Der 2. August 2026 wird seit Monaten als Stichtag herumgereicht, meistens ohne dass jemand sagt, was an diesem Tag eigentlich passiert. Das führt zu zwei Fehlern, die beide teuer sind: Häuser, die in Panik ein Compliance-Projekt aufsetzen, das sie nicht brauchen, und Häuser, die abwinken, weil sie glauben, das Thema betreffe nur die großen Anbieter.

Die nüchterne Fassung sieht so aus.

Was an diesem Tag greift

Der 2. August 2026 ist der allgemeine Anwendungsbeginn der KI-Verordnung; in Kraft ist sie bereits seit dem 1. August 2024. Das ist kein Abgabetermin für ein Dokument, sondern der Zeitpunkt, ab dem der überwiegende Teil der Verordnung anwendbar ist und die Aufsicht arbeiten kann.

Für den typischen Mittelständler sind an diesem Tag vor allem drei Dinge relevant. Erstens die Transparenzpflichten nach Artikel 50. Zweitens die Durchsetzung: In Deutschland gilt seit dem 29. Juli 2026 das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz, kurz KI-MIG. Die Bundesnetzagentur ist darin grundsätzlich die zuständige Marktüberwachungsbehörde, soweit das Gesetz keine andere Fach- oder Produktbehörde bestimmt. Für bestimmte beaufsichtigte Unternehmen und KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen, übernimmt etwa die BaFin die Marktüberwachung. Die jeweils zuständige Behörde kann Unterlagen anfordern, Systeme prüfen, unter bestimmten Voraussetzungen auch mittels Fernzugriff, und bei festgestellten Verstößen Abhilfe verlangen. Drittens können damit auch Verstöße gegen die nun anwendbaren Pflichten sanktioniert werden, insbesondere gegen Artikel 50.

Was viele überrascht: Ein erheblicher Teil der Verordnung galt schon vorher.

Was längst gilt und trotzdem übersehen wird

Die zentralen verbotenen Praktiken nach Artikel 5 sind seit dem 2. Februar 2025 anwendbar. Das ist die schärfste Stufe der Verordnung, mit einem Bußgeldrahmen bis 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes. Für den Mittelstand am wichtigsten: Emotionserkennung bei Beschäftigten am Arbeitsplatz ist grundsätzlich verboten, außer der Einsatz erfolgt aus medizinischen oder Sicherheitsgründen. Wer ein System im Service-Center einsetzt, das die Stimmung der eigenen Mitarbeitenden aus Stimme oder Mimik ableitet, hat kein Fristenproblem, sondern ein Sofortproblem. Die Auswertung der Emotionen von Anrufenden fällt dagegen nicht allein deshalb unter dieses Verbot; die Kommission führt sie in ihren Leitlinien ausdrücklich als nicht verbotenen Fall auf. Zulässig ist sie damit nicht automatisch, denn Datenschutz- und Arbeitsrecht gelten daneben, und ein System, das nebenbei auch die Stimme der Beschäftigten bewertet, ist wieder im Verbotsbereich.

Ebenfalls seit Februar 2025 gilt Artikel 4 zur KI-Kompetenz. Der Digital Omnibus hat die Pflicht abgeschwächt, aber nicht aufgehoben: Anbieter und Betreiber müssen weiterhin Maßnahmen ergreifen, die die KI-Kompetenz der beteiligten Personen unterstützen. Ein bestimmtes Kompetenzniveau, eine zertifizierte Schulung oder eine eigene Beauftragtenrolle schreibt die Verordnung dagegen nicht vor.

Seit dem 2. August 2025 gelten die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck. Die treffen den typischen Mittelständler nicht, es sei denn, er verändert ein fremdes Modell wesentlich und stellt es bereit; dann kann er selbst zum Anbieter werden.

Die Frage ist also nicht, ob das Unternehmen bis zum 2. August etwas erledigt hat. Ein Teil der Pflichten läuft seit anderthalb Jahren.

