Künstliche Intelligenz & Recht: Was Ihr Unternehmen seit dem 2. August 2026 beachten muss

Diese Mandanteninformation können Sie hier als PDF herunterladen.

August 2026

Liebe Mandantinnen und Mandanten,

mit dieser Ausgabe starten wir eine regelmäßige und gut nachvollziehbare Information rund um Datenschutz und Künstliche Intelligenz. Aktueller Anlass ist ein wichtiger Stichtag: Seit dem 2. August 2026 gilt in der gesamten Europäischen Union das EU-Gesetz für Künstliche Intelligenz – kurz „KI-Verordnung“ oder „KI-VO“ (Verordnung (EU) 2024/1689, Art. 113 KI-VO).

Gleichzeitig hat der Gesetzgeber kurz zuvor, nämlich am 27. Juli 2026, einige Fristen für besonders strenge Regeln kurzfristig verlängert (Verordnung (EU) 2026/1744 – „Digital Omnibus“).

In vielen Unternehmen ist davon nur ein Satz hängen geblieben: „Das hat noch Zeit.“ Das stimmt so nicht – und dieser Irrtum kann teuer werden.

1. Der häufigste Irrtum: „Alles wurde verschoben“

Das stimmt nicht. Verschoben wurden ausschließlich die Regeln für die risikoreichsten KI-Anwendungen – etwa KI-Systeme, die Bewerbungen, Kredite oder Bildungschancen beeinflussen. Für alles andere gilt: Die KI-Verordnung ist seit dem 2. August 2026 in vollem Umfang anwendbar. Das betrifft vor allem die Informationspflichten (dazu gleich mehr) und – besonders wichtig – die Möglichkeit für Behörden, dies auch tatsächlich zu kontrollieren und zu sanktionieren.

Zur Einordnung: In Kraft getreten ist die KI-Verordnung bereits am 1. August 2024. Der 2. August 2026 ist der Zeitpunkt, ab dem sie nach Art. 113 KI-VO vollständig gilt und behördlich durchsetzbar ist.

Kurz gesagt: Die KI-Verordnung selbst gibt es schon seit 2024. Der 2. August 2026 ist der Tag, ab dem die Regeln vollständig gelten und ab dem Behörden aktiv prüfen und Bußgelder verhängen können.

2. Das gilt ab sofort – ohne jede Übergangsfrist

a) Sie müssen offenlegen, wenn Sie KI einsetzen (Transparenzpflichten)

Diese Pflicht betrifft die meisten Unternehmen unmittelbar. Die folgende Übersicht zeigt, worum es im Einzelnen geht:

1. Kunden müssen merken, dass sie mit einer KI sprechen (Art. 50 Abs. 1 KI-VO)
   Betrifft: Anbieter. Beispiel: KI-gestützter Kundendialog, Website-Chatbot oder Sprachassistent auf Ihrer Website

2. KI-erzeugte Bilder, Videos, Audios und Texte müssen technisch als „KI-generiert“ markiert sein (Art. 50 Abs. 2 KI-VO)
   Betrifft: Anbieter. Beispiel: Bild- oder Videogenerator; für Altsysteme Zeit bis 2.12.2026

3. Kunden müssen informiert werden, wenn ihre Emotionen oder Merkmale automatisch ausgewertet werden (Art. 50 Abs. 3 KI-VO)
   Betrifft: Betreiber. Beispiel: Auswertung von Kundenstimmen und - reaktionen im Callcenter; Gesichts- und Mimik-Auswertung

4. Bestimmte KI-Texte und Deepfakes müssen sichtbar gekennzeichnet werden (Art. 50 Abs. 4 KI-VO)
   Betrifft: Betreiber. Beispiel: KI-generiertes Werbevideo; KI-Stimme (Voice-Cloning) einer bekannten Person in einem Werbespot; veröffentlichte KI-Texte zu Themen von öffentlichem Interesse ohne redaktionelle Prüfung

Wichtig: Drei dieser vier Pflichten gelten sofort und ohne Übergangsfrist – auch für Systeme, die Sie schon länger einsetzen.

Nur die technische Markierung (z.B. durch Wasserzeichen oder Metadaten) von KI-Inhalten (Punkt 2 der Übersicht, Art. 50 Abs. 2 KI-VO) hat für Altsysteme noch bis Anfang Dezember 2026 Zeit. Diese Pflicht trifft in aller Regel nicht Ihr Unternehmen selbst. Nutzen Sie lediglich ein KI-Tool wie ChatGPT, Midjourney, Claude oder Copilot, um Inhalte zu erstellen, ist der Softwarehersteller der Anbieter – die technische Kennzeichnung ist dessen Aufgabe, nicht Ihre. Anbieter sind Sie nur, wenn Sie selbst ein KI-System entwickeln und – etwa als eigenes Produkt oder unter eigenem Namen – anderen zur Verfügung stellen. Für die meisten Unternehmen ist deshalb Punkt 4 der Übersicht die praktisch wichtigere: Als Betreiber, der KI-Inhalte veröffentlicht, bleiben Sie in der Pflicht.

b) Es gibt jetzt eine zuständige Behörde

Bislang war unklar, wer in Deutschland eigentlich für die Kontrolle der KI-Verordnung zuständig ist. Seit dem 29. Juli 2026 steht das fest: Die Bundesnetzagentur ist die zentrale Anlaufstelle – vergleichbar mit einer Aufsichtsbehörde, wie es sie im Datenschutz schon lange gibt (Bundesdatenschutzbeauftragter sowie Landesdatenschutzbeauftragte). Für Presse und Rundfunk bleiben weiterhin die Landesmedienanstalten zuständig, und einzelne Branchen (etwa Banken oder Gesundheitswesen) haben zusätzlich ihre eigenen Aufsichtsbehörden (KI-Marktüberwachungs- und Innovationsförderungsgesetz – KI-MIG).

Das bedeutet ganz praktisch: Wettbewerber, Kundinnen und Kunden sowie Betriebsräte haben jetzt eine konkrete Adresse, an die sie sich mit Beschwerden wenden können.

c) Es drohen empfindliche Strafen

Bei besonders schweren Verstößen sind Bußgelder bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes möglich – je nachdem, welcher Betrag höher ist. Bei den übrigen Pflichten, etwa den Kennzeichnungspflichten, sind es bis zu 15 Millionen Euro oder 3 % des Umsatzes (Art. 99 Abs. 3 und 4 KI-VO).

Nach unserer Erfahrung ist ein anderes Risiko in der Praxis meist schneller spürbar: Fehlt die Kennzeichnung als KI-Inhalt, kann das von Mitbewerbern oder qualifizierten Wettbewerbsverbänden kostenpflichtig abgemahnt werden – über das Wettbewerbsrecht. Diese Abmahnung kommt in aller Regel deutlich schneller als ein behördliches Bußgeldverfahren (§§ 3a, 5 Abs. 2 Nr. 1, 5a, 8 Abs. 3 UWG).

3. Das wurde tatsächlich verschoben

Für besonders risikoreiche KI-Systeme – zum Beispiel solche, die über Bewerbungen, Kreditvergabe oder den Zugang zu Bildung mitentscheiden – wurde mehr Zeit eingeräumt:

• Besonders risikoreiche KI-Systeme, z. B. in Bewerbung, Bildung, Kreditvergabe: neue Frist 2.12.2027 (bisher 2.8.2026); Art. 6 i.V.m. Anhang III KI-VO

• Risikoreiche KI, fest in ein Produkt eingebaut (z. B. Medizingerät): neue Frist 2.8.2028 (bisher 2.8.2027); Art. 6 i.V.m. Anhang I KI-VO

• Technische Kennzeichnung bereits bestehender KI-Systeme: neue Frist 2.12.2026 (bisher 2.8.2026); Art. 111 Abs. 4 KI-VO

Alle drei Verschiebungen stammen aus der Verordnung (EU) 2026/1744 vom 8. Juli 2026 (in Kraft seit 27. Juli 2026), die über 40 Artikel der KI-VO geändert hat.

Was sich dabei nicht geändert hat: die inhaltlichen Anforderungen selbst. Wer ein risikoreiches KI-System betreibt, muss weiterhin Risiken bewerten, Daten sorgfältig handhaben, alles dokumentieren, für menschliche Kontrolle sorgen und eine Konformitätsprüfung durchlaufen – nur eben erst zum neuen, späteren Termin.

