Der 2. August 2026: was wirklich scharf geschaltet wird.

Wer sich in den letzten zwei Jahren mit dem EU AI Act beschäftigt hat, kennt den 2. August 2026 als das Datum, an dem es ernst wird: volle Anwendbarkeit, Hochrisiko-Pflichten, Bußgelder. Diese Darstellung ist inzwischen überholt. Mit dem sogenannten Digital Omnibus hat die EU im Juni 2026 einen erheblichen Teil der Pflichten nach hinten geschoben. Das Europäische Parlament hat das Paket am 16. Juni 2026 gebilligt, der Rat am 29. Juni 2026.

Das Ergebnis ist aber nicht „alles verschoben", sondern eine Aufspaltung. Ein Teil kommt wie geplant, ein Teil kommt vier Monate später, ein großer Teil erst 2027 und 2028. Hier die Auflösung.

Was am 2. August 2026 tatsächlich greift

Erstens wird die Verordnung an diesem Tag allgemein anwendbar. Zweitens, und das ist der Teil mit unmittelbarer Praxisrelevanz, gelten die Transparenzpflichten nach Artikel 50 Absatz 1. Sie laufen darauf hinaus, dass Menschen erkennen können müssen, wann sie es mit einer Maschine zu tun haben:

• Wer mit einem Chatbot oder einem Telefonassistenten spricht, muss darüber informiert werden, dass die Gegenstelle eine KI ist.
• KI-generierte oder KI-manipulierte Inhalte, insbesondere Deepfakes, müssen als solche gekennzeichnet werden.
• Auch Systeme zur Emotionserkennung und biometrischen Kategorisierung lösen Informationspflichten gegenüber den Betroffenen aus.

Für die meisten Betriebe ist das der einzige Punkt aus dem gesamten August-Paket, der wirklich zu einer Aufgabe wird. Wer einen KI-Telefonassistenten oder einen Website-Chatbot einsetzt, braucht einen sauberen Hinweis. Das ist eine Textänderung, kein Projekt.

Drittens tritt am selben Tag in Deutschland das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) in Kraft. Dazu unten mehr.

Was verschoben wurde

Die eigentliche Schwerlast des AI Act, also die Pflichten für Hochrisiko-Systeme nach Kapitel III (Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht, Konformitätsbewertung), war für den 2. August 2026 vorgesehen. Sie wurde in zwei Stufen verschoben:

• Anhang III, eigenständige Hochrisiko-Systeme (etwa Bewerbervorauswahl, Kreditscoring, Bildungsanwendungen, kritische Infrastruktur): jetzt 2. Dezember 2027.
• Anhang I, KI eingebettet in regulierte Produkte (etwa Medizinprodukte, Maschinen, Fahrzeuge, Spielzeug): jetzt 2. August 2028, statt bisher 2. August 2027.

Der Grund ist unspektakulär und wurde offen kommuniziert: Die harmonisierten Normen und Prüfwerkzeuge, die man zur Erfüllung dieser Pflichten überhaupt erst braucht, sind nicht fertig geworden, und die Benennung der nationalen Behörden hat sich verzögert. Man kann schwer etwas einfordern, wofür der Maßstab noch fehlt.

Die vollständige Zeitleiste

• 1. AUGUST 2024 Die KI-Verordnung tritt in Kraft. Ab hier laufen alle weiteren Fristen.
• 2. FEBRUAR 2025 Verbotene Praktiken nach Artikel 5 gelten. Die KI-Kompetenzpflicht nach Artikel 4 gilt für alle Anbieter und Betreiber.
• 2. AUGUST 2025 Pflichten für Anbieter allgemeiner KI-Modelle (GPAI). Governance-Struktur und Sanktionsregime treten in Kraft.
• 2. AUGUST 2026 Allgemeine Anwendbarkeit. Transparenzpflichten nach Artikel 50 Absatz 1. In Deutschland tritt das KI-MIG in Kraft, die Bundesnetzagentur übernimmt die Marktüberwachung.
• 2. DEZEMBER 2026 Die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2 greift auch für Systeme, die vor dem 2. August 2026 auf dem Markt waren. Zusätzlich wird ein neues Verbot wirksam, das KI-generiertes Missbrauchsmaterial und nicht einvernehmliche intime Darstellungen erfasst.
• 2. AUGUST 2027 Anbieter allgemeiner KI-Modelle, die vor dem 2. August 2025 auf den Markt kamen, müssen nachziehen. Die Mitgliedstaaten müssen mindestens ein KI-Reallabor betreiben.
• 2. DEZEMBER 2027 Die Hochrisiko-Pflichten für eigenständige Systeme nach Anhang III gelten. Ursprünglich war das der 2. August 2026.
• 2. AUGUST 2028 Die Hochrisiko-Pflichten für KI in regulierten Produkten nach Anhang I gelten.

