Der AI-Act-Stichtag ist verstrichen — und fast niemand hat es gemerkt
Am 2. August 2026 sind die Transparenzpflichten des EU AI Act bußgeldbewehrt geworden. Kein Countdown, keine Behördenpost, keine Schlagzeile in der Regionalpresse. Für die meisten Betriebe im Rheinland ist der Tag vergangen wie jeder andere.
Fünf Tage vorher hatte der sogenannte Digital Omnibus über 40 Artikel der Verordnung geändert und einige Fristen verschoben — was die Lage nicht übersichtlicher gemacht hat. Wer jetzt danach sucht, findet vor allem zwei Sorten Text: Kanzleiseiten, die Bußgelder in Millionenhöhe in die Überschrift setzen, und Beruhigungsartikel, die sinngemäß sagen, das betreffe ohnehin nur Konzerne.
Beides hilft nicht weiter. Dieser Artikel versucht das Nüchterne: Was gilt jetzt tatsächlich für einen Betrieb mit zwölf Leuten?
Vorweg, damit es klar ist: Wir sind IT-Dienstleister, keine Rechtsanwaltskanzlei. Was hier steht, ist eine Einordnung nach bestem Wissen und keine Rechtsberatung. Die Angaben stammen aus dem Verordnungstext und aus Zusammenfassungen von IHK und Fachpresse, Stand Anfang August 2026. Wo es eng wird, sagen wir das — und raten zur Anwältin.
Die Pflicht, die fast alle übersehen
Die meiste Aufmerksamkeit bekommt Artikel 50, die Transparenzpflicht. Die praktisch relevanteste Vorschrift für kleine Betriebe ist aber eine andere, und sie gilt schon seit dem 2. Februar 2025:
Artikel 4 — KI-Kompetenz. Wer KI einsetzt, muss dafür sorgen, dass die Menschen, die damit arbeiten, sie auch verstehen: was das Werkzeug kann, wo es danebenliegt, welche Risiken es mitbringt.
Diese Pflicht kennt keine Größengrenze. Sie trifft die Steuerkanzlei mit vier Mitarbeitenden genauso wie den Konzern. Und sie trifft auch dann, wenn niemand im Haus glaubt, „KI einzusetzen" — denn:
- Wer ChatGPT für Angebotstexte nutzt, setzt KI ein.
- Wer den Copilot in Microsoft 365 aktiviert hat, setzt KI ein.
- Wer eine Software gekauft hat, in der eine KI-Funktion steckt, setzt KI ein.
Der AI Act unterscheidet nicht zwischen „bewusst eingekauft" und „war halt dabei".
Was reicht, um die Pflicht zu erfüllen? Keine Zertifizierung, kein Wochenkurs. Eine dokumentierte Einweisung genügt in aller Regel: Wer wurde wann worin eingewiesen, welche Regeln gelten für vertrauliche Daten, wer prüft die Ergebnisse. Eine Seite Papier, jährlich aufgefrischt. Der Aufwand ist gering — der Punkt ist, dass es sie überhaupt gibt.
Was seit dem 2. August 2026 dazugekommen ist
Artikel 50 regelt Transparenz. Die Pflichten selbst galten schon länger; durchsetzbar mit Bußgeld sind sie seit dem 2. August 2026. Drei Fälle sind für den Mittelstand relevant:
1. Chatbots müssen sich zu erkennen geben
Wer auf Ihrer Website mit einem Assistenten schreibt oder Ihren Telefonassistenten am Ohr hat, muss erfahren, dass ihm eine Maschine antwortet. Bei der ersten Interaktion, nicht in der Datenschutzerklärung.
Ein Satz reicht:
Sie schreiben hier mit einem KI-Assistenten, nicht mit einem Menschen. Möchten Sie mit einer Person sprechen, rufen Sie uns an — wir melden uns.
Das ist keine Zumutung für den Nutzer. Es ist ohnehin die Information, die er als Erstes haben will.
2. Erzeugte Bilder, Audios und Videos sind zu kennzeichnen
Die Vorschrift zielt auf Deepfakes: auf Inhalte, die reale Personen oder reale Ereignisse zeigen. Eine generische Illustration auf einer Leistungsseite fällt dem Wortlaut nach nicht darunter.
Wir kennzeichnen unsere trotzdem. Nicht, weil wir müssten, sondern weil es nichts kostet und einer wettbewerbsrechtlichen Abmahnung von vornherein die Grundlage nimmt. Wie das bei uns aussieht, steht offen auf unserer Seite zur KI-Transparenz.
Die maschinenlesbare Markierung — Metadaten in der Bilddatei — ist eine andere Baustelle. Sie greift ab dem 2. Dezember 2026 und trifft die Anbieter der Generatoren, nicht Sie als Anwender.
3. Texte: die Ausnahme, die niemand kennt
Hier wird am meisten Unsinn verbreitet. Die Kennzeichnungspflicht für Texte greift nicht, wenn der Text vor der Veröffentlichung redaktionell geprüft wurde und jemand die inhaltliche Verantwortung dafür trägt.
Was Sie in diesem Fall brauchen, ist also kein Hinweis unter dem Artikel, sondern ein nachvollziehbarer Redaktionsprozess. Wer den nicht hat, hat das eigentliche Problem — nicht die fehlende Kennzeichnung.
