Chatbots und Konversationssysteme (Art. 50§1): Jedes System, das mit einem Menschen interagiert, muss ihn klar darüber informieren, dass er mit einer KI spricht.
• Deepfakes und manipulierte Inhalte (Art. 50§4): Audio- oder visuelle Inhalte, die manipuliert wurden, um realen Personen zu ähneln, müssen klar als solche gekennzeichnet werden.
• Emotionserkennung (Art. 50§3): Jede Person, die einem Emotionserkennungssystem ausgesetzt ist, muss darüber informiert werden.

Wichtiger Hinweis: Artikel 50§2 (maschinenlesbare Kennzeichnung KI-generierter Inhalte) gilt seit dem 2. August 2026 für Systeme, die ab diesem Datum in Verkehr gebracht werden; für Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, läuft eine Übergangsfrist bis zum 2. Dezember 2026. Die Kommission hat am 20. Juli 2026 ihre endgültigen Leitlinien zu Artikel 50 veröffentlicht, sowie am 10. Juni 2026 einen freiwilligen Verhaltenskodex zur Kennzeichnung KI-generierter Inhalte.

Was das für Anbieter bedeutet

Wenn Sie ein Hochrisiko-KI-System entwickeln und vermarkten, sind Sie Anbieter im Sinne von Artikel 3. Ihre Pflichten, anwendbar ab dem 2. Dezember 2027 (Anhang III) bzw. dem 2. August 2028 (Anhang I), sind erheblich:

• Technische Dokumentation (Art. 11 + Anhang IV): eine vollständige Akte mit 9 Abschnitten zu Systembeschreibung, Architektur, Datenverwaltung, Risikomanagement, Leistungsmetriken, Gebrauchsanweisung, Post-Markt-Überwachung, Qualitätsmanagementsystem und Konformitätserklärung.
• Risikomanagementsystem (Art. 9): ein kontinuierlicher Prozess zur Identifizierung, Bewertung und Minderung von Risiken während des gesamten Lebenszyklus des Systems.
• Datenverwaltung (Art. 10): Trainingsdatensätze müssen dokumentiert, repräsentativ und einer Bias-Analyse unterzogen werden.
• Menschliche Aufsicht (Art. 14): Das System muss so gestaltet sein, dass ein Mensch seinen Betrieb überwachen, verstehen und eingreifen kann.
• CE-Kennzeichnung + Konformitätserklärung (Art. 47–49): formelle Bestätigung der Konformität vor dem Inverkehrbringen.
• Registrierung in der EU-Datenbank (Art. 71): Pflichtregistrierung vor der Inbetriebnahme für die meisten Hochrisikosysteme.

Die Erstellung dieser Dokumentation wird für ein komplexes System auf 40 bis 80 Stunden geschätzt. AiActo strukturiert diesen Prozess Abschnitt für Abschnitt mit einem kontextuellen KI-Assistenten und reduziert diese Vorbereitungszeit erheblich.

Was das für Betreiber bedeutet

Wenn Sie ein von einem Dritten entwickeltes Hochrisiko-KI-System nutzen, sind Sie Betreiber im Sinne von Artikel 3. Ihre Pflichten, für die dieselben Fristen gelten, sind eigenständig, aber ebenso real:

• Effektive menschliche Aufsicht (Art. 26§2): Sie müssen Verfahren einrichten, die es einer qualifizierten Person ermöglichen, das System zu überwachen, seine Ausgaben zu interpretieren und einzugreifen oder es bei Bedarf zu stoppen.
• Protokollaufbewahrung (Art. 26§6): Automatisch generierte Protokolle müssen mindestens sechs Monate aufbewahrt werden.
• Information betroffener Personen (Art. 26§6 + Art. 50): Jede Person, die einer Entscheidung unterliegt, die von einem Hochrisikosystem beeinflusst wird, muss darüber informiert werden.
• Nutzung gemäß Anbieteranweisungen (Art. 26§1): Sie dürfen das System nicht über seinen vorgesehenen Verwendungszweck hinaus einsetzen, ohne die Anbieterverantwortung zu übernehmen.
• Grundrechte-Folgenabschätzung — FRIA (Art. 27): für Behörden und bestimmte Betreiber wesentlicher Dienste vor der Inbetriebnahme obligatorisch.

