EU AI Act 2026: Was Entscheider jetzt konkret tun müssen

Der EU AI Act ist seit dem 1. August 2024 in Kraft — und die Uhr tickt. Ab dem 2. August 2026 gilt das weltweit erste umfassende KI-Regelwerk für die überwiegende Mehrheit der Anwendungsfälle, die Unternehmen im DACH-Raum heute produktiv betreiben. Wer jetzt noch keine strukturierte Compliance-Strategie hat, riskiert nicht nur Bußgelder von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes — er riskiert operative Unterbrechungen in kritischen Prozessen.

Der Marktkontext verschärft den Druck: Die EU-Kommission hat im Oktober 2025 die Apply AI Strategy vorgestellt, die mit einer Milliarde Euro aus Programmen wie Horizont Europa die KI-Adoption explizit beschleunigen soll. Gleichzeitig läuft seit November 2025 eine Debatte über eine digitale Omnibus-Verordnung, die den AI Act praxisnäher gestalten soll — eine Verabschiedung wird frühestens in der zweiten Jahreshälfte 2026 erwartet. Unternehmen bewegen sich damit zwischen verschärfter Regulierung und regulatorischer Unschärfe.

Was bereits gilt — und was Unternehmen jetzt ignorieren

Seit dem 2. Februar 2025 sind die Verbote für unzulässige KI-Praktiken nach Artikel 5 des AI Act bindend. Dazu zählen unter anderem KI-Systeme zur unbewussten Beeinflussung von Verhalten, Social Scoring durch öffentliche Stellen und bestimmte biometrische Echtzeit-Überwachung im öffentlichen Raum. Ebenfalls seit Februar 2025 gilt die KI-Literacy-Pflicht: Alle Unternehmen, die KI entwickeln oder einsetzen, müssen sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt.

Seit dem 2. August 2025 kommen Governance-Regeln für sogenannte General Purpose AI-Modelle (GPAI) hinzu. Nationale Behörden wurden ernannt, das EU-Governance-System wurde errichtet, und der KI-Verhaltenskodex der EU-Kommission wurde am 2. Mai 2025 veröffentlicht. Für Entscheider bedeutet das: Wer heute große Sprachmodelle in Produkten oder Prozessen einsetzt, steht bereits unter regulatorischer Beobachtung — unabhängig vom Anbieter.

August 2026: Das operative Kernproblem für DACH-Unternehmen

Die vollständige Anwendbarkeit des AI Act ab dem 2. August 2026 betrifft vor allem Hochrisiko-KI-Systeme — und die Definition ist weiter, als viele Compliance-Teams annehmen. Systeme in der Personalentscheidung, im Kreditwesen, in der kritischen Infrastruktur und in der Produktion fallen unter strenge Anforderungen: Human-in-the-Loop-Prozesse, Risikobewertungen, Dokumentationspflichten und Registrierung in der EU-Datenbank für Hochrisiko-KI.

Das Problem: Laut aktuellen Erhebungen haben 94 Prozent der deutschen Mittelstandsfirmen noch keine KI implementiert (Quelle: Dr. Justus & Partners, Januar 2026). Gleichzeitig unterstützt KI bereits 25 Prozent der Aufgaben in deutschen Großunternehmen, mit einer Erwartung von 41 Prozent in zwei Jahren (Quelle: E3-Magazin, Januar 2026). Der Compliance-Rückstand ist damit strukturell: Wer KI schnell skaliert, ohne gleichzeitig die regulatorischen Anforderungen zu operationalisieren, baut ein regulatorisches Risiko auf, das ab August 2026 sofort sanktionierbar wird.

Für Hochrisiko-Systeme in regulierten Produkten — etwa Medizintechnik oder Sicherheitskomponenten — gilt sogar eine verlängerte Frist bis zum 2. August 2027. Das ist kein Freifahrtschein, sondern eine Übergangsregelung, die aktive Vorbereitung voraussetzt.

Apply AI Strategy: Förderinstrument mit politischem Subtext

Die Apply AI Strategy der EU-Kommission ist mehr als ein Förderprogramm. Sie ist der Versuch, die KI-Adoption in Europa durch eine "AI-First"-Politik und einen expliziten "Buy European"-Grundsatz zu steuern. Europäische Digitale Innovationszentren (EDIHs) werden zu AI Experience Centres ausgebaut, Regulatory Sandboxes sollen Pilotprojekte beschleunigen, und die Apply AI Alliance dient als Vernetzungsforum für Unternehmen und Verwaltung.

Der strategische Subtext für Entscheider: Die EU positioniert Compliance nicht als Kostenfaktor, sondern als Wettbewerbsvorteil gegenüber US- und chinesischen Anbietern. Unternehmen, die frühzeitig AI-Act-konforme Systeme einführen, können diesen Konformitätsstatus als Differenzierungsmerkmal gegenüber Kunden in regulierten Branchen nutzen — insbesondere im B2B-Segment. Nicht verifizierbare Behauptungen, wonach spezifische Sovereign-AI-Partnerschaften die Nutzung in Konzernen um konkrete Prozentwerte gesteigert hätten, sollten Entscheider kritisch hinterfragen: Für solche Zahlen fehlen belastbare Primärquellen.

So What? Die strategische Einordnung für das Management

Der EU AI Act ist kein künftiges Risiko — er ist ein gegenwärtiges Compliance-Erfordernis, das in mehreren Wellen eskaliert. Unternehmen, die erst auf den August 2026 warten, um mit der Umsetzung zu beginnen, werden die Frist nicht einhalten. Die notwendigen Schritte — GAP-Analyse des KI-Portfolios, Klassifizierung nach Risikokategorien, Aufbau interner Governance-Strukturen, Schulung nach Literacy-Pflicht und Registrierung von Hochrisiko-Systemen — erfordern mindestens sechs bis zwölf Monate operative Vorlaufzeit. Die Omnibus-Verordnung, die den AI Act praxisnäher gestalten soll, ist noch nicht verabschiedet. Auf eine regulatorische Entlastung zu warten ist keine valide Strategie, solange die Verhandlungen laufen und der bestehende Rechtsrahmen gilt. Gleichzeitig bietet die Apply AI Strategy konkrete Förderinstrumente, die Unternehmen nutzen können, um Compliance-Investitionen teilweise zu refinanzieren.

Fazit: Drei Prioritäten für Entscheider bis August 2026

Erstens: Sofortiger KI-Inventar. Jedes im Unternehmen genutzte KI-System — inklusive Schatten-KI in Fachabteilungen — muss erfasst und nach den vier Risikokategorien des AI Act klassifiziert werden. Ohne vollständige Übersicht ist keine Compliance möglich. Zweitens: Governance vor Technologie. Policies, Dokumentationsprozesse und Human-in-the-Loop-Strukturen für Hochrisiko-Systeme müssen etabliert sein, bevor neue KI-Lösungen in Produktion gehen. Die Literacy-Pflicht erfordert zudem nachweisbare Schulungsmaßnahmen. Drittens: Regulatorische Unsicherheit aktiv managen. Die Omnibus-Debatte und laufende Konkretisierungen durch nationale Behörden werden den AI Act in Details noch verändern. Unternehmen brauchen einen Monitoring-Prozess, der regulatorische Updates systematisch in die interne Compliance-Roadmap überführt. Wer diese drei Prioritäten jetzt adressiert, hat bis August 2026 eine realistische Chance auf vollständige Konformität.