KI-Verordnung: was seit 2. August 2026 gilt

Der 2. August 2026 war der große Stichtag der EU-KI-Verordnung; er hat aber etwas anderes gebracht, als viele erwartet haben. Der Beitrag zeigt, was jetzt gilt, was schon galt und was verschoben wurde.

Neu seit 2. August: Transparenz

Anwendbar sind nun insbesondere die Transparenzpflichten des Art 50 KI-VO, getrennt nach Rollen. Der Anbieter eines Chatbots oder eines anderen KI-Systems, das für die direkte Interaktion mit Menschen bestimmt ist, muss es so gestalten, dass Nutzer erfahren, dass sie mit einer Maschine interagieren, sofern das nicht offensichtlich ist (Abs 1); er muss außerdem die Ausgaben eines Systems, das Bilder, Töne, Videos oder Texte erzeugt, maschinenlesbar als KI-erzeugt markieren (Abs 2). Der Betreiber, also wer ein KI-System in eigener Verantwortung verwendet, muss offenlegen, wenn er Deepfakes veröffentlicht oder KI-erzeugte Texte zu Angelegenheiten von öffentlichem Interesse, die nicht redaktionell geprüft und verantwortet werden (Abs 4); wer Emotionserkennung einsetzt, muss die Betroffenen informieren (Abs 3). Wer einen Chatbot entwickeln lässt und ihn unter eigenem Namen auf seiner Website in Betrieb nimmt, ist selbst Anbieter (Art 3 Nr 3) und schuldet den Hinweis unmittelbar. Verstöße gegen Art 50 sind mit Geldbußen bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes bedroht (Art 99 Abs 4); für Systeme, die schon vor dem 2. August 2026 in Verkehr waren, bleibt den Anbietern für die Markierung bis 2. Dezember 2026 Zeit (Art 111 Abs 4).

Schon länger in Kraft

Bereits seit 2. Februar 2025 gelten die Verbote bestimmter Praktiken, etwa manipulativer Techniken und Social Scoring (Art 5), sowie die Pflicht zur KI-Kompetenz nach Art 4. Letztere hat die Änderungsverordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026, abgeschwächt: Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern, schulden aber kein bestimmtes Niveau und keine Dokumentation. Eine interne Richtlinie und Schulungen bleiben das naheliegende Mittel, diese Pflicht zu erfüllen. Am 2. Dezember 2026 kommen zwei weitere Verbote hinzu: sexualisierte Deepfakes ohne Zustimmung der dargestellten Person und Darstellungen sexuellen Kindesmissbrauchs.

Verschoben: die Hochrisiko-Pflichten

Die umfangreichen Pflichten für Hochrisiko-Systeme, etwa KI in der Personalauswahl oder bei der Kreditvergabe, wurden mit derselben Änderungsverordnung verschoben: für eigenständige Systeme nach Anhang III auf den 2. Dezember 2027, für in Produkte eingebettete KI nach Anhang I auf den 2. August 2028 (Art 113 Abs 3 lit c). Wer solche Systeme einsetzt oder plant, gewinnt Zeit, sollte sie aber nutzen, weil die Anforderungen an Datenqualität, Dokumentation und menschliche Aufsicht erheblich sind.

Was Unternehmen jetzt zu tun haben

Für die meisten Unternehmen ist die Aufgabenliste überschaubar: prüfen, ob der eigene Chatbot sich als Maschine zu erkennen gibt, Deepfakes und ungeprüft veröffentlichte KI-Texte zu Themen von öffentlichem Interesse offenlegen, KI-Richtlinie und Schulungen als Maßnahmen zur KI-Kompetenz fortführen und bei geplanten Hochrisiko-Anwendungen die Übergangszeit für die Vorbereitung nutzen. Daneben gilt unverändert die DSGVO; sie bleibt der strengere Maßstab, sobald KI-Systeme personenbezogene Daten verarbeiten.