EU AI Act seit 02.08.2026 — was durchgesetzt wird

Compliance · 10 min · Stand: 21. August 2026

📋 Überblick

Seit dem 2. August 2026 läuft die Anwendung der meisten Bestimmungen des EU AI Act — inklusive Marktaufsicht und Strafrahmen. Seit diesem Tag können Behörden Strafen verhängen — bis zu EUR 35 Mio. oder 7 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist). Der Digital Omnibus vom Juni 2026 hat die Pflichten für Hochrisiko-KI verschoben (eigenständige Systeme auf 02.12.2027, eingebettete auf 02.08.2028) — an Art. 4 (KI-Kompetenz, gilt seit 02.02.2025) und Art. 5 (Verbote) hat er nichts geändert. Wer KI im Unternehmen einsetzt, braucht weiterhin nachweisbare Schulung, ein KI-Inventar und einen dokumentierten Prozess für Risikoeinschätzung.

Hard Date: 2. August 2026 — allgemeiner Anwendungsbeginn nach Art. 113 der Verordnung (EU) 2024/1689 für die meisten Bestimmungen (Kapitel I/II bereits seit 02.02.2025, einzelne weitere Bestimmungen seit 02.08.2025). Der Digital Omnibus (EP-Billigung 16.06.2026) hat gezielt die Hochrisiko-Fristen und die Kennzeichnungspflicht verschoben — nicht aber Art. 4, Art. 5 oder den Start der Marktaufsicht.

Was hat sich am 2. August 2026 konkret geändert?

Bis dahin galten viele Teile des EU AI Act bereits — aber ohne aktiven Strafrahmen. Ab dem Enforcement-Datum greifen drei Blöcke parallel:

1. Governance-Strukturen werden operativ

Nationale Aufsichtsbehörden (Market Surveillance Authorities) müssen benannt sein
Notified Bodies für Konformitätsbewertung von High-Risk-Systemen sind akkreditiert
Das European AI Office (Brüssel) übernimmt die Aufsicht über General-Purpose AI
EU AI Board und Advisory Forum sind formell gestartet

2. GPAI-Pflichten (Art. 51-55) gelten verbindlich

Anbieter von General-Purpose AI Modellen (z.B. GPT, Llama, Mistral) müssen technische Dokumentation vorhalten
Modelle mit systemischem Risiko (FLOPS-Schwelle 10^25) brauchen zusätzliche Risikobewertung + Cybersicherheit-Nachweise
Transparenzpflicht: Trainings-Daten-Zusammenfassung muss veröffentlicht werden
Copyright-Compliance gegenüber EU-Urheberrecht (Text-und-Data-Mining-Opt-Out)

3. Art. 4 (KI-Kompetenz) wird behördlich durchsetzbar

Art. 4 (KI-Kompetenz) gilt rechtlich seit 02.02.2025 — bislang ohne aktive Aufsicht
Seit 02.08.2026: Die nationalen Marktaufsichtsbehörden können Art.-4-Verstöße mit Sanktionen und Maßnahmen nach nationalem Recht belegen (Art. 99 Abs. 1); Art. 99 Abs. 4 sieht für Art. 4 keinen eigenen EU-Bußgeldtatbestand vor
Art. 5 (Verbote) ist durchsetzbar mit bis zu EUR 35 Mio. oder 7% Umsatz (Art. 99 Abs. 3)

Digital Omnibus: Was seit dem 02.08.2026 gilt — und was der Omnibus verschoben hat

Das Europäische Parlament hat am 16. Juni 2026 die Änderungen aus dem „Digital Omnibus on AI“ in erster Lesung gebilligt (423/57/174). Damit verschieben sich gegenüber dem ursprünglichen Zeitplan:

Eigenständige Hochrisiko-KI (Anhang III): Pflichten ab 02.12.2027 statt 02.08.2026
Eingebettete Hochrisiko-KI (regulierte Produkte, Anhang I): Pflichten ab 02.08.2028 statt 02.08.2027
Maschinenlesbare Kennzeichnung KI-generierter Inhalte: für vor dem 02.08.2026 in Verkehr gebrachte Systeme bis 02.12.2026 verschoben
Neu: Verbot von „Nudifier“-Apps und KI-generiertem Missbrauchsmaterial — Übergangsfrist bis 02.12.2026

Rechtsgrundlage: Verordnung (EU) 2026/1744 vom 8. Juli 2026, veröffentlicht im EU-Amtsblatt am 24. Juli 2026 (ABl. L, 2026/1744; CELEX 32026R1744), in Kraft seit 27. Juli 2026. Geprüft an EUR-Lex am 21.08.2026.

Wer ist betroffen?

Rolle	Was seit 02.08.2026 verpflichtend ist
KMU als Deployer	Nachweisbare KI-Kompetenz für alle Mitarbeitenden, die mit KI arbeiten. KI-Inventar pflichtig.
KMU als Provider	Wer eigene KI-Funktionen in Produkten anbietet, braucht Risiko-Klassifizierung pro System.
GPAI-Anbieter	Volle technische Dokumentation, Copyright-Statement, Trainingsdaten-Summary.
Behörden / öffentliche Stellen	Zusätzlich: Fundamental-Rights-Impact-Assessment (Art. 27) für High-Risk-Systeme.

