EU AI Act August 2026: Was tatsächlich gilt – und was bis 2027 verschoben wurde

Zuletzt aktualisiert: 4. August 2026

Wer die Nachrichten zum EU AI Act verfolgt, ist vermutlich auf Schlagzeilen gestoßen wie „EU verschiebt Compliance-Frist für den AI Act". Diese Schlagzeilen sind technisch korrekt und praktisch irreführend. Die Verschiebung – bei der die Pflichten für Hochrisikosysteme gemäß Annex III von August 2026 auf Dezember 2027 verlegt wurden – betrifft nur einen Teil der Verordnung. Die übrigen Teile wurden nicht verschoben.

Seit dem 2. August 2026 sind die Transparenzpflichten nach Article 50 und die erweiterte Durchsetzung des GPAI (General Purpose AI, KI für allgemeine Zwecke) in Kraft. Wenn Ihr Produkt KI zur Interaktion mit Nutzern einsetzt, synthetische Inhalte erzeugt oder auf einem Foundation Model aufbaut, gelten jetzt Pflichten für Sie. Dieser Beitrag ist der Compliance-Kalender, den Sie tatsächlich brauchen.

Was gilt derzeit tatsächlich nach dem EU AI Act?

Seit dem 2. August 2026 sind die Transparenzpflichten nach Article 50 sowie die GPAI-Compliance-Anforderungen gemäß Kapitel V vollständig in Kraft. Das bedeutet: KI-Systeme, die mit Nutzern interagieren, müssen die KI-Natur der Interaktion offenlegen; synthetische Inhalte müssen maschinell erkennbar sein; und Organisationen, die Modelle für allgemeine Zwecke oberhalb bestimmter Fähigkeitsschwellen einsetzen, müssen Anforderungen an Dokumentation, Bewertung und Vorfallmeldung erfüllen. Die Verschiebung für Annex III-Hochrisikosysteme berührt diese Bestimmungen nicht.

Der EU AI Act Compliance-Kalender: Alle Fristen im Überblick

Die Digital Omnibus-Änderung – das Gesetzgebungspaket, das Annex III auf Dezember 2027 verschoben hat – war durch Bedenken hinsichtlich der Umsetzungsbereitschaft seitens nationaler Regulierungsbehörden und der Industrie motiviert. Sie ändert die oben im Kalender aufgeführten Bestimmungen nicht.

Was beinhalten die Transparenzpflichten nach Article 50 (jetzt in Kraft)?

Die Transparenzpflichten nach Article 50 verpflichten KI-Systeme, die mit natürlichen Personen interagieren, dazu, die KI-Natur dieser Interaktion klar und rechtzeitig offenzulegen, sofern dies nicht aus dem Kontext offensichtlich hervorgeht. KI-generierte Audio-, Video-, Bild- und Textinhalte müssen mit maschinenlesbaren Signalen versehen werden, die die Erkennung ihres synthetischen Ursprungs ermöglichen.

Konkret gilt ab dem 2. August 2026:

• Chatbots und KI-Assistenten müssen zu Beginn der Interaktion offenlegen, dass es sich um KI handelt, es sei denn, der Nutzer hat ausdrücklich einen Rollenspielkontext eingerichtet
• Synthetische Medien – KI-generierte Bilder, Videos und Audioinhalte – müssen gemäß Article 50 Abs. 2 und 4 maschinenerkennbare Wasserzeichen oder Metadaten tragen
• Systeme zur Emotionserkennung und biometrischen Kategorisierung müssen betroffene Personen über ihren Betrieb informieren, mit eng begrenzten Ausnahmen

Sanktionen bei Verstößen gegen Article 50 fallen unter Article 99: bis zu €15 Millionen oder 3 % des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, für Betreiber; €7,5 Millionen oder 1,5 % für Anbieter von KI-Systemen für allgemeine Zwecke.

Was erfordert die GPAI-Compliance derzeit?

Die GPAI-Compliance gemäß Kapitel V verpflichtet Anbieter von Foundation Models und Organisationen, die Modelle oberhalb des Trainingsschwellenwerts von 10^25 FLOP einsetzen, dazu, technische Dokumentation zu pflegen und zu veröffentlichen, adversariale Tests und Red-Teaming-Evaluierungen durchzuführen sowie schwerwiegende Vorfälle dem European AI Office zu melden. Anbieter von GPAI-Modellen mit systemischem Risiko unterliegen zudem Anforderungen an Cybersicherheit und Energieeffizienzberichterstattung.

Wichtige Pflichten für Organisationen, die GPAI-Modelle Dritter einsetzen (nicht nur entwickeln):

1. Offenlegung des Anwendungsfalls gegenüber Anbietern. Wenn Sie ein GPAI-Modell für eine Hochrisikoapplikation verwenden, müssen Sie den Modellanbieter über den Einsatzkontext informieren.
2. Sorgfaltspflicht bei der Compliance-Dokumentation des Modells. Sie können sich nicht durch Verweis auf den Modellanbieter von der Verantwortung freisprechen.
3. Vorfallmeldung. Schwerwiegende Vorfälle im Zusammenhang mit GPAI-Systemen sind den nationalen zuständigen Behörden zu melden.

Welche verbotenen Praktiken sind seit Februar 2025 vollstreckbar?

Die verbotenen Praktiken gemäß Article 5 sind seit dem 2. Februar 2025 vollstreckbar. Dies sind die roten Linien – keine Pflichten, die erfüllt werden müssen, sondern Dinge, die unabhängig von der technischen Möglichkeit nicht getan werden dürfen:

• Social Scoring durch öffentliche Behörden oder in ihrem Auftrag handelnde Personen – Bewertung natürlicher Personen auf der Grundlage sozialen Verhaltens mit nachteiligen Auswirkungen
• Unterschwellige Manipulation – KI, die unbewusste Schwachstellen ausnutzt, um Verhalten auf schädliche Weise zu verändern
• Ausnutzung von Schwachstellen geschützter Gruppen – Targeting älterer, behinderter oder wirtschaftlich benachteiligter Personen
• Biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen durch Strafverfolgungsbehörden, mit engen Ausnahmen
• Emotionserkennung in Arbeits- und Bildungsumgebungen – mit engen Ausnahmen für Sicherheitssysteme
• Prädiktive Polizeiarbeit ausschließlich auf Basis von Profiling ohne Rechtfertigung auf individueller Ebene
• Ungezielte Erfassung von Gesichtsbildern aus dem Internet oder Videoüberwachungsanlagen zum Aufbau von Gesichtserkennungsdatenbanken

Wenn Ihr Produkt eine dieser Kategorien berührt, ist das Verbot seit achtzehn Monaten aktiv. Es gibt keine Übergangsfrist.

Was wurde verschoben und bis wann?

Die Verschiebung auf Dezember 2027 gilt spezifisch für Hochrisiko-KI-Systeme gemäß Annex III – Systeme, die eingesetzt werden in:

• Personalentscheidungen (Lebenslauf-Screening, Vorstellungsgesprächs-Auswertung, Beförderungszuweisung)
• Kreditscoring und Zugang zu Finanzdienstleistungen
• Bildungszulassung, -bewertung und -überwachung
• Medizinischen Diagnosesystemen
• Biometrischen und Profiling-Systemen in der Strafverfolgung
• Verwaltung kritischer Infrastruktur
• Migration, Asyl und Grenzkontrolle
• Verwaltung der Rechtspflege

Die Verschiebung wurde durch das Digital Omnibus-Gesetzgebungspaket eingeführt und soll Organisationen in diesen Sektoren zusätzliche Zeit geben, um Konformitätsbewertungsverfahren, technische Dokumentation und Risikomanagementsysteme auf dem erforderlichen Niveau aufzubauen.

Was die Verschiebung nicht bedeutet: Organisationen, die Annex III-Systeme entwickeln, sind nicht befreit – sie erhalten lediglich mehr Zeit, um Compliance zu erreichen. Das European AI Office hat klargestellt, dass Organisationen diesen Zeitraum nutzen sollten, um Compliance-Infrastruktur aufzubauen, nicht um das Engagement mit der Verordnung aufzuschieben.

