Die Entscheidung in Kürze
Der AI Act verlangt keine pauschale Stilllegung von KI. Unternehmen müssen je Anwendung klären, ob sie Anbieter oder Betreiber sind, verbotene Praktiken vermeiden, KI-Kompetenz organisieren und ab 2. August 2026 die für ihren Einsatz relevanten Transparenzpflichten nach Artikel 50 erfüllen. Zusätzliche Dokumentations- und Hochrisikoanforderungen folgen nur, wenn Rolle und Systemklasse sie tatsächlich auslösen.
Jede produktive KI-Anwendung braucht eine dokumentierte Rolle, einen klaren Zweck und eine begründete Einordnung.
Ein Inventar verbindet Anwendung, Daten, Nutzer, Anbieter und menschliche Aufsicht.
Die operative Einordnung ersetzt keine rechtliche Prüfung im Einzelfall.
Die Fristen im Überblick – und was für Anwender zählt
Die KI-Verordnung ist seit August 2024 in Kraft und greift stufenweise: Seit Februar 2025 gelten die Verbote bestimmter Praktiken und die Pflicht zur KI-Kompetenz, seit August 2025 die Vorgaben für Anbieter von General-Purpose-AI-Modellen. Ab 2. August 2026 gelten die Transparenzpflichten aus Artikel 50. Anbieter interaktiver KI müssen eine direkte KI-Interaktion kenntlich machen und synthetische Inhalte technisch maschinenlesbar markieren. Betreiber müssen unter anderem über Emotions- oder biometrische Kategorisierung informieren und Deepfakes sowie bestimmte KI-generierte Texte zu Themen von öffentlichem Interesse kennzeichnen. Ausnahmen und die genaue Rollenverteilung erläutern die Leitlinien der EU-Kommission vom 20. Juli 2026.
Für Hochrisiko-Systeme gilt nach der 2026 beschlossenen Vereinfachung ein späterer Zeitplan: Die Regeln für eigenständige Systeme in den Bereichen des Anhangs III gelten spätestens ab 2. Dezember 2027; für KI, die in regulierte Produkte integriert ist, spätestens ab 2. August 2028. Für mittelständische Anwender bleibt die Reihenfolge deshalb entscheidend: Anwendung inventarisieren, eigene Rolle bestimmen, Transparenzpflicht prüfen und eine mögliche Hochrisiko-Einstufung separat bewerten.
Die Anwender-Checkliste: sieben Fragen
- Welche KI-Systeme nutzen wir überhaupt? Inklusive der KI-Funktionen in Bestandssoftware und der Tools, die Mitarbeitende privat mitgebracht haben. Ohne Inventar keine Bewertung.
- Welche Daten erhalten diese Systeme? Personenbezogene Daten, Kundendaten, Geschäftsgeheimnisse – hier verzahnt sich der AI Act mit der DSGVO.
- Wer prüft die Ergebnisse? Menschliche Aufsicht ist bei kritischen Anwendungen Pflicht und bei allen anderen gesunder Menschenverstand.
- Welche Mitarbeitenden brauchen KI-Kompetenz? Die Pflicht gilt bereits. Gemeint ist kein Zertifikatskurs, sondern ein der Nutzung angemessenes Verständnis: Was kann das Werkzeug, wo irrt es, was darf hinein?
- Wo müssen wir Transparenz herstellen? Ab 2. August 2026 müssen bestimmte direkte KI-Interaktionen erkennbar sein. Zusätzlich sind je nach Rolle maschinenlesbare Markierungen, Hinweise bei Deepfakes, Emotions- oder biometrischer Kategorisierung sowie bei bestimmten Texten zu Themen von öffentlichem Interesse erforderlich.
- Nutzen wir etwas, das als Hochrisiko gelten könnte? Etwa KI in der Personalauswahl oder Kreditwürdigkeitsprüfung. Dann gelten deutlich strengere Betreiberpflichten – und Fachberatung ist Pflichtprogramm.
- Wer ist intern verantwortlich? Eine benannte Person, die das Inventar pflegt, neue Tools bewertet und Fragen kanalisiert. Ohne Zuständigkeit versandet jede Compliance.
