EU AI Act 2026: Welche Pflichten gelten jetzt wirklich? Fristen-Tracker und Checkliste für KMU

Der EU AI Act ist 2026 keine Zukunftsmusik mehr, sondern geltendes Recht mit Zähnen. Seit dem 2. August 2026 läuft die Vollanwendung und die aktive Durchsetzung durch nationale Behörden. Wer wissen will, welche EU AI Act 2026 Pflichten für sein Unternehmen gelten und welche Checkliste wirklich abzuarbeiten ist, findet hier den aktuellen Stand – inklusive der wichtigen Korrekturen durch den Digital Omnibus vom 7. Mai 2026, den die meisten Ratgeber noch nicht abbilden. Dieser Artikel ist auf den Mittelstand zugeschnitten: praktisch, ohne Panikmache, mit konkreten Schritten statt Beratungsprosa.

Auf einen Blick

• Vollanwendung seit 2. August 2026: Alle Artikel des EU AI Act gelten, die Durchsetzung hat begonnen. In Deutschland koordiniert die Bundesnetzagentur über das neue KoKIVO.
• Digital Omnibus (7. Mai 2026) hat Fristen verschoben: Hochrisiko-Pflichten nach Annex III gelten erst ab 2. Dezember 2027, in regulierten Produkten (Annex I) ab 2. August 2028. Transparenzpflichten nach Art. 50 ab 2. Dezember 2026.
• Bereits in Kraft seit Februar 2025: Die acht verbotenen KI-Praktiken (Art. 5) und die KI-Kompetenzpflicht (Art. 4).
• Die meisten KMU sind Betreiber, nicht Anbieter: Wer ChatGPT oder Copilot nutzt, hat deutlich schlankere Pflichten als die Modellhersteller.
• Bußgelder bis 35 Mio. € oder 7 % Jahresumsatz – für KMU gilt jeweils der niedrigere Betrag. Dazu kommt seit dem OLG-Hamm-Urteil vom 1. Juni 2026 zivilrechtliche Haftung für Chatbot-Fehler.

Was der EU AI Act ist – und warum er jetzt relevant wird

Der EU AI Act (Verordnung (EU) 2024/1689) ist die weltweit erste umfassende Regulierung künstlicher Intelligenz. Er trat am 1. August 2024 in Kraft und folgt einem gestaffelten Zeitplan: Die 24-monatige Hauptübergangsphase endete am 2. August 2026. Seither gelten praktisch alle Vorschriften, und die nationalen Marktüberwachungsbehörden dürfen durchgreifen.

Wichtig für die Einordnung: Der AI Act ist eine Verordnung, kein Richtlinienrecht. Er gilt unmittelbar in allen EU-Mitgliedstaaten, ohne dass ein nationales Umsetzungsgesetz erforderlich wäre. Deutschland regelt mit dem KI-MIG lediglich die Zuständigkeiten und die Marktüberwachung. Der Geltungsbereich ist außerdem extraterritorial: Auch Anbieter aus den USA oder der Schweiz fallen darunter, sobald ihre KI-Systeme in der EU genutzt werden.

Für KMU heißt das konkret: Sie kommen am Thema nicht vorbei, sobald Sie KI einsetzen – und das tun laut aktuellen Erhebungen bereits 56 % der deutschen Unternehmen über Tools wie ChatGPT oder Microsoft Copilot. Gleichzeitig haben erst 27 % ein dokumentiertes Schulungskonzept aufgesetzt. Dieses Compliance-Gap ist die größte Risikoquelle.

Die vier Risikoklassen einfach erklärt – wo fällt Ihr Unternehmen rein?

Der AI Act folgt einem risikobasierten Ansatz. Je höher das Risiko für Grundrechte und Sicherheit, desto strenger die Pflichten. Diese Risikoklassen des AI Act einfach erklärt:

Minimales Risiko

Die große Mehrheit klassischer Software fällt hierunter: Spamfilter, Produktempfehlungen, einfache Sortierlogik. Hier verlangt der AI Act keine spezifischen Pflichten. Freiwillige Verhaltenskodizes sind möglich, aber nicht erzwingbar.

