EU AI Act 2026: Was Unternehmen jetzt beachten müssen

Kurz vor dem nächsten wichtigen Stichtag hat die EU den AI Act erneut verändert. Die Digital-Omnibus-Verordnung ist am 27. Juli 2026 in Kraft getreten. Sie verschiebt zentrale Pflichten für Hochrisiko-KI, vereinfacht einzelne Vorgaben und lässt zugleich zahlreiche Anforderungen ab dem 2. August 2026 wirksam werden.

Für Entscheider bedeutet das: mehr Vorbereitungszeit bei bestimmten Hochrisikosystemen, aber keine generelle Entwarnung. Transparenzpflichten, Rollenklärung, KI-Kompetenz und der Aufbau geeigneter Governance-Strukturen bleiben für Unternehmen bereits 2026 relevant.

Was sind die wichtigsten Neuerungen des EU AI Acts 2026?

Der AI Act folgt weiterhin einem risikobasierten Ansatz. Verbotene Anwendungen, Hochrisiko-KI, Systeme mit besonderen Transparenzrisiken und Anwendungen mit geringem Risiko unterliegen unterschiedlichen Anforderungen.

Die ersten acht Verbote besonders problematischer KI-Praktiken gelten bereits seit dem 2. Februar 2025. Mit dem Digital Omnibus wurde ein weiteres Verbot ergänzt: KI-Systeme, die nicht einvernehmliche sexuell explizite oder intime Inhalte beziehungsweise Darstellungen sexuellen Kindesmissbrauchs erzeugen, sind ab dem 2. Dezember 2026 verboten.

Regeln für Anbieter von General-Purpose-AI-Modellen gelten bereits seit August 2025.

Ab dem 2. August 2026 greifen insbesondere die Transparenzpflichten nach Artikel 50 des AI Acts. Anbieter von KI-Systemen, die zur direkten Interaktion mit natürlichen Personen bestimmt sind, müssen die Systeme so gestalten, dass betroffene Personen grundsätzlich darüber informiert werden, dass sie mit einer KI interagieren.

Eine gesonderte Information kann entfallen, wenn die KI-Interaktion für eine durchschnittlich informierte und aufmerksame Person unter Berücksichtigung des Nutzungskontexts offensichtlich ist.

Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen deren Ausgaben grundsätzlich in einem maschinenlesbaren Format kennzeichnen und als künstlich erzeugt oder manipuliert erkennbar machen.

Für Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, gilt ausschließlich für diese technische Kennzeichnungs- und Erkennbarkeitspflicht eine Übergangsfrist bis zum 2. Dezember 2026. Die übrigen Transparenzpflichten gelten grundsätzlich bereits ab dem 2. August 2026.

Bei Deepfakes und bestimmten KI-generierten oder manipulierten Veröffentlichungen zu Themen von öffentlichem Interesse können zusätzliche sichtbare Offenlegungspflichten für die veröffentlichende Organisation entstehen.

Welche Fristen wurden verschoben?

Die umfassenden Anforderungen für eigenständige Hochrisiko-KI nach Anhang III gelten nun ab dem 2. Dezember 2027. Dazu können unter bestimmten Voraussetzungen beispielsweise Systeme in den Bereichen Personalmanagement, Bildung, kritische Infrastruktur, Strafverfolgung oder biometrische Anwendungen gehören.

Für KI-Systeme, die nach Artikel 6 Absatz 1 als hochriskant gelten, greifen die Anforderungen ab dem 2. August 2028. Dazu gehören KI-Systeme, die selbst ein von Anhang I erfasstes reguliertes Produkt oder ein Sicherheitsbauteil eines solchen Produkts sind, sofern das betreffende Produkt einer Konformitätsbewertung durch Dritte unterliegt.

Das kann unter anderem Maschinen, Aufzüge, Spielzeug oder bestimmte Medizinprodukte betreffen. Eine KI-Funktion wird jedoch nicht allein dadurch zur Hochrisiko-KI, dass sie in ein reguliertes Produkt integriert ist.

Die Verschiebung soll zusätzliche Zeit für harmonisierte Standards, Leitlinien und eine bessere Abstimmung mit dem bestehenden Produkt- und Produktsicherheitsrecht schaffen.

