Der Durchsetzungstermin EU AI Act August 2026 ist verstrichen, und die Berichterstattung jener Woche drehte sich vor allem um das Verschobene: die Verlegung der Hochrisiko-Pflichten für Beschäftigungsentscheidungen, Kreditscoring und den Zugang zu öffentlichen Diensten auf Dezember 2027. Diese Verschiebung ist real, deshalb zählt sie für die Planung. Den 2. August wegen dieser Nachricht als ruhiges Datum abzutun, ist jedoch ein Fehler, und er wird korrigiert, sobald eine nationale Aufsichtsbehörde Ihre Organisation erstmals um Dokumentation bittet.
In Kraft getreten sind drei Pflichtenbündel, denen jede Organisation unterliegt, die KI im beruflichen Kontext einsetzt. Erstens die Transparenzpflichten nach Artikel 50. Zweitens das vollständige Bußgeldregime. Drittens die Aufsichtsbefugnisse der nationalen Behörden, koordiniert vom Europäischen KI-Ausschuss.
Im Folgenden erklären wir, was jede davon praktisch bedeutet, klären die Verwirrung um die Verschiebung von Anhang III auf und geben IT-Verantwortlichen einen konkreten Ausgangspunkt.
Was der Termin EU AI Act August 2026 wirklich verändert hat
Die Entscheidung, bestimmte Hochrisiko-Pflichten zu verschieben, wurde weithin als Verschiebung „des AI Act” gemeldet. Diese Darstellung ist allerdings irreführend, weil sich nur eine bestimmte Pflichtenkategorie bewegt hat. Zu verstehen, welche das ist, macht den Unterschied in der Compliance-Planung.
Welche Pflichten auf Dezember 2027 verschoben wurden
Anhang III listet acht Bereiche auf, in denen KI-Systeme als hochriskant gelten: biometrische Identifizierung, Verwaltung kritischer Infrastrukturen, Bildung und Berufsausbildung, Beschäftigung und Arbeitnehmerverwaltung, Zugang zu wesentlichen privaten und öffentlichen Diensten einschließlich Kreditscoring und Versicherungsrisikobewertung, Strafverfolgung, Migrations- und Grenzkontrolle sowie Justizverwaltung und demokratische Prozesse.
Mit dem Digital Omnibus zur KIwurden die Pflichten für diese Systeme auf den 2. Dezember 2027 verlegt. Das betrifft Konformitätsbewertungen nach den Artikeln 9 bis 17, Betreiberpflichten nach Artikel 26 und die sektorspezifischen Anforderungen. Hochrisiko-KI, die in bereits produktsicherheitsrechtlich regulierte Produkte eingebettet ist und unter Anhang I fällt, rückt weiter nach hinten, auf den 2. August 2028. Für die meisten KI-Teams in Finanzinstituten, bei HR-Softwareanbietern und bei Betreibern im öffentlichen Sektor bringt die Verlängerung echte Zeit für den Aufbau konformer Systeme.
Welche Pflichten jetzt gelten
Nicht bewegt hat sich der übrige Teil der Verordnung, weshalb der Termin EU AI Act August 2026 für alle außerhalb der Hochrisiko-Kategorien mit voller Wirkung eingetreten ist.
Bußgelder und Aufsichtsbefugnisse
Die Bußgelder erreichen 35 Millionen Euro oder 7% des weltweiten Jahresumsatzes bei Verstößen im Zusammenhang mit verbotenen KI-Praktiken, 15 Millionen Euro oder 3% des Umsatzes bei den meisten anderen Verstößen und 7,5 Millionen Euro oder 1,5% bei falschen Angaben gegenüber Aufsichtsbehörden. Jeder Mitgliedstaat muss außerdem eine nationale zuständige Behörde benennen, und diese Behörden dürfen nun ermitteln, Dokumentation anfordern und Bußgelder verhängen. Weil die Durchsetzung vom Europäischen KI-Ausschuss koordiniert wird, ist eine einheitliche Behandlung im Binnenmarkt das Ziel, statt siebenundzwanzig getrennter Auslegungen. Der vollständige Rechtstext steht in der Verordnung (EU) 2024/1689 auf EUR-Lex.
Die Transparenzpflichten des EU AI Act August 2026 nach Artikel 50
Artikel 50 ist der Teil der Verordnung, der für die größte Zahl von Organisationen unmittelbar relevant ist, denn er gilt für jeden Anbieter oder Betreiber, der KI-Systeme im beruflichen Kontext innerhalb der EU einsetzt, unabhängig vom Unternehmenssitz.
Wo die Offenlegung meist scheitert
In der Praxis ist das Versäumnis selten Absicht. Der Offenlegungstext wird einmal für den wichtigsten Chatbot geschrieben und wandert dann nie zu den drei kleineren Werkzeugen, die später in Betrieb gingen. Inzwischen veröffentlicht das Marketing generative Inhalte nach einem anderen Zeitplan als das Produktteam, sodass die Kennzeichnungspraxis auseinanderläuft. Eine Frage klärt die Prüfung: Erfüllt jedes KI-System, das mit Nutzern interagiert, sie analysiert oder Inhalte im Namen der Organisation erzeugt, diese Offenlegungspflichten?
Das Problem des KI-Inventars
Die häufigste Compliance-Lücke ist kein technisches Versagen. Sie ist stattdessen ein Inventarversagen, denn die meisten Organisationen haben kein vollständiges, genaues Bild der KI-Systeme, die sie nutzen oder beschaffen.
