KI-Verordnung: Countdown zum 2. August 2026 und was Unternehmen tun müssen

Aktualisiert im Juli 2026.

Jeden Tag veröffentlicht ein Unternehmen ein KI-generiertes Bild, lässt einen Chatbot seine Kunden beantworten oder bearbeitet eine Anzeige mit einer synthetischen Stimme. Bis vor Kurzem waren das kreative Entscheidungen. Ab dem 2. August 2026 werden sie auch zu regulatorischen Pflichten. An diesem Datum macht die KI-Verordnung, die Verordnung (EU) 2024/1689, die Transparenzpflichten des Artikels 50 anwendbar und aktiviert das Sanktionsregime: Wer KI-generierte Inhalte erzeugt oder verbreitet, muss sie erkennbar machen, und wer dies versäumt, riskiert Bußgelder von bis zu 3 % des weltweiten Umsatzes. Wenn Sie danach gesucht haben, was der Stichtag KI-Verordnung August 2026 tatsächlich verlangt, finden Sie hier die praktische Antwort.

Ein Großteil der jüngsten Debatte drehte sich um das sogenannte AI/Digital Omnibus, das einige Fristen nach hinten verschoben hat. Lesen Sie jedoch das Detail: Diese Verschiebung betrifft Hochrisiko-Systeme, nicht die Transparenz. Der Termin 2. August 2026 bleibt bestehen. Dieser Artikel ist die operative Checkliste für diese Frist: welche Pflichten der KI-Verordnung für Unternehmen gelten, wer was tut, welche Inhalte gekennzeichnet werden müssen und welche Aufgaben Sie abschließen sollten, bevor die Zeit abläuft.

Die kurze Antwort, falls Sie wenig Zeit zur Vorbereitung haben: Erfassen Sie die KI-Systeme, die Sie einsetzen, klären Sie, wer Anbieter und wer Betreiber ist, machen Sie die synthetischen Inhalte, die Sie verbreiten, erkennbar, dokumentieren Sie, was Sie erzeugt haben und wie, und weisen Sie die Nutzer darauf hin, wenn sie mit einer Maschine interagieren. Das Detail folgt.

Was sich am 2. August 2026 ändert: GPAI-Pflichten und Artikel 50 im Überblick

Am 2. August 2026 werden die Transparenzpflichten des Artikels 50 anwendbar und das Sanktionsregime nach den Artikeln 99 und 101 tritt in Kraft. Ab diesem Datum können die nationalen Behörden gegen Verstöße vorgehen und Bußgelder verhängen.

Artikel 50 der Verordnung (EU) 2024/1689 legt zwei Kategorien der Transparenz fest. Die erste betrifft die Interaktion: Wer ein KI-System bereitstellt, das mit Menschen spricht, etwa einen Chatbot, muss sicherstellen, dass die Nutzer wissen, dass sie es mit einer Maschine zu tun haben, sofern dies nicht ohnehin offensichtlich ist. Die zweite betrifft die Inhalte: Bilder, Audio, Video und Text, die von KI erzeugt oder manipuliert wurden, müssen in einem maschinenlesbaren Format gekennzeichnet und als künstlich erkennbar sein. Die Kennzeichnung kann verschiedene Formen annehmen, von Metadaten über Wasserzeichen bis zu kryptografischen Kennungen, solange sie wirksam, interoperabel und robust ist, soweit dies technisch machbar ist. Für Deepfakes und für Texte, die zur Information der Öffentlichkeit über Angelegenheiten von allgemeinem Interesse veröffentlicht werden, ist die Pflicht zur Offenlegung des künstlichen Charakters ausdrücklich vorgesehen. Die Transparenzpflichten gelten unabhängig vom Risikoniveau des Systems: Sie gelten selbst für Anwendungen, die die KI-Verordnung nicht als hochriskant einstuft.

