Was Unternehmen jetzt konkret prüfen und umsetzen müssen
Seit zwei Jahren steht der 2. August 2026 in den Compliance-Kalendern als der Tag, an dem der EU AI-Act in voller Breite scharf gestellt wird. Viele Unternehmen haben sich entsprechend vorbereitet, mit Blick auf Hochrisikoklassifizierung, Konformitätsbewertung und Dokumentationspflichten für Systeme in Personalwesen, Kreditvergabe oder Gesundheitsversorgung.
Diese Vorbereitung war richtig, sie beruhte auf einem Zwischenstand, der sich allerdings in diesem Jahr verändert hat. Mit dem sogenannten Digital Omnibus on AI hat die EU im Mai 2026 eine politische Einigung erzielt, die die Fristen für Hochrisiko-KI-Systeme deutlich nach hinten verschiebt. Dennoch bleibt der 2. August 2026 ein relevanter Stichtag.
Was am 2. August für alle Unternehmen gilt
Am 2. August 2026 werden die allgemeinen Transparenzpflichten nach Artikel 50 verbindlich, für jedes KI-System, das auf dem EU-Markt bereitgestellt wird, unabhängig von Branche oder Unternehmensgröße. Das betrifft drei Bereiche:
- Interaktion: Systeme, die direkt mit Menschen interagieren, etwa Chatbots im Kundenservice, müssen offenlegen, dass keine natürliche Person antwortet, sofern das nicht ohnehin offensichtlich ist.
- Manipulation: Deepfakes und andere manipulierte Audio-, Bild- oder Videoinhalte benötigen eine Kennzeichnung als künstlich erzeugt.
- Emotion: Systeme zur Emotionserkennung oder biometrischen Kategorisierung müssen betroffene Personen darüber informieren, dass sie einem solchen System ausgesetzt sind.
Wer sein KI-System bereits vor dem Stichtag auf dem Markt hatte, bekommt für die Nachrüstung Zeit bis zum 2. Dezember 2026. Für neu platzierte Systeme gilt die Pflicht ab sofort.
Ebenfalls branchenübergreifend gilt: Jedes Unternehmen muss seine KI-Systeme gegen Anhang III prüfen und das Ergebnis dokumentieren, auch wenn die Antwort „kein Hochrisiko“ lautet. Diese Begründungspflicht aus Artikel 6 Absatz 3 wird in der Praxis oft unterschätzt, dazu unten mehr.
Was dagegen verschoben wurde: Eigenständige Hochrisiko-KI-Systeme nach Anhang III, etwa im Personalwesen, in der Bildung oder bei der Kreditvergabe, müssen jetzt erst bis zum 2. Dezember 2027 vollständig konform sein. Für Hochrisiko-Systeme, die in bereits regulierte Produkte eingebettet sind, also insbesondere Medizinprodukte und Maschinen nach Anhang I, gilt eine noch längere Frist bis zum 2. August 2028.
Rechtlich verbindlich ist das allerdings erst mit der Veröffentlichung im EU-Amtsblatt. Das Europäische Parlament hat der Reform am 16. Juni 2026 zugestimmt, der Rat der EU am 29. Juni 2026 endgültig, der finale Rechtsakt wurde am 8. Juli 2026 unterzeichnet. Damit die neuen Fristen rechtzeitig vor dem 2. August 2026 greifen, muss die Veröffentlichung im Amtsblatt noch in diesem Monat erfolgen. Bis dahin gilt formal weiterhin der ursprüngliche Zeitplan.
Was sich je nach Branche unterscheidet
Die Grundpflichten sind für alle gleich, die konkreten Konsequenzen und Fristen unterscheiden sich aber deutlich nach Sektor. Die folgende Übersicht ordnet beispielhaft ein, was für unterschiedliche Branchen gilt.
| Branche | Beispiele, was automatisch als Hochrisiko gilt | Zuständige Aufsicht | Besonderheit |
| Finanzdienstleistungen und Versicherungen | Kreditscoring, Bonitätsbewertung, versicherungsmathematische Risikobewertung | BaFin | Aufsicht wird in bestehende Prüfpraxis integriert, Nähe zu MaRisk und DORA |
| Gesundheitswesen | KI als Medizinprodukt (SaMD, Klassen IIa bis III) automatisch über MDR/IVDR; zusätzlich Entscheidungen über Zugang zu Gesundheitsleistungen | Zwei-Ebenen-Modell: BfArM als fachlich-sektorale Behörde für die medizinprodukterechtliche Bewertung nach MDR/IVDR, BNetzA als übergeordnete KI-Aufsichts- und Koordinationsstelle nach KI-MIG | Aufbewahrungspflichten kollidieren: AI-Act verlangt 6 Monate Logging, § 630f BGB verlangt 10 Jahre Dokumentation |
| Öffentlicher Sektor | Entscheidungen über Sozialleistungen, Migration und Zugang zu öffentlichen Diensten | Bundesnetzagentur (koordinierend) | Frist bis 2. Dezember 2027 (Anhang III); für Bestandssysteme wird in einzelnen Quellen eine noch längere Übergangsfrist genannt, aktuell nicht einheitlich bestätigt |
| Industrie | Nur KI-Sicherheitsbauteile in Maschinen nach der Maschinenverordnung (EU) 2023/1230 | Marktüberwachungsbehörden der Länder | Frist bis 2. August 2028 (Anhang I); Großteil industrieller KI (Wartung, Qualitätskontrolle, Produktionsplanung) bleibt minimales Risiko, ohne Zusatzpflichten |
Zwei Punkte in der Tabelle sind bewusst vorsichtig formuliert: Für Hochrisiko-Systeme, die in Anhang-I-Produkte eingebettet sind, also insbesondere Medizinprodukte und Maschinen, kursieren in aktuellen Quellen zwei unterschiedliche Enddaten für die verlängerte Übergangsfrist, August 2027 und August 2028. Und die Frist für Bestandssysteme im öffentlichen Sektor wird nicht durchgängig gleich beschrieben. Beide Punkte sollten Unternehmen gemeinsam mit ihrem Rechtsberater final absichern, bevor sie daraus einen festen Fahrplan ableiten.
