EU AI Act am 2. August 2026: was er für den Mittelstand bedeutet

Aktualisiert am 2. Oktober 2026. Diesen Beitrag haben wir im Mai geschrieben, vor der Frist. Inzwischen ist der 2. August vorbei, und der Digital Omnibus zur KI hat einige Regeln angepasst. Wir haben den Text entsprechend aktualisiert.

Der Moment, in dem sich der Staub legte

Ein Dienstagmorgen in einem Hypothekenbüro mit 32 Mitarbeitenden. Ein Berater sitzt an einem komplexen Dossier und kopiert drei Absätze Kundendaten in ChatGPT, um schneller eine Zusammenfassung zu bekommen. Das spart vier Minuten. Und es kostet Sie etwas, das Sie gerade nicht sehen.

Seit dem 2. August 2026 ist dieses unsichtbare Etwas auch rechtlich real. An diesem Tag wurden die meisten Regeln des europäischen AI Act anwendbar, und die Aufsichtsbehörden in ganz Europa bekamen ihre Aufgabe. In den Niederlanden wird diese Aufsicht noch aufgebaut: Das Durchführungsgesetz muss noch ins Parlament, und die niederländische Regierung schlägt vor, dass die Datenschutzbehörde Autoriteit Persoonsgegevens und die RDI, die niederländische Inspektion für digitale Infrastruktur, die Aufsicht koordinieren. Für die meisten Inhaber in unserem Umfeld ist das kein Grund zur Panik, aber es ist der Moment, in dem sich eine Frage, die Sie bisher aufschieben konnten, nicht mehr aufschieben lässt.

Was sich am 2. August wirklich geändert hat

Seit dem 2. August 2026 gelten die Transparenzregeln: Menschen müssen wissen, wann sie mit KI sprechen, und realistische KI-generierte Bilder, Videos und Audioinhalte müssen als solche erkennbar sein. Außerdem kann das Europäische Büro für Künstliche Intelligenz (AI Office) seit diesem Datum die Regeln gegenüber Anbietern großer KI-Modelle durchsetzen, etwa gegenüber den Herstellern von ChatGPT und Gemini. Es kann Informationen anfordern, Maßnahmen vorschreiben und Bußgelder verhängen.

Die Bußgelder stehen in Artikel 99 des AI Act. Das höchste, bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, gilt für verbotene KI-Praktiken aus Artikel 5, etwa Social Scoring, manipulative Techniken oder Emotionserkennung am Arbeitsplatz. Für die meisten anderen Pflichten, darunter die Transparenzpflicht und die Pflichten der Betreiber von Hochrisiko-KI, gelten bis zu 15 Millionen Euro oder 3 Prozent. Für KMU gilt jeweils der niedrigere der beiden Beträge. Für KI-Kompetenz sieht der AI Act selbst kein Bußgeld vor.

Eine wichtige Einschränkung, denn hier kommt ein großer Teil der Panik her. Die schweren Pflichten (technische Dokumentation, Konformitätsbewertung, CE-Kennzeichnung) gelten für KI mit hohem Risiko, etwa KI in Personalauswahl, Kreditwürdigkeitsprüfung, Bildung und kritischer Infrastruktur. Diese Regeln wurden mit dem Digital Omnibus zur KI auf den 2. Dezember 2027 verschoben, für KI in Produkten auf den 2. August 2028. Ein Hypothekenbüro mit 30 Vollzeitkräften, das ChatGPT nutzt, fällt selten darunter. Sie sind in den meisten Fällen kein Anbieter (Provider), sondern Betreiber (Deployer).

Was sich für Sie als Betreiber tatsächlich ändert

Drei Dinge werden konkret. Erstens müssen Sie wissen, welche KI-Tools in Ihrer Organisation laufen, auch die, die niemand offiziell angeschafft hat. Ohne diesen Überblick können Sie den Rest nicht erfüllen. Zweitens müssen Ihre Mitarbeitenden wissen, wie sie die Tools nutzen dürfen, mit welchen Daten ja und mit welchen nie. Das ist der Kern der KI-Kompetenz nach Artikel 4, die seit Juli 2026 in einer leichteren Form gilt. Drittens: Sprechen Kunden mit Ihrer KI oder veröffentlichen Sie realistische KI-Bilder, dann muss das erkennbar sein.

Was das Gesetz nicht von Ihnen verlangt, was aber klug ist: Fragen Sie Ihre Anbieter, wie sie den AI Act und die DSGVO einhalten. Für die meisten Tools ist das für Sie keine gesetzliche Pflicht, aber es ist der schnellste Weg zu sehen, wo Sie ein Risiko eingehen.

