EU AI Act 2026: Was Unternehmen seit August wirklich beachten müssen

EU AI Act 2026: Was Unternehmen seit August wirklich beachten müssen

Der 2. August 2026 war für Unternehmen, die künstliche Intelligenz einsetzen, ein wichtiges Datum. Seit diesem Tag gelten weitere zentrale Teile des europäischen AI Acts. Gleichzeitig wäre es falsch, einfach mit einer zwei Jahre alten Checkliste zu arbeiten: Nur wenige Tage zuvor, am 27. Juli 2026, ist der sogenannte AI Omnibus in Kraft getreten und hat unter anderem Fristen für Hochrisiko-KI-Systeme verlängert und einzelne Compliance-Anforderungen vereinfacht.

Für Unternehmen bedeutet das vor allem eines: Der AI Act ist inzwischen kein Zukunftsthema mehr. Wer Chatbots, KI-Assistenten, automatisierte Content-Systeme oder eigene KI-Anwendungen einsetzt, sollte wissen, welche Rolle das eigene Unternehmen dabei einnimmt und welche Anforderungen bereits heute relevant sind.

Dabei lohnt es sich allerdings, zwischen tatsächlichen Pflichten und der teilweise deutlich dramatischeren Berichterstattung rund um den AI Act zu unterscheiden.

Was gilt seit dem 2. August 2026?

Der AI Act ist grundsätzlich seit dem 2. August 2026 anwendbar. Einige Teile gelten allerdings schon länger. Regeln zu verbotenen KI-Praktiken traten bereits am 2. Februar 2025 in Anwendung, die Vorgaben für Anbieter von General-Purpose-AI-Modellen folgten am 2. August 2025.

Besonders relevant für viele Unternehmen sind seit August 2026 die Transparenzvorgaben rund um bestimmte KI-Systeme und generative Inhalte.

Ein einfaches Beispiel ist ein KI-Chatbot auf einer Unternehmenswebsite. Wenn ein Nutzer mit einem KI-System interagiert, soll für ihn erkennbar sein, dass auf der anderen Seite kein Mensch sitzt. Die entsprechende Transparenzanforderung gehört zu Artikel 50 des AI Acts.

Für generierte oder manipulierte Inhalte gibt es zusätzliche Vorgaben. Anbieter generativer KI-Systeme müssen bestimmte Ausgaben technisch so markieren, dass deren künstlicher Ursprung maschinenlesbar erkannt werden kann. Für Unternehmen, die KI-generierte Deepfakes oder bestimmte Texte zu Themen von öffentlichem Interesse veröffentlichen, bestehen wiederum Offenlegungspflichten. Die EU-Kommission hat dazu inzwischen einen freiwilligen Code of Practice veröffentlicht, der Unternehmen bei der praktischen Umsetzung helfen soll.

Das heißt allerdings nicht, dass künftig jeder intern mit KI formulierte Produkttext mit einem großen „Von KI erstellt“-Hinweis versehen werden muss. Artikel 50 unterscheidet zwischen verschiedenen Formen von Inhalten, Rollen und Einsatzszenarien und enthält Ausnahmen. Unternehmen sollten deshalb den konkreten Anwendungsfall betrachten, anstatt pauschale Regeln auf sämtliche KI-Nutzung zu übertragen.

Und was ist mit Hochrisiko-KI?

Hier gab es kurz vor dem großen August-Stichtag noch einmal eine wesentliche Änderung.

Mit dem am 27. Juli 2026 in Kraft getretenen AI Omnibus wurden die Fristen für Hochrisiko-Systeme verlängert. Für die in Annex III aufgeführten Hochrisiko-Anwendungsfälle gelten die entsprechenden Regeln nun ab 2. Dezember 2027. Für Hochrisiko-KI, die Bestandteil bestimmter regulierter physischer Produkte ist, verschiebt sich die Anwendung auf den 2. August 2028.

Zu den möglichen Hochrisiko-Bereichen gehören beispielsweise bestimmte Anwendungen in Beschäftigung, Bildung, Strafverfolgung oder Migration. Ob ein System tatsächlich als Hochrisiko-KI gilt, hängt jedoch stark von seinem konkreten Einsatzzweck ab.

Für das typische mittelständische Unternehmen ist deshalb die Frage nicht einfach: „Nutzen wir KI?“

Die bessere Frage lautet:

Was genau entscheidet oder tut die KI bei uns?

Ein interner Assistent, der Mitarbeiter bei der Suche nach Dokumenten unterstützt, ist regulatorisch etwas vollkommen anderes als ein KI-System, das Bewerber automatisiert bewertet.

Der häufigste Fehler: Niemand weiß, wo überall KI eingesetzt wird

Die erste sinnvolle Maßnahme für viele Unternehmen ist deshalb erstaunlich unspektakulär: eine Bestandsaufnahme.