Begrenztes Risiko – hier sitzt der Mittelstand

Die meisten KMU landen in dieser Klasse. Wer einen Website-Chatbot betreibt, KI-Texte oder KI-Bilder im Marketing erzeugt oder ChatGPT im Tagesgeschäft nutzt, fällt unter die Transparenzpflichten des Art. 50. Die Pflichten sind überschaubar, aber real – und sie betreffen praktisch jedes Unternehmen, das KI sichtbar einsetzt.

Hohes Risiko (Annex III) – HR-KI, Kreditscoring, Bildungs-KI

Hochrisiko-Systeme nach Anhang III greifen tief in Grundrechte ein. KMU-relevant sind vor allem: KI zur Bewerbungsselektion und Leistungsbewertung im Personalwesen, KI-gestütztes Kreditscoring und KI zur Leistungsbewertung in Bildungseinrichtungen. Wer ein solches System anbietet oder einsetzt, muss ein Risikomanagementsystem (Art. 9), Datenqualitätsanforderungen (Art. 10), technische Dokumentation (Art. 11), Protokollierung (Art. 12) und je nach Rolle ein Qualitätsmanagementsystem (Art. 17) sowie eine Konformitätsbewertung (Art. 43) erfüllen. Diese Pflichten greifen dank Digital Omnibus erst ab dem 2. Dezember 2027.

Verbotene KI (Art. 5) – seit Februar 2025 illegal

Acht Praktiken sind seit dem 2. Februar 2025 vollständig verboten, darunter unterschwellige Manipulation, Social Scoring durch Behörden, Predictive Policing per Profiling, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum. Der Digital Omnibus hat zwei explizite Verbote ergänzt: Nudification-Apps (nicht-einvernehmliche sexualisierte Inhalte aus realen Bildern) und KI-Systeme zur Erzeugung von Darstellungen sexuellen Kindesmissbrauchs (CSAM).

EU AI Act Fristen-Tracker 2026 2027: Was gilt wann?

Der wichtigste Mehrwert dieses Artikels: ein Fristen-Tracker auf aktuellem Stand. Viele Ratgeber zeigen noch die veralteten Daten von vor der Digital-Omnibus-Einigung. Hier die korrekten EU AI Act Fristen 2026 2027:

Bereits in Kraft (seit Februar 2025)

Die KI-Kompetenzpflicht (Art. 4) und die verbotenen Praktiken (Art. 5) gelten seit dem 2. Februar 2025. Die Durchsetzung durch Behörden setzt jedoch erst ab August 2026 ein. Wer also bis jetzt kein Schulungskonzept hat, sollte spätestens jetzt nacharbeiten.

Seit August 2025: GPAI-Pflichten

Anbieter großer Allzweckmodelle (GPAI) unterliegen seit dem 2. August 2025 eigenen Pflichten nach Art. 51 ff. Das betrifft OpenAI, Google und Anthropic, nicht den durchschnittlichen Mittelständler. Die aktive Durchsetzung durch das EU AI Office läuft seit August 2026; der finale GPAI Code of Practice ist in Kraft.

Ab 2. Dezember 2026: Transparenzpflichten Art. 50

Die Transparenzpflicht, die ursprünglich für August 2026 vorgesehen war, wurde durch den Digital Omnibus um vier Monate auf den 2. Dezember 2026 verschoben. Bestehende Systeme am Markt erhalten dieselbe Übergangsfrist für die maschinenlesbare Markierung. Wer also noch nicht alle Hinweistexte gesetzt hat, hat ein kurzes, aber reales Zeitfenster.

Ab 2. Dezember 2027 und 2. August 2028: Hochrisiko

Die Hochrisiko-Pflichten für eigenständige Annex-III-Systeme greifen ab dem 2. Dezember 2027, für Hochrisiko-KI in regulierten Produkten (Annex I) ab dem 2. August 2028. Diese Verschiebung verschafft Unternehmen mit HR- oder Scoring-KI mehr Vorlaufzeit zum Aufbau der Governance.

Das Digital Omnibus Update (7. Mai 2026) – was hat sich geändert?

