Nach NIS-2 und DORA reiht sich mit dem EU AI Act die nächste fristengetriebene Regulierung ein, die den Mittelstand erreicht. Seit dem 2. August 2026 gilt die Verordnung (EU) 2024/1689 in weiten Teilen unmittelbar – und anders als bei NIS-2 gibt es keine sektorale Eingrenzung: Wer KI einsetzt oder anbietet, ist grundsätzlich im Anwendungsbereich. Zugleich hat der sogenannte Digital-Omnibus die politisch heikelsten Pflichten nach hinten geschoben. Das führt zu einem verbreiteten Missverständnis: „verschoben“ heißt nicht „erledigt“, und was seit August 2026 gilt, gilt scharf.
Dieser Beitrag ordnet ein, was seit dem 2. August 2026 tatsächlich anwendbar ist, was der Omnibus vertagt hat – und was ein mittelständisches Unternehmen jetzt konkret tun sollte.
Die Fristenlage, nüchtern sortiert
Der AI Act ist am 1. August 2024 in Kraft getreten und wird gestaffelt anwendbar. Die relevanten Stufen:
- 2. Februar 2025: Die Verbote (Art. 5) für inakzeptable KI-Praktiken sowie die Pflicht zur KI-Kompetenz („AI literacy“, Art. 4) gelten.
- 2. August 2025: Die Governance-Regeln und die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI, Art. 51 ff.) gelten.
- 2. August 2026: Die allgemeine Anwendbarkeit greift – insbesondere die Transparenzpflichten nach Art. 50 sowie das Sanktions- und Durchsetzungsregime.
- 2. Dezember 2027: Die Pflichten für Hochrisiko-Systeme nach Anhang III (eigenständige Anwendungen wie Bewerber-Screening, Kreditwürdigkeitsprüfung, Biometrie).
- 2. August 2028: Die Pflichten für Hochrisiko-Systeme, die in regulierte Produkte eingebettet sind (Anhang I).
Die beiden letzten Termine sind das Ergebnis des Digital-Omnibus: Die Hochrisiko-Pflichten des Anhangs III wurden vom ursprünglichen 2. August 2026 auf den 2. Dezember 2027 verschoben, die des Anhangs I vom 2. August 2027 auf den 2. August 2028. Diese Verschiebung entlastet Unternehmen, die Hochrisiko-Systeme betreiben oder entwickeln – sie ändert aber nichts an dem, was seit dem 2. August 2026 unmittelbar gilt.
Was seit dem 2. August 2026 scharf ist: Transparenz nach Art. 50
Die Transparenzpflichten aus Art. 50 wurden nicht verschoben. Sie treffen praktisch jedes Unternehmen, das generative KI im Kundenkontakt oder in der Content-Produktion einsetzt:
- Chatbot-Offenlegung (Art. 50 Abs. 1): Wer mit einem KI-System interagiert, muss darüber informiert werden – erkennbar in der Interaktion selbst, nicht versteckt in den AGB. Ein Support-Bot ohne klaren Hinweis ist damit nicht mehr regelkonform.
- Kennzeichnung KI-generierter Inhalte (Art. 50 Abs. 2): Ausgaben generativer Systeme müssen maschinenlesbar als künstlich erzeugt oder bearbeitet markiert werden. Für Bestandssysteme sieht die Verordnung eine Übergangsfrist bis zum 2. Dezember 2026 vor; neue Systeme müssen die Markierung sofort leisten.
- Deepfake- und Öffentlichkeits-Kennzeichnung (Art. 50 Abs. 4): Synthetische Medien, die reale Personen oder Ereignisse darstellen, sind sichtbar zu kennzeichnen. KI-erzeugte Texte zu Angelegenheiten von öffentlichem Interesse ebenfalls – es sei denn, sie durchlaufen eine dokumentierte redaktionelle Prüfung mit benannter Verantwortung.
Diese Pflichten klingen technisch, sind in der Praxis aber vor allem eine Frage der Prozessdisziplin: Wer weiß, wo im eigenen Haus generative KI Kundentexte, Bilder oder Chat-Antworten erzeugt?
Anbieter oder Betreiber – die Rollenfrage entscheidet über die Pflichten
Der AI Act unterscheidet zwei Grundrollen, und der Unterschied ist folgenreich. Ein Anbieter („provider“) entwickelt ein KI-System oder ein GPAI-Modell und bringt es unter eigenem Namen in Verkehr. Ein Betreiber („deployer“) setzt ein solches System in eigener Verantwortung ein – also der typische Mittelständler, der ein zugekauftes Werkzeug im Betrieb nutzt.
Die Einordnung ist nicht statisch: Wer ein zugekauftes Modell wesentlich verändert, feinjustiert oder unter eigenem Namen weitervertreibt, kann selbst zum Anbieter mit dessen Pflichten werden. Für die meisten Mittelständler gilt zunächst die Betreiber-Rolle – aber genau hier lohnt die dokumentierte Prüfung, statt die Frage offenzulassen.
