EU-KI-Verordnung nach dem 2. August 2026: Was Unternehmen jetzt tun müssen

Monatelang galt der 2. August 2026 als der Tag, an dem die KI-Verordnung (Verordnung (EU) 2024/1689) bei den meisten Unternehmen ankommt. Fünf Tage vor diesem Termin änderten sich dann die Regeln. Die Verordnung (EU) 2026/1744 hat die Vorschrift zur KI-Kompetenz abgeschwächt und die zentralen Anforderungen an Hochrisiko-KI-Systeme verschoben. Ein Compliance-Leitfaden aus dem Juni oder Anfang Juli beschreibt deshalb womöglich einen Zeitplan, der nicht mehr gilt. Verordnung (EU) 2026/1744

Entscheidend ist nicht, ob ein Unternehmen selbst KI entwickelt. Entscheidend ist, welche Rolle es bei jedem einzelnen System einnimmt und wie dieses System eingesetzt wird. Auch wer externe Werkzeuge nur kauft und nutzt, kann Pflichten aus der Verordnung haben.

Drei Punkte, die Sie sich merken sollten

• •Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026.
• •Die KI-Verordnung verlangt nicht, dass jedes mit KI erzeugte Bild sichtbar gekennzeichnet wird.
• •Die zentralen Hochrisiko-Pflichten für Recruiting-Systeme wurden verschoben, KI-Kompetenz und verbotene Praktiken gelten aber bereits.

Der Zeitplan nach der Änderung im Juli

Die KI-Verordnung wird schrittweise wirksam. Der Tag ihres Inkrafttretens ist daher nicht derselbe wie der Tag, ab dem eine bestimmte Pflicht gilt.

• •1. August 2024: Die KI-Verordnung tritt in Kraft.
• •2. Februar 2025: Es gelten die Begriffsbestimmungen, Artikel 4 zur KI-Kompetenz und Artikel 5 zu verbotenen Praktiken.
• •2. August 2025: Es gelten die Vorschriften zu KI-Modellen mit allgemeinem Verwendungszweck, zur Governance und der Großteil der Sanktionen.
• •27. Juli 2026: Die Änderungsverordnung tritt in Kraft und ändert Artikel 4 sowie die Fristen für Hochrisiko-KI-Systeme.
• •2. August 2026: Es gelten die Transparenzpflichten nach Artikel 50 und Artikel 101 zu Geldbußen für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck.
• •11. August 2026: Das polnische Gesetz über Systeme der künstlichen Intelligenz tritt in seinem wesentlichen Teil in Kraft.

Was Artikel 50 in vier typischen Situationen bedeutet

Artikel 50 schafft keine einheitliche Kennzeichnungsregel für alle KI-Inhalte. Er regelt mehrere Situationen, und verantwortlich ist nicht immer dieselbe Partei.

• •Chatbot auf der Website. Der Anbieter muss sicherstellen, dass Menschen erfahren, dass sie mit einer KI interagieren, sofern das nicht ohnehin offensichtlich ist. Ein Unternehmen, das den Chatbot einsetzt, sollte darauf achten, dass der Hinweis zu Beginn des Gesprächs erscheint und nicht nur in den Nutzungsbedingungen steht.
• •Deepfake. Wer mit KI erzeugtes oder manipuliertes Material veröffentlicht, das eine reale Person, einen Gegenstand, einen Ort, eine Organisation oder ein Ereignis täuschend echt nachahmt, muss offenlegen, dass das Material nicht echt ist. Ein Vermerk nur in den Metadaten der Datei reicht nicht.
• •Texte zu Angelegenheiten von öffentlichem Interesse. Eine Offenlegung kann nötig sein, wenn mit KI erzeugter oder manipulierter Text veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Eine echte redaktionelle Prüfung durch einen Menschen kann eine Ausnahme begründen, das Korrigieren von Grammatik oder Stil genügt dafür aber nicht. Auch der Inhalt muss geprüft werden, und jemand muss die redaktionelle Verantwortung übernehmen.
• •Emotionserkennung oder biometrische Kategorisierung. Personen, die einem solchen System ausgesetzt sind, müssen informiert werden. Am Arbeitsplatz ist Emotionserkennung allerdings grundsätzlich verboten, abgesehen von eng gefassten Ausnahmen aus medizinischen Gründen oder aus Sicherheitsgründen.