Was nicht kommt

Die Hochrisiko-Pflichten, über die am meisten geschrieben wurde, greifen am 2. August 2026 nicht. Der Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026) hat sie verschoben: auf den 2. Dezember 2027 für die Anwendungsfälle aus Anhang III und auf den 2. August 2028 für Hochrisiko-Systeme nach Artikel 6 Absatz 1, die unter die Produktvorschriften aus Anhang I fallen. Anlass waren vor allem Verzögerungen bei den harmonisierten Normen, den Leitlinien und weiteren Umsetzungsinstrumenten. Ohne sie wäre eine Konformitätsbewertung rechtlich zwar möglich gewesen, aber deutlich aufwendiger und mit erheblicher Rechtsunsicherheit belastet.

Für den Mittelstand betrifft das vor allem Bewerber-Ranking, bestimmte Kreditwürdigkeitsprüfungen und Produkt-KI, die als Hochrisiko eingestuft ist, etwa in bestimmten Maschinen oder Sicherheitsbauteilen. Nicht jede KI in einem regulierten Produkt fällt darunter. Aufschub, kein Freibrief: Wer heute ein System beschafft, das ab Dezember 2027 als Hochrisiko-Anwendung reguliert wird, verhandelt die Anbieterzusagen besser jetzt als kurz vor dem Stichtag.

Die Transparenzpflichten, konkret

Artikel 50 ist der Teil, der ab dem 2. August die meisten Häuser tatsächlich berührt, und er wird regelmäßig zu pauschal wiedergegeben. Es sind vier verschiedene Pflichten, die unterschiedliche Rollen treffen:

• Interaktionshinweis bei Chatbots. Wer mit einem KI-System kommuniziert, muss das erkennen können. Die Pflicht trifft den Anbieter des Systems.
• Maschinenlesbare Kennzeichnung synthetischer Inhalte. Ebenfalls beim Anbieter des generierenden Systems.
• Hinweis bei Emotionserkennung und biometrischer Kategorisierung, soweit überhaupt zulässig. Diese Pflicht trifft den Betreiber.
• Offenlegung von Deepfakes und bestimmten veröffentlichten Texten. Ebenfalls beim Betreiber.

Eine Ausnahme betrifft Bestandssysteme. Für generative Systeme, die vor dem 2. August 2026 auf dem Markt waren, muss die maschinenlesbare Kennzeichnung erst ab dem 2. Dezember 2026 stehen. Die übrigen Transparenzpflichten greifen ohne diese Schonfrist.

Der praktische Unterschied zwischen den Rollen ist erheblich. Bei einem zugekauften Chatbot liegt der Interaktionshinweis beim Anbieter des Systems, und davon zu trennen ist die maschinenlesbare Kennzeichnung synthetischer Inhalte, die ebenfalls den Anbieter trifft. Ob das einsetzende Unternehmen reiner Betreiber bleibt oder selbst Anbieter wird, hängt vor allem davon ab, wer das System entwickelt oder entwickeln lässt und unter wessen Namen es in Verkehr gebracht oder in Betrieb genommen wird. Umgekehrt kann derselbe Mittelständler bei einem KI-generierten Text in der Offenlegungspflicht stehen, wenn dieser veröffentlicht wird, um die Öffentlichkeit über eine Angelegenheit von öffentlichem Interesse zu informieren, und keine ernsthafte menschliche Prüfung mit redaktioneller Verantwortung dahintersteht. Nach der Kommissionsauslegung genügt dafür keine rein formale Freigabe ohne tatsächliche inhaltliche Prüfung.

Ein Fall, der in der Praxis am häufigsten aufkommt und den die Kommission in ihren Leitlinien vom Juli 2026 ausdrücklich behandelt: Wer eine Werbeagentur beauftragt, ohne zu entscheiden und zu kontrollieren, ob und wie diese KI im Produktionsprozess einsetzt, ist insoweit nicht Betreiber. Bindet ein Unternehmen dagegen Freelancer ein, die in seinem Auftrag und unter seiner Kontrolle arbeiten, bleibt es Betreiber. Die Leitlinien sind rechtlich nicht bindend und binden weder Behörden noch Gerichte abschließend; sie geben die Auslegung der Kommission wieder.

