EU KI-Gesetz August 2026: Was Unternehmen bis zum 2. August tun müssen
Die zentrale Durchsetzungsfrist des EU AI Act (VO (EU) 2024/1689) ist der 2. August 2026. Bis zu diesem Datum müssen Betreiber von Hochrisiko-KI-Systemen nach Anhang III Konformitätsbewertungen durchführen, technische Dokumentation bereitstellen, ihre Systeme in der EU-KI-Datenbank registrieren und — sofern zutreffend — eine Grundrechte-Folgenabschätzung (GFFA) abschließen. Unternehmen, die ihre KI-Systeme nicht klassifizieren und die erforderlichen Maßnahmen nicht fristgerecht umsetzen, riskieren Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes. Bis zur Frist bleiben noch rund 3,5 Monate.
Welche Unternehmen müssen vor dem 2. August 2026 handeln?
Die August-2026-Frist gilt für alle Organisationen — unabhängig von Größe oder Herkunft —, die KI-Systeme im EU-Markt betreiben oder in Betrieb nehmen.
Die vollständigen Pflichten treffen vor allem Betreiber von Hochrisiko-KI-Systemen nach Anhang III der Verordnung. Dazu gehören Unternehmen, die:
- KI für Personalentscheidungen, Bewerber-Screening oder Mitarbeitermonitoring einsetzen (Anhang III, Kategorie 4)
- Biometrische Identifikationssysteme oder Gesichtserkennung betreiben (Anhang III, Kategorie 1)
- KI in kritischer Infrastruktur einsetzen — Energie, Wasser, Verkehr (Anhang III, Kategorie 2)
- KI für Kreditscoring, Versicherungsrisikoberechnung oder Kreditwürdigkeitsprüfung einsetzen (Anhang III, Kategorie 5)
- KI im Bildungsbereich für Lernenden-Beurteilungen oder Zulassungsentscheidungen einsetzen (Anhang III, Kategorie 3)
- KI in der Strafverfolgung oder Grenzkontrolle betreiben (Anhang III, Kategorien 6–7)
- KI-gestützte Werkzeuge in der Rechtspflege verwenden (Anhang III, Kategorie 8)
Die meisten KMU, die handelsübliche KI-Tools verwenden — Microsoft Copilot, Standard-Chatbots, gängige SaaS-Produkte mit eingebetteten KI-Funktionen —, betreiben in der Regel keine Hochrisiko-KI nach Anhang III. Ihre wesentliche Pflicht ist die Transparenzoffenlegung nach Art. 50 AI Act, wenn Nutzer mit KI interagieren, die für einen Menschen gehalten werden könnte. Die August-2026-Frist löst für diese Gruppe keine umfangreichen Compliance-Pflichten aus.
6 Schritte vor dem 2. August 2026
Diese Checkliste richtet sich an Betreiber von Hochrisiko-KI-Systemen nach Anhang III.
1. KI-Inventar erstellen
Dokumentieren Sie alle KI-Systeme, die Ihre Organisation einsetzt, entwickelt oder betreibt. Erfassen Sie für jedes System: Anbieter, Zweck, Verarbeitungslogik (soweit bekannt), verarbeitete personenbezogene Daten und betroffene Personengruppen. Dieses Inventar ist die Grundlage für alle weiteren Schritte — ohne es ist eine ordnungsgemäße Klassifizierung nicht möglich.
2. Jedes System nach Risikoniveau klassifizieren
Nach VO (EU) 2024/1689 werden KI-Systeme in vier Kategorien eingeteilt:
- Verboten (seit 2. Februar 2025): Emotionserkennung am Arbeitsplatz, Social Scoring, biometrische Massenüberwachung in öffentlichen Räumen in Echtzeit
- Hochriskant (Anhang III): vollständige Compliance-Pflichten bis 2. August 2026
- Begrenzt riskant: Transparenzpflicht gegenüber Nutzern nach Art. 50
- Minimal riskant: keine spezifischen AI-Act-Pflichten
Prüfen Sie jedes System Ihres Inventars gegen die acht Kategorien des Anhangs III. Im Zweifelsfall ist rechtliche Beratung dringend zu empfehlen — die Fehlklassifizierung eines Hochrisiko-Systems als minimal riskant ist selbst ein Compliance-Verstoß mit demselben Bußgeldrisiko.