Wer kontrolliert und was eine fehlende Dokumentation konkret bedeutet
Mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG, hat der Bundestag im Juni 2026 die nationale Zuständigkeit geregelt. Zentrale koordinierende Aufsichtsbehörde wird die Bundesnetzagentur; für Finanzdienstleister und Versicherungen bleibt die BaFin sektoral zuständig.
Die Aufsichtsbehörden können von Unternehmen technische Dokumentation, Trainingsdaten und Konformitätsnachweise einfordern und bei Mängeln Abhilfemaßnahmen anordnen, bis hin zur Rücknahme eines Systems vom Markt. Die Bußgeldrahmen sind gestaffelt:
- bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen KI-Praktiken,
- bis zu 15 Millionen Euro oder 3 Prozent bei Verstößen gegen Hochrisiko-Anforderungen
- und bis zu 7,5 Millionen Euro oder 1 Prozent bei falschen oder unvollständigen Angaben gegenüber Behörden.
Der letzte Punkt ist der, den Unternehmen am häufigsten unterschätzen. Die Grundpflicht aus Artikel 6 Absatz 3 ist zunächst nur Papierkram: eine dokumentierte Begründung, warum ein System kein Hochrisiko-System ist.
Wenn ein Unternehmen diese Begründung bei einer Prüfung nicht vorlegen kann, wird daraus kein kleines Formfehler-Problem, sondern zweierlei zugleich: Erstens gilt die fehlende Mitwirkung gegenüber der Behörde als eigener Bußgeldtatbestand, unabhängig davon, ob das System inhaltlich überhaupt problematisch war. Zweitens kann die Behörde bis zum Nachweis der Konformität vorsorglich Abhilfemaßnahmen anordnen, im Extremfall die Rücknahme des Systems vom Markt. Aus einer im Kern harmlosen Lücke, einer fehlenden Randnotiz zur Risikoeinstufung, werden so im Ernstfall ein Bußgeld und ein Betriebsstopp für das KI-System. Genau das steckt hinter dem Satz, dass fehlende Dokumentation schlechter dasteht, als es die Grundpflicht selbst vermuten lässt.
Kontrollen erfolgen dabei nicht flächendeckend, sondern stichprobenartig oder anlassbezogen, etwa nach Beschwerden. Das senkt die gefühlte Dringlichkeit, ändert aber nichts am Risiko im Einzelfall.
Drei Hebel für den Einstieg
1. Inventur und Risikoklassifizierung durchführen: KI-Systeme inventarisieren und nach Risikoklasse einordnen, branchenspezifisch entlang der eigenen Anhang-III- und gegebenenfalls Anhang-I-Kategorien, nicht nach Bauchgefühl.
2. Transparenzpflichten ernst nehmen: Die Transparenzpflichten aus Artikel 50 nicht unterschätzen, nur weil sie im Schatten der größeren Hochrisiko-Debatte stehen. Sie gelten für praktisch jedes Unternehmen, unabhängig von Branche oder Größe.
3. KI-Governance aufbauen: Die gewonnene Zeit bei den Hochrisiko-Pflichten aktiv nutzen, statt sie als Entwarnung misszuverstehen. Wer jetzt beginnt, Governance-Strukturen und die Dokumentation der eigenen Risikoeinstufung aufzubauen, kommt ohne Zeitdruck ans Ziel, und nicht erst, wenn die Aufsichtsbehörde das erste Mal nachfragt.
Fazit
Der 2. August 2026 ist kein Tag, an dem der EU AI-Act plötzlich in voller Schärfe wirkt, aber auch kein Tag zum Zurücklehnen. Transparenzpflichten und die Dokumentationspflicht für Risikoeinstufungen werden real, die Aufsicht bekommt eine Adresse, und die Bußgeldrahmen stehen. Wie stark ein Unternehmen betroffen ist, hängt stark von der Branche ab, ein pauschaler Blick auf den Stichtag reicht nicht mehr aus.
Consileon begleitet Unternehmen aus Finanzdienstleistung, Versicherung, Healthcare und Public Sector dabei, ihre KI-Systeme branchenspezifisch regulatorisch einzuordnen und praxistaugliche Governance-Strukturen aufzubauen, die auch der nächsten Gesetzesanpassung standhalten. Sprechen Sie mit uns, wenn Sie wissen möchten, wo Ihr Unternehmen heute steht und was bis zum nächsten Stichtag wirklich zu tun ist.
Abkürzungsverzeichnis
SadM: Software as a Medical Device
MDR: Medical Device Regulation
IVDR: In-Vitro Device Regulation
BfArM: Bundesinstitut für Arzneimittel und Medizinprodukte
BNetzA: Bundesnetzagentur
KI-MIG: KI-Marktüberwachungs-und-Innovationsförderungsgesetz