Wer in Deutschland zuständig ist

Bis vor Kurzem war die praktisch wichtigste Frage unbeantwortet: Wer setzt das eigentlich durch? Seit Juli 2026 gibt es eine Antwort. Der Bundestag hat am 11. Juni 2026 das KI-Marktüberwachungs- und Innovationsförderungsgesetz beschlossen, der Bundesrat hat es am 10. Juli 2026 gebilligt. Es tritt zum 2. August 2026 in Kraft.

Zentrale Marktüberwachungsbehörde wird die Bundesnetzagentur. Bei ihr entsteht ein Koordinierungs- und Kompetenzzentrum, sie ist zentrale Anlauf- und Beschwerdestelle für Bürger, und sie betreibt mindestens ein KI-Reallabor. Die Fachaufsicht bleibt in bestimmten Sektoren bei den dort bereits zuständigen Behörden.

Für Sie heißt das vor allem: Es gibt jetzt eine Adresse, an die sich jemand wenden kann, der sich über den Einsatz eines KI-Systems beschweren möchte. Genau das ist in der Praxis der häufigere Auslöser von Verfahren als eine behördliche Eigeninitiative.

Bußgelder, und warum die genannten Zahlen für Sie meist falsch sind

Der Bußgeldrahmen der KI-Verordnung gilt seit dem 2. August 2025 und ist gestaffelt:

• Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei Verstößen gegen die verbotenen Praktiken nach Artikel 5.
• Bis zu 15 Millionen Euro oder 3 Prozent bei Verstößen gegen die meisten übrigen Pflichten, etwa im Hochrisikobereich.
• Bis zu 7,5 Millionen Euro oder 1 Prozent für falsche oder irreführende Auskünfte gegenüber Behörden.

Jetzt der Teil, der in Schlagzeilen fast immer fehlt: Für kleine und mittlere Unternehmen gilt der jeweils niedrigere der beiden Werte, während bei großen Unternehmen der höhere greift. Die Zahl „35 Millionen" ist für einen Betrieb mit 40 Beschäftigten also keine realistische Größe. Der Prozentsatz ist es.

Und was für den Mittelstand ohnehin wichtiger ist: Der Hochrisiko-Block, an dem die 15-Millionen-Stufe hängt, ist gerade um sechzehn Monate verschoben worden. Die Pflichten, die am 2. August 2026 wirklich greifen, sind die Transparenzpflichten, und die erfüllt man mit einem Satz an der richtigen Stelle.

Was Sie bis dahin tun sollten

Nüchtern betrachtet ist die Liste kurz. Für ein typisches mittelständisches Unternehmen ohne Hochrisiko-Anwendung:

• Bestandsaufnahme. Welche KI-Systeme laufen bei Ihnen, auch die, die niemand als KI-Projekt bezeichnet hat, etwa Funktionen in bestehender Software?
• Transparenz herstellen. Überall dort, wo Kunden mit KI interagieren, einen erkennbaren Hinweis setzen. Chatbot, Telefonassistent, automatisch erzeugte Inhalte.
• Rolle einordnen. Betreiber oder Anbieter, und liegt eine der Anwendungen doch in Anhang III? Falls ja, haben Sie jetzt bis Dezember 2027 Zeit, und die sollten Sie nutzen statt sie zu verbrauchen.
• Kompetenz aufbauen. Die Pflicht aus Artikel 4 läuft seit Februar 2025, ab August 2026 gibt es eine Behörde, die sie adressieren kann. Details dazu im Artikel zur KI-Kompetenzpflicht.

Unsere Einordnung

Die Verschiebung ist eine gute Nachricht für Unternehmen, die tatsächlich an Hochrisiko-Anwendungen arbeiten, und für alle anderen eine Randnotiz. Was wir im Beratungsalltag sehen, ist ein anderes Muster: Die meisten Betriebe unterschätzen nicht die Hochrisiko-Pflichten, sondern überschätzen sie. Sie halten sich für stärker reguliert, als sie es sind, und schieben deshalb sinnvolle Projekte auf.

Die ehrliche Antwort für den größten Teil des Mittelstands lautet: Ihre Anwendung ist mit hoher Wahrscheinlichkeit kein Hochrisiko-System, Sie brauchen einen Transparenzhinweis und geschulte Leute, und das war es im Wesentlichen. Diese Einordnung machen wir bei jedem Projekt am Anfang, weil sie darüber entscheidet, ob ein Vorhaben zwei Wochen oder zwei Jahre bis zum Produktivbetrieb braucht.