Seit dem 2. August 2026 sind die Transparenzpflichten des EU AI Act verbindlich: Unternehmen müssen KI-generierte Inhalte kennzeichnen und den Einsatz von Chatbots offenlegen. Die vollständige Umsetzung des AI Act erfolgt schrittweise bis zum 2. August 2028. Wer die Kennzeichnungspflichten nicht erfüllt, riskiert erhebliche Bußgelder und Abmahnungen durch Mitbewerber. Zusätzlich gilt weiterhin die Pflicht zur KI-Kompetenz für alle Mitarbeiter, die KI-Anwendungen nutzen. Gerade für KMU sind die gestaffelten Fristen entscheidend: Der Stichtag für Betreiber von Hochrisiko-KI wurde per Digital Omnibus zwar verschoben, die inhaltlichen Anforderungen bleiben jedoch unverändert bestehen.

EU AI Act: Transparenzpflichten gelten seit August 2026 – Was KMU jetzt konkret tun müssen

Seit dem 2. August 2026 sind die Transparenzpflichten des EU AI Act für Unternehmen verbindlich. Wer KI-generierte Inhalte nicht kennzeichnet oder den Einsatz von Chatbots nicht offenlegt, riskiert erhebliche Bußgelder und Abmahnungen durch Mitbewerber. Für kleine und mittlere Unternehmen (KMU) bedeutet das: Der Handlungsbedarf ist unmittelbar.

Hintergrund: Der Zeitplan des AI Act

Der AI Act trat am 1. August 2024 in Kraft. Die Umsetzung erfolgt schrittweise bis zur vollständigen Einführung am 2. August 2028. Bereits ab dem 2. Februar 2025 wurden Verbote für KI-Systeme mit unannehmbarem Risiko verbindlich, darunter Social Scoring und bestimmte biometrische Echtzeit-Überwachungssysteme. Seit dem 2. August 2026 gelten nun die Transparenz- und Kennzeichnungspflichten. Der Stichtag für Betreiber von Hochrisiko-KI wurde durch das sogenannte Digital Omnibus zwar verschoben, die inhaltlichen Anforderungen selbst blieben dabei unverändert.

Für Anbieter von KI-Systemen mit allgemeinem Verwendungszweck (GPAI) wie großen Sprachmodellen hatte das AI Office bereits im November 2024 erste Entwürfe für einen Code of Practice vorgelegt.

Vier praktische Implikationen für Unternehmen

1. Kennzeichnungspflicht für KI-generierte Inhalte ist sofort wirksam

Unternehmen, die Text, Bilder, Audio oder Video mithilfe von KI erstellen, müssen diese Inhalte unter bestimmten Bedingungen klar als KI-generiert kennzeichnen. Das betrifft auch KMU, die generative KI-Werkzeuge in Marketing, Kommunikation oder Produktentwicklung einsetzen. Fehlende Kennzeichnungen können von Wettbewerbern abgemahnt werden. Unternehmen sollten ihre internen Workflows daraufhin prüfen, wo KI-generierte Outputs in Kundenkommunikation oder öffentliche Inhalte einfließen. Weiterführende Einordnung zu Konformitätsbewertung und Notifizierungspflichten für GPAI-Anbieter und zu Compliance-Kosten für KMU.

2. Chatbot-Offenlegung ist verpflichtend

Wer im Kundenkontakt Chatbots oder automatisierte Dialogsysteme einsetzt, muss deren KI-Natur gegenüber Nutzern offenlegen. Das gilt unabhängig von der Unternehmensgröße. KMU mit KI-gestütztem Kundensupport, Vertriebsassistenten oder automatisierten FAQ-Systemen sind direkt betroffen. Die Offenlegungspflicht gilt auch dann, wenn der Chatbot auf einem Drittanbieter-Modell basiert. Hintergrund zur technischen Umsetzung bietet der Artikel zu DSGVO-konformen RAG-Systemen für den Mittelstand.

3. KI-Kompetenzpflicht für alle Mitarbeitenden bleibt bestehen

Unabhängig von den Verschiebungen bei der Hochrisiko-KI gilt weiterhin die Pflicht, bei allen Mitarbeitenden, die KI-Anwendungen nutzen, ein Mindestmaß an KI-Kompetenz sicherzustellen. Für KMU bedeutet das, Schulungsmaßnahmen zu dokumentieren und nachweisbar umzusetzen. Dieser Punkt ist nicht durch den Digital Omnibus berührt worden. Ressourcen zu Weiterbildungsoptionen finden sich im Artikel zu KI-Weiterbildung im Mittelstand.

