EU AI Act 2026: Was er für KI-Chatbots bedeutet

Ab dem 2. August 2026 verlangt der EU AI Act von Unternehmen, Menschen darüber zu informieren, wenn sie mit einem KI-System interagieren. Nur 22 % der Verbraucher sagen, dass Unternehmen heute klar offenlegen, wann KI eingesetzt wird, während 69 % der Meinung sind, dass Marken dies stets offenlegen sollten (Liveops 2025 Holiday AI & Customer Service Report). Diese Regel schließt also eine Lücke, die Kunden bereits spüren. Die meistdiskutierte Frist, jene für „hochriskante" KI, wurde durch eine Änderung aus dem Jahr 2026 namens Digital Omnibus auf Dezember 2027 verschoben, doch die Transparenzregel für gewöhnliche KI-Chatbots (Artikel 50) wurde nicht aufgeschoben. Wer dies falsch handhabt, riskiert bis zu 15 Millionen EUR oder 3 % des weltweiten Jahresumsatzes.

Dieser Leitfaden erklärt in einfacher Sprache, was der EU AI Act 2026 für ein Unternehmen bedeutet, das einen KI-Chatbot oder KI-Agenten betreibt: welche Frist sich verschoben hat und welche nicht, ob Ihr Chatbot als „hochriskant" gilt, was die Transparenzregel genau verlangt, welche Strafen drohen und eine kurze Checkliste, um auf der richtigen Seite des Gesetzes zu bleiben, ohne Ihre KI auszubremsen.

Hat sich die Frist des EU AI Act im Jahr 2026 geändert?

Ja, teilweise. Der AI Act (Verordnung (EU) 2024/1689) trat am 1. August 2024 in Kraft und gilt in Phasen. Verbotene KI-Praktiken und Pflichten zur KI-Kompetenz begannen am 2. Februar 2025. Regeln für KI-Modelle mit allgemeinem Verwendungszweck, Governance und Strafen begannen am 2. August 2025. Die nächste Welle, die anspruchsvollen Pflichten für Hochrisiko-KI-Systeme, war für den 2. August 2026 vorgesehen.

Im Jahr 2026 einigten sich die EU-Gesetzgeber darauf, diese Hochrisiko-Pflichten über den Digital Omnibus aufzuschieben, der vor der August-Frist verabschiedet wurde. Eigenständige Hochrisiko-Systeme (die Anwendungsfälle aus Anhang III) gelten nun ab dem 2. Dezember 2027 und in regulierte Produkte eingebaute Hochrisiko-KI (Anhang I) ab dem 2. August 2028 (Gibson Dunn; Covington, Inside Global Tech). Was sich nicht verschoben hat, ist der Teil, den die meisten kleinen und mittleren Unternehmen tatsächlich betrifft: Die Transparenzpflichten nach Artikel 50 gelten weiterhin ab dem 2. August 2026.

Pflicht	Ursprüngliches Datum	Gilt nun ab	Status
Nutzer informieren, dass sie es mit einer KI zu tun haben (Artikel 50(1))	2. Aug. 2026	2. Aug. 2026	Unverändert
KI-generierte Inhalte maschinenlesbar kennzeichnen (Artikel 50(2))	2. Aug. 2026	2. Aug. 2026 (bestehende Systeme: 2. Dez. 2026)	Kurze Übergangsfrist
Hochrisiko-Pflichten, Anwendungsfälle aus Anhang III (Artikel 6(2))	2. Aug. 2026	2. Dez. 2027	Aufgeschoben
Hochrisiko-KI in regulierten Produkten (Anhang I)	2. Aug. 2027	2. Aug. 2028	Aufgeschoben
Nationale Reallabore zum Testen	2. Aug. 2026	2. Aug. 2027	Aufgeschoben

Quellen: offizieller EU-Umsetzungszeitplan, Europäische Kommission und die oben genannten Kanzlei-Analysen.

Gilt der EU AI Act für meinen KI-Chatbot?

Für die meisten Unternehmen gilt der AI Act für Ihren Chatbot nur in geringem Maße, nämlich als Offenlegungspflicht und nicht als das strenge Hochrisiko-Regime. Der Rechtsakt ordnet KI je nach Risiko in vier Stufen ein:

Inakzeptables Risiko (verboten). Eine kurze Liste verbotener Anwendungen, etwa Social Scoring oder manipulative Techniken, plus eine Ergänzung aus dem Jahr 2026, die KI verbietet, die nicht einvernehmliche intime Bilder erzeugt.
Hohes Risiko. Systeme, die für die in Anhang III aufgeführten sensiblen Zwecke eingesetzt werden: Personalbeschaffung und Personalmanagement, Kreditwürdigkeitsprüfung, biometrische Kategorisierung und Emotionserkennung, wesentliche Dienstleistungen, Bildung, Strafverfolgung und Ähnliches. Diese bringen Konformitätsbewertungen, Dokumentation, Protokollierung und Pflichten zur menschlichen Aufsicht mit sich, die nun ab Dezember 2027 fällig sind.
Begrenztes (Transparenz-)Risiko. KI, die mit Menschen interagiert, etwa ein Kundenservice-Chatbot. Die einzige Pflicht besteht darin, transparent darüber zu sein (Artikel 50).
Minimales Risiko. Alles Übrige, ohne spezifische Pflichten.