Die Leitlinien der Kommission erläutern diese vier Kategorien und die Ausnahmen, die für sie gelten können. Leitlinien der Europäischen Kommission zu Artikel 50

Nein, nicht jedes KI-Bild braucht eine sichtbare Kennzeichnung

Das ist die häufigste Überinterpretation von Artikel 50. Die technische Kennzeichnung erzeugter Inhalte ist Pflicht des Anbieters. Ein Unternehmen, das einen externen Bildgenerator nutzt, übernimmt diese Pflicht nicht automatisch, nur weil es das Ergebnis veröffentlicht.

Der Anbieter eines Systems, das Text, Bilder, Audio oder Video erzeugt, muss die Ausgaben in einem maschinenlesbaren Format kennzeichnen, sodass sie als künstlich erzeugt oder manipuliert erkennbar sind. Für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, ist für diese Anforderung bis zum 2. Dezember 2026 Zeit.

Die sichtbare Offenlegungspflicht des Betreibers betrifft Deepfakes: Material, das eine existierende Person, einen Gegenstand, einen Ort, eine Organisation oder ein Ereignis nachahmt und fälschlich als echt erscheinen könnte. Eine fiktive Illustration, die nichts Reales nachahmt, ist nicht automatisch ein Deepfake. Ein Bild, das als echtes Foto einer realen Person oder eines realen Ereignisses präsentiert wird, kann dagegen eines sein. EU-Symbole zur Kennzeichnung KI-generierter Inhalte

Die praktische Antwort ist nicht, jedes Bild mit demselben Vermerk zu versehen. Sinnvoller ist eine klare Veröffentlichungsregel für Inhalte, die das Publikum über ihre Echtheit täuschen könnten.

Klären Sie zuerst, ob Sie Anbieter oder Betreiber sind

Ein Unternehmen kann bei jedem Werkzeug eine andere Rolle haben. Von dieser Rolle hängt ab, welche Pflichten gelten.

• •Anbieter. Das Unternehmen entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke in Verkehr oder nimmt es in Betrieb.
• •Betreiber. Das Unternehmen verwendet ein KI-System im Rahmen seiner beruflichen Tätigkeit. Ein Unternehmen, dessen Beschäftigte ChatGPT, Copilot oder einen externen Bildgenerator nutzen, fällt in der Regel in diese Gruppe.

Diese Rolle kann sich ändern. Ein Unternehmen kann als Anbieter gelten, wenn es das System eines anderen unter eigenem Namen in Verkehr bringt, es wesentlich verändert oder seine Zweckbestimmung so ändert, dass es zum Hochrisiko-KI-System wird. Die richtige Frage lautet also nicht nur, ob das Unternehmen das Modell selbst geschrieben hat, sondern was es mit dem System macht und unter wessen Namen.

KI-Kompetenz ist seit Februar 2025 Pflicht

Artikel 4 gilt für Anbieter und Betreiber, also auch für Unternehmen, die nur externe KI-Werkzeuge nutzen. Die Pflicht gilt seit dem 2. Februar 2025.

Seit dem 27. Juli 2026 verlangt die Vorschrift, dass Organisationen Maßnahmen ergreifen, die den Aufbau von KI-Kompetenz bei ihrem Personal und bei anderen Personen fördern, die in ihrem Auftrag mit KI arbeiten. Die Maßnahmen sollen Kenntnisse, Erfahrung und Ausbildung der Personen sowie den Kontext berücksichtigen, in dem das System eingesetzt wird. Ein bestimmtes Niveau muss das Unternehmen nicht für jede einzelne Person garantieren.

