AI Act: Was am 2. August 2026 wirklich in Kraft tritt
Brüssel hat gerade den gefürchtetsten Teil der KI-Verordnung verschoben, und halb Spanien atmete auf. Voreilig: Was am 2. August in Kraft tritt, betrifft dich trotzdem, Bußgelder inklusive. Hier steht, was wirklich verschoben wird, was nicht, und worauf dein Unternehmen in drei Wochen vorbereitet sein sollte.
Was wirklich verschoben wird
Das Digital-Omnibus-Paket erhielt am 29. Juni die endgültige Zustimmung des EU-Rats, nachdem es am 16. das Parlament passiert hatte. Die Hauptfolge: Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III (Beschäftigung, Bildung, wesentliche Dienstleistungen, kritische Infrastrukturen) gelten nicht mehr ab dem 2. August 2026, sondern werden je nach Fall bis Ende 2027 oder 2028 verschoben.
Wenn dein Unternehmen KI einsetzt, um Lebensläufe zu filtern oder die Kreditwürdigkeit zu prüfen, hast du gerade anderthalb Jahre Luft gewonnen. Aber nur dafür.
Was am 2. August tatsächlich kommt
- Das Sanktionsregime wird aktiv. Die Mitgliedstaaten müssen ihre Behörden benannt und das Bußgeldsystem einsatzbereit haben. In Spanien hat diese Behörde bereits einen Namen: die AESIA, mit Befugnis zu Kontrolle und Sanktionen.
- Verpflichtende Transparenz (Artikel 50). Mit KI erzeugte oder veränderte Inhalte müssen als solche gekennzeichnet werden, und jeder Chatbot muss offenlegen, dass er keine Person ist. Das betrifft deine Website, dein Marketing und deinen Kundenservice.
- Die Regeln für KI-Modelle mit allgemeinem Verwendungszweck gelten bereits seit einem Jahr, und am 10. Juni veröffentlichte die Kommission ihren Code of Practice zu Kennzeichnung und Labeling: den praktischen Leitfaden, an dem sich die Regulierungsbehörden orientieren werden.
Und Spanien legt eine eigene Schicht obendrauf
Parallel dazu bewegt sich der Entwurf des Organgesetzes für den guten Einsatz und die Governance von KI seit dem 12. Juni durch den spanischen Kongress. Er verteilt die Aufsicht je nach Systemtyp auf AESIA, AEPD und CGPJ, schafft regulatorische Testumgebungen und eine Meldestelle mit Hinweisgeberschutz. Übersetzt: Wer in Spanien KI betreibt, tut dies künftig unter zwei nahezu gleichzeitig greifenden Regelwerken, dem europäischen und dem nationalen.
Der nützliche Teil: Die AESIA hat bereits die technischen Leitlinien aus ihrer Hochrisiko-Sandbox veröffentlicht (12 ausgewählte Systeme aus 44 Bewerbungen). Sie sind kostenlos und geben den Maßstab vor, mit dem die spanische Regulierungsbehörde deine KI beurteilen wird.
Die unbequeme Zahl
76 % der spanischen KMU nutzen KI bereits wöchentlich. Nur 8 % verfügen über eine Implementierung mit dokumentierter Governance. (Wolters Kluwer und BBVA Research, Juni 2026)
Neun von zehn KMU, die heute KI nutzen, könnten kein Inventar vorweisen, wenn die AESIA am 3. August vor der Tür stünde. Das ist die berüchtigte Schatten-KI: Tools, die das Team auf eigene Faust einsetzt, ohne Kontrolle darüber, welche Daten hinaus- und welche hineingehen. Und die Verbreitung wächst weiter: Laut Deloitte haben bereits 61 % der spanischen Unternehmen KI eingeführt (7 Punkte über dem europäischen Durchschnitt), allerdings mit einer riesigen Kluft zwischen Großunternehmen (80 %) und Betrieben mit weniger als 50 Mitarbeitenden (35 %).
Deine Drei-Wochen-Checkliste
| Maßnahme | Was sie löst |
|---|---|
| Inventar der genutzten KI (offiziell und inoffiziell) | Wissen, welche Tools mit Kunden- und Geschäftsdaten in Berührung kommen |
| Schriftliche interne KI-Nutzungsrichtlinie | Schatten-KI eindämmen, ohne die Produktivität zu verbieten |
| KI-generierte Inhalte kennzeichnen | Artikel 50 auf Website, Marketing und Kommunikation einhalten |
| Klarer Hinweis in Chatbots und Assistenten | Verpflichtende Transparenz ab dem 2. August |
| Protokoll der Interaktionen und automatisierten Entscheidungen | Sorgfaltspflicht nachweisen können, falls die Behörde nachfragt |
| Verträge mit KI-Anbietern prüfen | Sicherstellen, dass die Compliance-Verantwortung schriftlich verteilt ist |
Der vernünftige Weg zum August
Nichts davon verlangt, den Betrieb anzuhalten oder eine Rechtsabteilung einzustellen. Es verlangt Ordnung: wissen, welche KI im Einsatz ist, das dokumentieren und jedes neue System von Anfang an mit eingebauter Compliance starten lassen. Genau so gehen wir bei jedem Projekt über unsere schlüsselfertige KI-Implementierung vor: Governance, Kennzeichnung und Protokollierung sind von der Konzeption an dabei, nicht als nachträglicher Flicken.
Wenn du wissen willst, wo dein Unternehmen vor dem 2. August steht, schreib uns, und wir klären das in einer schnellen, unverbindlichen Bestandsaufnahme.