Die geltenden Sanktionen

Das KI-Gesetz sieht ein progressives und abschreckendes Sanktionsregime vor (Artikel 99), das seit dem 2. August 2025 anwendbar ist:

• Bis zu 35 Mio. € oder 7 % des weltweiten Umsatzes für verbotene Praktiken (Artikel 5) — bereits seit Februar 2025 durchsetzbar
• Bis zu 15 Mio. € oder 3 % des weltweiten Umsatzes bei Verstößen gegen die Transparenzpflichten (Artikel 50), durchsetzbar seit dem 2. August 2026, und, ab dem 2. Dezember 2027, gegen die Hochrisikopflichten
• Bis zu 7,5 Mio. € oder 1 % des weltweiten Umsatzes bei unrichtigen Angaben gegenüber Behörden

Was jetzt zu tun ist

1. Ihre KI-Systeme klassifizieren — ermitteln Sie, welche unter Anhang III fallen, welche Artikel 50 unterliegen und welche ein minimales Risiko aufweisen.
2. Ihre Rolle bestimmen — Anbieter, Betreiber oder beides? Diese Rolle bestimmt die Gesamtheit Ihrer Pflichten.
3. Ihre SaaS-Anbieter prüfen — fragen Sie Ihre KI-Anbieter, ob sie konform sind, ob sie technische Dokumentation haben und ob sie in der EU-Datenbank registriert sind.
4. Ihre Dokumentationsakte aufbauen — auch als Betreiber müssen Sie Ihre menschlichen Aufsichtsprozesse nachweisen können.
5. Ihre Nutzer informieren — das hat Vorrang: Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026. Aktualisieren Sie Ihre Rechtshinweise, Schnittstellen und Kommunikation und bereiten Sie die maschinenlesbare Kennzeichnung bis zum 2. Dezember 2026 vor, wenn Ihr System bereits auf dem Markt war.

Die kostenlose AiActo-Diagnose ermöglicht es Ihnen, die Schritte 1 und 2 in weniger als 3 Minuten durchzuführen — und eine personalisierte Zusammenfassung Ihrer Pflichten vor den nächsten Fristen zu erhalten.

Häufig gestellte Fragen

Hat der Digital Omnibus die Pflichten vom 2. August 2026 verschoben?

Teilweise. Der KI-Omnibus, verabschiedet als Verordnung (EU) 2026/1744 und seit dem 27. Juli 2026 in Kraft, hat die Pflichten für Hochrisikosysteme des Anhangs III auf den 2. Dezember 2027 und jene für Produkte des Anhangs I auf den 2. August 2028 verschoben. Artikel 50 hat er nicht verschoben: Die Transparenzpflichten gelten seit dem 2. August 2026, mit einer Übergangsfrist bis zum 2. Dezember 2026 für die maschinenlesbare Kennzeichnung (Art. 50§2) von Systemen, die bereits vor diesem Datum auf dem Markt waren.

Mein KI-System war bereits vor dem 2. August 2026 im Einsatz — bin ich befreit?

Nicht von der Transparenz: Artikel 50 gilt für Ihr System; nur die maschinenlesbare Kennzeichnung (Art. 50§2) profitiert bei Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden, von einer Frist bis zum 2. Dezember 2026. Für Hochrisikopflichten sieht Artikel 111 eine Übergangsregelung für bereits vermarktete Systeme vor — vorausgesetzt, sie werden nicht wesentlich verändert. Ändert sich Ihr System, gelten die neuen Pflichten. Prüfen Sie diese Regelung im durch den KI-Omnibus geänderten Text.

Wie erkenne ich, ob mein System hochriskant ist?

Die Klassifizierung beruht auf zwei Kriterien: dem Anwendungsbereich (Anhang III) und der Art des Systems. Ein KI-gestütztes Bewerbungsscreening-Tool ist per Definition hochriskant. Ein Marketing-Textgenerator im Allgemeinen nicht. Im Zweifelsfall wendet die AiActo-Diagnose die Anhang-III-Logik in wenigen Fragen auf Ihren spezifischen Fall an.

Gelten die Pflichten auch für KI-Tools, die nur intern genutzt werden?

Ja, ab dem 2. Dezember 2027, sofern das System unter Anhang III fällt und die von seinen Entscheidungen betroffenen Personen Individuen sind — Mitarbeitende, Bewerber, Kunden. Ein KI-gestütztes Leistungsmanagement-Tool fällt in den Anwendungsbereich des KI-Gesetzes, auch wenn es nie vermarktet wird.

Welche Fristen folgen nach dem 2. August 2026?

2. Dezember 2026: Ende der Übergangsfrist für die maschinenlesbare Kennzeichnung (Art. 50§2) von Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden. 2. Dezember 2027: Hochrisikosysteme des Anhangs III. 2. August 2028: Hochrisikosysteme, die in Produkte eingebettet sind, die anderen EU-Rechtsvorschriften unterliegen (Anhang I — Medizinprodukte, Maschinen, Funkanlagen). Letztere profitieren von zusätzlicher Zeit, da ihre Compliance komplexere sektorale Zertifizierungsverfahren erfordert.

Der 2. August 2026 war keine abstrakte Frist: Die Transparenz ist nun durchsetzbar, und die Verschiebung der Hochrisikopflichten ist in einer im Amtsblatt der Europäischen Union veröffentlichten Verordnung verankert. Organisationen, die ihre Compliance jetzt strukturieren, ohne bis Dezember 2027 zu warten, werden besser geschützt, besser dokumentiert und besser positioniert sein. Verfolgen Sie den vollständigen KI-Gesetz-Zeitplan auf AiActo, um alle Schritte des regulatorischen Kalenders zu visualisieren.