3. Konformitätsbewertung durchführen
Für Systeme nach Anhang III ist eine Konformitätsbewertung nach Art. 43 vor der Inbetriebnahme und vor Ablauf der August-2026-Frist verpflichtend. Für die meisten Hochrisiko-Kategorien können Betreiber eine interne Konformitätsbewertung durchführen — eine strukturierte Selbstbewertung, die die technische Konformität mit den Anforderungen aus Kapitel III dokumentiert. Für bestimmte biometrische Identifikationssysteme ist eine Drittbewertung durch eine notifizierte Stelle erforderlich.
Die Bewertung muss folgende Bereiche abdecken: Risikomanagementsystem, Datengouvernanz, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht und Genauigkeitsmetriken.
4. Technische Dokumentation erstellen
Art. 11 verlangt eine umfassende technische Dokumentation für Hochrisiko-KI-Systeme. Diese umfasst: allgemeine Systembeschreibung, Designspezifikationen, Trainingsmethodik und Datenquellen, Testergebnisse, Leistungskennzahlen und Nutzungsanleitungen. Die Dokumentation muss über den gesamten Lebenszyklus des Systems gepflegt und aktualisiert werden — sie ist kein einmaliges Dokument, sondern begleitend.
5. Grundrechte-Folgenabschätzung (GFFA) durchführen — sofern zutreffend
Art. 27 verlangt eine Grundrechte-Folgenabschätzung (GFFA) von:
- Öffentlichen Stellen, die Hochrisiko-KI einsetzen
- Privaten Betreibern, die KI für Kreditscoring oder Versicherungsrisikoklassifizierung einsetzen
Die GFFA bewertet potenzielle Auswirkungen auf Grundrechte — Datenschutz, Nichtdiskriminierung und Zugang zu Dienstleistungen — und muss dokumentiert und auf Anfrage der zuständigen Aufsichtsbehörde vorgelegt werden können.
6. In der EU-KI-Datenbank registrieren
Art. 71 verpflichtet zur Registrierung von Hochrisiko-KI-Systemen in der EU-KI-Datenbank vor der Inbetriebnahme. Für öffentliche Stellen ist die Registrierung unmittelbar verpflichtend. Für private Betreiber der meisten Anhang-III-Systeme ist die Registrierung derzeit primär auf Anbieterebene vorgeschrieben — klären Sie mit Ihrem Systemanbieter, ob dieser Schritt bereits vollständig abgeschlossen ist.
Was zählt als Hochrisiko-KI nach Anhang III?
