AI Act für Unternehmen: Was am 2. August wirklich zählt

Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50Transparenzregeln des AI Acts mit unterschiedlichen Pflichten für Anbieter und Betreiber, darunter Informationen über KI-Interaktionen, technische Markierung und Offenlegung bestimmter Inhalte. des AI Acts. Welche PflichtErfüllen Sie die KI-Kompetenzanforderungen des EU AI Act. ein Unternehmen trifft, hängt von seiner Rolle und der Anwendung ab. Die technische Kennzeichnung durch Anbieter und die Offenlegung durch Betreiber sind unterschiedliche Aufgaben.

Was gilt ab 2. August 2026 konkret für AI Act Unternehmen?

Artikel 50 der KI-Verordnung unterscheidet insbesondere:

• Chatbots und Assistenzsysteme: Anbieter müssen Menschen über die direkte Interaktion mit KI informieren, sofern diese nicht offensichtlich ist.

• Generative Systeme: Anbieter müssen synthetische Ausgaben grundsätzlich maschinenlesbar markieren und als KI-generiert oder manipuliert erkennbar machen. Es gelten Ausnahmen, etwa für bestimmte bloße Bearbeitungsfunktionen.

• Deepfakes: Betreiber müssen die künstliche Erzeugung oder Manipulation offenlegen. Für bestimmte künstlerische oder satirische Werke gelten angepasste Vorgaben.

• Texte im öffentlichen Interesse: Betreiber müssen die KI-Erzeugung oder Manipulation offenlegen. Eine Ausnahme greift bei menschlicher Überprüfung oder redaktioneller Kontrolle und einer Person oder Organisation, die die redaktionelle Verantwortung trägt.

• Emotionserkennung und biometrische Kategorisierung: Betreiber müssen betroffene Personen über den Einsatz informieren.

Aus diesen Regeln folgt keine pauschale Pflicht, jedes KI-Bild sichtbar zu beschriften. Anbieterkennzeichnung und betreiberseitige Offenlegung müssen jeweils geprüft werden.

Was war schon vorher fällig, und was kommt später?

Der AI Act gilt schrittweise. Für Anbieter von GPAI-Modellen gelten Pflichten seit dem 2. August 2025; für bereits zuvor in Verkehr gebrachte Modelle läuft die Anpassungsfrist bis zum 2. August 2027. Das erläutert die Europäische Kommission zu GPAI.

Der AI Omnibus ist am 27. Juli 2026 in Kraft getreten. Für Hochrisikosysteme nach Anhang III nennt die Kommission den 2. Dezember 2027; für entsprechende produktgebundene Systeme nach Anhang I den 2. August 2028.

Die Übergangsfrist bis zum 2. Dezember 2026 betrifft die Anbieterpflicht zur maschinenlesbaren Markierung und Erkennbarkeit nach Artikel 50 Absatz 2 für Systeme, die schon vor dem 2. August 2026 in Verkehr gebracht oder in Betrieb genommen wurden. Sie verschiebt nicht sämtliche Transparenzpflichten von Unternehmen.

Wer im Unternehmen muss jetzt was tun?

Die Umsetzung lässt sich auf Geschäftsführung, RechtDas komplette Rechts-Know-how für KI in Österreich. und Fachabteilung verteilen. Ein realistischer Zuschnitt sieht so aus:

• Geschäftsführung: organisiert einen Überblick über eingesetzte KI-Systeme und Zuständigkeiten. Ein Inventar ist ein praktischer Ausgangspunkt, aber keine pauschale eigenständige Inventarpflicht für jede Firma.

• Recht und Datenschutz: prüft Rolle, Verwendungszweck, Risikoeinstufung und einschlägige Pflichten des jeweiligen Systems.

• Fachabteilung: setzt die erforderlichen Hinweise und Abläufe technisch um und dokumentiert die Umsetzung.

Auch die KI-Kompetenz bleibt relevant. Nach den aktuellen Erläuterungen der Kommission zu Artikel 4 sollen Anbieter und Betreiber Maßnahmen ergreifen, um die KI-Kompetenz ihrer Beschäftigten und anderer in ihrem Auftrag handelnder Personen zu fördern. Daraus folgt keine allgemeine Pflicht zu einem bestimmten Kurs oder Zertifikat. Maßnahmen sollten zur tatsächlichen Nutzung und zu den Risiken passen.

Wo ist die Panik übertrieben?

Nicht jedes Unternehmen betreibt Hochrisiko-KI. Entscheidend ist der konkrete Verwendungszweck, etwa in bestimmten Anwendungen bei Personalauswahl, Kreditwürdigkeitsbewertung oder kritischer Infrastruktur. Ein gewöhnlicher Marketing-Chatbot wird nicht allein durch den Einsatz eines Sprachmodells zum Hochrisikosystem.

Was Sie ernst nehmen sollten und was Sie gelassen sehen dürfen:

• Ernst nehmen: die für Ihre Rolle und Anwendung geltenden Kennzeichnungs-, Informations- und sonstigen Pflichten.

• Gelassen sehen: die Behauptung, jeder KI-Einsatz falle automatisch in die höchste Risikoklasse.

• Genau prüfen: ob Ihr System tatsächlich als Hochrisiko-KI eingestuft wird und welche Fristen einschlägig sind.

Eine Bestandsaufnahme, Kennzeichnung und Schulung allein garantieren keine vollständige Compliance. Auch gut gemeinte Übergangsarbeit schützt nicht pauschal vor Sanktionen. Bei der Bemessung berücksichtigt Artikel 99 unter anderem Art, Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit sowie Maßnahmen zur Schadensminderung. Für den konkreten Einsatz können zusätzlich Datenschutz-, Urheber- oder andere Fachgesetze relevant sein.