KI-Verordnung in Deutschland: Was seit 2. August 2026 für Unternehmen gilt

Warum der 2. August 2026 für Unternehmen in Deutschland jetzt relevant ist

Seit dem 2. August 2026 ist die EU-KI-Verordnung — Verordnung (EU) 2024/1689, im Amtsblatt als „Verordnung über künstliche Intelligenz" bezeichnet — allgemein anwendbar. Das ist der dritte und größte Schritt einer gestaffelten Einführung: Nach den verbotenen Praktiken und der KI-Kompetenzpflicht (Februar 2025) sowie den Regeln für KI-Basismodelle (August 2025) greift jetzt der Großteil der übrigen Vorschriften — inklusive der Transparenzpflichten und des vollen Sanktionsregimes.

Regulatorische Pflichten gehören ins Risiko-Inventar — wie bei Cyberangriffen auf KMU. Kurz vor dem Stichtag hat die EU mit der sogenannten „Digital-Omnibus"-Verordnung (EU) 2026/1744 zentrale Fristen für Hochrisiko-Systeme verschoben. In der öffentlichen Wahrnehmung ist davon vor allem eine — falsche — Botschaft angekommen: Die Regulierung komme insgesamt später. Tatsächlich ändert die Verschiebung am allgemeinen Geltungsbeginn nichts. Für die meisten Unternehmen im Mittelstand, bei Startups und Solo-Selbstständigen ist deshalb nicht die Frage entscheidend, ob sie schon betroffen sind — sondern welche der drei parallel greifenden Rechtsakte sie konkret betreffen.

Was am 2. August 2026 konkret in Kraft getreten ist — und was nicht

Drei Rechtsakte greifen zum Stichtag ineinander, und es lohnt sich, sie sauber zu trennen:

Nicht verschoben und seit dem 2. August 2026 unverändert scharfgestellt: die Transparenzpflichten nach Art. 50, das komplette Sanktionsregime nach Art. 99 und die aktive Durchsetzung der Pflichten für KI-Basismodelle durch das EU AI Office. Verschoben wurden ausschließlich die materiellen Anforderungen an Hochrisiko-KI-Systeme nach Kapitel III — Risikomanagement, Datenqualität, technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung.

Welche Transparenzpflichten jetzt für Chatbots und KI-Inhalte gelten

Art. 50 der KI-Verordnung ist der Abschnitt mit der größten praktischen Reichweite — weil er nicht an eine Risikoeinstufung anknüpft, sondern an die Art der Nutzung. Ein Kundenservice-Chatbot, ein KI-generiertes Marketingvideo oder ein automatisiert erstellter Fachbeitrag reichen aus, um in den Anwendungsbereich zu fallen.

• Interaktions-Hinweis: KI-Systeme, die direkt mit Menschen kommunizieren, müssen erkennbar machen, dass es sich um KI handelt — außer es ist aus den Umständen offensichtlich.
• Kennzeichnung von Deepfakes: KI-erzeugte oder manipulierte Bild-, Audio- oder Videoinhalte, die reale Personen oder Ereignisse täuschend echt darstellen, müssen als künstlich erzeugt offengelegt werden.
• Kennzeichnung bestimmter KI-Texte: Veröffentlichte KI-Texte zu Themen von öffentlichem Interesse benötigen einen Hinweis, sofern keine menschliche redaktionelle Kontrolle besteht.
• Hinweis bei Emotionserkennung oder biometrischer Kategorisierung: Wer solche Systeme einsetzt, etwa zur Auswertung von Kundenreaktionen, muss betroffene Personen darüber informieren.

Eine Sonderregel betrifft die maschinenlesbare Kennzeichnung synthetischer Inhalte (Wasserzeichen, Metadaten): Für Systeme, die bereits vor dem 2. August 2026 im Einsatz waren, läuft dafür eine eigene, kürzere Übergangsfrist bis zum 2. Dezember 2026 — ein Datum, das in der öffentlichen Debatte häufig untergeht.