Warum das operativ eine Chance ist
Die Fragen der Checkliste sind exakt die Fragen guter Automatisierungspraxis: Inventar, Datenqualität, menschliche Eskalation, klare Verantwortung. Wer sie beantwortet, wird nicht nur regelkonform – er weiß endlich, wo KI sich lohnt und wo bewusst nicht. Und wer bereits strukturiert automatisiert, etwa mit KI-Agenten mit Mensch-in-der-Schleife, schafft zugleich die organisatorische Grundlage für nachvollziehbare Transparenz und Aufsicht. Für Zugriffe, Betriebsfähigkeit und technische Verantwortlichkeiten ergänzt die Vertiefung Cybersecurity als Betriebsfrage diese Governance-Perspektive.
AI-Act-Inventar für den Mittelstand
Offen bleibt, welcher Nachweis für „AI Act 2026: Was ab August gilt“ in Ihrem Betrieb noch fehlt.
| Prüffeld | Leitfrage | Belastbarer Nachweis | Konsequenz |
|---|---|---|---|
| Anwendung | Welche KI wird wofür tatsächlich genutzt? | Inventar mit Zweck, Nutzer und Anbieter. | Schattennutzung sichtbar machen. |
| Rolle | Ist das Unternehmen Anbieter, Betreiber/Deployer oder nur Nutzer eines Dienstes? | Rollenbewertung je Anwendung. | Pflichten nicht pauschal übertragen. |
| Risiko | Verboten, Transparenzfall, Hochrisiko oder sonstiger Einsatz? | Begründete Klassifizierung. | Kontrollen angemessen planen. |
| Betrieb | Welche Kompetenz, Aufsicht und Dokumentation ist nötig? | Verantwortliche, Regeln und Nachweise. | Governance in den Prozess integrieren. |
Wer muss beim KI-Einsatz was verantworten?
Risikobereitschaft und Governance freigeben.
Zweck, Nutzung und Ergebnisverantwortung benennen.
Anbieter, Datenfluss, Zugriff und Betrieb prüfen.
Warnsignale
- Es gibt kein Inventar der produktiv genutzten KI.
- „Der Anbieter ist verantwortlich“ ersetzt die eigene Rollenprüfung.
- Mitarbeitende nutzen sensible Daten ohne klare Regeln.
- Rechtliche Einordnung wird mit technischer Sicherheit verwechselt.
ENTSCHEIDUNGSBEZUG · KI-GOVERNANCE
Welche KI-Anwendung Sie jetzt wirklich prüfen sollten
Ausgangspunkt ist die Leitfrage dieses Beitrags: Welche betriebliche Verantwortung entsteht aus diesem konkreten KI-Einsatz?
Ordnen Sie ein, wie stark „AI Act 2026: Was ab August gilt“ Ihren aktuellen Vorgang betrifft; Ihre Artikelauswahl bleibt dabei unverändert.
Prüfen Sie die Leitfrage an einem realen Beleg aus Ihrem Betrieb: Welche betriebliche Verantwortung entsteht aus diesem konkreten KI-Einsatz?
Quellen, Prüfstand und vertiefende Informationen.
Ergänzende Nachweise und Detailfragen sind vollständig am Ende des Artikels gebündelt.
Quellen, Prüfstand und Einordnung
Offizielle Quellen und Aktualität
Fachlich geprüft am 28. August 2026. Eingearbeitet sind die am 20. Juli 2026 veröffentlichten Leitlinien zu Artikel 50 sowie der aktuelle europäische Anwendungszeitplan. Für eine konkrete rechtliche Bewertung bleiben Rolle, Systemklasse, Ausnahme und Einsatzkontext maßgeblich.
Der nächste Schritt ist ein belastbares KI-Inventar – kein pauschales Rechtsprojekt
- EntscheidungJede produktive KI-Anwendung braucht eine dokumentierte Rolle, einen klaren Zweck und eine begründete Einordnung.
- NachweisEin Inventar verbindet Anwendung, Daten, Nutzer, Anbieter und menschliche Aufsicht.
- GrenzeDie operative Einordnung ersetzt keine rechtliche Prüfung im Einzelfall.
KI-Einsatz und Pflichten gemeinsam einordnen.
Bringen Sie eine konkrete KI-Anwendung mit. Im Gespräch trennen wir Zweck, Rolle, Transparenzpflicht und operativen Nachweis – ohne pauschale Rechts- oder Technologieentscheidung.
KI-Use-Case qualifizieren