Stichtag 2. August: Welche Pflichten des EU AI Act jetzt gelten — und welche verschoben wurden

Am 27. Juli 2026 ist der sogenannte Digital Omnibus on AI in Kraft getreten — als Verordnung (EU) 2026/1744, veröffentlicht im Amtsblatt der Europäischen Union am 24. Juli. Nur sechs Tage später, am 2. August, wird die nächste Anwendungsstufe des EU AI Act scharf. Diese zeitliche Nähe ist kein Zufall, sondern der Kern der Sache: Der Gesetzgeber hat den Compliance-Kalender des AI Act in zwei Teile zerlegt. Die aufwendigen Hochrisiko-Pflichten wurden verschoben, die verbrauchernahen Transparenzpflichten bleiben im Zeitplan. Wer beides verwechselt, riskiert eine teure Fehleinschätzung.

Was tatsächlich verschoben wurde

Die folgenreichste Änderung des Omnibus betrifft die Hochrisiko-Systeme. Die Pflichten für eigenständige Hochrisiko-KI nach Anhang III — darunter ausdrücklich auch KI zur Kreditwürdigkeitsprüfung und zum Kreditscoring — gelten nun erst ab dem 2. Dezember 2027 statt ab dem 2. August 2026. Für KI, die in bereits sektoral regulierte Produkte eingebettet ist (Anhang I), verschiebt sich der Stichtag sogar auf den 2. August 2028.

Wichtig für die Einordnung: Es handelt sich um einen Aufschub, nicht um eine Streichung. Die Anforderungen an Risikomanagement, Datenqualität, technische Dokumentation, menschliche Aufsicht und Konformitätsbewertung kommen — nur später. Institute, die KI in der Bonitätsprüfung oder im Risikopricing einsetzen, gewinnen Zeit für die Umsetzung, nicht die Freiheit, das Thema abzulegen.

Was ab dem 2. August gilt

Unverändert im Zeitplan bleibt Artikel 50 des AI Act — die Transparenzpflichten für Anbieter und Betreiber bestimmter KI-Systeme. Ab dem 2. August 2026 gilt im Wesentlichen:

• Offenlegung bei Chatbots und KI-Assistenten: Wer ein KI-System einsetzt, das direkt mit Menschen interagiert, muss sicherstellen, dass die Betroffenen erkennen können, dass sie mit einer Maschine kommunizieren — spätestens zu Beginn der ersten Interaktion, sofern es nicht offensichtlich ist.

• Maschinenlesbare Kennzeichnung synthetischer Inhalte: Anbieter generativer Systeme müssen KI-erzeugte Audio-, Bild-, Video- und Textinhalte in maschinenlesbarer Form markieren. Für Systeme, die vor dem 2. August 2026 auf dem Markt waren, gilt eine kurze Schonfrist bis zum 2. Dezember 2026; neue Systeme müssen die Pflicht sofort erfüllen.

• Kennzeichnung von Deepfakes und KI-Texten zu Themen öffentlichen Interesses: Betreiber müssen offenlegen, wenn Inhalte künstlich erzeugt oder manipuliert wurden.

• Information bei Emotionserkennung und biometrischer Kategorisierung: Betroffene Personen sind über den Einsatz solcher Systeme zu informieren.

Ebenfalls ab dem 2. August greifen die Durchsetzungsbefugnisse für Allzweck-KI-Modelle und die Strukturen der Marktüberwachung. Verstöße gegen die Transparenzpflichten können mit Bußgeldern von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden.

Die Leitlinien der Kommission schaffen Klarheit

Am 20. Juli 2026 hat die Europäische Kommission Leitlinien zu den Transparenzpflichten nach Artikel 50 veröffentlicht, ergänzt um ein FAQ-Dokument und einen Code of Practice zur Kennzeichnung KI-generierter Inhalte. Die Dokumente präzisieren unter anderem, wann eine Interaktion als „offensichtlich KI" gelten darf, welche technischen Verfahren für die maschinenlesbare Markierung akzeptiert werden und wie sich die Rollen von Anbieter und Betreiber abgrenzen.

