10.8 Update 2 🇩🇪 Die nächste Deadline ist da

Wer meine bisherigen Beiträge zum EU AI Act gelesen hat (Episode 10.8 – No risk, no fun with AI? und das Update zum GPAI Code of Practice), kennt den Fahrplan: Februar 2025 (AI Literacy), August 2025 (GPAI-Pflichten) – und jetzt ist die dritte Stufe gezündet.

Die Ausgangslage: Aus "sollte man" wird "muss man"

Bisher konnten sich viele Unternehmen mit dem Gedanken trösten, dass die Aufsichtsbehörden noch nicht durchgreifen. Diese Schonzeit ist vorbei. Seit dem 2. August 2026 gilt:

• Die Transparenzpflichten nach Artikel 50 sind scharf geschaltet
• Die Behörden setzen aktiv durch – inklusive Bußgelder (Erinnerung: bis zu 3% des weltweiten Jahresumsatzes bzw. 15 Mio. Euro)
• Für viele Hochrisiko-KI-Systeme greifen die vollen Pflichten (Ausnahme: bestimmte regulierte Produkte haben bis 2. August 2027 Zeit)

Das Problem dabei: Viele Betriebe haben KI längst im Einsatz – oft ohne zu wissen, dass sie damit bereits unter Artikel 50 fallen. Die "Schatten-KI", vor der ich schon gewarnt habe, wird jetzt zum echten Compliance-Risiko.

Was konkret gilt

1. Chatbots müssen sich outen

Wer im Kundenkontakt KI einsetzt, muss die Nutzer darüber informieren, dass sie mit einer Maschine und nicht mit einem Menschen sprechen. Der freundliche "Servicemitarbeiter Max" auf der Website darf also kein KI-Inkognito mehr fahren.

Praxisbeispiel: Ein Online-Händler mit KI-Chatbot im Support braucht jetzt einen klaren Hinweis – idealerweise direkt beim Gesprächseinstieg, nicht versteckt in den AGB.

2. KI-generierte Inhalte müssen gekennzeichnet werden

Wer generative KI für Texte, Bilder, Audio oder Video nutzt, muss in bestimmten Fällen die Kennzeichnung sicherstellen – oft sogar maschinenlesbar (Stichwort: Content Credentials / C2PA-Metadaten).

3. Deepfakes müssen erkennbar sein

Künstlich erzeugte oder manipulierte Inhalte, die reale Personen oder Ereignisse darstellen, müssen als solche gekennzeichnet werden. Das betrifft nicht nur böswillige Akteure, sondern auch das Marketing: Der KI-generierte "Testimonial-Kunde" im Werbevideo fällt darunter.

4. Hochrisiko-KI: Das volle Programm

Für Hochrisiko-Systeme (z.B. im HR-Recruiting, bei Kreditvergabe oder kritischer Infrastruktur) gelten nun umfassende Anforderungen: technische Dokumentation, Risikomanagement, menschliche Aufsicht, Protokollierung, teils Konformitätsbewertung und Registrierung.

Drei Szenarien – wo steht Ihr Unternehmen?

Szenario A: "Wir nutzen doch nur ChatGPT & Co."
Auch dann gilt: KI-generierte Inhalte im Außenauftritt prüfen, Kennzeichnungspflichten klären, AI Literacy nachweisen können. Aufwand: überschaubar, aber nicht null.

Szenario B: "Wir haben KI in Kundenprozesse integriert."
Chatbot-Disclosure, Dokumentation der Einsatzkontexte, ggf. Prüfung, ob man durch die Integration zum nachgelagerten Anbieter geworden ist. Hier lohnt sich ein strukturiertes KI-Inventar (falls noch nicht vorhanden – siehe Episode 10.8).

Szenario C: "Wir betreiben Hochrisiko-Anwendungen."
Volle Compliance-Maschinerie: Risikomanagement-System, menschliche Aufsicht, Logging, Konformitätsbewertung. Wer hier erst jetzt anfängt, sollte externe Expertise einbinden – die Behörden schauen genau hin.

Handlungsoptionen (don't panic 😉)

1. Inventarisieren: Welche KI läuft wo? Inklusive KI-Features in Standardsoftware und Schatten-KI.
2. Klassifizieren: Welche Systeme fallen unter Artikel 50, welche sind hochrisiko?
3. Kennzeichnen: Disclosure-Hinweise und Content-Labels implementieren – technisch oft trivial, organisatorisch der eigentliche Aufwand.
4. Dokumentieren: Wer bei einer behördlichen Anfrage nichts vorweisen kann, verliert den "Good Faith"-Bonus.
5. Priorisieren: Nicht alles muss perfekt sein. Aber sichtbare, kundennahe Systeme (Chatbots, generierte Inhalte) sind das, was Behörden und Verbraucher zuerst sehen.

Fazit

Die EU macht ernst – und das ist, wie schon beim GPAI Code of Practice argumentiert, kein Wildwest-Verhinderungsprogramm, sondern der Versuch, Vertrauen in KI zu institutionalisieren. Transparenz gegenüber Nutzern ist keine Schikane, sondern schlicht guter Stil, der jetzt Gesetz ist. Wer die letzten zwei Jahre die Hausaufgaben gemacht hat, muss jetzt nur noch feinjustieren. Wer nicht: Die nächste Deadline (August 2027 für regulierte Produkte) kommt bestimmt – aber die aktuelle ist bereits verbindlich.

Oder frei nach dem bisherigen Motto aus 10.8: Mit großer [KI-]Macht kommt große Verantwortung – und seit August 2026 auch ein Bußgeldkatalog 😉

Live long and prosper 😉🖖