Dasselbe Datum markiert eine weitere Änderung: die vollständige Anwendung der Pflichten für GPAI-Modelle, die KI-Modelle mit allgemeinem Verwendungszweck, deren Regeln am 2. August 2025 zu gelten begannen. Die Anbieter dieser Modelle müssen technische Dokumentation erstellen, das Urheberrecht wahren und eine Zusammenfassung der für das Training verwendeten Inhalte veröffentlichen. Wer ein GPAI-Modell vor dem 2. August 2025 in Verkehr gebracht hat, verfügt über einen Übergangszeitraum zur Anpassung: Die Konformität ist bis zum 2. August 2027 herzustellen. Wie die Kennzeichnungsregeln des Artikels 50 in der Praxis funktionieren, zeigt unser eigener Beitrag zur Kennzeichnung synthetischer Inhalte.

Anbieter und Betreiber: wer was tut und welche Inhalte gekennzeichnet werden müssen

Die Pflichten treffen zwei Rollen, und dasselbe Unternehmen kann beide innehaben. Ein Anbieter ist, wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt. Ein Betreiber ist, wer dieses System in seiner beruflichen Tätigkeit einsetzt. Sie müssen kein Technologiekonzern sein: Ein Unternehmen, das ein Bildgenerierungswerkzeug für das Marketing nutzt, ist ein Betreiber mit eigenen Pflichten.

In der KI-Verordnung entscheidet die Unterscheidung zwischen Anbieter und Betreiber darüber, wer wofür einsteht. Der Anbieter muss das System so gestalten, dass es erzeugte Inhalte automatisch mit einem maschinenlesbaren Signal kennzeichnet, gemäß Artikel 50 Absatz 2. Der Betreiber, für Hochrisiko-Systeme zusätzlich durch Artikel 26 geregelt, hat Transparenzpflichten gegenüber seinen eigenen Nutzern: Er muss offenlegen, wenn ein Inhalt ein Deepfake ist, und bei Texten zu Angelegenheiten von öffentlichem Interesse, dass der Inhalt künstlich erzeugt wurde. In der Praxis verankert der Anbieter die technische Kennzeichnung an der Wurzel, während der Betreiber die sichtbare Offenlegung nachgelagert sicherstellt. Beachten Sie jedoch: Wenn ein Betreiber ein System wesentlich verändert oder unter eigener Marke in Verkehr bringt, kann er selbst die Rolle des Anbieters übernehmen, mit den entsprechenden Pflichten. Die Verantwortung ist kein Entweder-oder: Beide stehen ein, jeder für seinen Teil, und dieselbe Organisation ist oft Betreiber von Werkzeugen Dritter und Anbieter der Inhalte, die sie veröffentlicht.

Welche Inhalte gekennzeichnet werden müssen

Die Kennzeichnung gilt für Inhalte, die von einem KI-System erzeugt oder wesentlich verändert wurden. Sie umfasst Bilder aus Text-zu-Bild-Generatoren, synthetisches Video und Audio, geklonte Stimmen, Deepfakes, die reale Personen in nie geschehenen Situationen zeigen, und Texte, die zur Information der Öffentlichkeit über Angelegenheiten von allgemeinem Interesse veröffentlicht werden. Ausgenommen sind rein unterstützende oder standardmäßige Bearbeitungsvorgänge, die den Inhalt nicht wesentlich verändern, sowie gesetzlich zugelassene Anwendungen, etwa in strafrechtlichen Ermittlungen. Um eine bestimmte Anwendung ihrer Risikokategorie zuzuordnen, ist die Übersicht der Risikokategorien der KI-Verordnung eine nützliche Referenz.

Die Schritte zur Konformität vor dem Stichtag

Hier ist, was in welcher Reihenfolge zu tun ist, um den Stichtag der KI-Verordnung im August 2026 einzuhalten. Die Logik ist einfach: Verstehen Sie zuerst, was Sie einsetzen, klassifizieren Sie es dann, und richten Sie anschließend Transparenz und Dokumentation ein.

