Ab dem 2. August 2026 wird das KI-Gesetz scharf gestellt: Was auf deutsche Unternehmen zukommt

Für die Künstliche Intelligenz in Europa ist der 2. August 2026 ein Datum mit Gewicht. An diesem Tag erreicht der EU AI Act, das weltweit erste umfassende Regelwerk für KI, eine neue Stufe seiner Umsetzung. Vor allem für Anbieter sogenannter Allzweck-KI wird es ernst, denn die Übergangsfrist läuft ab und die Behörden bekommen echte Durchsetzungsmittel in die Hand. Für deutsche Technologieunternehmen bedeutet das den Übergang von der Vorbereitung zur tatsächlichen Kontrolle.

Konkret erhält die EU-Kommission ab dem 2. August 2026 ihre vollen Durchsetzungs- und Sanktionsbefugnisse gegenüber Anbietern von Allzweck-KI. Die Kommission darf Unterlagen und Informationen anfordern, Modelle bewerten, Maßnahmen zur Risikominderung verlangen und im Ernstfall Geldbußen verhängen. Damit endet die Phase, in der Verstöße vor allem theoretischer Natur waren, und die Aufsicht bekommt Zähne.

Neu sind die Pflichten selbst dabei nicht. Die Vorgaben für Anbieter von Allzweck-KI gelten bereits seit dem 2. August 2025, doch die Gnadenfrist für die Durchsetzung endet erst jetzt. Modelle, die schon vor dem 2. August 2025 auf den Markt gebracht wurden, erhalten sogar noch mehr Zeit und müssen die Anforderungen bis zum 2. August 2027 erfüllen. Der Gesetzgeber setzt also bewusst auf einen gestaffelten Übergang.

Unter Allzweck-KI versteht das Gesetz die großen Basismodelle, die sich für sehr unterschiedliche Zwecke einsetzen lassen, etwa die Systeme hinter modernen Sprachmodellen. Weil solche Modelle die Grundlage für zahllose Anwendungen bilden, stehen ihre Anbieter im Zentrum der Regulierung. Wer die Basis kontrolliert, trägt nach der Logik des Gesetzes auch eine besondere Verantwortung für Transparenz und Sicherheit der gesamten Kette.

Hochrisiko-KI: eine überraschende Verschiebung

Bei den Hochrisiko-Systemen hat sich der Zeitplan zuletzt spürbar verändert. Durch den sogenannten Digital Omnibus, eine vorläufige Einigung vom 7. Mai 2026, wurde die Frist für Hochrisiko-Anwendungen nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027 verschoben. Für viele Unternehmen, die KI etwa in der Personalauswahl oder bei Kreditentscheidungen einsetzen, verschafft das zusätzliche Zeit zur Anpassung.

Nicht alle Hochrisiko-Systeme profitieren jedoch von dem Aufschub. Anwendungen nach Anhang I, also KI, die in bereits regulierte Produkte eingebettet ist, bleiben beim ursprünglichen Termin des 2. August 2026. Dazu zählen etwa Medizinprodukte, Maschinen, Spielzeug und Systeme aus der Luftfahrt. Wer KI in solchen sicherheitskritischen Bereichen anbietet, muss die Vorgaben also ohne Verzögerung einhalten.

Für Anbieter von Allzweck-KI heißt das in der Praxis vor allem eines: Dokumentation. Sie müssen technische Unterlagen bereithalten, den Behörden auf Anfrage Informationen liefern und mit dem neu geschaffenen KI-Büro der EU kooperieren. Auch nachgelagerte Anwender, die solche Modelle in eigene Produkte einbauen, sollten wissen, welche Nachweise sie von ihren Zulieferern verlangen können. Compliance wird damit zu einer gemeinsamen Aufgabe entlang der Wertschöpfungskette.

Ab dem 2. August 2026 kann die EU-Kommission Anbieter von Allzweck-KI prüfen und mit Bußgeldern belegen.

Empfindliche Bußgelder

Die möglichen Strafen sind so bemessen, dass sie auch große Konzerne treffen. Für Anbieter von Allzweck-KI sieht Artikel 101 Geldbußen von bis zu 3 Prozent des weltweiten Jahresumsatzes oder 15 Millionen Euro vor, je nachdem, welcher Betrag höher ist. Bei Verstößen im Bereich der Hochrisiko-KI liegt die Obergrenze sogar bei 35 Millionen Euro oder 7 Prozent des weltweiten Umsatzes. Die Kopplung an den globalen Umsatz macht deutlich, dass die EU keine symbolischen Sanktionen im Sinn hat.

Für den deutschen Standort ist die Tragweite erheblich. Deutschland setzt in Industrie, Mittelstand und Verwaltung zunehmend auf KI, und das Gesetz betrifft nicht nur die Entwickler der Modelle, sondern auch die vielen Unternehmen, die sie im Alltag einsetzen. Wer KI anbietet oder betreibt, muss Risiken bewerten, Prozesse dokumentieren und auf mögliche Prüfungen vorbereitet sein. Die Frage ist längst nicht mehr, ob man betroffen ist, sondern nur noch in welchem Umfang.

Der 2. August 2026 ist damit weniger ein Ende als ein weiterer Schritt in einem langen und umkämpften Prozess. Der Digital Omnibus zeigt, dass der Zeitplan noch in Bewegung ist und einzelne Fristen politisch verhandelt werden. Für deutsche Unternehmen bleibt die Konsequenz dieselbe: Sie müssen die entscheidenden Termine im Blick behalten, vom August 2026 über den August 2027 bis zum Dezember 2027, und ihre Systeme rechtzeitig darauf ausrichten.