Anhang III der VO (EU) 2024/1689 benennt acht Kategorien von Hochrisiko-KI. Hier eine Zusammenfassung mit Praxisbeispielen aus dem deutschen Unternehmensumfeld:
| Kategorie | Beschreibung | Praxisbeispiele (Deutschland) |
|---|---|---|
| 1. Biometrische Identifikation | Echtzeit- oder nachträgliche Identifikation natürlicher Personen | Gesichtserkennung am Eingang, biometrische Zeiterfassung |
| 2. Kritische Infrastruktur | KI zur Steuerung von Versorgungsnetzen, Verkehr oder digitaler Infrastruktur | Smart-Grid-Management, Schienenverkehrssteuerung |
| 3. Bildung | KI für Zulassung, Beurteilung oder Evaluierung von Lernenden | KI-gestützte Prüfungskorrektur, Zulassungsalgorithmen |
| 4. Beschäftigung | KI für Recruiting, Leistungsbewertung, Aufgabenzuweisung | Bewerbungsscreening-Software, Mitarbeitermonitoring-Tools |
| 5. Wesentliche Dienstleistungen | KI für Kreditvergabe, Versicherung oder öffentliche Leistungen | Kreditscoring-Modelle, Versicherungsrisikoklassifizierung |
| 6. Strafverfolgung | KI für kriminologisches Risikoprofiling oder Beweisauswertung | Predictive-Policing-Systeme |
| 7. Migration und Grenzkontrolle | KI für Visaprüfung oder Migrationsrisikoerkennung | Grenzkontroll-KI-Systeme |
| 8. Rechtspflege | KI zur Unterstützung von Justiz- oder Streitbeilegungsverfahren | KI-Vertragsanalyse in gerichtlichen Verfahren |
Für deutsche Unternehmen sind die häufigsten Hochrisiko-Kategorien 1 (Biometrie), 4 (Beschäftigung) und 5 (Finanzdienstleistungen). Unsere Leitfäden zu KI-Gesichtserkennung und KI-Bewerbungsscreening erläutern die spezifischen Pflichten in diesen Bereichen.
Deutschland-spezifische Besonderheiten
Nationale Marktüberwachungsbehörde noch nicht formal bestimmt
Stand April 2026 hat Deutschland die nationale Marktüberwachungsbehörde für den AI Act noch nicht formal bestimmt. Die Bundesregierung hat signalisiert, dass die Bundesnetzagentur die horizontale Aufsicht übernehmen soll, während Fachbehörden wie BaFin und BSI in ihren jeweiligen Sektoren zuständig bleiben. Diese Unsicherheit ändert jedoch nichts an den Pflichten: Die EU-Verordnung gilt in Deutschland unmittelbar. Unternehmen sollten ihre Dokumentation so vorbereiten, als träten die Pflichten vollständig ab dem 2. August 2026 in Kraft — was sie tun.
Betriebsrat-Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG
Deutsche Arbeitgeber, die KI zur Überwachung von Beschäftigten einsetzen, müssen § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz (BetrVG) beachten. Betriebsräte haben Mitbestimmungsrechte bei technischen Einrichtungen, die geeignet sind, das Verhalten oder die Leistung der Arbeitnehmerinnen und Arbeitnehmer zu überwachen. KI-Systeme für Produktivitätstracking, Anomalieerkennung oder Anwesenheitserfassung bedürfen einer Betriebsvereinbarung, bevor sie eingesetzt werden können.
Diese Pflicht gilt parallel zum AI Act und unabhängig von ihm. Ein Betriebsrat kann den Einsatz eines KI-Systems untersagen — unabhängig davon, ob eine gültige Konformitätsbewertung vorliegt. Weitere Details finden Sie in unserem Leitfaden zu KI-Mitarbeitermonitoring.
DSK-Orientierungshilfe zur DSGVO-konformen KI-Entwicklung (Juni 2025)
Die Datenschutzkonferenz (DSK) hat im Juni 2025 eine Orientierungshilfe zur datenschutzkonformen Entwicklung und zum Einsatz von KI-Systemen veröffentlicht. Wesentliche Punkte für deutsche Unternehmen:
- Eine Rechtsgrundlage nach DSGVO muss vor dem Einsatz personenbezogener Daten für KI-Training oder -Inferenz bestehen
- Datenminimierung gilt — KI-Systeme sollten nicht mehr personenbezogene Daten verarbeiten, als die Aufgabe strikt erfordert
- Automatisierte Einzelentscheidungen nach Art. 22 DSGVO setzen die Möglichkeit zur menschlichen Überprüfung voraus
- Datenschutz-Folgenabschätzungen (DSFA) sind für Hochrisiko-KI-Systeme, die personenbezogene Daten verarbeiten, verpflichtend
Praxishinweis: Eine DSGVO-DSFA und eine AI-Act-Konformitätsbewertung sind separate Dokumente mit inhaltlichen Überschneidungen. Es empfiehlt sich, beide Verfahren gemeinsam durchzuführen, um Doppelarbeit und Kosten zu reduzieren.
