Was am 2. August tatsächlich passiert ist
Zur Einordnung lohnt sich ein kurzer Rückblick auf das, was wir an dieser Stelle im Juli bereits geschrieben haben: Die Hochrisiko-Pflichten des EU AI Act – Risikomanagement, menschliche Aufsicht, Konformitätsbewertung für Systeme wie automatisierte Bewerber-Vorauswahl oder Kreditwürdigkeitsprüfung – wurden über den sogenannten „Digital Omnibus“ verschoben. Das Europäische Parlament stimmte am 16. Juni 2026 zu, der Rat gab am 29. Juni endgültig grünes Licht, die Veröffentlichung im Amtsblatt folgte im Juli. Für eigenständige Hochrisiko-Systeme (Annex III) gilt seither der 2. Dezember 2027 statt des 2. August 2026, für in regulierte Produkte eingebettete Systeme (Annex I) der 2. August 2028. Das war korrekte, gut belegte Berichterstattung – und bleibt es.
Das Problem liegt nicht in dieser Meldung, sondern in ihrer Verallgemeinerung. Mehrere auf den AI Act spezialisierte Kanzleien beschreiben seit Anfang August unabhängig voneinander dasselbe Muster: Unternehmen, die aus der – zutreffenden – Schlagzeile „Fristen verschoben“ den – unzutreffenden – Schluss gezogen haben, ihr gesamtes AI-Act-Programm könne pausieren. Genau in diesem blinden Fleck wurde am 2. August 2026 etwas anderes durchsetzbar: die Transparenzpflichten aus Artikel 50. Sie waren vom Digital Omnibus nie betroffen, weil sie zu keinem Zeitpunkt zu den Hochrisiko-Pflichten gehörten. Eine Analyse bringt es auf den Punkt: Der Hochrisiko-Rahmen habe sich verschoben, Transparenz und Durchsetzung nicht.
Was Artikel 50 konkret verlangt
Artikel 50 bündelt vier separate Pflichten, die unterschiedliche Akteure treffen. Wichtig für die eigene Einordnung: Es reicht, in einer einzigen der vier Kategorien einen eigenen Anwendungsfall zu haben, um betroffen zu sein.
- Chatbots und Sprachassistenten (Art. 50 Abs. 1): Wer ein System betreibt, das direkt mit Menschen interagiert, muss spätestens beim ersten Kontakt erkennbar machen, dass es sich um KI handelt – ein einfacher Hinweistext reicht in der Regel aus.
- KI-generierte Inhalte (Art. 50 Abs. 2): Anbieter generativer Systeme (Text, Bild, Ton, Video) müssen ihre Ausgaben maschinenlesbar als künstlich erzeugt markieren – technisch robust und interoperabel, nicht nur als sichtbarer Hinweis für Menschen.
- Emotionserkennung und biometrische Kategorisierung (Art. 50 Abs. 3): Wer solche Systeme einsetzt, muss die davon betroffenen Personen informieren.
- Deepfakes und KI-Texte zu Themen von öffentlichem Interesse (Art. 50 Abs. 4): Wer manipulierte oder KI-generierte Inhalte zu solchen Themen veröffentlicht, muss das offenlegen – außer, ein Mensch hat den Inhalt redaktionell verantwortet und substanziell geprüft.
Für den typischen Mittelstandsfall heißt das: Ein Support-Chatbot auf der eigenen Website fällt unter Absatz 1. Ein Tool, das automatisiert Produktbeschreibungen, Bilder oder Marketingtexte erzeugt, fällt unter Absatz 2. Beides sind keine seltenen Speziallösungen, sondern Standard-Einsatzfälle, die in den vergangenen zwei Jahren in vielen kleinen und mittleren Unternehmen entstanden sind – oft ohne dass jemand sie bewusst als „KI-System im Sinne des AI Act“ eingeordnet hätte.
Die eine Ausnahme, die es wirklich gibt – und die enger ist, als sie klingt
Artikel 50 Absatz 1 kennt eine Ausnahme: Die Kennzeichnungspflicht entfällt, wenn es einer hinreichend informierten, aufmerksamen und verständigen Person bereits offensichtlich ist, dass sie mit einer Maschine interagiert. Das klingt nach einem bequemen Ausweg für offensichtlich technische Interfaces. In der Praxis raten Fachjuristen zur Vorsicht: Der Maßstab ist eng gefasst, und die Einschätzung, ob ein konkreter Chatbot diese Schwelle erreicht, sollte dokumentiert werden – nicht stillschweigend vorausgesetzt. Ein schlicht gestalteter FAQ-Bot ohne jeden Hinweis ist im Zweifel nicht automatisch „offensichtlich“ KI, nur weil er wie einer aussieht.