Ein typischer KI-Agent, der Produktfragen beantwortet, Termine bucht oder Support leistet, fällt in die Stufe mit begrenztem Risiko. Er wird nur dann hochriskant, wenn Sie ihn auf einen Zweck aus Anhang III ausrichten, zum Beispiel das Screening von Bewerbern, die Bewertung der Kreditwürdigkeit oder Emotionserkennung. Wenn Sie das tun, greifen die Hochrisiko-Pflichten ab Dezember 2027 und Sie sollten sich schon jetzt darauf vorbereiten.

Noch ein Punkt, der viele Inhaber überrascht: Der Rechtsakt reicht über die EU hinaus. Er gilt für Anbieter und Betreiber außerhalb der EU, sobald die Ausgabe des KI-Systems in der Union verwendet wird. Ein Unternehmen in den USA, im Vereinigten Königreich oder am Golf, das EU-Kunden über einen KI-Chatbot bedient, fällt in seinen Anwendungsbereich.

Was verlangt Artikel 50 tatsächlich?

Artikel 50 ist kurz und praxisnah. Ab dem 2. August 2026 verlangt er von Ihnen, in drei Situationen ehrlich über KI zu sein:

Den Bot offenlegen. Wenn ein KI-System dafür gebaut ist, direkt mit Menschen zu interagieren, müssen diese Menschen darüber informiert werden, dass sie es mit einer KI zu tun haben, es sei denn, dies ist bereits offensichtlich. In der Praxis genügt ein klarer Satz wie „Sie chatten mit einem KI-Assistenten" zu Beginn des Gesprächs.
KI-generierte Inhalte kennzeichnen. Anbieter von Systemen, die synthetische Bild-, Audio-, Video- oder Textinhalte erzeugen, müssen die Ausgabe auf maschinenlesbare Weise als künstlich erzeugt kennzeichnen. Systeme, die vor dem 2. August 2026 bereits auf dem Markt waren, erhalten für diese spezifische Kennzeichnungspflicht eine viermonatige Übergangsfrist bis zum 2. Dezember 2026.
Deepfakes, Emotions- und Biometrie-Einsatz kennzeichnen. Deepfake-Medien müssen als künstlich erzeugt offengelegt werden, und wer Emotionserkennung oder biometrische Kategorisierung einsetzt, muss die davon betroffenen Personen darüber informieren.

Die Information muss klar, unterscheidbar und spätestens bei der ersten Interaktion gegeben werden. Für einen normalen Support- oder Vertriebs-Chatbot ist die Offenlegungspflicht die entscheidende, und sie ist eine kleine, einmalige Designänderung, kein Compliance-Projekt.

Welche Strafen drohen, und treffen sie kleine Unternehmen?

Die Bußgelder des AI Act sind nach der Schwere des Verstoßes gestaffelt, und die Transparenzpflichten liegen im mittleren Band (Artikel 99).

Art des Verstoßes	Höchstbußgeld
Verbotene KI-Praktiken (Artikel 5)	35 Millionen EUR oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Hochrisiko- und Transparenzpflichten, einschließlich Artikel 50	15 Millionen EUR oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist
Behörden falsche oder irreführende Informationen geben	7,5 Millionen EUR oder 1 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist

Die Obergrenzen wirken hoch, doch das Gesetz ist gegenüber kleineren Unternehmen bewusst milder. Für KMU und Start-ups ist jedes Bußgeld auf den jeweils niedrigeren Wert gedeckelt, den festen Betrag oder den Prozentsatz, und die Behörden müssen Größe und wirtschaftliche Überlebensfähigkeit eines Unternehmens berücksichtigen, wenn sie eine Strafe festsetzen. Die Durchsetzung erfolgt über die nationalen Marktüberwachungsbehörden in jedem Mitgliedstaat, nicht über eine einzige EU-Regulierungsbehörde. Die Botschaft für ein kleines Unternehmen lautet nicht Panik, sondern die einfache, günstige Maßnahme zu ergreifen (Ihre KI offenlegen), statt sie zu ignorieren.