Inzwischen taucht künstliche Intelligenz an sehr unterschiedlichen Stellen auf. Im Marketing werden Texte generiert, im Vertrieb werden Anfragen zusammengefasst, Entwickler nutzen Coding-Assistenten und Mitarbeiter bauen vielleicht selbst kleine Automationen mit ChatGPT, Copilot, n8n, Make oder anderen Tools.

Problematisch wird es, wenn diese Systeme völlig unabhängig voneinander entstehen.

Dann ist häufig weder geklärt, welche Daten verarbeitet werden, noch welche Schnittstellen verwendet werden oder ob ein Mitarbeiter gerade ein unverbindliches Textwerkzeug oder ein System nutzt, das tatsächlich Geschäftsprozesse verändert.

Ein kleines AI Inventory kann deshalb mehr bringen als ein 40-seitiges KI-Regelwerk.

Darin sollte zumindest stehen:

• welches KI-System eingesetzt wird,
• wofür es eingesetzt wird,
• welche Daten verarbeitet werden,
• ob externe Systeme angebunden sind,
• ob die KI lediglich Vorschläge macht oder selbst Aktionen ausführt,
• wer für den Anwendungsfall verantwortlich ist.

Damit entsteht gleichzeitig eine gute Grundlage für Datenschutz, IT-Sicherheit und den AI Act.

KI-Agenten machen Governance wichtiger

Besonders spannend wird das Thema durch die aktuelle Entwicklung hin zu KI-Agenten.

Ein klassischer Chatbot generiert zunächst nur eine Antwort. Ein Agent kann dagegen beispielsweise auf das CRM zugreifen, Termine verändern, Datensätze aktualisieren oder Informationen aus mehreren Systemen zusammenführen.

Technisch ist das enorm interessant. Organisatorisch verändert es aber auch die Risikobetrachtung.

Sobald ein KI-System Aktionen ausführen darf, sollte die Berechtigungslogik nicht nur im Prompt stehen.

Ein Satz wie „Ändere Kundendaten nur, wenn du dir sicher bist“ ist keine Zugriffskontrolle.

Stattdessen sollten Berechtigungen technisch durchgesetzt werden. Ein Agent sollte beispielsweise nur genau die API-Funktionen aufrufen können, die er für seinen jeweiligen Prozess benötigt. Kritische Aktionen können zusätzlich eine menschliche Freigabe verlangen.

Genau hier treffen KI-Entwicklung, IT-Sicherheit und Compliance aufeinander.

Was Unternehmen jetzt konkret tun können

Wer aktuell KI im Unternehmen einsetzt, muss deshalb nicht sofort ein riesiges Compliance-Projekt starten.

Sinnvoller ist ein strukturierter Check der vorhandenen Systeme.

Zuerst sollte geklärt werden, welche KI-Anwendungen überhaupt existieren. Danach können die Systeme nach Einsatzgebiet und Risiko kategorisiert werden. Bei Anwendungen mit direktem Kundenkontakt sollte geprüft werden, ob notwendige Transparenzhinweise vorhanden sind. Bei automatisierten Prozessen sollte zusätzlich untersucht werden, welche Daten und Berechtigungen die KI tatsächlich erhält.

Und schließlich sollte die technische Architektur so gestaltet werden, dass Compliance nicht ausschließlich von Mitarbeitern oder Prompt-Formulierungen abhängt.

Berechtigungen, Logging, Freigaben und Datenzugriffe lassen sich bereits während der Entwicklung sauber abbilden.

Das ist meist deutlich einfacher, als solche Mechanismen Monate später nachzurüsten.

Der AI Act sollte KI-Projekte nicht verhindern

Die vielleicht wichtigste Erkenntnis ist deshalb: Der EU AI Act bedeutet nicht, dass Unternehmen ihre KI-Projekte stoppen sollten.

Der aktuelle AI Omnibus zeigt sogar, dass die EU einige Anforderungen bewusst vereinfacht und Unternehmen bei der Umsetzung mehr Zeit eingeräumt hat. Unter anderem wurden die Hochrisiko-Fristen verlängert und der Zugang zu regulatorischen Sandboxes erweitert.

Für Unternehmen ist das eine gute Gelegenheit, KI nicht mehr ausschließlich experimentell einzusetzen.

Ein sinnvoll entwickeltes KI-System kann von Anfang an mit nachvollziehbaren Datenflüssen, klaren Rollen, begrenzten Berechtigungen und menschlichen Freigabemechanismen aufgebaut werden.

Genau das ist letztlich auch unabhängig vom AI Act eine gute technische Architektur.

Bei Welp-IT betrachten wir KI-Automatisierung deshalb nicht isoliert als „LLM-Projekt“. Entscheidend ist immer das Gesamtsystem: Prozesse, Daten, Schnittstellen, Berechtigungen und die Frage, welche Entscheidungen die KI tatsächlich treffen darf.

Denn die spannendsten KI-Projekte entstehen nicht dadurch, dass Unternehmen möglichst viel automatisieren.

Sondern dadurch, dass sie genau wissen, was sie automatisieren, und warum.

Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar.