EU AI Act 2026: Was jetzt für den Mittelstand gilt – und was Unternehmen jetzt tun sollten

Der 2. August 2026 rückt näher, und mit ihm ein weiterer wichtiger Meilenstein bei der Umsetzung des EU AI Act. Rund um diesen Termin kursieren derzeit viele Informationen, manche richtig, andere zu kurz gedacht oder mit anderen Fristen vermischt. Für Unternehmen ist es deshalb schwer zu erkennen, was jetzt tatsächlich relevant ist.

Klar ist: Der EU AI Act wird nicht an einem einzigen Stichtag vollständig wirksam. Einige Regelungen gelten bereits seit 2025, weitere werden ab August 2026 anwendbar, und für bestimmte Hochrisiko-Systeme greifen erst deutlich später Fristen.

Für den Mittelstand zählt deshalb weniger die Frage, was am 2. August konkret gilt, sondern wo das eigene Unternehmen aktuell steht: Welche KI-Systeme sind im Einsatz, welche Daten verarbeiten sie, und welche Rolle spielen sie in den eigenen Prozessen? Wer das nicht weiß, wird auch kommende Anforderungen nur schwer zuverlässig einordnen können.

Die wichtigsten Fristen im Überblick

Der EU AI Act verfolgt einen risikobasierten Ansatz: Nicht jede KI-Anwendung unterliegt denselben Anforderungen. Entscheidend ist unter anderem, wofür ein System eingesetzt wird, welches Risiko davon ausgeht und welche Rolle ein Unternehmen dabei einnimmt.

Die wichtigsten Meilensteine im Überblick:

Die Fristen zeigen vor allem eines: Der AI Act lässt sich nicht auf einen einzigen Stichtag reduzieren. Entscheidend bleibt immer der konkrete Anwendungsfall.

Was bedeutet der 2. August 2026 konkret?

Ab August 2026 wird ein weiterer großer Teil des AI Act anwendbar, darunter die Transparenzanforderungen nach Artikel 50. Diese gelten allerdings nicht pauschal für jede KI-Nutzung, sondern richten sich nach dem konkreten Anwendungsfall. Je nach Einsatz kann das etwa bedeuten, dass Menschen erkennen können müssen, wenn sie mit einem KI-System interagieren, oder dass bestimmte KI-generierte oder manipulierte Inhalte gekennzeichnet werden müssen.

Für Unternehmen zählt deshalb weniger, dass irgendwo KI eingesetzt wird, sondern welches System für welchen Zweck genutzt wird. Ein KI-Tool, das Mitarbeitende bei der Erstellung eines Textentwurfs unterstützt, ist entsprechend anders zu bewerten als ein System, das Bewerbungen auswertet, Entscheidungen über Menschen mit vorbereitet oder Teil eines regulierten Produkts ist.

Bereits heute relevant ist zudem das Thema KI-Kompetenz: Die entsprechenden Regelungen gelten schon seit Februar 2025. Unternehmen sollten sicherstellen, dass Mitarbeitende, die mit KI-Systemen arbeiten, die für ihre Tätigkeit notwendigen Kenntnisse über deren Möglichkeiten, Grenzen und Risiken besitzen. Welche Maßnahmen dafür sinnvoll sind, hängt vom jeweiligen Einsatz ab: Wer KI nur für einfache Textentwürfe nutzt, braucht andere Kenntnisse als Mitarbeitende, die KI in geschäftskritischen Prozessen oder mit sensiblen Daten einsetzen.

Hochrisiko-KI: Mehr Zeit, aber kein Grund zum Abwarten

Die Anforderungen an Hochrisiko-KI gehören zu den umfangreichsten Vorgaben des AI Act. Dazu zählen unter anderem Vorgaben zu Risikomanagement, Daten und Daten-Governance, technischer Dokumentation, Protokollierung, menschlicher Aufsicht sowie Genauigkeit, Robustheit und Cybersicherheit.

Durch die aktuellen Änderungen des regulatorischen Rahmens wurden die Fristen für bestimmte Hochrisiko-Systeme verschoben. Das verschafft Unternehmen mehr Zeit, nimmt ihnen aber nicht die Notwendigkeit, sich mit dem Thema auseinanderzusetzen. Gerade bei komplexen KI-Anwendungen können die notwendigen Vorbereitungen aufwendig sein: Prozesse müssen angepasst, Verantwortlichkeiten geklärt und technische Grundlagen geschaffen werden. Wer erst kurz vor Ablauf einer Frist beginnt, die eigenen KI-Anwendungen zu analysieren, startet damit möglicherweise zu spät.

KI-Compliance beginnt mit Transparenz

Eine allgemeine gesetzliche Pflicht, dass jedes Unternehmen ein formales KI-Inventar führen muss, gibt es nicht. Trotzdem ist ein strukturierter Überblick über die eigene KI-Landschaft ein sinnvoller Ausgangspunkt, denn in vielen Unternehmen ist längst nicht mehr vollständig nachvollziehbar, wo überall KI zum Einsatz kommt.

Mitarbeitende nutzen generative KI für Texte und Recherche, Marketing-Teams arbeiten mit KI-Tools für Bilder und Inhalte, Entwickler setzen KI-Assistenten ein, und Fachabteilungen nutzen Software mit integrierten KI-Funktionen. Auch in bestehenden Geschäftsprozessen werden zunehmend KI-basierte Funktionen ergänzt. So entsteht schnell eine dezentrale KI-Landschaft, die kaum noch jemand vollständig überblickt.

Wer diese Landschaft nicht kennt, kann nur schwer beurteilen, welche Risiken bestehen und welche regulatorischen Anforderungen für die einzelnen Anwendungen relevant sind. Die Auseinandersetzung mit KI-Compliance sollte deshalb nicht bei der Frage beginnen, welche Dokumente erstellt werden müssen, sondern bei drei grundsätzlicheren Fragen:

• Welche KI setzen wir ein?
• Welche Risiken und Anforderungen entstehen dadurch?
• Und was müssen wir konkret tun?

Daraus ergeben sich drei Schritte:

Wer diese drei Schritte strukturiert durchläuft, schafft eine Grundlage, um regulatorische Anforderungen gezielt einzuordnen, statt bei jeder neuen Frist wieder von vorne anzufangen.

Kein Grund zur Panik, aber auch kein Grund zum Abwarten 

Wer weiß, welche KI-Systeme im eigenen Unternehmen tatsächlich eingesetzt werden, welche Daten sie verarbeiten und welche Rolle sie in den eigenen Prozessen spielen, hat die wichtigste Grundlage bereits geschaffen.

Der 2. August 2026 ist deshalb kein Grund zur Panik, aber ein guter Anlass, genauer hinzuschauen.

Sie möchten wissen, wo Ihr Unternehmen beim Thema KI steht? Wir unterstützen Sie dabei, Ihre KI-Landschaft zu verstehen, Risiken einzuordnen und die nächsten Schritte zu definieren.