Was ist der EU AI Act?
Der EU AI Act (Verordnung (EU) 2024/1689, deutsch: KI-Verordnung) ist das weltweit erste umfassende Gesetz für künstliche Intelligenz. Er stuft KI-Systeme nach ihrem Risiko ein und knüpft daran unterschiedlich strenge Pflichten. Seit dem 2. August 2026 ist die Hauptübergangsfrist abgelaufen, die Regeln sind durchsetzbar. Verstöße kosten bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.
Zwei Dinge haben sich in den letzten Wochen geändert, die in den meisten Ratgebern noch fehlen: Der Digital Omnibus hat die Hochrisiko-Pflichten um 16 Monate verschoben, und Deutschland hat seine Aufsichtsbehörde benannt. In diesem Artikel: was jetzt konkret gilt, was verschoben wurde, ob Ihr Unternehmen betroffen ist und was Sie bis wann tun müssen.
Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung. Er gibt die Rechtslage zum Zeitpunkt der Veröffentlichung wieder. Ob und in welcher Form die beschriebenen Pflichten Ihr Unternehmen treffen, klären Sie im Einzelfall mit qualifizierter Rechtsberatung.
Der häufigste Irrtum gerade: Die Verschiebung der Hochrisiko-Fristen auf Dezember 2027 wird als generelle Verschnaufpause gelesen. Sie ist keine. Die Transparenzpflichten aus Artikel 50 gelten seit dem 2. August 2026 unverändert und treffen genau die Systeme, die fast jedes Unternehmen im Einsatz hat: Chatbots und generative KI.
Was gilt seit dem 2. August 2026?
Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 für alle Anbieter und Betreiber von KI-Systemen, unabhängig von der Risikoklasse. Wer ein System betreibt, das mit Menschen interagiert, muss offenlegen, dass es sich um KI handelt. Wer Bilder, Audio oder Video generiert, muss die Ergebnisse maschinenlesbar kennzeichnen. Parallel dazu ist die nationale Marktüberwachung arbeitsfähig geworden.
Was seit diesem Datum in der Praxis durchsetzbar ist:
- Transparenz bei Interaktion: Nutzer müssen erkennen können, dass sie mit einem KI-System sprechen, spätestens bei der ersten Interaktion.
- Kennzeichnung synthetischer Inhalte: Anbieter generativer Systeme müssen Ausgaben in maschinenlesbarem Format als künstlich erzeugt markieren.
- Offenlegung bei Deepfakes: Betreiber, die manipulierte Bild-, Audio- oder Videoinhalte veröffentlichen, müssen das kenntlich machen.
- Emotionserkennung und biometrische Kategorisierung: Betroffene Personen müssen über den Einsatz informiert werden.
- Nationale Aufsicht: In Deutschland ist die Bundesnetzagentur seit dem 29. Juli 2026 zuständig.
Eine Ausnahme gibt es: Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, haben für die Kennzeichnung generierter Inhalte bis zum 2. Dezember 2026 Zeit. Alles, was danach in Verkehr gebracht wird, muss sofort konform sein. Die übrigen Transparenzpflichten aus Artikel 50 kennen diese Schonfrist nicht.
Bereits vorher galten die Verbote aus Artikel 5 (seit 2. Februar 2025) und die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, sogenannter GPAI (seit 2. August 2025). Auch der Bußgeldrahmen aus Artikel 99 ist seit August 2025 anwendbar.
Digital Omnibus: Welche Fristen verschoben wurden
Der Digital Omnibus on AI ist als Verordnung (EU) 2026/1744 am 27. Juli 2026 in Kraft getreten (öffnet in neuem Tab) und verschiebt die Pflichten für Hochrisiko-Systeme: eigenständige Systeme nach Anhang III auf den 2. Dezember 2027, in regulierte Produkte eingebettete Systeme nach Anhang I auf den 2. August 2028. Der Grund ist praktischer Natur: Die harmonisierten Normen, an denen sich Unternehmen bei der Konformitätsbewertung orientieren sollen, waren zum ursprünglichen Stichtag nicht fertig.
Der Weg dorthin lief ungewöhnlich schnell. Vorschlag der Kommission am 19. November 2025, politische Einigung im Trilog am 7. Mai 2026, Zustimmung des Parlaments am 16. Juni 2026, finaler Beschluss des Rates am 29. Juni 2026, Veröffentlichung im Amtsblatt am 24. Juli 2026.
Der vollständige Fristenplan, Stand August 2026:
| Datum | Was gilt | Status |
|---|---|---|
| 1. August 2024 | KI-Verordnung tritt in Kraft | erledigt |
| 2. Februar 2025 | Verbotene Praktiken (Art. 5), KI-Kompetenz (Art. 4) | gilt |
| 2. August 2025 | GPAI-Pflichten, Governance, Bußgeldrahmen | gilt |
| 2. August 2026 | Transparenzpflichten (Art. 50), Marktüberwachung | gilt |
| 2. Dezember 2026 | Kennzeichnung für Altsysteme, Verbot von Nudify-Apps | Frist läuft |
| 2. August 2027 | Reallabore in allen Mitgliedstaaten verfügbar | verschoben |
| 2. Dezember 2027 | Hochrisiko-Systeme nach Anhang III | verschoben |
| 2. August 2028 | Hochrisiko-Systeme nach Anhang I (Produkte) | verschoben |
Neben den Fristen hat der Omnibus inhaltlich nachjustiert: Die Registrierungspflichten in Anhang VIII wurden entschlackt, Erleichterungen gelten jetzt nicht mehr nur für KMU, sondern auch für Small Mid-Caps, und die Erzeugung nicht einvernehmlicher intimer Darstellungen wurde neu verboten.
Betrifft der EU AI Act mein Unternehmen?
Mit hoher Wahrscheinlichkeit ja, sobald Sie KI im Kundenkontakt oder in der Content-Produktion einsetzen. Die Verordnung reguliert nicht den Verwendungszweck. Entscheidend ist deshalb nicht, welches Tool Sie nutzen, sondern wofür.
Wir arbeiten in Projekten mit vier Fragen, die in dieser Reihenfolge zu beantworten sind:
Setzen wir überhaupt ein KI-System ein?
Erfassen Sie jedes System, das Inhalte erzeugt, klassifiziert, bewertet oder Empfehlungen ausspricht. Auch eingekaufte SaaS-Tools zählen, ebenso KI-Funktionen, die ein Anbieter still in ein bestehendes Produkt eingebaut hat. Diese Bestandsaufnahme ist der Schritt, den die meisten Unternehmen unterschätzen.
Sind wir Anbieter oder Betreiber?
Anbieter entwickelt oder lässt entwickeln und bringt unter eigenem Namen in Verkehr. Betreiber nutzt ein fremdes System im eigenen Betrieb. Anbieter tragen deutlich mehr Pflichten. Wer ein Fremdmodell so umbaut oder unter eigener Marke anbietet, dass er als Anbieter gilt, übernimmt diese Pflichten mit.
Welche Risikoklasse trifft zu?
Prüfen Sie in dieser Reihenfolge: verboten nach Artikel 5, Hochrisiko nach Anhang III oder Anhang I, transparenzpflichtig nach Artikel 50, minimal. Die Prüfung erfolgt pro Anwendungsfall, nicht pro Software. Ein System kann in zwei Abteilungen in zwei Klassen fallen.
Welche Frist gilt für diesen Fall?
Transparenzpflichten sind seit August 2026 scharf. Hochrisiko-Pflichten haben bis Dezember 2027 oder August 2028 Zeit.
Das Ergebnis pflegen Sie am besten in einer Liste. Erfassen Sie dabei: System, Zweck, Rolle, Risikoklasse, Frist und Verantwortlicher.
Die vier Risikoklassen des EU AI Act
Der AI Act kennt vier Stufen: unannehmbares Risiko (verboten), hohes Risiko (umfangreiche Pflichten), begrenztes Risiko (Transparenzpflichten) und minimales Risiko (keine besonderen Auflagen). Die Einstufung entscheidet über Aufwand und Kosten, und für die große Mehrheit der Unternehmen landet der Alltag in Stufe drei oder vier.
| Risikoklasse | Beispiele | Pflichten | Gilt seit |
|---|---|---|---|
| Unannehmbar | Social Scoring, Emotionserkennung am Arbeitsplatz, ungezieltes Scraping von Gesichtsbildern | Verboten | 2. Februar 2025 |
| Hoch | Bewerbervorauswahl, Kreditwürdigkeitsprüfung, KI in Medizinprodukten, Zugangsentscheidungen in der Bildung | Risikomanagement, technische Dokumentation, Datenqualität, menschliche Aufsicht, Konformitätsbewertung, Registrierung | 2. Dezember 2027 |
| Begrenzt | Chatbots, Bildgeneratoren, Deepfake-Anwendungen, Emotionserkennung | Offenlegung und Kennzeichnung nach Artikel 50 | 2. August 2026 |
| Minimal | Spamfilter, Empfehlungssysteme im Shop, KI in Suchfunktionen | Keine besonderen Pflichten | entfällt |
Die Grenze zwischen begrenztem und hohem Risiko verläuft dort, wo eine KI über Chancen und Rechte von Menschen mitentscheidet. Ein Chatbot, der Öffnungszeiten nennt, bleibt begrenzt. Derselbe Chatbot, der Bewerbungen vorsortiert, ist Hochrisiko.
Müssen Sie Ihren Chatbot als KI kennzeichnen?
Ja. Artikel 50 Absatz 1 verpflichtet Anbieter, KI-Systeme so zu gestalten, dass Nutzer bei der ersten Interaktion erkennen, dass sie mit einer Maschine sprechen. Diese Pflicht gilt seit dem 2. August 2026 und kennt keine Übergangsfrist. Verstöße fallen in den Bußgeldrahmen bis 15 Millionen Euro oder 3 Prozent des Jahresumsatzes.
Die Verordnung enthält eine Ausnahme: Der Hinweis entfällt, wenn der KI-Einsatz für eine "angemessen informierte, aufmerksame und verständige" Person ohnehin offensichtlich ist. Verlassen Sie sich jeodch nicht darauf. Die Formulierung ist unbestimmt und es gibt bislang keine Rechtsprechung dazu.
Was in der Umsetzung reicht
- Ein sichtbarer Hinweis im Chatfenster, vor der ersten Nutzereingabe, nicht erst in der Antwort.
- Klare Sprache statt Jurist: "Sie chatten mit einem KI-Assistenten." Der Hinweis muss barrierefrei zugänglich sein, gehört also in den Text und nicht nur in eine Grafik.
- Beim Übergang an einen Menschen ebenfalls kennzeichnen, sonst bleibt unklar, mit wem der Nutzer gerade spricht.
Dieselbe Logik gilt für KI-Agenten, die eigenständig handeln und dabei mit Kunden kommunizieren. Dort kommt hinzu, dass jede Aktion protokolliert gehören sollte, weil ein Agent nicht nur falsch antworten, sondern falsch handeln kann.
Müssen KI-generierte Texte und Bilder gekennzeichnet werden?
Bei Bildern, Audio und Video: ja. Bei Texten auf Ihrer Unternehmenswebsite: in aller Regel nicht. Dieser Unterschied wird in vielen Ratgebern eingeebnet, und das führt zu einer Kennzeichnungspraxis, die weit über das hinausgeht, was Artikel 50 verlangt.
Die Pflichten verteilen sich auf zwei Rollen. Der Anbieter des generativen Systems, also OpenAI, Anthropic oder Google, muss die Ausgaben maschinenlesbar als künstlich erzeugt markieren. Das ist nicht Ihre Aufgabe, wenn Sie das Tool nur nutzen. Als Betreiber trifft Sie eine eigene Offenlegungspflicht in zwei Fällen: bei Deepfakes, also manipulierten Bild-, Audio- oder Videoinhalten, und bei veröffentlichten KI-Texten, die der Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse dienen.
Der zweite Fall ist enger, als er klingt. Er zielt auf journalistische und öffentlich-informierende Inhalte, nicht auf Produktbeschreibungen, Landingpages oder Marketing-Newsletter. Und selbst dort greift eine Ausnahme, sobald der Text eine redaktionelle Prüfung durchlaufen hat und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt. Kurz: KI als alleiniger Autor löst die Pflicht aus, KI als Werkzeug in einem redaktionell verantworteten Prozess nicht.
Bei Bildern liegt der Fall anders. Ein KI-generiertes Beitragsbild, das eine reale Szene glaubwürdig darstellt, kann als Deepfake im Sinne der Verordnung gelten und wird damit offenlegungspflichtig. Ein erkennbar abstraktes Illustrationsbild fällt nicht darunter. Die Grenze verläuft entlang der Frage, ob ein Betrachter den Inhalt für eine Aufnahme der Wirklichkeit halten könnte.
So verankern Sie das im CMS-Workflow
Aus unserer Arbeit an Redaktionssystemen hat sich ein Ansatz bewährt, der die Pflicht dort erfüllt, wo Inhalte entstehen, statt sie später über die ganze Website zu reparieren. Drei Bausteine reichen:
Ein Pflichtfeld pro Inhalt. Legen Sie im Content-Modell ein Feld an, das den KI-Anteil erfasst: kein KI-Einsatz, KI-Entwurf mit redaktioneller Prüfung, vollständig KI-generiert. Wer die Prüfung vorgenommen hat und wann, gehört daneben. Dieses Feld ist Ihre Dokumentation der redaktionellen Verantwortung.
