LINK-V · Artikel

EU AI Act, August 2026: Was wirklich gilt, was verschoben wurde und wen es betrifft

August 5, 2026

Die „große Deadline" des AI Act war der 2. August 2026. Dieses Datum liegt drei Tage zurück. Das meiste von dem, was an diesem Tag hätte passieren sollen, ist ausgeblieben - eine späte Änderung hat es verschoben. Hier liest du, was sich geändert hat, was nicht und warum dein Standort damit nichts zu tun hat.

Die Kurzfassung

Pflicht	Status zum 2. August 2026
Hochrisiko-KI-Systeme (Anhang III: Recruiting, Kreditwürdigkeitsprüfung, Bildung usw.)	Verschoben auf den 2. Dezember 2027
Hochrisiko-KI in regulierten Produkten (Medizinprodukte, Maschinen)	Verschoben auf den 2. August 2028
Kennzeichnung von KI-Inhalten & Chatbot-Transparenz (Artikel 50)	Jetzt in Kraft
Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI)	In Kraft seit dem 2. August 2025 - von der Verschiebung nicht betroffen
Verbot von KI-generierten intimen Aufnahmen ohne Einwilligung / CSAM	In Kraft ab dem 2. Dezember 2026

Quelle: Verordnung (EU) 2026/1744, „Digital Omnibus on AI", in Kraft seit dem 27. Juli 2026.

1. Was sich am 27. Juli 2026 geändert hat

Die EU hat die Verordnung (EU) 2026/1744 am 24. Juli 2026 in ihrem Amtsblatt veröffentlicht. Drei Tage später trat sie in Kraft - fünf Tage vor der ursprünglichen Hochrisiko-Deadline des AI Act. Sie ändert den AI Act (Verordnung (EU) 2024/1689); sie ersetzt ihn nicht.

Als Grund für die Verschiebung wurde genannt: Die harmonisierten technischen Normen für Hochrisiko-Systeme (Artikel 40) waren noch nicht fertig, und die nationale Infrastruktur für Konformitätsbewertungen war noch nicht einsatzbereit.

Überarbeiteter Zeitplan:

Datum	Was gilt
2. Februar 2025	Verbotene KI-Praktiken (Art. 5) vollständig untersagt. Pflichten zur KI-Kompetenz (Art. 4) beginnen.
2. August 2025	Pflichten für GPAI-Modellanbieter beginnen (Dokumentation, Urheberrechtsrichtlinie, Zusammenfassung der Trainingsdaten). Nationale Behörden und Konformitätsbewertungsstellen müssen einsatzbereit sein.
2. August 2026	Transparenzpflichten nach Artikel 50 gelten: Offenlegung der KI-Interaktion, Kennzeichnung von Deepfakes - für Systeme, die nach diesem Datum in Verkehr gebracht werden.
2. Dezember 2026	Maschinenlesbare Kennzeichnung von KI-Inhalten (Art. 50(2)) gilt für Systeme, die bereits vor dem 2. August 2026 in Verkehr waren. Das neue Verbot von KI-generierten intimen Aufnahmen ohne Einwilligung / CSAM („Nudifier") tritt in Kraft.
2. Dezember 2027	Eigenständige Hochrisiko-KI-Systeme (Anhang III) müssen die Vorgaben erfüllen - verschoben vom 2. August 2026.
2. August 2028	In regulierte Produkte eingebettete Hochrisiko-KI (Anhang I) muss die Vorgaben erfüllen - verschoben vom 2. August 2027.

Ebenfalls geändert: KI, die in Produkte eingebettet ist, die bereits von der EU-Maschinenverordnung erfasst werden, fällt jetzt nicht mehr unter die direkten Hochrisiko-Regeln des AI Act. Sie wird stattdessen über delegierte Rechtsakte im Rahmen der Maschinenverordnung geregelt.

2. Was gerade wirklich auf deinem Tisch liegt - Artikel 50

Das ist der Teil, der heute schon Zähne hat. Nicht erst 2027.

Gilt für:

KI-Systeme, die direkt mit Menschen kommunizieren (Chatbots, Sprachassistenten) - sie müssen offenlegen, dass sie KI sind, es sei denn, es ist aus dem Kontext offensichtlich.
Deepfakes - Audio/Bild/Video/Text, die einer realen Person, einem Ort oder Ereignis ähneln und realistisch genug sind, um echt zu wirken - müssen als künstlich erzeugt oder manipuliert gekennzeichnet werden.
KI-generierter oder manipulierter Text, der veröffentlicht wird, um die Öffentlichkeit über eine Angelegenheit von öffentlichem Interesse zu informieren - muss als KI-generiert offengelegt werden.
Systeme zur Emotionserkennung oder biometrischen Kategorisierung - sie müssen den betroffenen Personen mitteilen, dass das System läuft.