Die Frist August 2028 gilt für in Produkte eingebettete KI gemäß Annex I – KI-Komponenten in regulierten Verbraucherprodukten wie Medizinprodukten, Maschinen und Automobilsystemen, bei denen bestehende Produktsicherheitsrahmen mit der Risikoklassifizierung des AI Act in Einklang gebracht werden müssen.

Was sollten SaaS- und KI-Unternehmen jetzt konkret tun?

Wenn Ihr Produkt KI in irgendeiner Form einsetzt, mit der Nutzer interagieren, ist hier die nach Priorität geordnete Compliance-Checkliste für August 2026:

1. Article 50-Exposition prüfen. Interagiert ein KI-System in Ihrem Produkt mit Endnutzern? Wenn ja, gelten die Offenlegungspflichten.
2. Interaktions-Offenlegung implementieren. Fügen Sie zu Beginn der Sitzung eine klare KI-Offenlegung für Chatbots, Assistenten und KI-generierte Inhalte hinzu. Dies muss nicht aufdringlich sein – es muss nur vorhanden sein.
3. Synthetische Inhaltsausgabe bewerten. Wenn Ihr Produkt Bilder, Audio oder Video mittels KI generiert, benötigen Sie einen Plan für maschinenlesbare Wasserzeichen. Die technischen Standards werden noch finalisiert, aber Metadaten jetzt in Ihre Generierungspipeline zu integrieren ist der sichere Weg.
4. Ihre GPAI-Modellnutzung dokumentieren. Wenn Sie GPT-4o, Claude, Gemini, Llama 3 oder gleichwertige Modelle einsetzen: Dokumentieren Sie den Anwendungsfall, die Modellversion, den Fähigkeitsumfang und Ihren Incident-Response-Prozess.
5. Ihre Vorfallmeldekette bestätigen. Identifizieren Sie Ihre nationale zuständige Behörde. Kennen Sie die Meldeschwelle und den Zeitrahmen für Ihre Jurisdiktion.
6. Die Liste verbotener Praktiken gegen Ihre Produkt-Roadmap prüfen. Wenn irgendetwas in Ihrer Pipeline die Article 5-Kategorien berührt, ist das ein sofortiger rechtlicher Stopp, kein Compliance-Planungspunkt.
7. Ihr KI-Kompetenzprogramm auffrischen. Article 4 KI-Kompetenzverpflichtungen gelten seit Februar 2025. Alle Mitarbeiter, die KI-Systeme bedienen, müssen ein dokumentiertes, ausreichendes Verständnis der Technologie haben.

Unsere VAPT- und Sicherheits-Compliance-Arbeit überschneidet sich direkt mit den technischen Anforderungen des AI Act, insbesondere für Organisationen, bei denen KI-Komponenten in sicherheitsrelevante Systeme eingebettet sind. Siehe auch unsere Leitlinien für Banken und LLM-Einsatz für sektorspezifische Compliance-Architektur.

Ist „Wir erfüllen die Anforderungen, wenn sie verbindlich werden" eine sichere Strategie?

Nein. Für die bereits geltenden Bestimmungen – Article 5-Verbote (Februar 2025), GPAI Kapitel V (August 2025) und Article 50-Transparenz (2. August 2026) – ist dies keine Planungsfrage, sondern eine Vollzugsfrage. Nationale zuständige Behörden sind in allen EU-Mitgliedstaaten operativ. Sanktionen sind aktiv. Das Übergangsfenster für diese Bestimmungen ist geschlossen.

Für Annex III-Hochrisikosysteme, die auf Dezember 2027 verschoben wurden, ist die Strategie, bis 2027 zu warten, um mit der Konformitätsbewertungsarbeit zu beginnen, strukturell gefährlich. Konformitätsbewertung durch Dritte, technische Dokumentation und die Implementierung von Risikomanagementsystemen dauern bei komplexen Systemen zwölf bis achtzehn Monate. Organisationen, die Anfang 2027 beginnen, werden bis Dezember 2027 nicht bereit sein.