Kennzeichnung als Ausgabe, nicht als Handarbeit. Ob ein Hinweis im Frontend erscheint, sollte das Template aus diesem Feld ableiten. Sobald die Redaktion die Entscheidung händisch treffen muss, wird sie inkonsistent getroffen.
Maschinenlesbare Metadaten bei Bildern. Für generierte Bilder gibt es mit C2PA (öffnet in neuem Tab) einen etablierten Standard für Content Credentials, den die großen Bildgeneratoren inzwischen unterstützen. Ein CMS, das diese Metadaten beim Upload nicht wegwirft, erfüllt die maschinenlesbare Kennzeichnung, ohne dass jemand daran denken muss. Viele Bildpipelines strippen beim Konvertieren pauschal alle Metadaten. Das ist der Punkt, an dem eine korrekte Kennzeichnung in der Praxis am häufigsten verloren geht.
Wer diese Felder ohnehin pflegt, hat nebenbei die Grundlage für eine saubere Content-Governance, unabhängig vom AI Act. Welche Systeme sich dafür eignen, haben wir im Vergleich das beste CMS 2026 beschrieben.
Gilt die KI-Kompetenzpflicht noch?
Ja, aber in abgeschwächter Form. Der Digital Omnibus hat Artikel 4 überarbeitet: Anbieter und Betreiber müssen weiterhin Maßnahmen zur Förderung der KI-Kompetenz ihrer Beschäftigten ergreifen, sie schulden aber kein bestimmtes Kompetenzniveau pro Mitarbeiter mehr. Nachzuweisen ist das Angebot, nicht das Ergebnis.
Das ist eine Korrektur an einer Stelle, an der 2025 viel Verunsicherung verkauft wurde. Zahlreiche Ratgeber und Schulungsangebote arbeiten weiterhin mit der ursprünglichen Formulierung, nach der Unternehmen ein "ausreichendes Maß" an KI-Kompetenz sicherstellen mussten. Diese Pflicht in dieser Schärfe gibt es seit dem 27. Juli 2026 nicht mehr. Wer aktuell ein Angebot mit dieser Begründung prüft, sollte danach fragen.
Praktisch bleibt der Rat derselbe, nur der Anlass ändert sich: Dokumentierte Schulungen sind sinnvoll, weil Mitarbeitende sonst vertrauliche Daten in fremde Chatfenster kopieren. Das ist ein Datenschutzproblem und ein Geschäftsrisiko, unabhängig davon, was Artikel 4 verlangt.
Welche KI-Systeme gelten als Hochrisiko?
Hochrisiko sind KI-Systeme aus den acht Bereichen in Anhang III sowie KI, die als Sicherheitskomponente in bereits regulierte Produkte eingebaut ist (Anhang I). Für die meisten Unternehmen ist genau ein Bereich relevant: Personalwesen. Bewerbervorauswahl, Beförderungsentscheidungen und Leistungsbewertung durch KI fallen darunter, und zwar auch dann, wenn Sie nur ein eingekauftes Tool einsetzen.
Die Bereiche aus Anhang III im Überblick:
- Biometrie, soweit nicht ohnehin verboten
- Kritische Infrastruktur (Verkehr, Wasser, Strom, Gas)
- Allgemeine und berufliche Bildung, etwa Zulassung und Prüfungsbewertung
- Beschäftigung und Personalmanagement
- Zugang zu wesentlichen privaten und öffentlichen Diensten, etwa Kreditwürdigkeit und Sozialleistungen
- Strafverfolgung
- Migration, Asyl und Grenzkontrolle
- Rechtspflege und demokratische Prozesse
Wer hier landet, trägt den vollen Pflichtenkatalog: Risikomanagementsystem, technische Dokumentation, Anforderungen an Datenqualität, Protokollierung, menschliche Aufsicht, Konformitätsbewertung und Registrierung in der EU-Datenbank. Der Aufwand ist erheblich, und dafür sind jetzt bis Dezember 2027 Zeit.
