AI Act ab 2. August: Was für Unternehmen gilt, die KI nur nutzen

Vielleicht liegt auch bei Ihnen eine Einladung zu einem Webinar über den 2. August im Postfach, und die Betreffzeile klingt, als müsse bis dahin der ganze Betrieb umgebaut sein. Für ein Unternehmen, das ChatGPT oder Claude im Büro nutzt, ist die nüchterne Antwort: Am 2. August ändert sich wenig. Neu sind vor allem Transparenzpflichten, die einige Fälle betreffen: einen eigenen Chatbot auf der Website, KI-Bilder echter Personen und unredigierte KI-Texte zu Themen von öffentlichem Interesse.

Dieser Beitrag ordnet ein, was ab dem 2. August 2026 gilt, was verschoben wurde und welche Aussagen einer Prüfung am Verordnungstext nicht standhalten. Stand: Ende Juli 2026.

Was in den letzten Wochen entschieden wurde

Zwei Rechtsakte haben die Lage kurz vor dem Stichtag noch verändert:

• Die Digital-Omnibus-Verordnung. Die Verordnung (EU) 2026/1744 vom 8. Juli 2026 wurde am 24. Juli im Amtsblatt veröffentlicht und ist am dritten Tag danach, also am 27. Juli, in Kraft getreten. Sie verschiebt vor allem die Pflichten für Hochrisiko-KI und schwächt die Pflicht zur KI-Kompetenz ab.
• Das deutsche Durchführungsgesetz (KI-MIG). Es ist laut Bundesministerium für Digitales und Staatsmodernisierung seit dem 29. Juli 2026 in Kraft. Die Bundesnetzagentur wird zentrale Aufsichts- und Anlaufstelle und betreibt einen KI-Service-Desk.

Die Fristen im Überblick

Begründet wird die Verschiebung der Hochrisiko-Pflichten mit verspäteten technischen Normen und dem verzögerten Aufbau nationaler Behörden (Erwägungsgrund 40 VO 2026/1744).

Was sich für die Büro-Nutzung ändert: wenig

Wer ChatGPT oder Claude für Entwürfe, Zusammenfassungen oder Recherchen nutzt, ist „Betreiber“ im Sinne der Verordnung (Art. 3 Nr. 4). Für Betreiber gewöhnlicher KI-Systeme kommen am 2. August keine neuen Dokumentations- oder Registrierungspflichten hinzu.

Bereits seit Februar 2025 gilt die Pflicht zur KI-Kompetenz. Seit dem 27. Juli lautet sie abgeschwächt: Unternehmen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihrer Leute zu unterstützen, müssen aber für niemanden ein bestimmtes Niveau garantieren (Art. 4 n. F.). Ein Zertifikat war und ist nicht vorgeschrieben.

Viele Unternehmen schätzen ihre Lage ohnehin vorsichtig ein. In einer Bitkom-Befragung von 604 Unternehmen ab 20 Beschäftigten aus dem Sommer 2025 sahen sich nur wenige als betroffen (Bitkom-Studienbericht KI, Februar 2026):

Für Unternehmen, die KI nur im Büro nutzen, dürfte der Aufwand nach unserer Einschätzung deutlich geringer ausfallen, als diese Erwartung nahelegt.

Wo die Transparenzpflichten greifen

Artikel 50 gilt ab dem 2. August. Er verteilt die Pflichten auf Anbieter und Betreiber (Art. 50 VO 2024/1689).

1. Chatbot auf der Website

Wer mit einem KI-System direkt spricht, muss erfahren, dass es eine KI ist, es sei denn, das ist offensichtlich (Abs. 1). Die Pflicht trifft den Anbieter. Anbieter ist auch, wer ein KI-System entwickeln lässt und unter eigenem Namen in Betrieb nimmt, Eigengebrauch eingeschlossen (Art. 3 Nr. 3 und Nr. 11).

Nach unserer Lesart heißt das: Lassen Sie einen Chatbot auf Basis eines Sprachmodells bauen und betreiben ihn unter Ihrem Namen, können Sie selbst Anbieter sein. Setzen Sie eine fertige Chatbot-Software ein, liegt die Pflicht eher beim Hersteller. Die Fragen und Antworten der Kommission zu Artikel 50 lassen diesen Fall offen und legen die Ausnahme „offensichtlich“ eng aus. Ein klarer Hinweis zu Beginn des Gesprächs ist in beiden Fällen der einfachste Weg.

2. KI-Bilder, -Videos und -Stimmen

Betreiber müssen offenlegen, wenn sie Deepfakes verwenden (Abs. 4). Gemeint sind KI-Inhalte, die echten Personen, Orten oder Ereignissen ähneln und fälschlich als echt erscheinen würden (Art. 3 Nr. 60). Nach unserer Lesart gehört eine erfundene Fotoszene mit einer realen Geschäftsführerin dazu, eine erkennbar gezeichnete Illustration eher nicht. Bei offensichtlich künstlerischen oder satirischen Werken reicht ein Hinweis, der den Genuss nicht stört.