Unser Rat: Die gewonnene Zeit ist Vorbereitungszeit, keine Verschnaufpause. Wer jetzt beginnt, hat später mehr Auswahl an Beratung und Prüfstellen – kurz vor dem neuen Stichtag wird es erfahrungsgemäß eng.

4. Das gilt schon länger – und wird jetzt erstmals wirklich geprüft

Verbotene Praktiken

Bestimmte Einsatzformen von KI sind grundsätzlich untersagt – und zwar bereits seit Februar 2025. Im Unternehmensalltag am wichtigsten: die automatische Erkennung von Gefühlen am Arbeitsplatz oder in Bildungseinrichtungen, sowie das unautorisierte Sammeln von Gesichtsbildern aus dem Internet oder von Überwachungskameras (Art. 5 KI-VO).

Schulungspflicht zum Umgang mit KI

Ebenfalls seit Februar 2025 gilt: Unternehmen müssen dafür sorgen, dass ihre Mitarbeitenden ausreichend im Umgang mit KI geschult sind. Die Anforderung wurde zwar zuletzt etwas gelockert – aus einer strengen Pflicht wurde eine Bemühenspflicht. Das bedeutet aber nicht, dass Schulungen unwichtig geworden sind. Im Gegenteil, sie bleiben aus drei Gründen wichtig (Art. 4 KI-VO):

• Fehlende Schulungsnachweise lenken bei einer behördlichen Prüfung die Aufmerksamkeit erst recht auf andere Baustellen im Unternehmen.

• Im Haftungsfall kann die Geschäftsführung sich mit dokumentierten Schulungen entlasten (§ 43 GmbHG, § 93 Abs. 1 Satz 2, Abs. 2 AktG).

• Eine unternehmensinterne Disziplinarmaßnahme oder Abmahnung wegen falscher KI-Nutzung setzt voraus, dass die gesetzlichen und internen Regeln den Mitarbeitenden vorher überhaupt vermittelt wurden, d.h. dass zuvor eine hinreichende KI-Schulung stattgefunden hat.

Entscheidend ist in der Praxis die Dokumentation: Wer wurde wann zu welchem Thema geschult, und wer hat teilgenommen?

Große KI-Basismodelle (z. B. ChatGPT, Copilot, Claude)

Anbieter besonders großer, universell einsetzbarer KI-Modelle unterliegen bereits seit August 2025 eigenen Pflichten. Seit dem 2. August 2026 kann die zuständige Stelle auf EU-Ebene – das sogenannte „AI Office“, eine Abteilung der Europäischen Kommission – diese Pflichten aktiv und mit vollen Befugnissen durchsetzen, samt eigener Kontroll- und Bußgeldrechte. Für die allermeisten Unternehmen, die solche Modelle lediglich nutzen (z. B. über ChatGPT oder Microsoft Copilot), statt selbst eigene große KI-Modelle zu entwickeln, ist dies nur mittelbar relevant (Art. 53 ff., Art. 75a–75d KI-VO).

5. Ihr Sofortprogramm: sechs einfache Schritte

1. Verschaffen Sie sich einen Überblick. Welche KI-Werkzeuge werden im Unternehmen tatsächlich genutzt – auch die, die nicht offiziell eingeführt wurden?

2. Klären Sie Ihre Rolle. Setzen Sie ein fremdes System nur ein, oder bieten Sie es (mit) an? Das entscheidet, welche Pflichten Sie treffen (Art. 25 KI-VO).

3. Setzen Sie die Kennzeichnungspflichten um. Chatbot-Hinweis, Markierung von KI-Inhalten, Deepfake-Kennzeichnung. Für Systeme von Dritten: Verpflichten Sie den Anbieter vertraglich dazu.

4. Dokumentieren Sie Ihre Schulungen. Wer wurde wann geschult, und worüber?

5. Legen Sie klare interne Regeln fest. Eine einfache KI-Richtlinie, ein Freigabeprozess für neue KI-Anwendungen, klare Zuständigkeiten. Bei einem Betriebsrat: Der Einsatz von KI ist in der Regel mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG).

6. Prüfen Sie, ob Sie ein Hochrisiko-System einsetzen (wollen). Das betrifft vor allem Personalauswahl, Leistungsbeurteilung, Kreditvergabe oder Zugang zu Bildung.