Der Sanktionsrahmen für Verstöße gegen Artikel 50 liegt bei bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes; für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Werte als Obergrenze.

Was bis dahin vorliegen sollte

Die ehrliche Antwort lautet: nicht viel Papier, aber eine Handvoll Antworten, die heute in den wenigsten Häusern zusammenhängend gegeben werden können.

• Ein Verzeichnis der KI-Systeme im Einsatz, einschließlich der Funktionen, die Softwareanbieter in bestehende Produkte eingebaut haben, ohne dass jemand sie bestellt hat. Eine allgemeine Registerpflicht ist das nicht, aber ohne diese Liste ist jede weitere Aussage geraten.
• Die Rolle je System. Für Artikel 50 ist entscheidend, ob das Unternehmen Anbieter oder Betreiber ist, denn davon hängt ab, welche der vier Transparenzpflichten überhaupt greift. In längeren Lieferketten können zusätzlich Rollen als Einführer oder Händler dazukommen.
• Eine Prüfung auf verbotene Praktiken. Hier besteht schon heute unmittelbarer Handlungsbedarf: Ein verbotener Einsatz muss beendet werden, und er trägt den höchsten Bußgeldrahmen der Verordnung.
• Eine benannte Verantwortung. Nicht wegen der Verordnung, sondern weil eine Behördenanfrage sonst in der Organisation umherwandert.

Was ein Haus, das KI lediglich einsetzt, für die jetzt greifenden Pflichten regelmäßig nicht braucht: ein zertifiziertes Managementsystem oder ein umfassendes Compliance-Handbuch. Das verkauft sich gerade gut und löst das Problem der meisten Häuser nicht. Anders sieht es bei eigenen KI-Produkten oder in der Anbieterrolle aus: Je nach Einstufung entstehen dort deutlich weitergehende Dokumentations- und Governancepflichten. Ein Qualitätsmanagementsystem ist vorgeschrieben für Anbieter von Hochrisiko-Systemen, und auch das erst ab dem jeweils einschlägigen späteren Anwendungsdatum.

Der Punkt, den die Fristendiskussion verdeckt

Zwischen der Verschiebung der Hochrisiko-Fristen und der Abschwächung von Artikel 4 ist der Eindruck entstanden, Brüssel nehme das Tempo heraus und man könne sich zurücklehnen. Für einen Teil der Hochrisiko-Pflichten stimmt das. Für alles, was heute schon gilt, und für die Produktivitätsfrage stimmt es nicht.

Die Inventur, die die Verordnung nahelegt, ist genau die Bestandsaufnahme, die jedes Haus für die Frage braucht, wo KI heute Wert schafft und wo nur Aktivität entsteht. Diese Frage stellt sich unabhängig von jedem Stichtag, und sie beantwortet sich nicht von selbst, weil eine Frist verschoben wurde. Wer die Inventur ohnehin macht, bekommt die regulatorische Transparenz als Nebenprodukt.

Wenn Sie klären wollen, welche Systeme in Ihrem Haus unter die Verordnung fallen und in welcher Rolle, ist der AI-Act-Check dafür gebaut. Wie sich das Thema dauerhaft in der Führung verankert, steht im Executive Briefing.

Eine Frage, mit der sich der eigene Stand in zwei Minuten prüfen lässt: Wer in Ihrem Haus könnte heute die Liste der eingesetzten KI-Systeme vorlegen, und wie lange bräuchte diese Person dafür?

---

Rechtsstand: 31. Juli 2026. Wo sich die Rechtslage danach ändert, wird der Beitrag nachgeführt oder die Änderung gekennzeichnet.