Rat und Parlament haben sich am 7. Mai 2026 auf gezielte Vereinfachungen geeinigt. Die formale Verabschiedung wurde noch vor August 2026 erwartet. Die Kernpunkte:

• Annex-III-Hochrisiko verschoben von ursprünglich 2. August 2026 auf 2. Dezember 2027.
• Annex-I-Hochrisiko (regulierte Produkte) verschoben auf 2. August 2028.
• Transparenzpflichten Art. 50 verschoben auf 2. Dezember 2026 (vier Monate mehr).
• Errichtung regulatorischer Sandboxes (Art. 57) verschoben auf 2. August 2027.
• Neue Verbote: Nudification-Apps und CSAM-erzeugende KI.
• KMU-Erleichterungen: vereinfachte Dokumentationsvorlagen, verhältnismäßige Qualitätsmanagement-Anforderungen, prioritärer Sandbox-Zugang und abgestufte Bußgeldobergrenzen. Neu: Diese Erleichterungen gelten auch für Small Mid-Caps (SMCs), nicht nur klassische KMU.

Wichtig: Der Digital-Omnibus-Entwurf sah außerdem vor, die KI-Kompetenzpflicht aus Art. 4 zu einer Empfehlung herabzustufen. Die formale Verabschiedung dieser Änderung stand zum Recherchezeitpunkt (Juni 2026) noch aus. Behandeln Sie Art. 4 daher weiterhin als geltende Pflicht – eine Abstufung ist angekündigt, aber nicht in Kraft. Unverändert bleiben außerdem die Verbote nach Art. 5, die GPAI-Pflichten und die Bußgeldstaffeln.

Welche Pflichten gelten ab 2026 für ALLE Unternehmen?

Unabhängig von der Risikoklasse gibt es drei Bereiche, die praktisch jedes KMU betreffen.

Transparenzpflicht Art. 50 – Chatbot kennzeichnen, Deepfakes markieren

Art. 50 verlangt vier Kernpflichten: erstens den Chatbot-Hinweis (Nutzer müssen erkennen, dass sie mit KI sprechen), zweitens die Kennzeichnung KI-generierter Bilder, Videos und Audios, drittens die klare Markierung von Deepfakes und viertens maschinenlesbare Wasserzeichen bei synthetischen Inhalten (letzteres primär für GPAI-Anbieter). Für 99 % der KMU, die KI sichtbar einsetzen, bedeutet das praktisch: Website-Chatbot als KI ausweisen, KI-Marketingbilder kennzeichnen, Deepfakes markieren. Verstöße können bis zu 15 Mio. € oder 3 % des Jahresumsatzes kosten.

KI-Kompetenz Art. 4 – Schulungen dokumentieren

Seit dem 2. Februar 2025 müssen Unternehmen, die KI nutzen oder bereitstellen, „nach besten Kräften“ für ausreichende KI-Kompetenz ihrer Mitarbeitenden sorgen. Es ist kein Einheitszertifikat gefordert, wohl aber ein dokumentiertes, risikoadäquates Schulungskonzept. Wie Sie das praktisch aufsetzen, zeigen wir im Detail im Leitfaden EU AI Act Artikel 4: KI-Schulungspflicht praktisch umsetzen.

KI-Inventur – alle Systeme erfassen und klassifizieren

Bevor Sie irgendeine Pflicht erfüllen können, müssen Sie wissen, welche KI im Haus ist. Schatten-KI – inoffiziell genutzte Tools – ist das größte unkalkulierte Risiko. Die Inventur ist die Grundlage für alles Weitere.

Die KMU-Checkliste: 7 Schritte zur AI-Act-Compliance

Diese Checkliste bringt Ihr Unternehmen strukturiert auf Kurs. Arbeiten Sie sie der Reihe nach ab.

Schritt 1 – KI-Inventur

Erfassen Sie jedes Tool: Name, Anbieter, Einsatzzweck, verarbeitete Daten, Datenstandort. Beziehen Sie Browser-Plugins und inoffiziell genutzte Tools ein. Für die datenschutzkonforme Auswahl hilft unsere Liste DSGVO-konformer KI-Tools mit Datenstandort, AVV und Preis.

Schritt 2 – Risikoklassifizierung

Ordnen Sie jedes Tool den vier Klassen zu. Achten Sie besonders auf HR- und Scoring-Anwendungen, die in Annex III fallen könnten. Im Zweifel lieber höher klassifizieren und prüfen.

Schritt 3 – Anbieter oder Betreiber?