Und ein Wort zur Praxis: Eine Kennzeichnung dort anzubringen, wo sie nicht verlangt ist, ist keine harmlose Übervorsicht. Sie kostet Vertrauen und sie kostet Sichtbarkeit bei Google. Bei Bildern kennzeichnen wir freiwillig, bei geprüften Texten bewusst nicht.
Die Verbote: kurz, aber ernst
Artikel 5 listet Praktiken, die schlicht untersagt sind — seit dem 2. Februar 2025, ohne Übergangsfrist. Der Bußgeldrahmen ist der höchste der ganzen Verordnung: bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes; für KMU gilt jeweils der niedrigere Betrag.
Für den normalen Mittelstand ist die Liste meist schnell abgehakt. Zwei Punkte begegnen uns in der Praxis aber doch:
Emotionserkennung am Arbeitsplatz. Software, die aus Stimme, Gesicht oder Tippverhalten auf den Gemütszustand von Mitarbeitenden schließt, ist am Arbeitsplatz und in Bildungseinrichtungen verboten. Manche Callcenter- und Vertriebswerkzeuge werben genau damit — „Stimmungsanalyse im Kundengespräch". Wenn dabei die eigenen Mitarbeitenden bewertet werden, ist das der kritische Fall.
Wichtig ist die Einschränkung: Außerhalb von Arbeitsplatz und Bildung greift dieses Verbot nicht. Wer pauschal „Emotionserkennung ist verboten" liest, liest es falsch.
Bewertung von Personen nach Sozialverhalten. Kommt selten vor, aber wer Kunden oder Bewerber anhand sachfremder Merkmale einstuft und daraus Nachteile ableitet, sollte genau hinsehen.
Bei beidem gilt: Das ist der Punkt, an dem eine Anwältin gefragt ist, nicht Ihr IT-Dienstleister.
Was der Digital Omnibus geändert hat
Am 28. Juli 2026 hat die EU über den Digital Omnibus zahlreiche Artikel angepasst und Fristen verschoben. Die ehrliche Auskunft lautet: Die Auswirkungen im Detail sind derzeit noch nicht in Ruhe ausgewertet.
Was sich für die Praxis abzeichnet:
- Der Stichtag 2. August 2026 für die Transparenzpflichten stand.
- Für Systeme, die schon vor dem 2. August 2025 im Einsatz waren, läuft eine Übergangsfrist bis zum 2. Dezember 2026. Wer ältere Software mit KI-Funktionen betreibt, hat also noch Zeit — aber eine ablaufende.
- Weitere Stufen folgen 2027 und 2028, vor allem für KI in regulierten Produkten und für Behörden.
Wir führen alle Fristen und Beträge in unserem System an genau einer Stelle. Stellt sich eine Angabe als überholt heraus, ist die Korrektur eine einzige Änderung — und dieser Artikel ist dann mit korrigiert. Das ist kein technisches Detail, sondern der ehrlichste Umgang mit einer Rechtslage, die sich noch bewegt.
Was Sie diese Woche tun können
Ohne Berater, ohne Budget, in etwa einer Stunde:
- Aufschreiben, wo KI im Haus ist. Auch das, was mitgeliefert wurde. Die Liste ist fast immer länger als gedacht.
- Eine Seite zur Einweisung schreiben. Wer wurde eingewiesen, was gilt für Kundendaten, wer prüft Ergebnisse. Damit ist Art. 4 in aller Regel erledigt.
- Chatbot prüfen. Falls einer läuft: Sagt er beim ersten Kontakt, dass er eine Maschine ist? Wenn nein — heute noch ändern.
- Bilder durchsehen. Was ist generiert, was ist Foto? Wo es um Personen oder Ereignisse geht, kennzeichnen.
- Datenschutzerklärung ergänzen. Ein Abschnitt zum KI-Einsatz, plus die Feststellung, dass keine automatisierte Einzelentscheidung nach Art. 22 DSGVO stattfindet.
Wenn Sie wissen wollen, was davon in Ihrem Fall überhaupt greift, haben wir dafür eine kostenlose Orientierungshilfe zum EU AI Act gebaut: acht Fragen, danach eine Übersicht der Pflichten, die nach Ihren Angaben in Betracht kommen — mit Fristen und fertigen Hinweistexten zum Übernehmen. Eine Rechtsprüfung ist das nicht und will es auch nicht sein.
Und wenn nichts passiert?
Wahrscheinlich passiert erst einmal nichts. Aufsichtsbehörden fangen selten beim Handwerksbetrieb an.
Das Risiko für kleine Unternehmen kommt erfahrungsgemäß aus einer anderen Richtung: von Wettbewerbern und von Kanzleien, die Abmahnungen als Geschäftsmodell betreiben. Ein Chatbot ohne Hinweis ist von außen in dreißig Sekunden zu sehen. Das ist billig zu finden — und damit lohnend abzumahnen.
Der Aufwand, das in Ordnung zu bringen, liegt bei den meisten Betrieben bei ein, zwei Stunden. Das ist kein Verhältnis, über das man lange nachdenken müsste.
Sie wollen das nicht selbst durchgehen? Wir setzen die technische Seite um — Kennzeichnung, Hinweise, Einweisung Ihres Teams — und sagen Ihnen offen, wo eine Anwältin oder ein Anwalt dazugehört. Kostenloses Erstgespräch oder ☎ 02173 1627748.