Wer aktuell zum EU AI Act recherchiert, findet viel Veraltetes: Zahlreiche Anbieter werben noch mit dem 2. August 2026 als hartem Stichtag für Hochrisiko-KI. Das stimmt so nicht mehr. Der Digital Omnibus — vom Europäischen Parlament am 16. Juni und vom Rat am 29. Juni 2026 final gebilligt — verschiebt genau diese Pflichten deutlich nach hinten. Was dagegen wirklich am 2. August 2026 kommt, geht in der Deadline-Panik oft unter.
Die Fristen im Überblick (Stand: 2. Juli 2026)
| Pflicht | Gilt ab | Status |
|---|---|---|
| Verbotene KI-Praktiken (Art. 5) | 2. Februar 2025 | in Kraft |
| KI-Kompetenzpflicht für Betreiber (Art. 4) | 2. Februar 2025 | in Kraft |
| Pflichten für GPAI-Modelle (neue Modelle) | 2. August 2025 | in Kraft |
| Transparenzpflichten (Art. 50): Kennzeichnung von Chatbots, KI-Inhalten, Deepfakes | 2. August 2026 | kommt jetzt |
| Durchsetzung & Sanktionsregime (u. a. GPAI-Aufsicht der EU-Kommission) | 2. August 2026 | kommt jetzt |
| Eigenständige Hochrisiko-Systeme (Anhang III) | 2. Dezember 2027 | per Omnibus verschoben |
| In Produkte eingebettete Hochrisiko-KI (Anhang I) | 2. August 2028 | per Omnibus verschoben |
Der Grund für die Verschiebung ist unspektakulär: Harmonisierte Normen, Benannte Stellen und nationale Aufsichtsstrukturen sind schlicht noch nicht fertig. Die Verschiebung ist damit Vorbereitungszeit, keine Entwarnung — die Pflichten selbst bleiben.
Was ab dem 2. August 2026 konkret zählt
Für die meisten Unternehmens-Anwendungen ist nicht Hochrisiko, sondern Art. 50 der relevante Teil: Wer einen Chatbot betreibt, muss ihn als KI-System kenntlich machen. Wer KI-generierte Inhalte veröffentlicht, muss sie kennzeichnen. Dazu wird das Sanktionsregime scharf — bei verbotenen Praktiken bis zu 35 Mio. € oder 7 % des Weltjahresumsatzes.
In Deutschland entsteht parallel die Aufsichtsstruktur: Das im Februar 2026 beschlossene Durchführungsgesetz (KI-MIG) macht die Bundesnetzagentur zur zentralen KI-Marktaufsicht. Es gibt also erstmals eine Behörde, die zuständig ist — und fragen kann.
Und die DSGVO?
Die gilt unverändert weiter und ist in der Praxis der häufigere Stolperstein: Datenminimierung, Zweckbindung, Löschkonzept, Auftragsverarbeitung — und die Frage, welche Daten ein KI-System überhaupt sehen muss. Konformität und gute Architektur ziehen dabei in dieselbe Richtung: klare Grenzen, überprüfbare Entscheidungen, kein Datenwildwuchs.
Was das für Ihr KI-Vorhaben bedeutet
- Risikoklasse früh bestimmen. Die meisten Anwendungen im Mittelstand sind kein Hochrisiko — das zu wissen (und zu dokumentieren) nimmt Druck raus und spart Nachrüstkosten.
- Art.-50-Check machen. Chatbot im Kundenkontakt? KI-generierte Inhalte auf der Website? Dann steht die Kennzeichnung bis zum 2. August 2026 an — ein überschaubarer, klar abgrenzbarer Schritt.
- Die verlängerte Frist nutzen. Wer bis Ende 2027 ein Hochrisiko-System plant, hat jetzt Zeit für saubere Vorbereitung: KI-Inventar, Risikoklassifizierung, Governance — statt Schnellschüssen kurz vor knapp.
- DSGVO nicht hinter dem AI Act vergessen. Beide Regelwerke greifen ineinander; die Datenschutz-Frage entscheidet oft über Architektur und Modellwahl (EU-Hosting, on-premise).
Eine erste Einordnung, wo Ihr Vorhaben steht, liefert unser KI-Selbstcheck — sechs Fragen, ohne Registrierung. Wie wir KI-Anwendungen DSGVO- und AI-Act-konform bauen, steht auf unserer Seite zu KI- & LLM-Anwendungen.
Wir klären die Risikoklasse vor der ersten Zeile Code, halten den Menschen in der Entscheidung und hosten auf Wunsch vollständig in der EU. So wird aus „compliant“ kein nachträgliches Pflaster, sondern Teil des Entwurfs.
Quellen: Rat der EU, Pressemitteilung zur Einigung vom 7. Mai 2026 · Gibson Dunn: EU AI Act Omnibus Agreement. Kein Rechtsrat — für die verbindliche Einordnung Ihres Einzelfalls sprechen Sie mit Ihrer Rechtsberatung.