3. KI-Texte

Hier ist die Pflicht enger, als oft angenommen. Offenlegen muss, wer KI-Texte veröffentlicht, „um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren“. Die Pflicht entfällt, wenn ein Mensch den Text geprüft hat oder redaktionelle Kontrolle besteht und jemand die redaktionelle Verantwortung trägt (Abs. 4 UAbs. 2).

Die Leitlinien der Kommission wurden laut einer Auswertung der Kanzlei Paul Weiss am 20. Juli 2026 finalisiert. Dieser Auswertung zufolge fallen Produktbeschreibungen nicht unter das öffentliche Interesse. Eine bloße Rechtschreibprüfung genügt nicht als menschliche Prüfung. Den Verhaltenskodex zur Kennzeichnung hat die Kommission am 10. Juni 2026 veröffentlicht. Die Teilnahme ist freiwillig, Artikel 50 bleibt aber Pflicht. Inhalte, die vor dem 2. August entstanden sind, müssen laut Kommission nicht nachträglich gekennzeichnet werden.

Die maschinenlesbare Markierung von KI-Ausgaben (Abs. 2) ist Sache der Anbieter generativer Systeme, also etwa von OpenAI oder Anthropic, nicht der Unternehmen, die diese Werkzeuge nutzen.

Wer kontrolliert, und was droht?

In Deutschland ist nach dem KI-MIG grundsätzlich die Bundesnetzagentur zuständig. Fachbehörden behalten ihre Zuständigkeit in einzelnen Sektoren (Gesetzentwurf, BT-Drucksache 21/4594). Die Bußgelder ergeben sich vor allem aus Artikel 99 der Verordnung:

• Verbotene Praktiken (Art. 5): bis 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes.
• Transparenzpflichten (Art. 50) und andere Betreiberpflichten: bis 15 Mio. Euro oder 3 Prozent.
• KMU zahlen jeweils den niedrigeren der beiden Beträge (Art. 99 Abs. 6). Seit dem Omnibus gilt das auch für kleine Midcap-Unternehmen (Art. 1 Nr. 38 VO 2026/1744).

Das KI-MIG ergänzt eigene Bußgelder bis 50.000 Euro für einige Pflichten, etwa Auskunftspflichten gegenüber Behörden. Ein Bußgeld für fehlende KI-Kompetenz ist nicht vorgesehen (§ 15 des Entwurfs; unverändert in der Ausschussfassung, BT-Drucksache 21/6407).

Fünf Aussagen zum Stichtag, die so nicht stimmen

1. „Ab 2. August gelten die Hochrisiko-Pflichten.“ Nein. Sie gelten ab dem 2. Dezember 2027 bzw. 2. August 2028.
2. „Ab 2. August muss jeder KI-Text gekennzeichnet werden.“ Nein. Betroffen sind veröffentlichte Texte zu Themen von öffentlichem Interesse ohne menschliche Prüfung, außerdem Deepfakes.
3. „Jeder Verstoß kann 35 Millionen Euro kosten.“ Diese Obergrenze gilt nur für verbotene Praktiken. Für KMU gilt jeweils der niedrigere Betrag.
4. „Ohne Zertifikat zur KI-Kompetenz handeln Sie rechtswidrig.“ Ein Zertifikat war nie vorgeschrieben. Seit dem 27. Juli ist die Pflicht zudem abgeschwächt.
5. „KI-Protokolle müssen ab August sechs Monate aufbewahrt werden.“ Diese Pflicht (Art. 26 Abs. 6) betrifft nur Betreiber von Hochrisiko-Systemen und greift für die Fälle aus Anhang III erst ab Dezember 2027.

Hinweis: Dieser Beitrag ordnet die Rechtslage ein und ist keine Rechtsberatung. Leitlinien und Kodex sind nicht verbindlich, die Auslegung durch Behörden und Gerichte steht noch aus. Für Ihren Einzelfall wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt.

Fazit: Was Sie vor dem 2. August prüfen sollten

• Website-Chatbot: Weist er zu Beginn klar darauf hin, dass eine KI antwortet? Klären Sie mit dem Dienstleister, wer Anbieter ist.
• Marketing: Nutzen Sie KI-Bilder oder -Videos, die echte Personen oder Orte zeigen? Dann kennzeichnen.
• Texte: Legen Sie fest, wer veröffentlichte KI-Texte inhaltlich prüft und verantwortet, und halten Sie das fest.
• Nutzungsrichtlinie und Befähigung: Bleiben Sie dran. Daran hat der 2. August nichts geändert, sie bleiben die Grundlage.

Sie möchten wissen, welche Pflichten für Ihren Chatbot, Ihr Marketing und Ihre interne KI-Nutzung tatsächlich gelten? Sprechen Sie mit uns über eine nüchterne Bestandsaufnahme.