BaFin für Finanzdienstleister
Deutsche Kreditinstitute und Versicherungsunternehmen unterliegen einer doppelten Aufsicht: den AI-Act-Betreiberpflichten nach Art. 26 und den bestehenden BaFin-Anforderungen an Modellgouvernanz, algorithmische Fairness und die Verantwortung des Senior-Managements. Für KI-gestützte Kreditscoring-Modelle, Kreditvergabe-Systeme oder Versicherungsrisikomodelle stellen die Aufsichtserwartungen der BaFin de facto einen höheren Standard als die AI-Act-Mindestanforderungen dar. Unser Leitfaden zum EU AI Act für Finanzdienstleister erläutert die sektorspezifischen Compliance-Pflichten.
Bußgelder bei Nichteinhaltung
Die Bußgeldstruktur des AI Act nach Art. 99 gehört zu den strengsten im gesamten EU-Regulierungsrecht:
| Verstoß | Höchstbetrag |
|---|---|
| Nichteinhaltung bei Hochrisiko-KI (Art. 26) | 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes (höherer Wert gilt) |
| Betrieb verbotener KI-Systeme (Art. 5) | 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes |
| Falsche Angaben gegenüber Behörden | 7,5 Millionen Euro oder 1 % des Jahresumsatzes |
Für KMU und Kleinstunternehmen sieht die Verordnung reduzierte absolute Höchstbeträge vor — die prozentualen Werte können jedoch dennoch niedriger ausfallen und wären in diesem Fall maßgeblich.
Die Durchsetzung erfolgt auf nationaler Ebene durch die designierten Marktüberwachungsbehörden. Schon vor formellen Bußgeldverfahren entstehen ab August 2026 erhebliche Compliance-Kosten durch Behördenanfragen, Prüfungen und Offenlegungspflichten.
Wie Compound Law hilft
Compound Law berät Unternehmen, Startups und Gründerinnen und Gründer in Deutschland und der DACH-Region bei der Umsetzung des EU AI Act. Für die August-2026-Frist unterstützen wir bei:
- KI-Inventar und Risikoklassifizierung — Abgleich Ihrer KI-Nutzung mit den acht Anhang-III-Kategorien
- Konformitätsbewertung — Begleitung der internen Bewertung nach Art. 43
- Technische Dokumentation — Erstellung Art. 11-konformer Unterlagen
- Grundrechte-Folgenabschätzung (GFFA) — für öffentliche Stellen und Finanzdienstleister
- Betriebsvereinbarungen für KI — BetrVG-konforme Regelungen in Abstimmung mit dem Betriebsrat
- Vertrags-Due-Diligence — Prüfung von KI-Einkaufsverträgen auf AI-Act-Compliance
Die Frist des 2. August 2026 ist verbindlich. Wer jetzt mit einem einfachen KI-Inventar beginnt, ist gegenüber Unternehmen, die bis zum Sommer warten, erheblich im Vorteil.
Häufige Fragen
Wann genau gilt die EU KI-Gesetz-Frist im August 2026?
Die Frist ist der 2. August 2026. Ab diesem Datum sind die vollständigen Anforderungen aus Kapitel III der VO (EU) 2024/1689 für Betreiber und Anbieter von Hochrisiko-KI nach Anhang III vollständig durchsetzbar. Verbote für unzulässige KI-Systeme gelten bereits seit dem 2. Februar 2025. GPAI-Anbieterpflichten galten ab dem 2. August 2025.
Welche Unternehmen sind von der EU AI Act Frist August 2026 betroffen?
