02.08.2026 — was am Enforcement-Start des EU AI Act passiert

1. Governance-Strukturen werden operativ

• Nationale Aufsichtsbehörden (Market Surveillance Authorities) müssen benannt sein
• Notified Bodies für Konformitätsbewertung von High-Risk-Systemen sind akkreditiert
• Das European AI Office (Brüssel) übernimmt die Aufsicht über General-Purpose AI
• EU AI Board und Advisory Forum starten formell

2. GPAI-Pflichten (Art. 51-55) gelten verbindlich

• Anbieter von General-Purpose AI Modellen (z.B. GPT, Llama, Mistral) müssen technische Dokumentation vorhalten
• Modelle mit systemischem Risiko (FLOPS-Schwelle 10^25) brauchen zusätzliche Risikobewertung + Cybersicherheit-Nachweise
• Transparenzpflicht: Trainings-Daten-Zusammenfassung muss veröffentlicht werden
• Copyright-Compliance gegenüber EU-Urheberrecht (Text-und-Data-Mining-Opt-Out)

3. Strafrahmen für Art. 4 (KI-Kompetenz) wird durchsetzbar

• Art. 4 (KI-Kompetenz) gilt rechtlich seit 02.02.2025 — aber ohne Strafdurchsetzung
• Ab 02.08.2026: Behörden können Verstöße ahnden mit bis zu EUR 15 Mio. oder 3% Umsatz
• Auch Art. 5 (Verbote) wird durchsetzbar mit bis zu EUR 35 Mio. oder 7% Umsatz

„Wir sind zu klein, das gilt nicht für uns."
Falsch. Es gibt keine KMU-Ausnahme von Art. 4. Reduzierte Strafhöchstbeträge ja, aber die Pflicht selbst gilt unabhängig von Unternehmensgröße.

„Wir nutzen nur ChatGPT, das ist doch kein KI-System nach AI Act."
Falsch. Sobald du ChatGPT geschäftlich einsetzt, bist du Deployer eines KI-Systems im Sinne der Verordnung — Art. 4 greift.

„Ein Online-Kurs reicht als Nachweis."
Nur teilweise. Der EU AI Act verlangt Schulung passend zur Rolle und zum Kontext — ein generischer 30-min-Kurs ist meist zu dünn. Buchhaltung, HR und Entwicklung brauchen unterschiedliche Inhalte.

„Erst wenn eine Behörde fragt, müssen wir reagieren."
Riskant. Bei einem Datenschutz-Vorfall mit KI-Beteiligung würde fehlende Dokumentation als verschärfender Umstand gewertet — auch ohne anlasslose Prüfung.