Was wurde zusätzlich vereinfacht?

Erleichterungen für kleine und mittlere Unternehmen werden teilweise auf sogenannte Small Mid-Caps ausgeweitet. Zudem wird der Zugang zu regulatorischen Reallaboren erweitert und durch ein EU-weites KI-Reallabor ergänzt.

Auch die Verpflichtung zur KI-Kompetenz wurde angepasst, aber nicht aufgehoben. Anbieter und Betreiber von KI-Systemen müssen weiterhin Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und weiterer in ihrem Auftrag handelnder Personen zu unterstützen.

Unternehmen müssen jedoch kein einheitliches oder bestimmtes Kompetenzniveau jeder einzelnen Person garantieren. Welche Maßnahmen angemessen sind, hängt unter anderem von den eingesetzten Systemen, den Aufgaben der Mitarbeitenden und den damit verbundenen Risiken ab.

Weitere Vereinfachungen betreffen unter anderem Registrierungs-, Dokumentations- und Überwachungspflichten sowie die institutionellen Befugnisse des europäischen AI Office.

Was müssen Industrieunternehmen jetzt entscheiden?

Unternehmen sollten nicht nur einzelne bekannte KI-Tools prüfen, sondern ein möglichst vollständiges KI-Inventar aufbauen. Ein solches Inventar ist zwar keine ausdrücklich unter dieser Bezeichnung formulierte allgemeine Pflicht des AI Acts, bildet aber eine wichtige Grundlage für eine belastbare KI-Governance.

Für jede relevante Anwendung sollten mindestens folgende Informationen dokumentiert werden:

• Zweck und Einsatzbereich
• Anbieter und verwendetes Modell
• betroffene Nutzergruppen
• verwendete Daten
• mögliche Risikoklasse
• Rolle des eigenen Unternehmens
• Verantwortlichkeiten und Freigabeprozesse
• bestehende Transparenz- und Kontrollmaßnahmen

Priorität haben insbesondere fünf Maßnahmen:

1. KI-Systeme und eingebettete KI-Funktionen erfassen.
2. Anbieter-, Betreiber-, Importeur- und gegebenenfalls Händlerrollen klären.
3. Erforderliche Transparenzhinweise bis August 2026 umsetzen.
4. Beschaffungs- und Dienstleistungsverträge um Dokumentations-, Informations-, Änderungs- und Mitwirkungspflichten ergänzen.
5. Potenzielle Hochrisikofälle auf Risikomanagement, Daten-Governance, Protokollierung und menschliche Aufsicht vorbereiten.

Anbieter von Hochrisiko-Systemen benötigen später unter anderem ein Qualitätsmanagementsystem, eine technische Dokumentation, geeignete Aufzeichnungen, ein Risikomanagement sowie gegebenenfalls eine Konformitätsbewertung und CE-Kennzeichnung.

Betreiber müssen Hochrisiko-Systeme entsprechend den bereitgestellten Anweisungen einsetzen, ihren Betrieb überwachen und eine geeignete menschliche Aufsicht sicherstellen.

Welche konkreten Pflichten gelten, hängt stets vom jeweiligen System, seinem vorgesehenen Zweck und der Rolle des Unternehmens ab.

Der Digital Omnibus verschiebt wichtige Hochrisiko-Fristen, hebt den EU AI Act aber nicht auf. Transparenz, Rollenklärung, KI-Kompetenz und Governance bleiben 2026 akut.

Unternehmen sollten die zusätzliche Zeit nicht als Aufschub für sämtliche Maßnahmen verstehen. Sie sollten ihre KI-Landschaft jetzt systematisch erfassen, Anwendungen klassifizieren und die Anforderungen in Beschaffung, Produktentwicklung, Datenmanagement und Compliance verankern.

Gerade Industrieunternehmen profitieren davon, KI-Governance nicht als isoliertes Rechtsprojekt zu behandeln. Die Verbindung mit Produktdaten, PIM, MDM, Qualitätsmanagement und DPP-Strukturen schafft eine belastbare Grundlage für den rechtskonformen und wirtschaftlich sinnvollen Einsatz von KI.