Wer die Einhaltung in Deutschland überwacht: die Rolle der Bundesnetzagentur

Deutschland hatte die ursprüngliche EU-Frist zur Benennung nationaler Behörden (2. August 2025) verpasst. Erst am 29. Juli 2026 ist das nationale Ausführungsgesetz — das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) — in Kraft getreten. Es bestimmt die Bundesnetzagentur zur zentralen Instanz:

• Marktüberwachungsbehörde für alle nicht anderweitig zugewiesenen Bereiche, insbesondere für KI-Systeme in sensiblen Feldern wie Personalmanagement, kritischer Infrastruktur und Bildung
• Zentrale Anlaufstelle für Fragen zum EU AI Act, inklusive eines eigenen KI-Service-Desks für Unternehmen
• Zentrale Beschwerdestelle — auch Wettbewerber oder Privatpersonen können mutmaßliche Verstöße melden
• Trägerin eines Koordinierungs- und Kompetenzzentrums sowie mindestens eines KI-Reallabors mit Vorrangzugang für KMU und Start-ups

Etablierte Zuständigkeiten in bereits regulierten Sektoren bleiben erhalten: Die BaFin überwacht KI im Finanzsektor, das BfArM KI als Medizinprodukt. Für besonders sensible Hochrisiko-Anwendungen — etwa biometrische Echtzeit-Identifizierung in der Strafverfolgung — wurde bei der Bundesnetzagentur zusätzlich eine unabhängige KI-Marktüberwachungskammer eingerichtet, die keinen Weisungen unterliegt.

Mit welchen Bußgeldern Unternehmen jetzt rechnen müssen

Mit dem 2. August 2026 ist das dreistufige Sanktionsregime nach Art. 99 KI-VO nicht mehr nur Theorie, sondern durchsetzbar:

Die KMU-Erleichterung klingt entlastender, als sie ist: Bei einem Unternehmen mit 5 Mio. Euro Jahresumsatz sind 3 % bereits 150.000 Euro. Ergänzend sieht das KI-MIG für bestimmte Ordnungswidrigkeiten — etwa fehlende Erläuterungspflichten gegenüber Betroffenen bei bestimmten Hochrisiko-Systemen — eigene Bußgelder bis 50.000 Euro vor. Nicht X — sondern Y: Nicht "die große Strafe trifft nur Tech-Konzerne", sondern jedes Unternehmen, das KI-Systeme anbietet oder betreibt, ist grundsätzlich im Anwendungsbereich.

Was der Digital Omnibus verschoben hat — und was nicht

Die Verschiebung durch Verordnung (EU) 2026/1744 betrifft ausschließlich Kapitel III der KI-Verordnung — das Pflichtenprogramm für Hochrisiko-KI-Systeme:

• Anhang III (eigenständige Systeme): neue Frist 2. Dezember 2027 statt ursprünglich 2. August 2026 — 16 Monate mehr Zeit. Betroffen sind u. a. KI im Beschäftigungskontext (Bewerbervorauswahl, Beförderung, Kündigung), Kreditwürdigkeitsprüfung, Bildung und kritische Infrastruktur.
• Anhang I (in Produkte eingebettete Systeme): neue Frist 2. August 2028 — etwa für KI als Sicherheitsbauteil in Medizinprodukten, Maschinen oder Aufzügen.
• Neue Verbotstatbestände ab 2. Dezember 2026: KI-Systeme, die nicht einvernehmliche intime Darstellungen oder Missbrauchsdarstellungen erzeugen, werden zusätzlich untersagt.

Was sich nicht ändert: Die Verbote des Art. 5 in ihrer bisherigen Fassung, die KI-Kompetenzpflicht und die GPAI-Pflichten gelten unverändert seit 2025 fort. Die materiellen Anforderungen an Hochrisiko-Systeme selbst werden durch den Omnibus nicht abgesenkt — nur der Zeitpunkt, ab dem sie gelten, wurde verschoben. Grund laut Erwägungsgrund 40 der Änderungsverordnung: verzögerte Normen, Leitlinien und die verspätete Einrichtung nationaler Behörden in mehreren Mitgliedstaaten — ein Muster, das sich in Deutschland am eigenen verspäteten KI-MIG zeigt.