Auch wer sein System selbst als nicht-hochrisikant einstuft, kommt nicht ganz um Formalien herum. Der Digital Omnibus hat eine vereinfachte Registrierungspflicht für solche selbst eingestuften Systeme beibehalten und lediglich den Umfang der geforderten Angaben in Anhang VIII reduziert. Die Behörde kann die Einstufung anfordern und prüfen.
Wer kontrolliert den EU AI Act in Deutschland?
Die Bundesnetzagentur. Mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), das am 28. Juli 2026 im Bundesgesetzblatt verkündet wurde und seit dem 29. Juli 2026 in Kraft ist (öffnet in neuem Tab), ist sie zentrale Marktüberwachungsbehörde, Koordinierungsstelle, Anlaufstelle für Unternehmen und Beschwerdestelle für Bürger. Fachbehörden behalten die Zuständigkeit in ihren Sektoren, etwa die BaFin im Finanzbereich.
Bei der Bundesnetzagentur entsteht dafür ein Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO), das eine einheitliche Auslegung sicherstellen und mindestens ein KI-Reallabor betreiben soll, in dem Unternehmen neue Anwendungen unter Aufsicht erproben können.
Bemerkenswert ist der Zeitpunkt. Die KI-Verordnung verlangte die Benennung der nationalen Behörden bis zum 2. August 2025. Deutschland hat diese Frist um knapp ein Jahr überzogen und das Gesetz vier Tage vor dem Ablauf der Hauptübergangsfrist in Kraft gesetzt.
Was kostet ein Verstoß gegen den EU AI Act?
Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Dieser Höchstsatz gilt für verbotene Praktiken nach Artikel 5. Für die Pflichten, die den Normalfall betreffen, liegt der Rahmen niedriger.
| Verstoß | Bußgeldrahmen |
|---|---|
| Verbotene KI-Praktiken (Art. 5) | bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes |
| Pflichten für Anbieter und Betreiber, inklusive Transparenz (Art. 50) | bis 15 Mio. € oder 3 % des weltweiten Jahresumsatzes |
| Falsche oder irreführende Angaben gegenüber Behörden | bis 7,5 Mio. € oder 1 % des weltweiten Jahresumsatzes |
Für kleine und mittlere Unternehmen einschließlich Start-ups gilt eine Umkehrung: Hier greift jeweils der niedrigere der beiden Werte, also der Prozentsatz oder der absolute Betrag. Ein Betrag von 15 Millionen Euro trifft ein Unternehmen mit 4 Millionen Euro Umsatz damit nicht. Der Bußgeldrahmen des Artikels 99 (öffnet in neuem Tab) ist bereits seit dem 2. August 2025 anwendbar.
Unsere Einschätzung: Die verschobene Frist ist keine Entwarnung
Der Digital Omnibus hat die Diskussion in eine falsche Richtung gedreht. In der öffentlichen Wahrnehmung ist "der AI Act ist verschoben" hängen geblieben, und das führt gerade dazu, dass Unternehmen auch die Pflichten aufschieben, die längst gelten. Verschoben wurde ausschließlich der Teil, der für die meisten Firmen ohnehin nicht galt.
Unsere Position dazu ist unbequem für beide Lager. Wir halten die Verschiebung fachlich für richtig, weil eine Konformitätsbewertung ohne harmonisierte Normen ein Ratespiel gewesen wäre und Unternehmen für Anforderungen bezahlt hätten, die sich nachträglich als falsch ausgelegt erweisen. Gleichzeitig raten wir davon ab, den gewonnenen Zeitraum als Pause zu behandeln. Wer HR-Software mit KI-Funktionen einsetzt, braucht die 16 Monate. Die Anforderungen an Datenqualität und Protokollierung lassen sich nicht in einem Quartal nachrüsten, weil sie an Systemen hängen, die andere Abteilungen betreiben.
Was Sie in den nächsten vier Wochen erledigen sollten
- Bestandsliste aller KI-Systeme mit Zweck, Rolle (Anbieter oder Betreiber) und Risikoklasse anlegen.
- Chatbots und KI-Assistenten im Kundenkontakt mit einem sichtbaren Hinweis versehen.
- Prüfen, ob Systeme vor dem 2. August 2026 in Betrieb gingen: Für deren Inhaltskennzeichnung läuft die Frist am 2. Dezember 2026 ab.
- Einen Umgang mit KI-generierten Bildern festlegen, inklusive der Frage, ob Ihre Bildpipeline Metadaten erhält.
- Verantwortlichkeit benennen. Ohne eine Person, der das Thema gehört, verfällt die Liste innerhalb eines Quartals.