Zwei Fristen in einer Pflicht – der Punkt, an dem die meisten Übersichten ungenau werden
Wer nach der ersten Recherche zu Artikel 50 den Eindruck hat, hier gebe es doch noch eine Schonfrist, hat nicht ganz unrecht – nur betrifft sie ausschließlich einen einzigen der vier Absätze und auch dort nur einen Teil der betroffenen Systeme. Die maschinenlesbare Markierungspflicht aus Absatz 2 erhielt eine viermonatige Übergangsfrist bis zum 2. Dezember 2026 – aber ausschließlich für generative KI-Systeme, die bereits vor dem 2. August 2026 am EU-Markt waren. Neue Systeme, die ab dem 2. August auf den Markt kommen, müssen die Markierung sofort mitbringen, ohne jede Schonfrist.
Diese Unterscheidung ist praktisch folgenreich: Ein Unternehmen, das seit Anfang 2026 ein bestehendes Text-Generierungs-Tool nutzt, hat für die Markierungsfrage bis Dezember Zeit. Dieselbe Firma, wenn sie im September ein neues Tool einführt, hat diese Zeit nicht. Und die Chatbot-Kennzeichnung nach Absatz 1, die Deepfake-Kennzeichnung nach Absatz 4 und die Informationspflicht bei Emotionserkennung nach Absatz 3 haben überhaupt keine Übergangsfrist – sie gelten seit dem 2. August, unabhängig davon, wie alt das eingesetzte System ist. Wer „Artikel 50“ pauschal als „hat bis Dezember Zeit“ abgespeichert hat, hat drei von vier Pflichten falsch verstanden.
Wer das in Deutschland prüft – und warum das gerade erst geklärt wurde
Zur Durchsetzung: Am selben 2. August, an dem die Pflichten griffen, erhielten die zuständigen Behörden die Befugnis, sie zu prüfen und zu ahnden. In Deutschland ist das seit diesem Datum die Bundesnetzagentur – als zentrale Marktüberwachungsbehörde und zugleich als nationale Anlauf- und Beschwerdestelle im Rahmen des KI-Management- und Implementierungsgesetzes (KI-MIG). Bemerkenswert am Rande: Deutschland war der letzte große EU-Mitgliedstaat, der diese nationale Zuständigkeit überhaupt klärte – die Zuordnung stand bis kurz vor dem Stichtag nicht fest. Für Unternehmen bedeutet das konkret: Es gibt seit dem 2. August eine benannte Adresse, an die sich sowohl Aufsicht als auch Beschwerden richten, mit demselben Bußgeldrahmen wie auf EU-Ebene – bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes.
Was daraus praktisch folgt
Der Punkt dieses Artikels ist nicht, Alarm zu schlagen. Die Kennzeichnungspflichten aus Artikel 50 sind im Vergleich zu den Hochrisiko-Anforderungen technisch überschaubar – ein sichtbarer Hinweistext bei einem Chatbot ist in aller Regel eine Sache von Stunden, nicht von Monaten. Der Punkt ist, dass „verschoben“ und „erledigt“ zwei verschiedene Wörter sind, und dass die vergangenen Wochen gezeigt haben, wie leicht beide verwechselt werden. Drei konkrete Schritte für diese Woche:
- Inventur statt Vermutung: Eine kurze Liste aller Chatbots, Textgeneratoren, Bild-/Content-Tools und etwaigen Emotionserkennungs- oder biometrischen Systeme im eigenen Einsatz erstellen – die meisten Unternehmen haben mehr davon im Einsatz, als ihnen ohne diese Übung bewusst ist.
- Pro System die richtige Frist zuordnen: sofort (Chatbot-Hinweis, Deepfake-Kennzeichnung, Informationspflicht bei Emotionserkennung) oder Dezember 2026 (Markierung, aber nur für vor dem 2. August bereits eingesetzte generative Systeme).
- Bei der „Offensichtlich-Ausnahme“ nicht raten, sondern kurz dokumentieren, warum ein bestimmtes System sie erfüllt oder eben nicht – falls die Bundesnetzagentur einmal nachfragt, zählt eine schriftliche Begründung mehr als eine nachträgliche Einschätzung.
Und zur Einordnung gegenüber unserem eigenen Artikel vom Juli: Was wir dort zur Verschiebung der Hochrisiko-Fristen geschrieben haben, war richtig und ist es weiterhin. Es beantwortet nur eine andere Frage als die, die seit dem 2. August akut ist. Wer beide Ebenen auseinanderhält – die tatsächlich verschobenen Hochrisiko-Pflichten und die nie verschobenen Transparenzpflichten –, hat den aktuellen Stand des AI Act vollständig und korrekt vor sich, ohne sich von einer richtigen Schlagzeile in die falsche Untätigkeit locken zu lassen.