EU AI Act ab August 2026: Zeitplan und KI-Governance im Unternehmen

Die KI-Verordnung (Verordnung (EU) 2024/1689, „EU AI Act“) erreicht eine neue praktische Phase. Für Unternehmen bedeutet das jedoch nicht, dass seit dem 2. August 2026 plötzlich sämtliche Anforderungen der KI-Verordnung gleichzeitig gelten. Vielmehr greifen die Verpflichtungen stufenweise. Umso wichtiger ist es, den eigenen KI-Einsatz jetzt systematisch zu erfassen und organisatorisch sauber einzuordnen.

Zeitplan der KI-Verordnung

Mit der Änderungsverordnung (EU) 2026/1744 (Digital-Omnibus zur KI), in Kraft seit dem 27. Juli 2026, wurden einzelne Termine verschoben. Es gilt:

• seit 2. Februar 2025: Verbote bestimmter KI-Praktiken (Art. 5) und KI-Kompetenz (Art. 4)
• seit 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, Governance und Sanktionen
• seit 2. August 2026: Transparenzpflichten nach Art. 50 und der überwiegende Teil der übrigen Vorschriften
• ab 2. Dezember 2026: maschinenlesbare Markierung nach Art. 50 Abs. 2 auch für generative KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden; außerdem neue Verbote für KI-generierte nicht einvernehmliche intime Darstellungen und Darstellungen sexuellen Kindesmissbrauchs
• ab 2. Dezember 2027: Pflichten für Hochrisiko-KI-Systeme nach Art. 6 Abs. 2 und Anhang III, etwa im Personalbereich
• ab 2. August 2028: Pflichten für Hochrisiko-KI-Systeme nach Art. 6 Abs. 1 und Anhang I (KI in regulierten Produkten)

Eine zentrale Rolle spielen derzeit die Transparenzpflichten. Nutzer müssen unter bestimmten Voraussetzungen erkennen können, dass sie mit einem KI-System interagieren, und bei KI-generierten oder manipulierten Inhalten können Kennzeichnungspflichten bestehen, etwa bei Chatbots, synthetisch erzeugten Inhalten und Deepfakes. Einzelheiten dazu finden Sie in unserem Beitrag zur Kennzeichnung von KI-Inhalten nach Art. 50 KI-VO.

Unternehmen sollten sich jedoch nicht ausschließlich auf die sichtbare Kennzeichnung von KI konzentrieren. Mindestens ebenso wichtig ist die interne Organisation des KI-Einsatzes. Dazu gehören insbesondere:

• Erfassung der eingesetzten KI-Systeme und Anwendungen,
• Klärung der eigenen Rolle als Anbieter oder Betreiber,
• Bewertung der jeweiligen Risikokategorie,
• Festlegung klarer Verantwortlichkeiten,
• geregelte Freigabe- und Beschaffungsprozesse,
• Maßnahmen zur Förderung der KI-Kompetenz der Beschäftigten (Art. 4 KI-VO; seit dem 27. Juli 2026 ist kein bestimmtes Kompetenzniveau mehr zu garantieren),
• Dokumentation und regelmäßige Überprüfung der eingesetzten Systeme.

Gleichzeitig bleibt die DSGVO vollständig anwendbar. Werden personenbezogene Daten durch KI-Systeme verarbeitet, müssen deshalb unter anderem Berechtigungen, Zugriffsschutz, Protokollierung, Verschlüsselung, Datenminimierung und die Auswahl externer Dienstleister geprüft werden.

Ein zunehmendes praktisches Problem ist außerdem die sogenannte „Shadow AI“: Beschäftigte verwenden öffentlich verfügbare KI-Dienste teilweise ohne Freigabe des Unternehmens und übermitteln dabei möglicherweise vertrauliche oder personenbezogene Informationen. Unternehmen benötigen deshalb nicht nur Verbote, sondern klare und praktikable Regeln für den zulässigen Einsatz generativer KI.

Der entscheidende Punkt lautet daher: KI-Compliance sollte nicht als isolierte zusätzliche Pflicht behandelt werden.

Sinnvoll ist vielmehr die Verzahnung mit bestehenden Strukturen aus Datenschutz, Informationssicherheit, Risikomanagement, Compliance und gegebenenfalls dem bestehenden Managementsystem. So können neue KI-Anwendungen bereits bei Auswahl und Einführung bewertet werden, anstatt regulatorische Anforderungen erst nachträglich zu berücksichtigen.

Für Unternehmen ist jetzt deshalb ein guter Zeitpunkt, ein strukturiertes KI-Governance-System aufzubauen:

Welche KI wird eingesetzt? Wer ist verantwortlich? Welche Daten werden verarbeitet? Welche Risiken bestehen? Welche Anwendungen sind freigegeben? Und wie wird sichergestellt, dass neue KI-Lösungen kontrolliert eingeführt werden?

Wer diese Fragen frühzeitig beantwortet, reduziert nicht nur regulatorische Risiken, sondern schafft zugleich die organisatorische Grundlage für einen sicheren und wirtschaftlich sinnvollen Einsatz künstlicher Intelligenz. Die verschobenen Hochrisiko-Termine verschaffen dafür Zeit, sind aber keine Freistellung: DSGVO und die bereits geltenden Pflichten der KI-Verordnung sind schon heute einzuhalten.

Unser KI-Managementsystem KIMS unterstützt Sie dabei, KI-Anwendungen zu erfassen, Verantwortlichkeiten festzulegen und die Umsetzung zu dokumentieren: https://mgmsys.de/kims