Lösungen von SymbolicLabs
KI-Agenten mit Protokollierung und Transparenz
Wir bauen Agenten, die Transparenzhinweise, Berechtigungsgrenzen und eine nachvollziehbare Protokollierung von Anfang an mitbringen, statt sie nach dem ersten Audit nachzurüsten.
KI-Agenten entwickeln lassen
CMS mit Content-Governance
Ein Redaktionssystem, das den KI-Anteil je Inhalt erfasst, die Kennzeichnung aus dem Content-Modell ableitet und C2PA-Metadaten bei Bildern erhält.
CMS-Entwicklung
Individuelle Webentwicklung
Websites und Anwendungen, bei denen Transparenzhinweise, Barrierefreiheit und Datenschutz Teil der Architektur sind.
Webentwicklung
Häufig gestellte Fragen (FAQ)
Was ist der EU AI Act?
Der EU AI Act ist die Verordnung (EU) 2024/1689, das weltweit erste umfassende Gesetz zu künstlicher Intelligenz. Er teilt KI-Systeme in vier Risikoklassen ein und knüpft daran gestaffelte Pflichten, von einem vollständigen Verbot bis zu keinerlei Auflagen. Er gilt unmittelbar in allen EU-Mitgliedstaaten und auch für Anbieter außerhalb der EU, sofern deren Systeme oder Ergebnisse in der EU genutzt werden.
Seit wann gilt der EU AI Act?
Die Verordnung ist am 1. August 2024 in Kraft getreten und gilt gestaffelt. Seit dem 2. Februar 2025 greifen die Verbote, seit dem 2. August 2025 die Regeln für KI-Modelle mit allgemeinem Verwendungszweck, seit dem 2. August 2026 die Transparenzpflichten und die Marktüberwachung. Die Pflichten für Hochrisiko-Systeme folgen am 2. Dezember 2027.
Wurde der EU AI Act verschoben?
Teilweise. Der Digital Omnibus, Verordnung (EU) 2026/1744, ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Pflichten verschoben: auf den 2. Dezember 2027 für eigenständige Systeme nach Anhang III und auf den 2. August 2028 für in Produkte eingebettete Systeme nach Anhang I. Verbote, GPAI-Regeln und Transparenzpflichten wurden nicht verschoben.
Muss ich meinen Chatbot als KI kennzeichnen?
Ja. Nach Artikel 50 müssen Nutzer spätestens bei der ersten Interaktion erkennen, dass sie mit einem KI-System kommunizieren. Die Pflicht gilt seit dem 2. August 2026 ohne Übergangsfrist. Eine Ausnahme besteht nur, wenn der KI-Einsatz für eine verständige Person offensichtlich ist, worauf man sich mangels Rechtsprechung nicht verlassen sollte.
Müssen KI-generierte Texte auf einer Website gekennzeichnet werden?
In der Regel nicht. Die Offenlegungspflicht für Betreiber betrifft KI-Texte, die der Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse dienen, und entfällt selbst dort, wenn der Text redaktionell geprüft wurde und eine Person die redaktionelle Verantwortung trägt. Produkttexte, Landingpages und Marketinginhalte fallen nicht darunter. Bei Bildern und Videos gelten strengere Regeln.
Gilt die Pflicht zur KI-Kompetenz noch?
Ja, aber abgeschwächt. Seit der Änderung durch den Digital Omnibus müssen Anbieter und Betreiber Maßnahmen zur Förderung der KI-Kompetenz ihrer Beschäftigten ergreifen. Ein bestimmtes Kompetenzniveau pro Mitarbeiter schulden sie nicht mehr. Nachzuweisen ist das Schulungsangebot, nicht dessen Ergebnis.
Wer überwacht den EU AI Act in Deutschland?
Die Bundesnetzagentur. Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) ist am 29. Juli 2026 in Kraft getreten und macht sie zur zentralen Marktüberwachungsbehörde, Koordinierungsstelle und Beschwerdestelle. Sektorale Fachbehörden wie die BaFin bleiben in ihren Bereichen zuständig.
Welche Bußgelder drohen bei Verstößen?
Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen KI-Praktiken, bis zu 15 Millionen Euro oder 3 Prozent bei Verstößen gegen Anbieter- und Betreiberpflichten einschließlich der Transparenzpflichten, und bis zu 7,5 Millionen Euro oder 1 Prozent bei falschen Angaben gegenüber Behörden. Für KMU und Start-ups gilt jeweils der niedrigere der beiden Werte.