Es gibt keinen verpflichtenden EU-Kurs, keine feste Zahl an Schulungsstunden und kein offizielles Zertifikat. Wirksame Schulungen orientieren sich an den tatsächlichen Aufgaben und Risiken. Die Personalabteilung muss Diskriminierung, verbotene Praktiken und menschliche Aufsicht verstehen. Das Marketing muss Halluzinationen, Quellenprüfung, Rechte an Inhalten und Veröffentlichungsregeln verstehen. Leitlinien der Europäischen Kommission zur KI-Kompetenz

Eine kurze Notiz mit Datum, Umfang, Material und Teilnehmenden ist ein sinnvoller Weg, zu dokumentieren, dass die Organisation gehandelt hat.

Wichtig ist auch der Unterschied zwischen einer Offenlegungspflicht und einem Verbot. Ein System, das Tonfall, Mimik oder Stimmung von Bewerberinnen und Bewerbern auswertet, kann eine Emotionserkennung sein. Am Arbeitsplatz ist dieser Einsatz grundsätzlich verboten und nicht bloß hinweispflichtig.

Recruiting: Manches gilt schon jetzt, anderes ab 2027

KI-Werkzeuge, die Bewerbungen sichten, Kandidaten in eine Rangfolge bringen oder Einstellungsentscheidungen beeinflussen, können als Hochrisiko-KI-Systeme eingestuft werden. Dasselbe gilt für bestimmte Systeme für Beförderung, Kündigung, Aufgabenzuweisung oder die Überwachung von Beschäftigten.

Die wichtigsten Pflichten für diese Hochrisiko-KI-Systeme sollten ab dem 2. August 2026 gelten. Die Änderung hat diesen Termin auf den 2. Dezember 2027 verschoben.

Eine eigene Frist gilt für KI in Produkten, die unter bestimmte Produktsicherheitsvorschriften der EU fallen. Für diese Gruppe wurde der Termin vom 2. August 2027 auf den 2. August 2028 verschoben. Das betrifft vor allem Hersteller und Unternehmen, die solche Produkte in Verkehr bringen.

Grund waren Verzögerungen bei harmonisierten Normen, gemeinsamen Spezifikationen, Leitlinien und beim Aufbau der nationalen Behörden. Die Fristen wurden durch eine Verordnung geändert, nicht bloß durch eine Ankündigung der Kommission. Mitteilung der Kommission zum KI-Omnibus

Die Verschiebung ist kein Grund, Recruiting-Werkzeuge ungeprüft zu lassen. Unternehmen sollten schon jetzt Systeme identifizieren, die Entscheidungen über Menschen beeinflussen, dokumentieren, was diese Systeme tun, und ihre Lieferanten fragen, wie sie die Anforderungen von 2027 erfüllen wollen. Artikel 4 und die verbotenen Praktiken nach Artikel 5 gelten unabhängig von der Verschiebung.

Das polnische Gesetz und die Übergangsphase bei der Durchsetzung

Das polnische Gesetz über Systeme der künstlichen Intelligenz vom 3. Juli 2026 wurde im polnischen Gesetzblatt (Dziennik Ustaw) 2026 unter Position 1003 veröffentlicht und ist in seinem wesentlichen Teil am 11. August 2026 in Kraft getreten. Es ersetzt die EU-Verordnung nicht. Es schafft den nationalen Aufsichtsrahmen für Regeln, die unmittelbar gelten. Dziennik Ustaw 2026, Pos. 1003

Marktüberwachungsbehörde und zentrale Anlaufstelle soll die Kommission für die Entwicklung und Sicherheit der künstlichen Intelligenz (KRiBSI) werden. Sie soll die Einhaltung der KI-Verordnung überwachen und Entscheidungen über Verstöße erlassen.

Das Kapitel über Geldbußen und mehrere andere Teile des polnischen Gesetzes gelten erst ab dem 28. Oktober 2026. Am 23. August befindet sich das nationale Durchsetzungssystem daher noch in einer Übergangsphase. Pflichten, die sich unmittelbar aus der KI-Verordnung ergeben, sind dadurch nicht ausgesetzt.

Die Obergrenzen der Geldbußen

Es handelt sich um gesetzliche Höchstbeträge, nicht um automatische Strafen für jeden Verstoß. Die Behörde muss die Umstände des Einzelfalls berücksichtigen.