Gilt nicht für:

Rein interne Nutzung, die nie extern veröffentlicht wird.
Inhalte, die eine echte menschliche Prüfung durchlaufen haben, wobei ein Mensch oder eine Organisation die redaktionelle Verantwortung dafür übernimmt.
Unterstützende Bearbeitung, die den Input nicht wesentlich verändert.
Produktbeschreibungen oder Marketingtexte - die Textpflicht zum „öffentlichen Interesse" erstreckt sich nicht auf Produkt-/Servicekommunikation.
Von Strafverfolgungsbehörden autorisierte Nutzung, mit Schutzvorkehrungen.

Strafe: bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. (Eine eigene, niedrigere Stufe als die 35 Mio. Euro / 7 %, die für verbotene Praktiken nach Artikel 5 vorgesehen sind.)

Maschinenlesbare Kennzeichnung - die technische Wasserzeichen-Ebene, Art. 50(2) - ist eine eigene Deadline: der 2. Dezember 2026, und nur für Systeme, die bereits vor dem 2. August 2026 in Verkehr waren.

3. Der Teil, der nichts damit zu tun hat, wo dein Unternehmen registriert ist

Artikel 2 legt den räumlichen Anwendungsbereich fest. Drei Anknüpfungspunkte; Nicht-EU-Unternehmen müssen nur einen davon auslösen.

Artikel	Wen es erfasst
2(1)(a)	Jeden, der ein KI-System oder GPAI-Modell auf dem EU-Markt in Verkehr bringt - unabhängig davon, wo er niedergelassen ist.
2(1)(b)	Betreiber, die in der EU niedergelassen oder ansässig sind.
2(1)(c)	Anbieter und Betreiber in einem Drittland, wenn der Output des KI-Systems in der EU verwendet wird .

Quelle: Artikel 2, AI Act Service Desk, Europäische Kommission.

Keiner der drei Anknüpfungspunkte nennt Registrierung, Firmensitz oder Nationalität. Sie nennen den Markt und den Output.

Angewandt auf Artikel 50: Die Offenlegungspflicht eines Chatbots oder die Kennzeichnungspflicht eines Deepfakes greift danach, wo die Interaktion stattfindet oder wo der Inhalt konsumiert wird - nicht danach, wo das Unternehmen sitzt, das ihn herausgibt.

So sieht das in der Praxis aus:

Szenario	Erfasst?
Agentur baut einen Chatbot für einen rein US-amerikanischen Kunden, keine EU-Nutzer, per Geoblocking gesperrt	Nein - der Output wird nicht in der EU verwendet
Agentur baut einen Chatbot, der EU- + globale Nutzer bedient	Ja - Art. 50(1) gilt
Creator veröffentlicht ein KI-generiertes Video, das EU-Zuschauer im offenen Netz erreicht, kein Geoblocking	Ja, wenn die EU-Reichweite absehbar und nicht bloß zufällig ist
Unternehmen nutzt KI rein intern, nichts wird veröffentlicht, keine EU-Kunden	Nein
Eine Kreditscoring-API eines Nicht-EU-Fintechs wird von einer EU-Bank aufgerufen, um EU-Antragsteller zu bewerten	Ja - Art. 2(1)(c), Output wird in der EU verwendet

„Absehbar" ist das entscheidende Wort: Die Veröffentlichung im offenen Netz für ein globales Publikum zählt. Ein EU-Nutzer, der den Inhalt zufällig über ein VPN findet, in der Regel nicht.

4. Die Grundlagen zur Orientierung

Vier Risikostufen:

Stufe	Beispiele	Status
Verboten	Social Scoring, unterschwellige Manipulation, ungezieltes Scraping für Gesichtserkennung, biometrische Echtzeit-Identifizierung durch Strafverfolgungsbehörden (enge Ausnahmen), KI-generierte intime Aufnahmen/CSAM	Verboten seit dem 2. Februar 2025 (Verbot für Aufnahmen ab dem 2. Dezember 2026)
Hochrisiko	Recruiting-Tools, Kreditwürdigkeitsprüfung, Bewertung von Bildung/Prüfungen, kritische Infrastruktur, Migrations-/Grenzsysteme	Anhang III: 2. Dezember 2027. Anhang I (in regulierte Produkte eingebettet): 2. August 2028
Begrenztes Risiko / Transparenzrisiko	Chatbots, Deepfakes, KI-generierte Inhalte von öffentlichem Interesse, Emotionserkennung	In Kraft seit dem 2. August 2026 (Art. 50)
Minimales Risiko	Spamfilter, Bestandsprognosen, die meisten verbrauchernahen KI-Funktionen	Keine spezifischen Pflichten

Strafen:

Verstoß	Höchststrafe
Verbotene Praktiken (Art. 5)	35 Mio. Euro oder 7 % des weltweiten Umsatzes
Verstöße gegen die Transparenzpflichten nach Artikel 50	15 Mio. Euro oder 3 % des weltweiten Umsatzes

Für beide Beträge gilt: „je nachdem, welcher höher ist".

Quellen

Europäische Kommission, AI Act Service Desk - Artikel 2: Anwendungsbereich
Europäische Kommission, Digital Strategy - „AI Omnibus enters into force", 27. Juli 2026
Verordnung (EU) 2024/1689 (EU AI Act)
Verordnung (EU) 2026/1744 (Digital Omnibus on AI)