Heute ist der 7. Juli 2026. In knapp vier Wochen ist Stichtag. Das steht überall, und es stimmt sogar. Aber die Geschichte dahinter ist komplizierter, als jede Instagram-Kachel dir erzählt. Meine These: Der 2. August 2026 wird kommen, aber nicht so, wie du das vielleicht aus den Schlagzeilen der letzten Wochen mitgenommen hast. Ein Teil der Pflichten ist längst in Kraft, ein anderer Teil wird in den nächsten Tagen um bis zu 16 Monate verschoben, und für die allermeisten EPU und KMU in Österreich bleibt am Ende weniger übrig, als die Panikmache suggeriert. Ich bin zertifizierter KI-Beauftragter nach ISO 42001 und beobachte diesen Prozess seit dem ersten Entwurf des AI Act, deshalb ordne ich dir das jetzt sauber ein, Datum für Datum. Schauen wir uns an, was von den sechs Pflichten aus den aktuellen Warnungen tatsächlich am 2. August greift.
Was ist am 2. August 2026 wirklich los?
Der EU AI Act ist seit 1. August 2024 in Kraft und tritt seither stufenweise in Anwendung. Zwei Etappen liegen bereits hinter uns: Seit 2. Februar 2025 gelten die Verbote für unakzeptable KI-Praktiken und die KI-Kompetenzpflicht aus Artikel 4. Seit 2. August 2025 gelten die Pflichten für Anbieter von General Purpose AI Models, also für Unternehmen wie OpenAI, Google oder Anthropic. Der 2. August 2026 war ursprünglich als der große Knall geplant, an dem sämtliche Hochrisiko-Pflichten nach Anhang III vollständig scharf geschalten werden sollten.
Und genau da hat sich in den letzten Wochen etwas Wesentliches getan, worüber ich schon im April geschrieben habe, als die Situation noch weniger klar war. Mittlerweile ist der Prozess fast durch: Das Europäische Parlament hat am 16. Juni 2026 zugestimmt, der Rat der EU hat am 29. Juni 2026 grünes Licht gegeben. Was jetzt noch fehlt, ist die Veröffentlichung im Amtsblatt der EU, die laut mehreren auf EU-Recht spezialisierten Kanzleien noch vor dem 2. August erwartet wird. Formal bindend sind die neuen Fristen erst mit dieser Veröffentlichung, aber realistisch betrachtet ist der politische Prozess abgeschlossen. Es wäre ungewöhnlich, wenn sich daran jetzt noch etwas ändert.
Kurz erklärt: Die Begriffe, die in jedem Artikel auftauchen
Hochrisiko-KI meint Systeme, die in sensiblen Bereichen eingesetzt werden und direkten Einfluss auf Menschen haben, etwa bei Bewerbungsauswahl, Kreditvergabe, medizinischer Diagnostik oder biometrischer Identifikation. Für diese Systeme gelten die strengsten Pflichten des AI Act: Risikomanagement, technische Dokumentation, menschliche Aufsicht, Registrierung in einer EU-Datenbank.
GPAI, General Purpose AI Models, sind die großen Sprachmodelle, auf denen Tools wie ChatGPT, Claude oder Gemini aufbauen. Die Pflichten dafür treffen in erster Linie die Anbieter dieser Modelle, nicht die Unternehmen, die sie über eine Oberfläche oder API nutzen.
Digital Omnibus ist das Reform-Paket, mit dem die EU-Kommission im November 2025 begonnen hat, den AI Act (und andere Digitalgesetze) zu entschlacken. Der Grund dafür ist unbequem, aber ehrlich: Die technischen Normen, die CEN und CENELEC für die Hochrisiko-Vorgaben erarbeiten sollten, waren zum geplanten Stichtag schlicht nicht fertig. Unternehmen hätten also Regeln einhalten müssen, deren technische Definition noch gar nicht existiert. Das war rechtlich kaum haltbar, deshalb wurde nachjustiert.
Was sich durch den Digital Omnibus konkret verschiebt
Hier die Kurzfassung, die für die meisten von euch tatsächlich relevant ist:
- Hochrisiko-KI nach Anhang III (Bewerbungsauswahl, Kreditscoring, Bildungszugang, kritische Infrastruktur, Strafverfolgung): Frist verschiebt sich von 2. August 2026 auf 2. Dezember 2027. Das sind 16 Monate mehr Zeit.
- Hochrisiko-KI nach Anhang I (eingebettet in Medizinprodukte, Maschinen, Fahrzeuge): neue Frist ist 2. August 2028.
- Wasserzeichenpflicht für Anbieter (Artikel 50 Absatz 2) bei Systemen, die schon vor August 2026 am Markt waren: verschiebt sich auf 2. Dezember 2026.
- Neu dazugekommen ist ein Verbot für KI-Systeme, die nicht einvernehmliche intime Bildinhalte oder Missbrauchsdarstellungen erzeugen. Das tritt ebenfalls am 2. Dezember 2026 in Kraft.
