EU AI Act: Was seit dem 2. August wirklich für dich gilt

Zwei Meldungen, eine Woche

Am 27. Juli ist der Digital Omnibus in Kraft getreten, das Änderungspaket der EU zur KI-Verordnung. Sein Kern: die Pflichten für Hochrisiko-KI kommen später. Systeme nach Anhang III, also die eigenständigen Hochrisiko-Anwendungen, sind jetzt erst ab dem 2. Dezember 2027 dran. KI, die in regulierte Produkte eingebaut ist, also in Maschinen, Aufzüge, Spielzeug, sogar erst ab dem 2. August 2028.

Sechs Tage später, am 2. August, ist trotzdem etwas scharf geworden. Die Transparenzpflichten aus Artikel 50 gelten seitdem, unverändert, ohne Aufschub. Der Omnibus hat sie nicht angefasst.

Genau da entsteht die Verwirrung. Wer nur die erste Schlagzeile gelesen hat, denkt jetzt, er hat bis 2027 Ruhe. Wer nur die zweite gelesen hat, hält den ganzen AI Act für scharf gestellt. Beides ist falsch, und die Differenz kostet Nerven.

Was verschoben wurde, betrifft dich vermutlich nicht

Hochrisiko klingt dramatischer, als es für die meisten Betriebe ist. Anhang III meint Dinge wie automatisierte Bewerberauswahl, Kreditwürdigkeitsprüfung, Zugang zu Bildung, Steuerung kritischer Infrastruktur, Biometrie. Anhang I meint KI als sicherheitsrelevantes Bauteil in einem Produkt, das ohnehin schon CE-pflichtig ist.

Wenn dein KI-Einsatz aus einem Chatbot auf der Website, einem Mailassistenten, Angebotstexten, Übersetzungen oder einer Belegerkennung besteht, bist du in keiner dieser Kategorien. Die verschobene Frist ist für dich also keine Entwarnung, sondern schlicht kein Thema.

Zwei Ausnahmen, bei denen ich genauer hinschauen würde. Erstens: wer Bewerbungen automatisch vorsortiert oder Kandidaten bewertet, ist tatsächlich in Anhang III. Das passiert in KMU häufiger, als die Leute denken, weil so eine Funktion oft im HR-Tool mitgeliefert wird. Zweitens: Maschinenbauer, die KI in ihre Anlagen einbauen. Für die ist der 2. August 2028 eine echte Planungsgröße, und die eigentliche Arbeit läuft dort über die Maschinenverordnung, nicht über den AI Act allein.

Was jetzt gilt: sag, dass es KI ist

Artikel 50 ist im Kern eine einzige Idee. Ein Mensch soll nicht unwissentlich mit einer Maschine reden oder unwissentlich Maschinenmaterial für echt halten. Der Rest sind Details.

• Direkte Interaktion. Wer ein System bereitstellt, mit dem Menschen unmittelbar sprechen oder chatten, muss dafür sorgen, dass sie das wissen. Spätestens beim ersten Kontakt, klar erkennbar, nicht versteckt in den AGB.
• Offensichtlich reicht. Die Pflicht entfällt, wenn es für eine verständige Person ohnehin klar ist. Ein Fenster mit der Aufschrift „KI-Assistent" braucht keinen zusätzlichen Warnhinweis.
• Deepfakes offenlegen. Wer Bild, Ton oder Video erzeugt oder verändert, sodass es echt wirkt, muss das kenntlich machen. Bei Kunst und Satire reicht ein Hinweis, der die Wirkung nicht kaputtmacht.
• Texte zu öffentlichen Themen. KI-generierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, müssen als solche gekennzeichnet sein. Es sei denn, ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung.

Daneben läuft eine Pflicht mit, die es schon seit Februar 2025 gibt und die gerne übersehen wird: KI-Kompetenz. Wer KI im Betrieb einsetzt, muss dafür sorgen, dass die Leute, die damit arbeiten, ein ausreichendes Verständnis dafür haben. Der Omnibus hat die Vorgaben dazu vereinfacht, abgeschafft hat er sie nicht.