Die Vorbereitung auf die KI-Verordnung gliedert sich in sechs operative Schritte. Erstens die Erfassung: eine Bestandsaufnahme jedes im Unternehmen eingesetzten KI-Systems, intern wie von Dritten, mit vermerktem Zweck. Zweitens die Risikoklassifizierung jedes Systems nach den Kategorien der Verordnung (EU) 2024/1689, damit Sie wissen, welche Pflichten gelten. Drittens die erkennbare Kennzeichnung der synthetischen Inhalte, die Sie erzeugen oder verbreiten, in einem sowohl für Menschen als auch für Maschinen lesbaren Format. Viertens die Aufbewahrung der Informationen darüber, was mit welchem System und wann erzeugt wurde. Fünftens die Aufklärung der Nutzer, wenn sie mit einem Chatbot interagieren oder KI-generierte Inhalte erhalten. Sechstens die interne Governance mit Rollen, Verantwortlichkeiten und Mitarbeiterschulung. Diese sechs Schritte sind keine einmalige Übung: Sie müssen dokumentiert und aktuell gehalten werden, denn Ihr Bestand an Systemen und die damit verbundenen Risiken ändern sich mit jedem neuen Werkzeug, das das Unternehmen einführt.

Drei dieser Punkte verdienen einen genaueren Blick.

Die Bestandsaufnahme ist die Grundlage von allem. Ohne zu wissen, welche Werkzeuge in Marketing, Personalwesen, Kundenservice und Rechtsabteilung laufen, ist jede Konformitätsbewertung blind. Viele Unternehmen entdecken in dieser Phase einen weit umfangreicheren KI-Einsatz, als sie angenommen hatten.

Die Aufbewahrung von Informationen ist kein Selbstzweck. Im Fall einer Anfechtung oder eines Rechtsstreits ist die Möglichkeit, nachzuweisen, welches System einen Inhalt mit welchen Daten und zu welchem Zeitpunkt erzeugt hat, das, was die Position eines Unternehmens verteidigungsfähig macht. Wir haben dies in einem separaten Beitrag zu den Aufbewahrungspflichten der KI-Verordnung behandelt.

Es gibt zudem eine Pflicht, deren Frist bereits verstrichen ist, aber oft übersehen wird: die KI-Kompetenz. Artikel 4 verlangt seit dem 2. Februar 2025, dass jede Person, die im Namen der Organisation KI einsetzt, über ein angemessenes Kompetenzniveau verfügt. Es ist ein Element der Governance, das dort, wo es fehlt, sofort geschlossen werden muss.

Sanktionen und Zeitplan

Die Sanktionen der KI-Verordnung richten sich nach der Schwere des Verstoßes und haben, wie die DSGVO, eine Obergrenze, die als Prozentsatz des weltweiten Umsatzes ausgedrückt wird. Für die Transparenzpflichten wird das Regime am 2. August 2026 wirksam.

Artikel 99 der Verordnung (EU) 2024/1689 staffelt die Sanktionen in drei Stufen. Verbotene KI-Praktiken ziehen Bußgelder von bis zu 35 Millionen Euro oder 7 % des gesamten weltweiten Jahresumsatzes nach sich, je nachdem, welcher Betrag höher ist. Der Verstoß gegen andere Pflichten, einschließlich der Transparenzpflichten des Artikels 50, erreicht bis zu 15 Millionen Euro oder 3 % des Umsatzes. Die Übermittlung falscher oder irreführender Informationen an die Behörden kostet bis zu 7,5 Millionen Euro oder 1 % des Umsatzes. Für jede Stufe gilt der höhere Betrag aus fester Summe und Umsatzprozentsatz, und es sind die nationalen Aufsichtsbehörden, die die Bußgelder verhängen. Für Anbieter von GPAI-Modellen legt Artikel 101 Sanktionen von bis zu 3 % des weltweiten Umsatzes oder 15 Millionen Euro fest. Die Verordnung verpflichtet die Behörden, die Verhältnismäßigkeit und insbesondere die Interessen von KMU und Start-ups bei der Festsetzung des Betrags zu berücksichtigen.

