EU AI Act: Ab August 2026 gelten Hochrisiko-Pflichten für alle Unternehmen

Ab August 2026 greifen die zentralen Anforderungen des EU AI Act (Verordnung 2024/1689) verbindlich — und zwar für alle Unternehmen, die KI-Systeme entwickeln, einsetzen oder importieren, unabhängig von Branche oder Unternehmensgröße. Wer Hochrisiko-KI betreibt — etwa in den Bereichen Recruiting, Kreditscoring, medizinische Diagnostik oder kritische Infrastruktur — muss dann einen Verantwortlichen für die KI-Compliance benennen, regelmäßige Risikoberichte und Audits vorlegen, menschliche Überprüfbarkeit der Systeme sicherstellen und eine CE-Kennzeichnung nach Konformitätsbewertung nachweisen. KMU erhalten zwar vereinfachte Dokumentationspflichten, sind aber von den Kernverpflichtungen nicht ausgenommen.

Der AI Act folgt einem risikobasierten Stufenmodell: Seit Februar 2025 sind inakzeptable Praktiken wie Social Scoring und biometrische Massenüberwachung verboten, seit August 2025 gelten GPAI-Regeln und Transparenzpflichten für Chatbots. Ab August 2026 kommen nun die schärfsten Anforderungen für Hochrisiko-Systeme zum Tragen. Hinzu tritt ab diesem Datum die Pflicht zur klaren Kennzeichnung KI-generierter Inhalte — Nutzer müssen erkennen können, wann sie mit einem KI-System interagieren, inklusive Offenlegung von Funktionsweise und Datenquellen.

Hochrisiko-KI: Die neuen Pflichten im Detail

Systeme, die einen signifikanten Einfluss auf Grundrechte oder Sicherheit haben, werden als Hochrisiko-KI eingestuft. Unternehmen müssen hierfür ein robustes Risikomanagementsystem etablieren, das über den gesamten Lebenszyklus der KI hinweg potenzielle Gefahren identifiziert und minimiert. Besonders kritisch ist die Anforderung an die Datenqualität: Trainings-, Validierungs- und Testdatensätze müssen relevant, repräsentativ und fehlerfrei sein, um Diskriminierung zu verhindern. Zudem ist eine lückenlose technische Dokumentation erforderlich, die Behörden jederzeit Einblick in die Funktionsweise gewährt.

Transparenz und Kennzeichnungspflichten

Ein zentraler Pfeiler der Regulierung ab August 2026 ist die Kennzeichnungspflicht nach Artikel 50 des AI Act. Anbieter von KI-Systemen, die Texte, Bilder oder Audioinhalte erzeugen, müssen sicherstellen, dass diese als KI-generiert erkennbar sind. Dies dient dem Schutz vor Deepfakes und der Förderung des Vertrauens in digitale Medien. Ausnahmen bestehen lediglich für Inhalte, die offensichtlich künstlerischer, kreativer oder satirischer Natur sind, sofern sie die Rechte Dritter nicht verletzen. Die technische Umsetzung dieser Wasserzeichen oder Metadaten stellt viele Unternehmen aktuell vor operative Herausforderungen.

Sanktionen und wirtschaftliche Risiken

Die EU setzt bei der Durchsetzung auf empfindliche Strafen. Bei Verstößen gegen die Hochrisiko-Vorgaben drohen Bußgelder von bis zu 15 Mio. EUR bzw. 3 % des weltweiten Jahresumsatzes (gemäß Art. 99 Abs. 4 der Verordnung 2024/1689). Für KMU und Startups ist vorgesehen, dass jeweils der niedrigere Betrag als Obergrenze herangezogen wird, um Innovationen nicht im Keim zu ersticken. Dennoch ist das finanzielle Risiko erheblich, da neben den Bußgeldern auch Reputationsschäden und der Ausschluss vom EU-Binnenmarkt drohen.

Status der KI-Haftung und BDI-Position

Eine separate KI-Haftungsrichtlinie (AI Liability Directive) mit Beweislastumkehr, die ursprünglich als ergänzendes Instrument diskutiert wurde, ist nach aktuellem Stand (März 2026) nicht verabschiedet. Die EU-Kommission hat den Vorschlag im Februar 2025 zurückgezogen, da die zeitgleich modernisierte Produkthaftungsrichtlinie (PLD) bereits wesentliche Aspekte der Softwarehaftung abdeckt. Der Bundesverband der Deutschen Industrie (BDI) hatte zuletzt keinen Bedarf für eine solche zusätzliche Regulierung gesehen und vor einer Überregulierung gewarnt, die den Standort Europa schwächen könnte.

So What? – Die strategische Einordnung

Für Entscheider in der DACH-Region bedeutet das Ende der Schonfrist: Wer bis August 2026 keine Compliance-Strukturen etabliert hat, riskiert nicht nur hohe Strafen, sondern verliert die rechtliche Basis für den Betrieb seiner KI-Lösungen. Die CE-Kennzeichnung wird zum "Pass" für den digitalen Markt. Unternehmen sollten jetzt ihre KI-Inventur abschließen und Systeme nach Risikoklassen priorisieren, um die regulatorischen Hürden rechtzeitig zu nehmen.

Fazit: Was jetzt wichtig ist

Für Entscheider in der DACH-Region gilt: Beobachten Sie die Entwicklung eng, priorisieren Sie regulatorische und operative Auswirkungen auf Ihr Unternehmen und leiten Sie klare nächste Schritte mit messbarem Nutzen ab.