6. Der Datenschutz kennt keine Übergangsfrist

Die KI-Verordnung lässt die strengen Vorgaben des Datenschutzes unberührt. Sie ist ein eigenständiges, zusätzliches Regelwerk, das parallel gilt. Verarbeitet eine KI-Anwendung personenbezogene Daten, überschneiden sich beide Regelwerke sogar in weiten Teilen. Es bleibt dabei zu prüfen:

• Auf welcher rechtlichen Grundlage die Daten verarbeitet werden dürfen – bei Mitarbeiterdaten oft eine heikle Frage (Art. 6 DSGVO).

• Ob eine automatisierte Entscheidung mit Auswirkung auf eine Person vorliegt, etwa bei Bewerbungs- oder Kredit-Scoring (Art. 22 DSGVO).

• Ob eine Datenschutz-Folgenabschätzung nötig ist – bei KI-Einsatz häufig der Fall (Art. 35 DSGVO).

• Ob und wie Auftragsverarbeiter und Datenübermittlungen ins Ausland vertraglich abgesichert sind (Art. 28 DSGVO).

Unser Rat: Bearbeiten Sie Datenschutz und KI-Compliance nicht getrennt. Ein gemeinsames Verzeichnis für Verarbeitungstätigkeiten und KI-Systeme erspart doppelte Arbeit.

Fazit

Die verlängerten Fristen betreffen nur die risikoreichsten KI-Anwendungen. Am eigentlichen Stichtag, dem 2. August 2026, ändert das nichts: Die Informationspflichten gelten, es gibt eine zuständige Behörde, und das Bußgeldregime ist scharf gestellt. Der Aufwand, um die Grundpflichten zu erfüllen, ist überschaubar. Die zusätzliche Zeit bei den Hochrisiko-Regeln ist genau das: zusätzliche Zeit zur Vorbereitung – keine Verschnaufpause.

Wie wir Sie unterstützen können

• Bestandsaufnahme Ihrer KI-Systeme und Klärung Ihrer Rolle als Anbieter oder Betreiber

• Prüfung Ihrer Website, Chatbots und Marketing-Kommunikation auf Kennzeichnungspflichten

• Erstellung einer KI-Richtlinie und – falls nötig – einer Betriebsvereinbarung

• Schulungen zur KI-Kompetenz für Geschäftsleitung, Fachbereiche und Belegschaft, inklusive Teilnahmenachweis

• Ein gemeinsames Konzept für Datenschutz und KI-Compliance aus einer Hand

Warum Handeln sich lohnt

Die gute Nachricht zuerst: Keiner der beschriebenen Schritte ist für sich genommen aufwändig. Die schlechte Nachricht: Wer zuwartet, trägt das Risiko allein – und zwar ab sofort, nicht erst irgendwann.

Ein Wettbewerber oder ein qualifizierter Wettbewerbsverband, der eine fehlende Kennzeichnung abmahnt, fragt nicht, ob Sie „noch dabei sind, das umzusetzen". Und im Streit- oder Prüfungsfall zählt nicht, was Sie vorhatten, sondern was Sie nachweisen können: die dokumentierte Schulung, die vertragliche Regelung mit dem Software-Anbieter, der protokollierte Freigabeprozess.

Genau hier liegt der Wert einer anwaltlichen Begleitung: Statt sich durch Verordnungstext, Leitlinien und Übergangsfristen zu arbeiten, bekommen Sie eine klare, auf Ihr Unternehmen zugeschnittene Einschätzung – was für Sie konkret gilt, was Zeit hat und was nicht, und wie Sie das rechtssicher und mit vertretbarem Aufwand umsetzen bis hin zur Durchführung der erforderlichen Schulungen selbst. Das schützt nicht nur vor Bußgeldern und Abmahnungen, sondern schafft auch nach innen und außen Vertrauen, dass Ihr Unternehmen den Umgang mit KI im Griff hat.

Lassen Sie uns das gemeinsam angehen. In einem ersten, unverbindlichen Gespräch verschaffen wir uns gemeinsam einen Überblick über Ihren konkreten Handlungsbedarf – meist reicht dafür bereits eine Stunde.

Melden Sie sich gerne für ein unverbindliches Erstgespräch.