4. Hochrisiko-KI: Frist verschoben, Anforderungen unverändert

Betreiber von Hochrisiko-KI-Systemen, etwa in Personalauswahl, Kreditvergabe oder sicherheitskritischen Prozessen, haben durch den Digital Omnibus mehr Vorlaufzeit erhalten. Die inhaltlichen Anforderungen an Dokumentation, Konformitätsbewertung und Auditierbarkeit blieben jedoch vollständig erhalten. Wer die gewonnene Zeit nicht für Vorbereitungen nutzt, riskiert beim nächsten Stichtag erneut unter Druck zu geraten. Details zu den Anforderungen bei der Personalauswahl finden sich unter Hochrisiko-KI im Personalmanagement. Einen Überblick über Notifizierungsfristen und GPAI-Meldepflichten bietet der Artikel zu Notifizierungspflichten für GPAI-Anbieter.

Einordnung für Entscheider

Der AI Act ist kein rein technisches Regulierungswerk. Er greift in Kommunikationsprozesse, HR-Systeme und Produktentwicklung ein. KMU, die generative KI bisher ohne formalisierte Prozesse eingesetzt haben, stehen vor der Aufgabe, Zuständigkeiten, Dokumentation und Mitarbeiterschulungen nachzuholen. Die Kombination aus sofort wirkenden Kennzeichnungspflichten und weiterhin geltenden Kompetenzanforderungen macht eine strukturierte Compliance-Prüfung notwendig, auch wenn manche Fristen noch nicht abgelaufen sind.

Einen vollständigen Überblick über die Implementierungsfristen und Phasen bietet die EU AI Act Compliance Roadmap bis 2026. Wer die Kostenplanung angehen will, findet Orientierung im Artikel zu Konformitätskosten für KMU und Mittelstand.

Quellen

• Plattform Lernende Systeme: AI Act – Überblick und Umsetzungsschritte
• heise online / iX: AI Act kompakt – Kennzeichnung, KI-Kompetenz, Hochrisiko-KI (Webinar-Ankündigung)

Häufige Fragen

Wann sind die Transparenzpflichten des EU AI Act für Unternehmen verbindlich in Kraft getreten?

Die Transparenzpflichten des EU AI Act sind zum 2. August 2026 verbindlich geworden. Ab diesem Datum müssen Unternehmen unter bestimmten Voraussetzungen KI-generierte Inhalte kennzeichnen und den Einsatz von Chatbots gegenüber Nutzern offenlegen. Wer diese Pflichten nicht erfüllt, riskiert erhebliche Bußgelder sowie Abmahnungen durch Mitbewerber.

Gilt die Pflicht zur KI-Kompetenz der Mitarbeiter auch nach dem Digital Omnibus noch?

Ja. Obwohl der Digital Omnibus den Stichtag für Betreiber von Hochrisiko-KI verschoben hat, bleiben die inhaltlichen Anforderungen unverändert bestehen. Das schließt ausdrücklich die Pflicht ein, dass alle Mitarbeiter, die KI-Anwendungen nutzen, über die erforderliche KI-Kompetenz verfügen müssen.

Seit wann gilt das Verbot von KI-Systemen mit unannehmbarem Risiko, und was zählt dazu?

Das Verbot von KI-Systemen mit sogenanntem unannehmbarem Risiko ist seit dem 2. Februar 2025 verbindlich. Dazu zählen etwa Systeme zum Social Scoring. Der AI Act selbst ist bereits am 1. August 2024 in Kraft getreten; die einzelnen Anforderungen werden jedoch schrittweise bis zur vollständigen Einführung am 2. August 2028 wirksam.

Was müssen KMU konkret tun, um die Kennzeichnungspflichten für KI-generierte Inhalte zu erfüllen?

Unternehmen, auch kleinere Betriebe, sind verpflichtet, KI-generierte Inhalte unter bestimmten Bedingungen als solche zu kennzeichnen und den Einsatz von Chatbots transparent zu machen. Die genauen Anforderungen hängen vom jeweiligen Anwendungsfall ab. Wer die Vorgaben nicht umsetzt, setzt sich dem Risiko von Bußgeldern und wettbewerbsrechtlichen Abmahnungen aus. Eine frühzeitige rechtliche Prüfung der eingesetzten KI-Systeme ist daher empfehlenswert.

Wann hat das AI Office erste Leitlinien für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck vorgelegt?

Das AI Office hat am 14. November 2024 erste Entwürfe für einen sogenannten Code of Practice für Anbieter von KI mit allgemeinem Verwendungszweck (General Purpose AI, GPAI) vorgelegt. Dieser richtet sich an Anbieter großer Sprachmodelle und soll den Rahmen für Transparenz- und Sicherheitsanforderungen dieser Systeme konkretisieren.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.