Was sich nicht verschiebt, ist der Kern von Artikel 50: die Transparenzpflichten für alle, die KI-Systeme im Kundenkontakt einsetzen oder KI-generierte Inhalte veröffentlichen. Die bleiben auf 2. August 2026. Das ist der Teil, den viele Artikel gerade unter den Tisch fallen lassen, weil „Verschiebung“ sich als Schlagzeile besser verkauft als „teilweise Verschiebung, teilweise nicht“.
Wenn du wissen willst, wie sich das für dich als Einzelunternehmer konkret auswirkt, hab ich das im April schon einmal aufgedröselt, als die politische Einigung noch nicht stand: was der Digital Omnibus für EPU wirklich ändert. Und die offizielle Quelle für den aktuellen Stand der neuen Fristen findest du direkt bei der EU-Kommission zu den Leitlinien für Hochrisiko-KI-Systeme.
Die 6 Punkte einmal ehrlich durchgegangen
Schauen wir uns die sechs Pflichten an, die gerade als das Wichtigste kursieren, und zwar mit dem aktuellen Stand, nicht mit dem Stand von vor zwei Monaten.
KI-Inventar. Wissen, welche KI-Tools in deinem Betrieb im Einsatz sind, klingt banal, ist aber der einzige Punkt auf der Liste, der von keiner Verschiebung betroffen ist und den auch niemand verschieben würde. Das ist keine Pflicht aus einem bestimmten Artikel, das ist gesunder Menschenverstand, der zufällig auch Compliance-relevant ist. Eine Steuerberaterin aus Wels, mit der ich vor Kurzem gearbeitet hab, war überrascht, wie viele Tools mit KI-Funktion sie eigentlich schon nutzt, ohne das je aufgeschrieben zu haben. Zwanzig Minuten, eine Tabelle, fertig.
Schulung mit Nachweis. Das ist Artikel 4, die KI-Kompetenzpflicht, und die gilt bereits seit 2. Februar 2025. Daran ändert der Digital Omnibus nichts, egal was du dazu online liest. Was du brauchst, ist kein Zertifikat, sondern ein nachvollziehbarer Nachweis, dass sich dein Team mit dem Thema auseinandergesetzt hat. Wie das in der Praxis aussehen kann, hab ich hier im Detail durchgespielt: Artikel 4 AI Act, warum KI-Kompetenz deine unternehmerische Pflicht ist.
Chatbot-Transparenz. Auch das ist Artikel 50, und der bleibt auf 2. August 2026. Wer auf seiner Website einen Chatbot mit LLM-Backend betreibt, muss erkennbar machen, dass dort eine KI antwortet. Der Aufwand dafür ist ein Satz im Chatfenster, kein Rechtsgutachten.
KI-Inhalte kennzeichnen. Hier wird es differenzierter, und genau diese Differenzierung übersehen die meisten Ratgeber. Für dich als Betreiber, der KI-generierte Bilder oder Texte veröffentlicht, gilt die Kennzeichnungspflicht ab 2. August 2026. Für die technischen Anbieter der Bildgeneratoren, die ihre Outputs maschinenlesbar markieren müssen, verschiebt sich das bei bereits existierenden Systemen auf Dezember 2026. Das betrifft aber primär die Tool-Hersteller, nicht dich als Nutzer. Wie ich das auf digitalhandwerk.rocks konkret umgesetzt habe und was der Unterschied zwischen Bild- und Text-Kennzeichnung ist, steht hier: EU-Icons für KI-Kennzeichnung.
Verbotene Praktiken kennen. Emotionserkennung am Arbeitsplatz, Social Scoring, manipulative KI-Systeme, das alles ist seit 2. Februar 2025 verboten, unverändert und unbefristet. Der Digital Omnibus hat das nicht angerührt, im Gegenteil, er fügt sogar ein neues Verbot hinzu, nämlich für KI-generierte nicht einvernehmliche intime Inhalte. Wer glaubt, hier hätte sich durch die Verschiebungen irgendetwas entspannt, liegt falsch.
Risiko einordnen. Das ist der Punkt, bei dem die Verschiebung tatsächlich zählt. Wenn du als EPU oder KMU fertige Tools wie ChatGPT, Claude oder Copilot für Texterstellung, Recherche oder Kundenkommunikation nutzt, warst du schon vorher kaum in der Hochrisiko-Zone. Jetzt haben selbst die wenigen Betriebe, die tatsächlich Annex-III-Systeme einsetzen, etwa für automatisierte Bewerbervorauswahl, bis Dezember 2027 Zeit. Ich hab das im März schon einmal in aller Ruhe durchgerechnet, welche gängigen Tools in welche Kategorie fallen: EU AI Act 2026, was KMU wissen müssen.
Und was ist mit ChatGPT, Claude und Gemini selbst?
