EU AI Act ab 2. August 2026: Was KMU jetzt wirklich tun müssen

Am Sonntag, dem 2. August 2026, gilt die nächste Stufe des EU AI Act. Wenn Sie in Ihrem Unternehmen KI einsetzen — auch „nur" ChatGPT, Copilot oder einen Chatbot auf der Website —, stellen sich drei ehrliche Fragen: Bin ich überhaupt betroffen? Was wird konkret gefordert? Und was lasse ich getrost bleiben?

Dieser Leitfaden beantwortet alle drei — ohne Panikmache und ohne verkaufte Angst. Er ist keine Rechtsberatung, sondern eine technische Einordnung von jemandem, der KI-Sicherheit praktisch prüft.

1) Was ändert sich am 02.08.2026 wirklich?

Der EU AI Act gilt gestaffelt. Zum 2. August 2026 kommen drei Dinge verbindlich dazu:

• Transparenzpflichten (Art. 50): Chatbots und KI-Systeme, die mit Menschen interagieren, müssen sich als KI zu erkennen geben. KI-generierte Inhalte müssen gekennzeichnet werden. Emotionserkennung muss offengelegt werden. Das ist die Neuerung, die die meisten KMU konkret trifft — etwa der Support-Chatbot auf der eigenen Website.
• Der Bußgeldrahmen wird voll scharf: Bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken (die bereits seit 02.02.2025 verboten sind); bis 15 Mio. € / 3 % bei vielen anderen Verstößen.
• Die Marktüberwachung arbeitet verbindlich: Es gibt ab dann Behörden, die Nachweise anfordern können.

Ebenso wichtig — was sich nicht ändert: Die GPAI-Pflichten gelten bereits seit August 2025 (kein neues Datum), und die schweren Hochrisiko-Pflichten kommen erst Ende 2027. Die Lage ist ernst, aber sie ist planbar.

2) Bin ich betroffen? Die ehrliche Trennschärfe

Der AI Act unterscheidet Rollen — und die entscheiden über Ihre Pflichten:

• Anbieter (Provider): Sie entwickeln ein KI-System oder lassen es unter Ihrem Namen auf den Markt. → Volle Pflichtenpalette.
• Betreiber (Deployer): Sie setzen KI nur ein — ChatGPT im Support, Copilot für Texte, ein gekaufter Chatbot. → Deutlich weniger Pflichten, aber nicht null.

Die meisten KMU sind Betreiber. Für sie heißt der 2. August 2026 konkret: KI-Systeme mit Mensch-Kontakt müssen als KI erkennbar sein (Art. 50) — und die Kernpflicht bleibt: Wissen, wo überall KI läuft, und das dokumentieren können.

3) Was konkret gefordert ist — in der Reihenfolge, die zählt

1. KI-Inventur: Wo setzen wir KI ein? (Auch Schatten-KI: die Mitarbeiterin, die Kundentexte privat in ChatGPT wirft.) Eine Seite pro System genügt: Zweck, Anbieter, Datenarten.
2. Risiko-Einordnung dokumentieren: Ist eines der Systeme „Hochrisiko" (z. B. Personalauswahl, Kreditwürdigkeit)? Für die meisten KMU: nein — aber die Prüfung sollte abgeheftet sein, nicht im Kopf.
3. Transparenz umsetzen (Art. 50): Chatbot auf der Website? Ab 02.08. muss erkennbar sein, dass Nutzer mit einer KI sprechen. KI-generierte Texte und Bilder kennzeichnen, wo sie publiziert werden.
4. Gebrauchsanweisungen lesen und befolgen: Der Betreiber-Kernpunkt. KI-Systeme haben Nutzungsbedingungen, die oft Datenverarbeitung regeln (darf ich Kundendaten eingeben oder nicht?).
5. Menschliche Aufsicht sicherstellen: KI-Ergebnisse, die Menschen betreffen, brauchen einen Menschen, der gegenliest — dokumentiert, nicht behauptet.
6. Technische Robustheit prüfen (bei eigenen KI-Features): Wenn Sie KI in Ihre Website oder App eingebaut haben: Ist sie gegen Angriffe wie Prompt Injection abgehärtet — und ist das nachweisbar? Das ist der Teil, den wir technisch prüfen: ehrlich, reproduzierbar, schriftlich.

4) Was Sie getrost lassen können

• Keine Panik-Zertifizierung kaufen. Es gibt kein „EU-AI-Act-Zertifikat". Wer eins verkauft, verkauft Papier.
• Keine 200-Seiten-Doku. Betreiber brauchen eine schlanke, ehrliche Dokumentation — keine Doktorarbeit.
• Keine Hektik bei der Hochrisiko-Doku. Die schweren Pflichten kommen erst 02.12.2027 — Zeit, sie sauber zu planen. Die Inventur (Punkt 1) brauchen Sie trotzdem jetzt.
• Keine KI-Verbote. Der AI Act verbietet nur konkret gelistete Praktiken. Normale KMU-Anwendungen sind nicht verboten.

5) Der ehrliche 4-Wochen-Plan

6) Was technische Prüfung leisten kann — und was nicht

Kann sie: Ihre KI-Anwendung gegen bekannte Angriffsmuster testen (Prompt Injection, Daten-Exfiltration, unsichere Tool-Anbindung), Befunde schriftlich dokumentieren, reproduzierbar machen — der technische Nachweisbaustein Ihrer Dokumentation.

Kann sie nicht: Rechtsberatung, „Compliance" aus einem Guss, die Bewertung, ob Ihr Einzelfall Hochrisiko ist. Wer das verspricht, verspricht zu viel.

Dieser Artikel ist eine technische Einordnung, keine Rechtsberatung. Für die Bewertung Ihres Einzelfalls: Fachanwalt für IT-Recht. Stand: 29. Juli 2026.

Referenzen

1. Europäische Union. Regulatory framework for AI. EU Digital Strategy.
2. Artificial Intelligence Act. Leitfaden für kleine Unternehmen.
3. ClawGuard Blog. EU AI Act für KMU: Die technische Compliance-Checkliste 2026 (mit Omnibus-Update).