EU AI Act ab 2. August 2026: Was Unternehmen jetzt tun müssen

Dieser Artikel ist Teil unseres Leitfadens KI-Agenten im Mittelstand: Praxisleitfaden 2026.

Der EU AI Act erreicht am 2. August 2026 seinen wichtigsten Meilenstein: Zahlreiche Kernpflichten der KI-Verordnung werden durchsetzbar. Für den Mittelstand heißt das: Wer KI – und insbesondere KI-Agenten – produktiv einsetzt, braucht bis dahin klare Zuständigkeiten, eine Use-Case-Klassifizierung und eine Dokumentationsstruktur. Dieser Leitfaden fasst zusammen, was konkret gilt und was zu tun ist.

Der Zeitplan des EU AI Act im Überblick

Datum	Was gilt
2. Februar 2025	Verbotene Praktiken (Art. 5) & KI-Kompetenzpflicht (Art. 4)
2. August 2025	Pflichten für General-Purpose-AI-Modelle (GPAI)
2. August 2026	Governance-Struktur & weitere Kernpflichten werden durchsetzbar

⚠️ Wichtig – „Digital Omnibus" (7. Mai 2026): Einzelne Teilpflichten wurden verschoben: die vollen Hochrisiko-Anforderungen nach Anhang III auf den 2. Dezember 2027, Anhang I auf den 2. August 2028, die Transparenzpflichten nach Art. 50 auf den 2. Dezember 2026. Die Governance-Strukturen (Risikomanagement, Verantwortlichkeiten, Dokumentationsrahmen) für Hochrisiko-Systeme müssen jedoch bereits bis August 2026 stehen. Der regulatorische Stand kann sich ändern – prüfen Sie den aktuellen Rechtsstand.

Die Risikoklassen – und was sie für Sie bedeuten

Verbotene KI (z. B. Social Scoring): grundsätzlich untersagt seit Februar 2025.
Hochrisiko-KI (z. B. in HR, Kreditvergabe, kritischer Infrastruktur): umfangreiche Pflichten – Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht, Konformitätsbewertung.
Begrenztes Risiko (z. B. Chatbots, generierte Inhalte): Transparenzpflichten – Nutzer müssen wissen, dass sie mit KI interagieren.
Minimales Risiko: keine besonderen Pflichten.

GPAI: Pflichten auch für Anwender von KI-Agenten

Setzen Sie GPAI-Modelle (etwa große Sprachmodelle) in produktiven Workflows ein, müssen Sie Ihre Use Cases klassifizieren, dokumentieren und überwachen – unabhängig davon, ob Sie Anbieter oder Anwender sind. Die Pflicht-Dokumentation umfasst typischerweise vier Blöcke:

Risiko-Klassifizierung je Use Case
Inventar der genutzten Datenkategorien
Mechanismen der menschlichen Aufsicht (Human Oversight)
Nachweise der Konformitätsbewertung

Bußgelder: Warum das Thema Chefsache ist

Verstöße können empfindlich teuer werden: Bei Hochrisiko-Verstößen bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes, bei verbotenen Praktiken bis zu 35 Mio. € oder 7 %. Für KMU sind Erleichterungen vorgesehen – u. a. eine 50 % reduzierte Bußgeldobergrenze, vorrangiger Zugang zu KI-Reallaboren und vereinfachte Dokumentationsvorlagen.

Ihre 7-Punkte-Checkliste bis August 2026

KI-Inventar erstellen: Welche KI-Systeme und -Agenten sind im Einsatz?
Jeden Use Case einer Risikoklasse zuordnen.
Verantwortlichkeiten benennen (wer steuert KI-Compliance?).
Dokumentationsrahmen aufsetzen (die vier GPAI-Blöcke).
Human-Oversight-Mechanismen definieren und protokollieren.
KI-Kompetenz der Mitarbeitenden nach Art. 4 sicherstellen.
Transparenzhinweise für KI-Interaktionen ergänzen.

Ein strukturiertes Vorgehen dazu liefert unser Artikel KI-Governance im Mittelstand.

Fazit: Governance jetzt aufsetzen

Auch wenn der Digital Omnibus einzelne Fristen streckt: Die organisatorische Grundstruktur – Klassifizierung, Dokumentation, Verantwortlichkeiten, Kompetenz – sollte bis August 2026 stehen. Unternehmen, die das jetzt aufsetzen, vermeiden nicht nur Bußgeldrisiken, sondern schaffen die Basis, um KI-Agenten überhaupt sicher zu skalieren.

EU-AI-Act-Readiness-Check

Wir klassifizieren Ihre KI-Use-Cases und erstellen die nötige Governance- und Dokumentationsstruktur – praxisnah und BAFA-förderfähig. Kostenloses Erstgespräch mit BAFA-Berater #213652.

Kostenloses Erstgespräch →

EU AI Act ab 2. August 2026: Was Unternehmen jetzt tun müssen