Eine Frage, die mir in Beratungsgesprächen ständig begegnet: Bin ich jetzt schon irgendwie mitverantwortlich, weil ich täglich mit Claude arbeite oder ChatGPT für Angebote nutze? Die Antwort bleibt auch nach dem Digital Omnibus dieselbe wie vorher. Die GPAI-Pflichten aus Kapitel V des AI Act, technische Dokumentation, Urheberrechts-Compliance, Zusammenfassungen der Trainingsdaten, treffen die Anbieter dieser Modelle, also Anthropic, OpenAI oder Google. Diese Pflichten gelten bereits seit 2. August 2025, mit vollem Durchsetzungsmandat der Kommission seit demselben Datum. Als Nutzer über eine Weboberfläche oder API bist du in dieser Kette nicht der Adressat. Du profitierst höchstens indirekt davon, weil die Anbieter jetzt offenlegen müssen, wie ihre Modelle trainiert wurden und welche systemischen Risiken sie einschätzen. Das ändert nichts an deiner eigenen Pflicht zur Kennzeichnung, wenn du mit diesen Tools Inhalte erzeugst, die du veröffentlichst, aber es bedeutet, dass du keine zusätzliche GPAI-Prüfung für dich selbst brauchst, nur weil du ein Sprachmodell benutzt.
Was das für den Strafrahmen bedeutet
Der AI Act hat einen Strafrahmen, der über der DSGVO liegt, und das sollte man ehrlich sagen, statt es klein zu reden. Verbotene Praktiken können mit bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden. Verstöße bei Hochrisiko-Pflichten und Transparenzpflichten liegen bei bis zu 15 Millionen Euro oder 3 Prozent. Für falsche Angaben gegenüber Behörden sind es bis zu 7,5 Millionen Euro oder 1,5 Prozent. Für KMU und Kleinstunternehmen gilt dabei jeweils der niedrigere der beiden Beträge als Obergrenze, das ist eine der Erleichterungen, die der Digital Omnibus für kleinere Unternehmen zusätzlich ausgebaut hat.
Wichtig für die Praxis: Eine sofortige Bußgeldwelle am 3. August ist unwahrscheinlich. Die zuständigen Marktüberwachungsbehörden, in Österreich wird das voraussichtlich über die Wirtschaftskammer und nachgeordnete Stellen koordiniert, agieren erfahrungsgemäß zuerst mit Hinweisen und Fristen, bevor Bußgelder überhaupt ein Thema werden. Das ist aber kein Freibrief, sondern eine realistische Einschätzung, wie Verwaltungsvollzug in der EU normalerweise anläuft. Wer gar nichts dokumentiert hat, wenn eine Behörde tatsächlich nachfragt, steht trotzdem schlechter da als jemand mit einer einfachen, aber vorhandenen KI-Inventur.
Die nächsten vier Wochen, konkret heruntergebrochen
Falls du bis jetzt noch nichts gemacht hast, ist das kein Beinbruch, aber es ist auch kein Grund, weiter zu warten. Drei Schritte reichen für den Großteil der EPU und KMU, die keine Hochrisiko-Systeme betreiben:
- KI-Inventur bis Ende dieser Woche. Eine Tabelle mit drei Spalten: Tool, Zweck, verarbeitete Daten. Nicht mehr, nicht weniger.
- Schulungsnachweis bis Ende Juli. Ein Datum, ein Thema, eine Unterschrift, das reicht als erster Beleg für Artikel 4. Wenn du Mitarbeitende hast, gilt das für jede Person, die KI-Tools nutzt.
- Chatbot und veröffentlichte KI-Inhalte prüfen, bevor der 2. August kommt. Ein Satz im Chatfenster, ein Hinweis im Impressum oder direkt bei Bild und Text, das erledigt die Transparenzpflicht.
Das ist überschaubar. Es ist eher ein Nachmittag als ein Projekt.
Häufige Fragen zum EU AI Act und zum 2. August 2026
Was ich dir mitgeben will: Die Schlagzeile „In 4 Wochen gilt der AI Act“ ist nicht falsch, aber sie ist unvollständig, und unvollständige Schlagzeilen erzeugen genau die Panik, die niemandem hilft. Mach dein KI-Inventar, dokumentier deine Auseinandersetzung mit dem Thema, kennzeichne deinen Chatbot und deine KI-Bilder, und lass die Hochrisiko-Debatte dort, wo sie hingehört, nämlich bei den wenigen Betrieben, die tatsächlich betroffen sind. Der Rest ist erledigt, sobald du diesen Artikel zu Ende gelesen hast.
Die Checkliste zum Ausdrucken
Ich hab dir aus den sechs Punkten oben eine druckbare Checkliste gebaut, mit denselben drei Blöcken: was seit Februar 2025 läuft, was am 2. August scharf wird, und was fast niemanden von euch betrifft. Zwei Seiten, sieben Punkte zum Abhaken, Platz für Datum und Notiz. Kein Ersatz für eine Rechtsberatung, aber ein guter Ausgangspunkt, wenn du das Thema heute Nachmittag abhaken willst statt es weiter vor dir herzuschieben.