6 Schritte für KMUs, die noch offen sind

1. KI-Inventar erstellen
Welche KI-Tools werden eingesetzt? ChatGPT, Copilot, KI-Buchhaltung, KI-Übersetzer, Chatbot, Recruiting-KI — alles erfassen mit Hersteller, Zweck, Datenfluss.
2. Risikoklasse pro System bestimmen
Verboten (Art. 5), High-Risk (Anhang III), Limited-Risk (Transparenzpflicht), Minimal-Risk. Vorlage: EU AI Act Risikoklassen.
3. KI-Kompetenz-Schulung dokumentieren
Wer wurde wann zu welchem Thema geschult? Schulungsprotokolle, Teilnahmebestätigungen, jährliche Auffrischung.
4. Transparenz-Pflichten implementieren
Chatbots, KI-generierte Inhalte (Bilder, Texte, Videos) sind kennzeichnungspflichtig. Disclaimer-Texte vorbereiten.
5. DPIA / Risikobewertung pro High-Risk-System
Wenn personenbezogene Daten verarbeitet werden: Datenschutz-Folgenabschätzung. Bei High-Risk-KI zusätzlich KI-spezifische Risikobewertung.
6. Menschliche Aufsicht sicherstellen
Art. 14 verlangt für High-Risk: KI-Entscheidungen müssen von Menschen überprüft werden können. Eskalationspfade definieren.

Timeline bis Enforcement

Datum	Status
02.02.2025	Art. 4 (KI-Kompetenz) + Art. 5 (Verbote) bereits in Kraft — ohne Strafdurchsetzung
02.08.2025	Governance-Regeln + GPAI-Pflichten gelten
02.08.2026	ENFORCEMENT-START — Marktaufsicht + Strafrahmen aktiv, die meisten Bestimmungen gelten (Hochrisiko-Pflichten per Omnibus verschoben)
02.12.2026	Omnibus: Kennzeichnungspflicht für Alt-Systeme + Ende Übergangsfrist Nudifier-Verbot
02.12.2027	Omnibus: Pflichten für eigenständige Hochrisiko-KI (Anhang III)
02.08.2028	Omnibus: Hochrisiko-KI in regulierten Produkten (Anhang I)

Faustregel für KMUs: Wenn dein Unternehmen ChatGPT, Copilot oder vergleichbare KI-Tools im Arbeitsalltag nutzt, brauchst du bis zum 02.08.2026 mindestens: (a) ein dokumentiertes KI-Inventar, (b) Schulungsnachweise für alle Mitarbeitenden, (c) eine schriftliche Risikoeinschätzung pro System.

Häufige Missverständnisse

„Wir sind zu klein, das gilt nicht für uns."
Falsch. Es gibt keine KMU-Ausnahme von Art. 4. Reduzierte Strafhöchstbeträge ja, aber die Pflicht selbst gilt unabhängig von Unternehmensgröße.

„Wir nutzen nur ChatGPT, das ist doch kein KI-System nach AI Act."
Falsch. Sobald du ChatGPT geschäftlich einsetzt, bist du Deployer eines KI-Systems im Sinne der Verordnung — Art. 4 greift.

„Ein Online-Kurs reicht als Nachweis."
Nur teilweise. Der EU AI Act verlangt Schulung passend zur Rolle und zum Kontext — ein generischer 30-min-Kurs ist meist zu dünn. Buchhaltung, HR und Entwicklung brauchen unterschiedliche Inhalte.

„Erst wenn eine Behörde fragt, müssen wir reagieren."
Riskant. Bei einem Datenschutz-Vorfall mit KI-Beteiligung würde fehlende Dokumentation als verschärfender Umstand gewertet — auch ohne anlasslose Prüfung.

Was AI Engineering empfiehlt

Aus Sicht des AI Engineering Wiki ist die Reihenfolge wichtig: Erst das KI-Inventar, dann die Schulung, dann die Risikoeinschätzung. Wer mit der Risikobewertung beginnt, ohne zu wissen welche Systeme im Einsatz sind, dokumentiert auf Verdacht und verbringt mehr Zeit als nötig. Self-hosted Open-Source-Modelle (z.B. via Ollama) reduzieren die DSGVO-Last erheblich und vereinfachen die Risikobewertung — gleichzeitig bleibt die Pflicht zur KI-Kompetenz-Schulung bestehen, unabhängig vom Deployment-Ort.

Weiterführend in unserem Wiki

Weitere Inhalte auf den AI Engineering Plattformen

• Hub: Kuratierte Skills und MCP Server für AI-Compliance-Workflows — hub.ai-engineering.at
• YouTube: Video-Erklärungen zu EU AI Act und Compliance — @AIEngineering-at
• LinkedIn: Updates zu Compliance-Deadlines — Jörg Fuchs auf LinkedIn
• GitHub: Open-Source-Vorlagen und Audit-Templates — github.com/AI-Engineering-at

Quellen

Weiter im Lernpfad

Der Lernpfad bringt diese Artikel in eine Reihenfolge, und der Hub führt die Bausteine, die wir im eigenen Betrieb geprüft haben.

Zum Lernpfad Zum Hub

Warum AI Engineering

Lokal und selbst gehostet
Dokumentiert und prüfbar
Aus eigenem Betrieb
Made in Austria

Kein Ersatz für Rechtsberatung.