Frist 2. August 2026: Was KI-Betreiber jetzt tun müssen

Am 2. August 2026 treten die wirkungsvollsten Bestimmungen der EU KI-Verordnung in Kraft. Die Anforderungen für Hochrisiko-KI-Systeme werden voll durchsetzbar, und Organisationen, die nicht vorbereitet sind, drohen Strafen von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes.

Mit weniger als vier Monaten bis zur Frist — hier ist genau, was Sie tun müssen.

Was ändert sich am 2. August 2026?

Die KI-Verordnung folgt einem gestuften Umsetzungsplan. Hier stehen wir:

• 2. Feb. 2025 — KI-Kompetenzanforderungen (Art. 4) — bereits in Kraft
• 2. Aug. 2025 — Verbot verbotener KI-Praktiken — bereits in Kraft
• 2. Aug. 2026 — Hochrisiko-KI-Anforderungen — kommt als Nächstes
• 2. Aug. 2027 — Anhang-I-Produktsicherheitsintegration

Der Meilenstein August 2026 markiert den Zeitpunkt, ab dem die Hochrisiko-Anforderungen des Anhangs III durchsetzbar werden. Dies ist die Frist, die die meisten Organisationen betrifft.

Was ist mit dem Digital-Omnibus-Vorschlag?

Im November 2025 schlug die Europäische Kommission eine Verschiebung einiger Fristen vor: Anhang III von August 2026 auf Dezember 2027 und Anhang I von August 2027 auf August 2028. Die IMCO/LIBE-Ausschüsse stimmten mit 101-9 dafür.

Allerdings haben die Trilog-Verhandlungen noch nicht begonnen. Bis sie abgeschlossen sind und ein endgültiger Text angenommen wird, bleibt der rechtlich verbindliche Termin der 2. August 2026.

Unsere Empfehlung: Bereiten Sie sich auf August 2026 vor und betrachten Sie jede Verzögerung als Bonus-Zeit.

Wer ist betroffen?

Jede Organisation, die KI-Systeme einsetzt, die unter Anhang III der KI-Verordnung klassifiziert sind. Dies umfasst KI im Einsatz in:

• Beschäftigung und HR — KI-gestützte Rekrutierung, Leistungsbewertung, Beförderungsentscheidungen
• Bildung — Automatische Benotung, Zulassungssysteme für Studierende
• Kredit- und Finanzdienstleistungen — KI-Kreditbewertung, Versicherungsrisikobewertung
• Strafverfolgung — Risikobewertungstools, prädiktive Polizeiarbeit
• Kritische Infrastruktur — KI-Verwaltung von Energie-, Wasser- und Transportsystemen
• Migration und Grenzkontrolle — Dokumentenprüfung, Visabearbeitung

Wenn Ihre Organisation irgendein KI-Tool in diesen Bereichen nutzt — auch SaaS-Produkte von Drittanbietern — haben Sie Pflichten als Betreiber.

Ihr 120-Tage-Aktionsplan

Tage 1–14: Inventarisierung und Bewertung

Inventarisieren Sie jedes KI-Tool, das Ihre Organisation nutzt. Dazu gehören:

• Offensichtliche: ChatGPT, Copilot, Midjourney
• Eingebettete KI: CRM-Intelligenzfunktionen, automatisierte E-Mail-Tools, Analyseplattformen
• Abteilungsspezifische: HR-Screening-Tools, Finanzmodellierungssoftware

Nutzen Sie das Complior KI-Register, um Risikoklassifizierungen für gängige Tools nachzuschlagen.