• •Verbotene Praktiken nach Artikel 5: bis zu 35 Millionen EUR oder 7 % des weltweiten Jahresumsatzes.
• •Bestimmte Pflichten von Akteuren, darunter Artikel 50: bis zu 15 Millionen EUR oder 3 % des Umsatzes.
• •Falsche, unvollständige oder irreführende Angaben gegenüber einer Behörde: bis zu 7,5 Millionen EUR oder 1 % des Umsatzes.

Geldbußen gegen Anbieter von KI-Modellen mit allgemeinem Verwendungszweck verhängt die Europäische Kommission.

Für KMU ist der jeweils niedrigere Wert aus festem Betrag und Umsatzanteil die Obergrenze. Die Zahl der Beschäftigten allein entscheidet nicht über den KMU-Status, denn die EU-Definition berücksichtigt auch finanzielle Schwellenwerte und Verbindungen zu anderen Unternehmen.

Eine praktische Checkliste für diese Woche

• •Erfassen Sie alle KI-Werkzeuge im Unternehmen, auch solche, die Beschäftigte auf eigene Faust eingeführt haben.
• •Halten Sie jeweils fest: Lieferant, geschäftlicher Zweck, Nutzer, betroffene Daten, Ergebnisse und ob das System Entscheidungen über Menschen beeinflusst.
• •Bestimmen Sie für jedes Werkzeug, ob das Unternehmen Anbieter oder Betreiber ist.
• •Prüfen Sie, ob Chatbots den Einsatz von KI zu Beginn der Interaktion klar offenlegen.
• •Nehmen Sie Systeme für Recruiting und Personalmanagement gesondert in den Blick und prüfen Sie frühzeitig, ob sie als Hochrisiko-KI-Systeme gelten.
• •Fragen Sie Ihre Lieferanten schriftlich, wie sie Artikel 50 erfüllen und wie sie sich auf die Hochrisiko-Anforderungen vorbereiten.
• •Schulen Sie KI-Kompetenz passend zur jeweiligen Rolle und halten Sie das kurz schriftlich fest.
• •Führen Sie ein Veröffentlichungsverfahren ein, das Deepfakes, Texte von öffentlichem Interesse und eine echte redaktionelle Prüfung durch Menschen abdeckt.

Was noch unklar ist

Die KI-Verordnung ordnet die Obergrenze von 15 Millionen EUR oder 3 % nicht ausdrücklich einem Verstoß allein gegen Artikel 4 zu. Eine konkrete Sanktion für unzureichende KI-Kompetenz sollte man ohne Grundlage im nationalen Recht nicht behaupten.

Eine offizielle Bestätigung, dass der Vorsitz der KRiBSI bis zum 23. August 2026 formell besetzt wurde, habe ich nicht gefunden. Die gesetzliche Frist für die Ernennung war noch nicht abgelaufen.

Die Änderung verschiebt die Abschnitte 1 bis 3 von Kapitel III. Für Abschnitt 5 verwendet sie nicht dieselbe allgemeine Formulierung. Hersteller sollten daher die Regeln für ihr konkretes Produkt prüfen, statt anzunehmen, dass sich jede Vorschrift des Kapitels automatisch verschoben hat.

Das praktische Fazit

Die KI-Verordnung verlangt nicht von jedem Unternehmen eine große Compliance-Organisation. Sie verlangt aber, dass Unternehmen wissen, wo KI eingesetzt wird, ihre rechtliche Rolle kennen, ihre Leute für die Risiken schulen, mit denen diese tatsächlich zu tun haben, und Kontrollen einführen, die im Alltag funktionieren.

Dieser Artikel ist keine Rechtsberatung. Wenn Einstufung, Sanktionen oder ein bestimmtes Produkt unklar sind, ist eine rechtliche Prüfung der richtige nächste Schritt. Meine Arbeit beginnt auf der operativen Seite: den tatsächlichen KI-Einsatz erfassen, Anforderungen in praktikable Abläufe übersetzen und Teams darauf vorbereiten, diese Werkzeuge mit klarer menschlicher Verantwortung zu nutzen.