Praxis-Checkliste: Was Unternehmen jetzt konkret tun sollten

• KI-Bestand erfassen: Inventar aller eingesetzten KI-Systeme und -Tools — inklusive der Anwendungen, die einzelne Abteilungen eigenständig eingeführt haben.
• Rolle klären: Ist Ihr Unternehmen pro System Anbieter oder Betreiber? Greifen Transparenzpflichten nach Art. 50?
• Transparenzhinweise umsetzen: Chatbots mit erkennbarem KI-Hinweis ausstatten, KI-generierte Inhalte kennzeichnen, Zuständigkeiten intern festlegen.
• KI-Kompetenz dokumentieren: Schulungen für Mitarbeitende, die mit KI arbeiten, durchführen und Teilnahme nachweisbar festhalten.
• Bestandssysteme prüfen: Wurde vor dem 2. August 2026 ein System mit synthetischen Inhalten in Verkehr gebracht? Dann läuft die Frist für die maschinenlesbare Kennzeichnung bereits am 2. Dezember 2026 ab.
• Hochrisiko-Kandidaten früh identifizieren: Besonders im Personalbereich wird unterschätzt, dass automatisierte Vorauswahl-Werkzeuge künftig als Hochrisiko-System gelten können.

Diese sechs Schritte lassen sich in wenigen Wochen abarbeiten — vorausgesetzt, jemand im Unternehmen übernimmt die Verantwortung dafür, statt darauf zu hoffen, dass "IT sich schon darum kümmert".

Wie die KI-Verordnung mit NIS2 und anderen Pflichten zusammenhängt

Beide Rechtsakte verlangen ähnliche Bausteine — Governance-Strukturen, dokumentierte Risikobetrachtung, Nachweisfähigkeit gegenüber Aufsicht und Kunden —, setzen aber an unterschiedlichen Stellen an: NIS2 bei der Cybersicherheit der Organisation, die KI-Verordnung beim konkreten Einsatz von KI-Systemen — siehe auch KI und Risikomanagement: Mensch im Mittelpunkt. Unternehmen, die von beidem betroffen sind, sollten Verzeichnis, Schulungsnachweise und Meldewege gemeinsam denken, statt zwei getrennte Compliance-Silos aufzubauen. Das ist auch der Punkt, an dem sich die Frage aus unserem Artikel zu KI-Agenten im Unternehmen wiederholt: Wer trägt die Verantwortung, wenn ein System — ob Chatbot oder Agent — einen Fehler macht? Grundsätzliches dazu liefert unsere Einordnung von Risikomanagement.

Fazit: Regulierung ernst nehmen, ohne in Aktionismus zu verfallen

Der 2. August 2026 ist kein Termin, den man mit dem Verweis auf die verschobenen Hochrisiko-Fristen ignorieren kann — und auch kein Anlass für Panik. Die Transparenzpflichten, die Aufsichtsstruktur und das Sanktionsregime sind ab sofort real, unabhängig davon, ob Ihr Unternehmen jemals ein "Hochrisiko-System" betreiben wird. Wer jetzt den eigenen KI-Bestand kennt, Rollen klärt und Kennzeichnung nachrüstet, hat den überschaubaren Teil der Aufgabe erledigt und nutzt die verlängerten Fristen bis 2027 als das, was sie sind: Vorbereitungszeit, nicht Aufschub.

Nächster Schritt: Wählen Sie ein KI-System, das in Ihrem Unternehmen bereits läuft — Chatbot, Textgenerator oder HR-Tool — und beantworten Sie für dieses eine System die Frage: Anbieter oder Betreiber, Transparenzpflicht ja oder nein? Das ist konkreter als jede allgemeine Ankündigung.

Dieser Artikel ersetzt keine Rechts-, Steuer- oder Versicherungsberatung. Die Einstufung eines konkreten KI-Systems — insbesondere die Frage, ob es unter Anhang III der KI-Verordnung fällt — hängt vom Einzelfall ab und sollte von einer Fachanwältin oder einem Fachanwalt geprüft werden, etwa aus dem RisikoRadar-Netzwerk.

Dieser Text wurde mit Unterstützung von KI erstellt und redaktionell geprüft.