Was die Verstöße kosten
Das Sanktionsregime nach Art. 99 ist seit dem 2. August 2026 durchsetzbar und mehrstufig:
- Verstöße gegen die Verbote aus Art. 5 können mit bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist.
- Verstöße gegen die meisten übrigen materiellen Pflichten, einschließlich der GPAI- und Art.-50-Transparenzpflichten, liegen in einer niedrigeren Stufe von bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes.
- Für falsche oder unvollständige Auskünfte an Behörden gilt eine dritte Stufe von bis zu 7,5 Mio. Euro oder 1 %.
Für kleine und mittlere Unternehmen sieht die Verordnung Proportionalität vor – die Bußgelder bleiben aber durchsetzbar, und die Größenordnung macht deutlich, dass es sich nicht um eine Formalie handelt.
Was ein Mittelständler jetzt konkret tun sollte
Der Handlungsdruck liegt nicht bei der aufwendigen Hochrisiko-Konformität – die ist auf 2027 und 2028 vertagt. Er liegt bei vier Grundlagenarbeiten, die ohnehin die Voraussetzung für jede spätere Compliance sind:
1. KI-Inventar erstellen
Verschaffen Sie sich einen vollständigen Überblick, wo im Unternehmen KI eingesetzt wird – inklusive der „Schatten-KI“, also der Tools, die einzelne Abteilungen ohne zentrale Freigabe nutzen. Ohne dieses Inventar lässt sich keine Pflicht sauber zuordnen.
2. Risiko-Klassifizierung je Anwendungsfall
Ordnen Sie jeden Einsatzfall den Kategorien der Verordnung zu: verboten (Art. 5), hochriskant (Anhang III/I), transparenzpflichtig (Art. 50) oder mit minimalem Risiko. Erst diese Klassifizierung sagt Ihnen, welche Pflichten und welche Fristen für welches System gelten.
3. Transparenz herstellen
Setzen Sie die Art.-50-Pflichten dort um, wo sie heute schon greifen: Chatbot-Hinweise, Kennzeichnung generierter Inhalte, redaktionelle Prüfprozesse. Das ist der Teil, der seit August 2026 unmittelbar prüfbar ist.
4. Governance und Datenhygiene verankern
KI-Kompetenz nach Art. 4 ist keine Kür, sondern seit Februar 2025 Pflicht: Ihre Mitarbeiter müssen die Systeme, die sie nutzen, verstehen. Dazu gehören klare Nutzungsrichtlinien, benannte Verantwortlichkeiten und – oft unterschätzt – die Datenhygiene. Denn viele Governance-Risiken entstehen nicht durch die Regulierung, sondern durch den unbedachten Abfluss vertraulicher Daten in externe Modelle.
Einordnung: Pflicht mit strategischem Nebennutzen
Wie schon bei NIS-2 gilt: Der AI Act verlangt im Kern keine exotischen Kunststücke, sondern einen bewussten, dokumentierten Umgang mit einer Technologie, die ohnehin längst im Haus ist. Das Inventar, die Klassifizierung und die Datenhygiene, die die Verordnung erzwingt, sind zugleich die Grundlage, um KI überhaupt kontrolliert und wirtschaftlich zu nutzen. Ein Zettelkasten voller Tool-Abonnements ohne Governance ist weder regelkonform noch produktiv.
Wie sector7 unterstützt
Als inhabergeführtes Haus aus Solingen begleiten wir Unternehmen aus NRW durch das KI-Inventar, die Risiko-Klassifizierung und den Aufbau einer belastbaren Governance – unsere KI-Readiness- und Governance-Beratung verbindet diese Arbeit mit der Compliance-Beratung zu AI Act, NIS-2, DORA und ISO 27001 aus einer Hand. Für den heikelsten Punkt – den Datenabfluss in fremde Modelle – bieten wir mit Souveräne KI abgesicherte, private LLM- und RAG-Umgebungen auf unserem eigenen deutschen Serverpark: Ihre Daten verlassen die kontrollierte Umgebung nicht, was Datenhygiene und Transparenzpflichten strukturell erleichtert.
Zur ehrlichen Einordnung gehört auch, was wir nicht tun: Wir trainieren keine eigenen Foundation-Modelle, verkaufen keine autonome „digitale Belegschaft“ und unterbieten keine Hyperscaler-Preise. Unser Managed-AI-Ops-Betrieb mit festem SLA befindet sich im Aufbau. Was wir heute liefern, ist Beratung, Governance und der sichere Betrieb privater KI auf eigener Infrastruktur – zertifiziert für Juniper, Cisco, HPE, F5, Fortinet und Palo Alto Networks.
Dieser Beitrag ist eine fachliche Einordnung und ersetzt keine Rechtsberatung im Einzelfall.