Wo das im Betrieb wirklich aufschlägt

Bei den Systemen, die ich gerade für Kunden baue, sind es genau drei Stellen. Der Chatbot auf der Website: erste Nachricht sagt, dass hier eine KI antwortet und wie man zu einem Menschen kommt. Der Voice-Agent am Telefon: der Anrufer erfährt es im ersten Satz, nicht in Minute drei. Und das Marketingmaterial: KI-gerenderte Porträts und KI-geschriebene Texte bekommen einen sichtbaren Hinweis.

Der Telefonfall ist der, bei dem ich am wenigsten diskutiere. Ein Anrufer, der erst nach zwei Minuten merkt, dass er mit einer Maschine redet, ist nicht nur ein Rechtsproblem. Er ist ein verlorener Kunde. Die Pflicht deckt sich hier ausnahmsweise komplett mit dem, was man ohnehin tun sollte.

Was ich auf meiner eigenen Seite gemacht habe

Ich habe das im Mai erledigt, bevor die Frist überhaupt nah war, und es hat einen Abend gekostet. Im Impressum steht ein Abschnitt, der offenlegt, mit welchen Werkzeugen Visuals und Texte entstanden sind und dass die Porträts KI-gerendert sind. In der Fußzeile sitzt ein Badge, das dorthin verlinkt. Unter jedem Artikel steht eine Zeile, dass er mit KI-Unterstützung entstanden und redaktionell geprüft ist.

Das ist kein Compliance-Projekt, das ist Textarbeit. Wer dafür ein Beratungsangebot mit vierstelligem Betrag bekommt, sollte zweimal hinschauen, was da eigentlich verkauft wird.

Ehrlich dazu: Ich bin kein Anwalt, und bei den Randfällen, etwa was genau „Angelegenheit von öffentlichem Interesse" bedeutet, wird die Praxis erst noch zeigen, wo die Linien liegen. Für die Standardfälle im KMU ist die Lage aber klar genug, um sie ohne Kanzlei zu erledigen.

Was du diese Woche tun kannst

• Liste auf, wo in deinem Betrieb KI im Kontakt mit Kunden auftaucht. Chat, Telefon, Mailantworten, Terminvereinbarung, Social Media.
• Prüfe an jeder dieser Stellen, ob ein Außenstehender in den ersten Sekunden erkennt, dass da eine Maschine arbeitet. Wenn nicht, schreib den Hinweis rein.
• Setz einen Absatz ins Impressum, der offenlegt, wo KI bei Bildern und Texten mitgewirkt hat.
• Nimm dir eine Stunde für die Leute, die täglich mit den Werkzeugen arbeiten, und halte fest, dass sie stattgefunden hat. Das ist deine KI-Kompetenz-Pflicht.
• Wenn dein HR-Tool Bewerbungen automatisch bewertet, hol dir dafür separaten Rat. Das ist der eine Fall, in dem der Dezember 2027 dich betrifft.

Fazit

Der Aufschub ist echt, aber er gilt für Regeln, die die meisten Betriebe nie betroffen hätten. Was jetzt gilt, betrifft fast jeden, kostet aber eher einen Nachmittag als ein Projekt. Der Bußgeldrahmen liegt bei bis zu 15 Millionen Euro oder 3 Prozent Jahresumsatz, bei KMU gilt der jeweils niedrigere Betrag. Das ist unangenehm genug, um es nicht liegen zu lassen, und harmlos genug, um nicht in Panik zu verfallen.

Meine Empfehlung: erledige die Transparenzhinweise, dokumentiere die Schulung, und ignoriere alles, was dir Hochrisiko-Compliance verkaufen will, solange du nicht Bewerbungen sortierst oder Maschinen baust.

Über mich

Ich bin Christian Denzer und baue KI-Agenten für KMU in Schleswig-Holstein und darüber hinaus. In Workshops und Erstgesprächen sortiere ich zuerst, was ein Betrieb wirklich braucht und was er getrost weglassen kann. Recht gehört dazu, aber meistens ist es der kleinere Teil.

Quellen: Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 4, Art. 50 und Art. 99 · VDMA, „Nächste Stufe der KI-Verordnung startet, mit Ausnahmen" (August 2026) zu den verschobenen Fristen für Maschinenbau und Anhang I · TÜV Rheinland Consulting zum Digital Omnibus: Anhang III ab 2. Dezember 2027, Anhang I ab 2. August 2028, Art. 50 unverändert ab 2. August 2026. Einordnung für KMU aus eigener Arbeit an Kundensystemen und der eigenen Website, Mai bis August 2026.