Tage 15–30: Risikoklassifizierung

Bestimmen Sie für jedes Tool:

1. Welche Anhang-III-Kategorie zutrifft (falls zutreffend)
2. Die spezifischen Artikel und Pflichten, die für Ihre Rolle als Betreiber gelten
3. Ob eine FRIA erforderlich ist

Tage 31–60: Dokumentations-Sprint

Erstellen Sie die erforderliche Dokumentation:

• Grundrechte-Folgenabschätzungen für jedes Hochrisiko-Tool
• Transparenzhinweise für öffentlich zugängliche KI
• Verfahren zur menschlichen Aufsicht, die dokumentieren, wie Entscheidungen überprüft und überschrieben werden können
• Daten-Governance-Richtlinien zur Qualität der Eingabedaten und Bias-Überwachung

Tage 61–90: Implementierung

• Implementieren Sie Mechanismen zur menschlichen Aufsicht — stellen Sie sicher, dass jede Hochrisiko-KI-Entscheidung einen qualifizierten menschlichen Prüfer hat
• Implementieren Sie Protokollierung und Rückverfolgbarkeit — führen Sie Aufzeichnungen über KI-Systemausgaben für behördliche Inspektionen
• Schließen Sie die KI-Kompetenzschulung für alle betroffenen Mitarbeiter ab (falls noch nicht geschehen)
• Richten Sie Vorfallmeldeprozesse für schwerwiegende KI-Vorfälle ein

Tage 91–120: Validierung und Überwachung

• Führen Sie interne Audits gegen den vollständigen Pflichtenkatalog durch
• Erstellen Sie Ihr Audit-Paket — alle Dokumentation, Schulungsnachweise und Compliance-Belege in einem Paket
• Richten Sie eine kontinuierliche Überwachung ein, um Compliance-Drift zu erkennen
• Informieren Sie die Geschäftsleitung und den Vorstand über den Compliance-Status

Die Kosten der Untätigkeit

Werden wir konkret zum Risiko:

Für ein Unternehmen mit 500 Mio. € Jahresumsatz bedeutet ein Stufe-2-Verstoß eine potenzielle Strafe von 15 Millionen Euro. Und Strafen gelten pro Verstoß — mehrere nicht konforme KI-Systeme multiplizieren das Risiko.

Über Bußgelder hinaus erzeugt Nichteinhaltung:

• Reputationsschaden — behördliche Maßnahmen werden öffentlich
• Geschäftsunterbrechung — Behörden können die Abschaltung von KI-Systemen anordnen
• Wettbewerbsnachteil — konforme Wettbewerber gewinnen regulierte Aufträge

Wie Complior Sie vorbereitet

Complior ist speziell für Betreiber entwickelt, die sich auf die Frist August 2026 vorbereiten:

1. Scannen — Auto-Erkennung jedes KI-Tools in Ihrer Organisation in 30 Sekunden
2. Klassifizieren — Sofortige Risikoklassifizierung mit Artikel-für-Artikel-Pflichtenzuordnung
3. Generieren — Ein-Klick-FRIA, Transparenzhinweise und Compliance-Dokumentation
4. Überwachen — Kontinuierliche Compliance-Verfolgung mit Drift-Warnungen

npx complior scan

Oder führen Sie eine kostenlose Compliance-Prüfung online durch — keine Anmeldung erforderlich.

Wichtigste Erkenntnisse

1. Der 2. August 2026 ist die rechtlich verbindliche Frist — der Omnibus-Vorschlag kann dies ändern oder auch nicht
2. Betreiber haben echte Pflichten — das ist nicht nur ein Anbieter-Problem
3. Beginnen Sie mit der Inventarisierung — Sie können nicht konform sein mit dem, was Sie nicht kennen
4. 120 Tage sind knapp, aber machbar — konzentrieren Sie sich zuerst auf Hochrisiko-Systeme
5. Automatisierung ist unerlässlich — manuelle Compliance im großen Maßstab ist unpraktisch

Warten Sie nicht. Beginnen Sie noch heute Ihre Compliance-Reise.

---

Dieser Artikel dient nur zu Informationszwecken und stellt keine Rechtsberatung dar. Für spezifische Hinweise zu Ihren Compliance-Pflichten wenden Sie sich an einen qualifizierten Rechtsberater.