Dies ist der am häufigsten übersehene Punkt. Die meisten KMU sind Betreiber (Deployer), nicht Anbieter. Wer ChatGPT per API integriert oder Copilot lizenziert, ist Betreiber – die Anbieterpflichten tragen OpenAI, Google oder Anthropic als GPAI-Anbieter. Betreiberpflichten nach Art. 26 sind deutlich schlanker. Achtung: Wer ein gekauftes KI-System wesentlich verändert oder unter eigenem Namen vertreibt, kann selbst zum Anbieter werden. Klären Sie auch die vertragliche Datenverarbeitung über einen Auftragsverarbeitungsvertrag für KI-Tools mit OpenAI, Azure und Anthropic.

Schritt 4 – Schulungskonzept dokumentieren

Erstellen Sie ein schriftliches Schulungskonzept, das den Rollen und Risiken in Ihrem Betrieb entspricht. Dokumentieren Sie Teilnehmende, Inhalte und Termine – die Nachweisbarkeit zählt im Ernstfall.

Schritt 5 – Transparenzpflichten umsetzen

Setzen Sie bis spätestens 2. Dezember 2026 Chatbot-Hinweise, Kennzeichnungen für KI-Inhalte und Deepfake-Markierungen. Ein Standardhinweis am Chatbot-Start und ein Vermerk bei KI-Marketingbildern decken den Großteil ab.

Schritt 6 – Hochrisiko-Governance aufbauen

Nur relevant, wenn Sie ein Annex-III-System betreiben oder anbieten. Bauen Sie bis Dezember 2027 Risikomanagement, technische Dokumentation und Logging auf. Nutzen Sie die vereinfachten Vorlagen aus dem Digital Omnibus.

Schritt 7 – Monitoring und Updates

Benennen Sie eine verantwortliche Person und planen Sie einen halbjährlichen Review. Die Rechtslage ist im Fluss – dieser Artikel wird als Living Document aktuell gehalten.

Bußgelder und Haftung: Was droht bei Verstößen?

Die drei Bußgeld-Tiers

Art. 99 sieht drei Stufen vor: bis 35 Mio. € oder 7 % weltweiter Jahresumsatz für Verstöße gegen die verbotenen Praktiken (Art. 5), bis 15 Mio. € oder 3 % für Verstöße gegen Anbieter- und Betreiberpflichten, und bis 7,5 Mio. € oder 1 % für falsche Angaben gegenüber Behörden. Maßgeblich ist jeweils der höhere der beiden Beträge.

KMU-Sonderregelung Art. 99 Abs. 6

Für KMU und Start-ups gilt eine wichtige Erleichterung: Hier wird jeweils der niedrigere der beiden Beträge angewendet. Die plakativen 35 Mio. € treffen also nicht das kleine Unternehmen mit überschaubarem Umsatz – wohl aber der prozentuale Anteil, wenn er niedriger ausfällt.

Zivilrechtliche Haftung: OLG Hamm, 1. Juni 2026

Neben der Regulierungshaftung droht eine zweite Front. Das OLG Hamm entschied am 1. Juni 2026, dass Unternehmen vollständig für Fehler und irreführende Aussagen ihrer KI-Chatbots haften. Verspricht Ihr Chatbot einem Kunden etwas Falsches, kann das direkt zivilrechtlich durchschlagen – unabhängig vom AI Act. Das unterstreicht, warum saubere Eingaben und kontrollierte Outputs zählen; siehe dazu auch Darf ich Kundendaten in ChatGPT eingeben?.

Durchsetzung in Deutschland – wer kontrolliert?

KI-MIG und die Bundesnetzagentur

Das Bundeskabinett beschloss am 11. Februar 2026 das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG). Die Bundesnetzagentur erhält ein Koordinierungs- und Kompetenzzentrum (KoKIVO). Fachbehörden bleiben sektoral zuständig – etwa die BaFin für den Finanzbereich. Das KI-MIG hatte Anfang 2026 Bundestag und Bundesrat noch nicht passiert; die parlamentarische Verabschiedung stand aus.

Regulatorische Sandboxes

Art. 57 sieht Reallabore vor, in denen Unternehmen innovative KI unter Aufsicht erproben können. Die Errichtungsfrist wurde durch den Digital Omnibus auf den 2. August 2027 verschoben. KMU erhalten prioritären Zugang – ein attraktives Testfeld gerade für innovative Mittelständler.