Die Durchsetzung läuft auf zwei Ebenen. Die nationalen Aufsichtsbehörden in jedem Mitgliedstaat behandeln die meisten Pflichten, während das Europäische KI-Büro die GPAI-Modelle beaufsichtigt. Die Prozentsätze folgen derselben Logik, die die DSGVO bekannt gemacht hat, sodass Teams, die bereits mit Datenschutz-Bußgeldern zu tun haben, einen Bezugspunkt für die Größenordnung des Risikos haben.

Zeitplan der Fristen

Sanktionsmatrix

Warum die Kennzeichnung synthetischer Inhalte nicht ausreicht

Die Kennzeichnung beantwortet die Hälfte des Problems. Sie erklärt, dass ein Inhalt künstlich ist, beweist aber nicht, dass ein anderer Inhalt echt ist. Und die Kennzeichnung selbst ist eine fragile Information: Ein Metadatenfeld oder ein Wasserzeichen kann durch Komprimierung, einen Screenshot oder einen Zuschnitt entfernt werden. Wer täuschen will, entfernt die Kennzeichnung; wer sich an die Regeln hält, steht ohne Nachweis da, wenn er zeigen muss, dass sein eigenes Material echt ist. Hinzu kommt die andere Hälfte dessen, was ein Unternehmen täglich veröffentlicht: die echten Fotos eines Produkts, ein vor Ort gedrehtes Video, ein Screenshot einer Unterhaltung. Gerade diese Materialien benötigen, wenn sie in einem Rechtsstreit zum Beweismittel werden, Garantien für Herkunft und Integrität, die die Kennzeichnung des Synthetischen nicht bietet. Die Transparenz über das Synthetische muss daher durch den Nachweis des Echten ergänzt werden: eine Zertifizierung, die an der Quelle beginnt und über die Zeit verteidigungsfähig bleibt.

Hier kommt TrueScreen ins Spiel. TrueScreen ist die Data Authenticity Platform, die Fotos, Videos, Audio, Screenshots und Dokumente mit Rechtswert erfasst und zertifiziert und dabei eine forensische Methodik der Datenzertifizierung anwendet: Der Nachweis von Herkunft und Integrität des Inhalts wird im Moment der Erfassung fixiert, nicht nachträglich rekonstruiert. In diesen Zertifizierungsprozess integriert TrueScreen das elektronische Siegel und den qualifizierten Zeitstempel, die von qualifizierten Vertrauensdiensteanbietern (QTSP) als Dritten ausgestellt werden, sodass der zertifizierte Inhalt ein sicheres Datum und eine überprüfbare Integrität trägt. Wo die Kennzeichnung nach Artikel 50 signalisiert, was KI-generiert ist, garantiert die Zertifizierung an der Quelle, was echt ist, und schließt so die andere Hälfte des Transparenzproblems.

Ein konkretes Beispiel. Das Marketingteam eines Unternehmens startet eine Kampagne, die echte Produktaufnahmen mit KI-generierten Bildern mischt. Auf Letztere wendet es die Kennzeichnung für synthetische Inhalte an, wie es die KI-Verordnung verlangt. Auf Erstere, die echten Fotos des Produkts und des Werks, wendet es eine forensische Zertifizierung an, die Herkunft, Datum und Integrität fixiert: Wenn morgen ein Wettbewerber die Echtheit dieser Bilder anficht oder ein Inhalt in manipulierter Form erneut veröffentlicht wird, verfügt das Unternehmen über einen verteidigungsfähigen Nachweis dessen, was es tatsächlich produziert hat. Eine Kennzeichnung auf dem Falschen, eine Zertifizierung auf dem Echten. Um zu sehen, wie die zertifizierte Erfassung funktioniert, ist der Forensic Browser oder die Übersicht der TrueScreen-Lösungen ein guter Ausgangspunkt.