Die Unternehmen, die aus dem EU AI Act-Compliance-Zyklus am stärksten hervorgehen, sind diejenigen, die die Annex III-Verschiebung genutzt haben, um eine robuste Compliance-Infrastruktur aufzubauen – nicht um das Engagement mit der Verordnung aufzuschieben.

---

Seven Labs unterstützt KI-Produktteams mit compliance-bewusster Architektur, Sicherheitsbewertung und GPAI-Dokumentationsrahmen. Wenn Sie die EU AI Act-Exposition für Ihr Produkt bewerten, beginnen Sie mit einem begrenzten Gespräch mit unserem Team.

---

<script type="application/ld+json"> { "@context": "https://schema.org", "@graph": [ { "@type": "Article", "@id": "https://www.sevenlabs.site/blogs/eu-ai-act-august-2026-whats-live-vs-delayed#article", "headline": "EU AI Act August 2026: What's Actually Live vs What Just Got Delayed to 2027", "description": "Article 50 transparency obligations and GPAI compliance requirements are live now as of August 2, 2026. The delay to December 2027 applies only to Annex III high-risk systems. The full EU AI Act compliance calendar.", "datePublished": "2026-08-04", "dateModified": "2026-08-04", "author": { "@type": "Organization", "name": "Seven Labs", "url": "https://www.sevenlabs.site" }, "publisher": { "@type": "Organization", "name": "Seven Labs", "logo": { "@type": "ImageObject", "url": "https://res.cloudinary.com/dywx7ldqr/image/upload/v1779223334/media/img_01.png" } }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://www.sevenlabs.site/blogs/eu-ai-act-august-2026-whats-live-vs-delayed" }, "keywords": ["EU AI Act", "Article 50", "GPAI compliance", "Annex III", "AI regulation 2026", "Digital Omnibus", "AI transparency obligations"], "articleSection": "AI Compliance & Regulation" }, { "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "What is actually in force right now under the EU AI Act?", "acceptedAnswer": { "@type": "Answer", "text": "As of August 2, 2026, Article 50 transparency obligations and GPAI compliance requirements under Chapter V are in full effect. AI systems that interact with users must disclose the AI nature of the interaction, synthetic content must be machine-detectable, and organisations deploying GPAI models above capability thresholds must meet documentation and incident reporting requirements." } }, { "@type": "Question", "name": "What are the Article 50 transparency obligations now live?", "acceptedAnswer": { "@type": "Answer", "text": "From August 2, 2026: chatbots and AI assistants must disclose their AI nature at interaction start; AI-generated images, video, and audio must carry machine-detectable watermarks; emotion recognition and biometric categorisation systems must disclose their operation to subjects. Penalties reach €15 million or 3% of global annual turnover." } }, { "@type": "Question", "name": "What got delayed in the EU AI Act and until when?", "acceptedAnswer": { "@type": "Answer", "text": "The Digital Omnibus amendment delayed Annex III high-risk AI system obligations from August 2026 to December 2027. Annex III covers AI used in recruitment, credit scoring, education, healthcare diagnostics, law enforcement, and critical infrastructure. Annex I product-embedded AI (medical devices, automotive, machinery) is delayed to August 2028." } }, { "@type": "Question", "name": "Is 'we will comply when it is required' a safe EU AI Act strategy?", "acceptedAnswer": { "@type": "Answer", "text": "No. Article 5 prohibitions (February 2025), GPAI Chapter V (August 2025), and Article 50 transparency (August 2, 2026) are already enforceable - the window has closed. For Annex III delayed to December 2027, conformity assessment and documentation work takes 12-18 months. Starting in early 2027 will not achieve readiness by December 2027." } }, { "@type": "Question", "name": "What EU AI Act obligations apply to SaaS companies right now?", "acceptedAnswer": { "@type": "Answer", "text": "SaaS companies with AI-facing features must: implement Article 50 interaction disclosure for AI chatbots and assistants; plan synthetic content watermarking; document all GPAI model deployments with use-case and incident response chains; comply with Article 5 prohibitions (no social scoring, subliminal manipulation, or prohibited biometric practices); and run AI literacy programmes for staff operating AI systems." } } ] } ] } </script>