Wer aktuell zum EU AI Act recherchiert, findet viel Veraltetes: Zahlreiche Anbieter werben noch mit dem 2. August 2026 als hartem Stichtag für Hochrisiko-KI. Das stimmt so nicht mehr. Der AI Omnibus ist am 27. Juli 2026 in Kraft getreten und verschiebt genau diese Pflichten deutlich nach hinten. Was dagegen seit dem 2. August 2026 tatsächlich gilt, geht in der Deadline-Panik oft unter.
Die Fristen im Überblick (Stand: 10. August 2026)
| Pflicht | Gilt ab | Status |
|---|---|---|
| Bisherige verbotene KI-Praktiken (Art. 5) | 2. Februar 2025 | in Kraft |
| KI-Kompetenz (Art. 4) | 2. Februar 2025 | in Kraft; durch den Omnibus vereinfacht |
| Pflichten für GPAI-Modelle, die ab diesem Datum in Verkehr gebracht wurden | 2. August 2025 | in Kraft |
| Transparenzpflichten (Art. 50): unter anderem für Chatbots, Deepfakes und bestimmte KI-Inhalte | 2. August 2026 | in Kraft |
| Durchsetzung anwendbarer GPAI-, Verbots- und Transparenzpflichten | 2. August 2026 | in Kraft |
| Neue Verbote aus dem AI Omnibus, unter anderem für bestimmte nicht einvernehmliche intime Inhalte und Darstellungen sexuellen Kindesmissbrauchs | 2. Dezember 2026 | gelten ab diesem Datum |
| Übergangsfrist für die maschinenlesbare Markierung durch bestimmte, schon vor dem 2. August 2026 bereitgestellte Systeme | 2. Dezember 2026 | begrenzte Übergangsregel zu Art. 50 Abs. 2 |
| Pflichten für vor dem 2. August 2025 in Verkehr gebrachte GPAI-Modelle | 2. August 2027 | Übergangsfrist endet |
| Hochrisiko-Systeme in bestimmten Anwendungsbereichen (Anhang III) | 2. Dezember 2027 | durch Omnibus verschoben |
| In regulierte Produkte eingebettete Hochrisiko-KI (Anhang I) | 2. August 2028 | durch Omnibus verschoben |
Wesentliche Gründe für die Verschiebung waren Verzögerungen bei harmonisierten Normen, Konformitätsbewertung und Governance-Strukturen. Sie ist damit Vorbereitungszeit, keine Entwarnung — die Pflichten selbst bleiben.
Art. 4 verpflichtet Anbieter und Betreiber weiterhin, angemessene Maßnahmen zur KI-Kompetenz zu unterstützen. Geschuldet ist dabei kein garantiertes, für jede Person identisches Kompetenzniveau; Umfang und Tiefe richten sich nach Rolle, Vorwissen, Kontext und Risiko.
Was seit dem 2. August 2026 konkret zählt
Für viele Unternehmens-Anwendungen ist unabhängig von einer Hochrisiko-Einstufung Art. 50 relevant: Menschen müssen grundsätzlich informiert werden, wenn sie mit einem interaktiven KI-System wie einem Chatbot sprechen, sofern dies nicht ohnehin offensichtlich ist. Betreiber von Emotionserkennung oder biometrischer Kategorisierung müssen betroffene Personen informieren. Anbieter generativer Systeme müssen bestimmte synthetische Inhalte maschinenlesbar markieren. Betreiber müssen Deepfakes grundsätzlich sichtbar offenlegen; für künstlerische, satirische und vergleichbare Werke gelten angepasste Regeln. Bei KI-generierten oder manipulierten Texten zu Themen von öffentlichem Interesse greift die Offenlegungspflicht, sofern keine substanzielle menschliche Prüfung oder redaktionelle Kontrolle mit redaktioneller Verantwortung erfolgt ist. Für bestimmte Systeme, die schon vor dem 2. August 2026 bereitgestellt wurden, läuft ausschließlich für die Markierungs- und Erkennungspflicht nach Art. 50 Abs. 2 eine Übergangsfrist bis zum 2. Dezember 2026. Weitere Ausnahmen und die Rollenverteilung zwischen Anbieter und Betreiber sind im Einzelfall zu prüfen.
In Deutschland ist die Aufsichtsstruktur inzwischen gesetzlich festgelegt: Das Ende Juli 2026 in Kraft getretene Durchführungsgesetz weist der Bundesnetzagentur eine zentrale Rolle bei Marktüberwachung, Koordinierung und Innovationsförderung zu.
Und die DSGVO?
Die gilt unverändert weiter und ist in der Praxis der häufigere Stolperstein: Datenminimierung, Zweckbindung, Löschkonzept, Auftragsverarbeitung — und die Frage, welche Daten ein KI-System überhaupt sehen muss. Konformität und gute Architektur ziehen dabei in dieselbe Richtung: klare Grenzen, überprüfbare Entscheidungen, kein Datenwildwuchs.
Was das für Ihr KI-Vorhaben bedeutet
- Risikoklasse früh bestimmen. Viele typische betriebliche Anwendungen können außerhalb der Hochrisiko-Kategorien liegen; entscheidend sind Zweck und Einsatzkontext. Die Einordnung zu dokumentieren nimmt Druck heraus und spart Nachrüstkosten.
- Art.-50-Check machen. Chatbot im Kundenkontakt, Deepfakes oder KI-generierte Inhalte zu Themen von öffentlichem Interesse? Dann muss geklärt werden, welche Kennzeichnung seit dem 2. August 2026 gilt, ob eine Übergangsregel greift — und ob Sie Anbieter oder Betreiber sind.
- Die verlängerte Frist nutzen. Wer ein ab dem 2. Dezember 2027 erfasstes Hochrisiko-System plant, hat jetzt Zeit für saubere Vorbereitung: KI-Inventar, Risikoklassifizierung, Governance — statt Schnellschüssen kurz vor knapp.
- DSGVO nicht hinter dem AI Act vergessen. Beide Regelwerke greifen ineinander; die Datenschutz-Frage entscheidet oft über Architektur und Modellwahl (EU-Hosting, on-premise).
Eine erste Einordnung, wo Ihr Vorhaben steht, liefert unser KI-Selbstcheck — sechs Fragen, ohne Registrierung. Wie wir KI-Anwendungen mit Datenschutz und EU-AI-Act-Anforderungen von Anfang an umsetzen, steht auf unserer Seite zu KI- & LLM-Anwendungen.
Wir klären die Risikoklasse vor der ersten Zeile Code, halten den Menschen in der Entscheidung und hosten auf Wunsch vollständig in der EU. So wird aus „compliant“ kein nachträgliches Pflaster, sondern Teil des Entwurfs.
Quellen: EU-Kommission: AI Omnibus tritt in Kraft · EU-Kommission: Leitlinien zu Art. 50 · EU-Kommission: FAQ zu Art. 50 · EU AI Act Service Desk: aktueller Zeitplan · EUR-Lex: Verordnung (EU) 2026/1744 · Bundesregierung: Umsetzung der KI-Verordnung. Kein Rechtsrat — für die verbindliche Einordnung Ihres Einzelfalls sprechen Sie mit Ihrer Rechtsberatung.