Drei Orte, an denen KI-Systeme verborgen bleiben
Schatten-KI. Werkzeuge, die einzelne Teams oder Mitarbeitende ohne IT-Genehmigung einführen: Schreibassistenten, Bildgeneratoren, Code-Vervollständigung, Software für Meeting-Zusammenfassungen. Diese Werkzeuge können mit Nutzern interagieren, personenbezogene Daten verarbeiten oder öffentliche Inhalte erzeugen. Nach der Verordnung ist der Betreiber die Organisation, weshalb die Verantwortung nicht bei der Person liegt, die das Werkzeug installiert hat.
KI in Produkten Dritter. Unternehmenssoftware bringt immer häufiger KI-Funktionen von Haus aus mit. Denken Sie an CRM-Plattformen mit KI-generierter Ansprache, HR-Werkzeuge mit KI-gestützter Vorauswahl, Dokumentenmanagement mit KI-Klassifizierung. Obwohl sie niemand als KI-Systeme beschafft hat, sind sie genau das, und die Organisationen, die sie betreiben, sind Betreiber mit Offenlegungs- und Governance-Pflichten.
Generative KI im Content-Stack Marketingtexte, Produktbeschreibungen, Social-Media-Beiträge und Kundenkommunikation aus generativen Werkzeugen erzeugen Kennzeichnungspflichten. Viele Organisationen haben diese Werkzeuge im Eiltempo eingeführt, ohne vorher einheitliche Offenlegungspraktiken festzulegen.
Da die Verordnung ein Inventar der KI-Systeme als Grundlage jedes Compliance-Programms behandelt, ist dessen Aufbau der erste praktische Schritt für alle IT-Verantwortlichen, die noch nicht begonnen haben.
Wie auditbereite KI aus technischer Sicht aussieht
Dokumentationspflichten werden meist als rechtliche Verpflichtung beschrieben. Genauer gesagt sind sie eine technische Anforderung mit rechtlichen Folgen.
Organisationen, die KI-Systeme von Anfang an mit Governance im Blick gebaut haben, besitzen bereits fast alles, was die Verordnung verlangt. Compliance nachträglich einzuziehen ist die größere Aufgabe, und der Unterschied zwischen beiden Wegen zeigt sich in der Architektur.
Vier Merkmale auditbereiter KI-Systeme
Die Dokumentationspflichten des EU AI Act August 2026 in der Praxis
Nichts davon ist exotisch. Es sind Versionskontrolle, Verantwortlichkeit und Nachvollziehbarkeit, angewandt auf Modelle statt auf Code, weshalb Teams mit regulierter Softwarelieferung die meisten Gewohnheiten schon haben. Was ihnen typischerweise fehlt, ist ein einziger Ort, an dem Klassifizierung, Dokumentation und Freigabe zusammenliegen. Genau diese Lücke macht aus einer Nachweisanfrage von zwei Wochen eine von zwei Monaten.
EU AI Act August 2026: eine praktische Checkliste für IT-Verantwortliche
Für IT-Verantwortliche, die ihre Position prüfen, sind fünf Fragen ein guter Ausgangspunkt.
Was das für Organisationen bedeutet, die KI in regulierten Sektoren entwickeln
Für Organisationen, die KI-Systeme für europäische Kunden in Finanzdienstleistungen, Energie, Gesundheitswesen und öffentlicher Verwaltung bauen, hat sich das Beschaffungsgespräch bereits verschoben.
Compliance-Dokumentation als kommerzieller Vorteil
Einkäufer in regulierten Sektoren fordern Compliance-Dokumentation bereits während der Anbieterauswahl. Ein Anbieter, der Konformität nachweisen kann, mit dokumentierten Risikoklassifizierungen, technischer Dokumentation und klaren Mechanismen menschlicher Aufsicht, steht kommerziell anders da als einer, der das nicht kann. Dasselbe Muster zeigte sich bei eIDAS 2.0 und davor bei DORA. Folglich ist Compliance-Dokumentation kein juristisches Artefakt mehr, sondern ein Vertriebsargument.
KI-Systeme mit Compliance by Design statt mit nachgerüsteter Compliance zu bauen, ist daher der technisch fundierte Weg. Und zunehmend auch der kommerzielle.
Bei Caixa Mágica bauen wir seit Jahren KI-Systeme für regulierte Sektoren in Portugal und Europa. Die Governance-Schicht, die die Pflichten des EU AI Act August 2026 nun verlangen, mit dokumentierten Risikoklassifizierungen, Mechanismen menschlicher Aufsicht und prüfbaren Ergebnissen, ist die Arbeitsweise unseres AI Lab von Anfang an. Wo die Nachweislast auf der Qualitätssicherung liegt und nicht auf dem Modell selbst, löst Qualigentic dasselbe Problem für das Testen: signierte Nachweise, nachvollziehbar von der Anforderung bis zum Ausführungsprotokoll, erzeugt innerhalb des eigenen Perimeters der Institution. KI-Labor has always worked. Where the evidence burden falls on quality assurance rather than on the model itself, Qualigentic handles the same problem for testing: signed records, traceable from requirement to execution, produced inside the institution's own perimeter.
Häufig gestellte Fragen
Dates and deadlines
Was ist der Durchsetzungstermin EU AI Act August 2026?
Welche Pflichten wurden auf 2027 verschoben?
Anwendungsbereich und Bußgelder
Was verlangt Artikel 50 zur Transparenz?
Welche Bußgelder sieht der EU AI Act vor?
Die nächsten Schritte
Was sollten IT-Verantwortliche unmittelbar nach dem Termin EU AI Act August 2026 tun?
Gilt der EU AI Act für Unternehmen außerhalb der EU?