Alle Unternehmen, die ein Hochrisiko-KI-System nach Anhang III der VO (EU) 2024/1689 im EU-Markt betreiben oder in Betrieb nehmen. Das gilt auch für ausländische Gesellschaften, die KI im EU-Markt einsetzen, sowie für deutsche Gesellschaften mit beschränkter Haftung (GmbH) und Aktiengesellschaften (AG) jeder Größe.
Was ist ein Hochrisiko-KI-System nach Anhang III?
Anhang III listet acht Kategorien von KI-Systemen auf, die aufgrund ihrer potenziellen Auswirkungen auf Grundrechte, Gesundheit oder Sicherheit als hochriskant eingestuft werden. Dazu gehören KI-Systeme für biometrische Identifikation, Personalentscheidungen, Mitarbeitermonitoring, Kreditscoring und kritische Infrastruktur. Die vollständige Liste ergibt sich aus Art. 6 Abs. 2 in Verbindung mit Anhang III der Verordnung.
Was ist eine Konformitätsbewertung nach dem EU AI Act und muss ich sie durchführen?
Eine Konformitätsbewertung (Art. 43) ist eine strukturierte Prüfung, die bestätigt, dass ein Hochrisiko-KI-System alle Anforderungen aus Kapitel III erfüllt — Risikomanagementsystem, Datengouvernanz, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht und Genauigkeit. Wenn Sie ein Hochrisiko-KI-System nach Anhang III betreiben, ist sie verpflichtend. Für die meisten Kategorien ist eine interne Selbstbewertung zulässig. Für bestimmte biometrische Systeme ist eine Drittbewertung durch eine notifizierte Stelle erforderlich.
Was ist eine Grundrechte-Folgenabschätzung (GFFA) und wer muss sie durchführen?
Eine Grundrechte-Folgenabschätzung (GFFA) nach Art. 27 ist verpflichtend für öffentliche Stellen, die Hochrisiko-KI einsetzen, sowie für private Betreiber, die KI für Kreditscoring oder Versicherungsrisikoklassifizierung einsetzen. Sie bewertet potenzielle Auswirkungen auf Grundrechte — Datenschutz, Nichtdiskriminierung und fairen Zugang zu Dienstleistungen — und muss auf Anfrage der zuständigen Aufsichtsbehörde vorgelegt werden.
Welche Bußgelder drohen bei Verstößen gegen die EU AI Act Frist August 2026?
Bei Nichteinhaltung der Hochrisiko-KI-Anforderungen nach Art. 26 drohen Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes (höherer Wert gilt). Beim Betrieb eines verbotenen KI-Systems nach Art. 5 können Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes verhängt werden.
Gilt der EU AI Act in Deutschland auch ohne nationales Ausführungsgesetz?
Ja. Der EU AI Act (VO (EU) 2024/1689) ist eine EU-Verordnung — er gilt in allen EU-Mitgliedstaaten unmittelbar, ohne dass ein nationales Ausführungsgesetz erforderlich ist. Deutschland muss keine gesonderte gesetzliche Regelung erlassen, damit die materiellen Pflichten wirksam werden. Nationales Recht legt die Aufsichtsbehörden fest und regelt Vollzugsverfahren, aber die inhaltlichen Pflichten und Bußgelder gelten unmittelbar ab den in der Verordnung festgelegten Fristen.
Was sollten deutsche Startups als erstes tun?
Beginnen Sie mit dem KI-Inventar. Erfassen Sie alle KI-Tools, die Ihr Unternehmen einsetzt — einschließlich eingebetteter KI-Funktionen in SaaS-Produkten. Prüfen Sie für jedes Tool, ob es in eine Anhang-III-Kategorie fällt. Die meisten Startups werden feststellen, dass nur ein kleiner Teil ihrer KI-Nutzung tatsächlich als hochriskant einzustufen ist. Konzentrieren Sie die Compliance-Bemühungen zunächst auf diese Systeme. Wenn Sie KI für Personalentscheidungen, Kreditvergabe oder biometrische Identifikation einsetzen, sollten Sie umgehend rechtliche Beratung einholen.