Auf dem Papier klingt das einfach. In der Praxis ist es das selten. Fragen Sie an einem beliebigen Arbeitstag einmal herum, welche KI-Tools bei Ihnen intern aktiv sind. Die Chance ist groß, dass die Liste länger ist, als Sie denken, und dass einige dieser Tools in keinem Vertrag und keiner Richtlinie auftauchen.

Die Frage, die das Gesetz stellt, ist dieselbe, die Sie sich selbst stellen sollten

Welche KI nutzen wir, wer ist verantwortlich, welche Kundendaten laufen hindurch, und was passiert, wenn ein Tool ausfällt oder einen Fehler macht. Das ist keine juristische Übung. Das ist operative Hygiene, und die wäre auch ohne Brüssel längst fällig gewesen.

Speziell für Unternehmensdienstleister wiegt das schwerer als für andere Branchen. Ein Hypothekenberater, Makler, Versicherungsbüro oder Buchhalter verarbeitet per Definition sensible personenbezogene Daten. Niederländische Bürgerservicenummern (BSN), Finanzierungsdossiers, Schadensfälle, Kaufverträge, Bewertungsdaten. Wenn diese Daten über einen inoffiziellen ChatGPT-Prompt das Haus verlassen haben, ist das kein KI-Experiment, sondern ein DSGVO-Vorfall im Entstehen.

Wo Gesetz und Praxis zusammenfallen

Am Schnittpunkt von AI Act und operativer Arbeit steht das KI-Audit. Nicht als juristisches Produkt, sondern als Ausgangsmessung. Ein Audit beantwortet in 14 Tagen drei Fragen zugleich. Welche KI-Tools laufen bei Ihnen, offiziell und inoffiziell. Wie hoch ist das Risiko jedes einzelnen, juristisch und prozessual. Und, meist die angenehme Überraschung: Wo liegt Zeitgewinn, der Ihnen heute entgeht.

Ein Beispiel, das wir öfter sehen. Ein Hypothekenbüro bearbeitet 60 Finanzierungsanfragen pro Tag. Die Berater nutzen auf eigene Initiative drei verschiedene KI-Tools, um Dossiers zusammenzufassen. Niemand in der Geschäftsführung weiß, welche. Ein Audit macht das sichtbar, stuft das Risiko pro Tool ein, streicht zwei Tools, die nicht DSGVO-konform sind, und zeigt, welche vier Prozesse fast sofort 50 bis 100 Stunden pro Monat freispielen können, wenn Sie sie offiziell und kontrolliert aufsetzen.

Was nach dem Audit kommt

Das Audit ist nicht die Endstation. Es ist die Bestandsaufnahme, aus der sich drei Wege ergeben. Option eins: Sie arbeiten selbst mit der Roadmap, in kleinen Schritten, im eigenen Tempo. Option zwei: Sie lassen uns den ersten Use Case als Projekt von fünf bis acht Wochen umsetzen, siehe auch unsere Seite zu maßgeschneiderter KI. Option drei: ein AIOS-Programm, bei dem wir dauerhaft als Partner an Ihrer Seite bleiben und die KI-Schicht unter Ihrer Organisation weiterentwickeln.

Welchen Weg Sie wählen, hängt von Ihrer Unternehmensphase ab und davon, was das Audit zutage fördert. Aber ohne diese Ausgangsmessung bleibt jede weitere Entscheidung ein Bauchgefühl. KI, die in Ihrer Branche funktioniert, beginnt damit zu wissen, was bei Ihnen läuft.

Der erste Schritt

Die Regeln gelten bereits, und die niederländische Aufsicht erhält in nächster Zeit formell ihre Befugnisse. Das ist reichlich Zeit, um ein Audit zu machen, den Bericht zu verarbeiten und die erste Priorität anzugehen. Aber nicht genug, um noch ein Jahr zu warten. Das Gesamtbild finden Sie auf unserer Seite zu KI-Governance für den Mittelstand.

Vierzehn Tage ab dem Interviewtag, Festpreis, ein Bericht mit 8 bis 15 bewerteten Chancen, eine Prioritätenliste und ein Folgeangebot. Acht bis zehn Stunden Zeitaufwand auf Ihrer Seite. Danach wissen Sie, was läuft, wo das Risiko liegt und welche drei Prozesse zuerst angegangen werden sollten.