Fazit & Handlungsempfehlung

Der EU AI Act ist 2026 Realität, aber für die meisten KMU gut beherrschbar. Die größten Hebel: eine ehrliche KI-Inventur, die korrekte Einordnung als Betreiber statt Anbieter, ein dokumentiertes Schulungskonzept und die Transparenz-Hinweise bis 2. Dezember 2026. Die schwerwiegenden Hochrisiko-Pflichten greifen dank Digital Omnibus erst ab Ende 2027 – Zeit, die Sie für sauberen Aufbau nutzen sollten, nicht zum Aufschieben. Wer die sieben Schritte dieser Checkliste abarbeitet, ist solide aufgestellt. Weitere Orientierung bietet unser Hub KI-Wissen.

Dieser Beitrag ist keine Rechtsberatung. Für verbindliche Auskünfte konsultieren Sie eine auf IT- und Datenschutzrecht spezialisierte Kanzlei.

Stand: Juni 2026 — wird als Living Document aktuell gehalten. Sobald die formale Verabschiedung des Digital Omnibus und des KI-MIG vorliegt, aktualisieren wir Fristen und Zuständigkeiten.

Häufige Fragen

Gilt der EU AI Act auch für mein kleines Unternehmen, wenn ich nur ChatGPT oder Copilot nutze?

Ja. Der AI Act gilt für jedes Unternehmen, das KI in der EU einsetzt – unabhängig von der Größe. Als reiner Nutzer sind Sie aber Betreiber, nicht Anbieter, und Ihre Pflichten sind schlank: vor allem die Transparenzpflicht (Art. 50) und die KI-Kompetenzpflicht (Art. 4). Die strengen Hersteller- und Hochrisiko-Pflichten betreffen Sie in der Regel nicht.

Was muss ich ab August 2026 konkret tun – und was wurde durch den Digital Omnibus verschoben?

Ab August 2026 sollten Sie eine KI-Inventur, eine Risikoklassifizierung und ein dokumentiertes Schulungskonzept vorweisen können. Die Transparenzpflichten greifen ab 2. Dezember 2026. Verschoben wurden die Hochrisiko-Pflichten: Annex III auf 2. Dezember 2027, Annex I auf 2. August 2028.

Wann muss ich KI-Chatbots auf meiner Website kennzeichnen?

Spätestens ab dem 2. Dezember 2026. Ab diesem Datum greift die Transparenzpflicht nach Art. 50, die einen klaren Hinweis verlangt, dass Nutzer mit einer KI und nicht mit einem Menschen kommunizieren. Da die Umsetzung trivial ist, empfehlen wir, den Hinweis sofort zu setzen.

Ist mein HR-Tool oder meine Bewerbungs-KI ein Hochrisiko-System?

Wahrscheinlich ja, wenn das Tool Bewerbungen selektiert oder Mitarbeitende bewertet – diese Anwendungen stehen in Annex III. Die zugehörigen Pflichten (Risikomanagement, Dokumentation, Logging) greifen ab dem 2. Dezember 2027. Klären Sie, ob Sie Betreiber oder Anbieter sind, denn das bestimmt den Pflichtenumfang.

Was sind die Bußgelder für kleine Unternehmen – gelten die 35 Millionen Euro auch für uns?

Für KMU gilt nach Art. 99 Abs. 6 jeweils der niedrigere der beiden Beträge. Die maximalen 35 Mio. € treffen ein kleines Unternehmen mit geringem Umsatz also nicht in voller Höhe – maßgeblich ist dann der prozentuale Anteil am Jahresumsatz, sofern dieser niedriger ist.

Was ist der GPAI Code of Practice – betrifft er mein Unternehmen als Nutzer von ChatGPT?

Der GPAI Code of Practice ist ein Verhaltenskodex für Anbieter großer Allzweckmodelle wie OpenAI, Google und Anthropic. Als reiner Nutzer von ChatGPT sind Sie davon nicht direkt betroffen – die Pflichten liegen beim Modellanbieter. Indirekt profitieren Sie davon, etwa durch verbesserte Transparenz und Wasserzeichen.