Gerade die Rollenfrage ist für Finanzinstitute zentral: Die meisten Banken sind Betreiber (Deployer) von KI-Systemen, die sie von Technologiepartnern beziehen — mit eigenen, klar umrissenen Pflichten. Wer allerdings Systeme unter eigenem Namen anbietet oder wesentlich verändert, kann in die Anbieterrolle rutschen und damit deutlich umfangreichere Pflichten übernehmen.

Was Banken jetzt konkret umsetzen sollten

Für Institute mit KI-gestützter Kundenkommunikation ergibt sich aus dem Stichtag ein klares Arbeitsprogramm:

1. Inventar erstellen: Welche Systeme interagieren direkt mit Kundinnen und Kunden, welche erzeugen Inhalte? Dazu zählen Service-Chatbots, KI-Assistenten im Online-Banking, generative Tools im Marketing und automatisierte Textproduktion.

2. Offenlegung gestalten: Die Information, dass eine KI antwortet, gehört an den Anfang der Interaktion — klar, verständlich und barrierearm. Ein Hinweis tief in den Nutzungsbedingungen genügt nicht.

3. Kennzeichnungsprozesse aufsetzen: Wer KI-generierte Bilder, Videos oder Texte publiziert, braucht einen Prozess, der die Kennzeichnung zuverlässig sicherstellt — auch über Agenturen und Dienstleister hinweg.

4. Verträge und Zuständigkeiten prüfen: Die Abgrenzung zwischen Anbieter- und Betreiberpflichten sollte sich in Verträgen mit Technologiepartnern widerspiegeln.

5. Nachweisfähigkeit herstellen: Wie bei allen Aufsichtsthemen gilt: Dokumentation entscheidet. Wer die Umsetzung nicht belegen kann, hat sie im Zweifel nicht umgesetzt.

Sonderfall Marketing: KI-generierte Inhalte im Kundenkontakt

Besondere Aufmerksamkeit verdient der Marketingbereich, weil dort generative KI längst Alltag ist — von Produkttexten über Newsletter-Varianten bis zu Bildmaterial für Kampagnen. Die Kennzeichnungspflicht nach Artikel 50 unterscheidet dabei nicht nach Reichweite oder Kanal: Auch Inhalte in E-Mail-Strecken, auf Landingpages oder in Social-Media-Beiträgen können betroffen sein, wenn sie künstlich erzeugt wurden. Zugleich gilt Augenmaß: Rein unterstützende Nutzung, bei der Menschen Texte redigieren und verantworten, ist anders zu bewerten als vollautomatisch publizierte Inhalte. Genau für diese Abgrenzungen lohnt der Blick in die Leitlinien und den Code of Practice der Kommission.

Für personalisierte Kundenansprache ergibt sich daraus kein Verbot, sondern eine Prozessanforderung: Institute sollten wissen, an welchen Stellen ihrer Customer Journey generative Systeme Inhalte erzeugen, und die Kennzeichnung dort verankern, wo sie rechtlich erforderlich ist — idealerweise automatisiert in den Produktionsworkflows statt als manuelle Einzelfallprüfung.

Aufschub nutzen statt pausieren

Die Verschiebung der Hochrisiko-Pflichten verführt zu einer riskanten Lesart: erst einmal abwarten. Das wäre aus zwei Gründen falsch. Erstens bleiben die Transparenzpflichten bestehen und betreffen genau die Systeme, die in der Kundeninteraktion am sichtbarsten sind. Zweitens ist der neue Hochrisiko-Stichtag Dezember 2027 für Institute mit komplexen Modelllandschaften kein komfortabler Puffer, sondern ein realistischer Projektzeitraum — insbesondere, wenn Kreditscoring-Modelle, Dokumentation und Governance-Prozesse aufsichtsfest gemacht werden müssen.

Hinzu kommt ein strategisches Argument: Transparenz im KI-Einsatz ist nicht nur eine Pflicht, sondern ein Vertrauensfaktor im Kundenlebenszyklus. Institute, die offen kommunizieren, wo KI unterstützt und wo Menschen entscheiden, stärken die Beziehung zu ihren Kundinnen und Kunden — und verschaffen sich eine bessere Ausgangsposition für die nächsten Stufen der Regulierung. Der 2. August ist damit weniger ein Schlusspunkt als ein Startsignal: Wer die Transparenzpflichten jetzt sauber umsetzt, hat die Grundlagen für die Hochrisiko-Anforderungen von 2027 bereits zur Hälfte gelegt.