Warum die Bereitschaftslücke das eigentliche Risiko ist

Die größere Gefahr ist nicht das Bußgeld, sondern dass die meisten Organisationen ihre eigene KI noch immer nicht überblicken. Mehr als die Hälfte der Organisationen hat kein systematisches Inventar der KI-Systeme aufgebaut, die sie betreiben, was der minimale Ausgangspunkt für jede Compliance-Arbeit ist, und in einer Analyse von 106 Unternehmens-KI-Systemen konnten 40 % nicht eindeutig in die Risikostufen des Rechtsakts eingeordnet werden (Cloud Security Alliance Research Note, 2026). Man kann einen KI-Agenten, den man nicht erfasst hat, nicht offenlegen, protokollieren oder steuern.

Die Pflicht zur KI-Kompetenz (Artikel 4), seit Februar 2025 in Kraft, verstärkt dies. Sie verlangt von Anbietern und Betreibern, ihren Mitarbeitern zu helfen, die von ihnen genutzte KI zu verstehen. Eine abgeschwächte Fassung aus dem Jahr 2026 verlangt von Unternehmen, „die Entwicklung von" KI-Kompetenz „zu unterstützen", statt sie zu garantieren, doch die Richtung ist klar: Wer den Bot betreibt, sollte verstehen, was er tut und wann ein Mensch eingreifen muss. Das ist dasselbe Prinzip, das hinter Human-in-the-Loop-KI steht, bei dem ein Mensch jederzeit prüfen, korrigieren und übernehmen kann.

Wie Sie compliant bleiben, ohne Ihre KI auszubremsen

Transparenz und gute KI stehen nicht im Widerspruch zueinander. Die Unternehmen, die klar offenlegen und einen Menschen einbeziehen, konvertieren tendenziell besser, denn Vertrauen ist das, was aus einer schnellen Antwort einen gebuchten Kunden macht. Hier ist eine kurze, praktische Checkliste für ein Unternehmen, das einen KI-Chatbot in der EU betreibt oder EU-Kunden bedient:

Sagen Sie, dass es KI ist. Fügen Sie zu Beginn jedes KI-Gesprächs eine schlichte Offenlegung hinzu. Das ist die zentrale Pflicht nach Artikel 50 und das Günstigste auf dieser Liste.
Halten Sie eine menschliche Übergabe bereit. Lassen Sie Kunden eine Person erreichen und lassen Sie Ihr Team jedes Gespräch übernehmen. Menschliche Aufsicht ist sowohl gute Praxis als auch der Geist der Hochrisiko-Regeln.
Protokollieren und prüfen. Bewahren Sie Gesprächsaufzeichnungen auf, damit Sie zeigen können, was die KI getan und gesagt hat. Audit-Protokollierung ist ein Compliance-Vorteil, kein Ballast.
Verschlüsseln und Datenrechte wahren. Schützen Sie Kundendaten bei der Übertragung und im Ruhezustand und seien Sie in der Lage, sie auf Anfrage zu exportieren oder zu löschen. Hier überschneidet sich der AI Act mit den HIPAA- und DSGVO-Pflichten für regulierte Unternehmen.
Kennen Sie Ihre Risikostufe. Wenn Ihre KI nur chattet, bucht und Support leistet, befinden Sie sich in der Transparenzstufe. Wenn sie Bewerber screent oder Kreditwürdigkeit bewertet, behandeln Sie sie als hochriskant und bereiten Sie sich auf Dezember 2027 vor.

So ist der KI-Chat-Agent von Entagl darauf ausgelegt zu arbeiten. Er funktioniert über WhatsApp, Instagram, Facebook Messenger, Telegram, Web-Chat und API, mit menschlicher Übergabe an einen einheitlichen Team-Posteingang, Output-Guardrails bei jeder Antwort und einer Compliance-Haltung, die AES-256-GCM-Verschlüsselung, Audit-Protokollierung sowie Self-Service-DSGVO-Datenexport und -löschung umfasst. Die Governance-Ebene, die KI-Agenten sicher einsatzfähig macht, also standardisierte Protokolle, Guardrails und menschliche Aufsicht, ist genau der Wandel, den wir in Was ist neu bei KI-Agenten 2026 behandelt haben. KI handelt, und Menschen steuern.

Was sich noch ändern könnte

Regulatorische Termine verschieben sich, wie die Verschiebung von 2026 selbst zeigt. Der Digital Omnibus hat den Hochrisiko-Zeitplan spät neu geordnet, und weitere Leitlinien und Standards werden noch erarbeitet. Behandeln Sie die hier genannten Daten als die Position, die vor der Frist im August 2026 verabschiedet wurde, prüfen Sie den aktuellen Stand für Ihren spezifischen Anwendungsfall und bedenken Sie, dass dieser Artikel allgemeine Informationen darstellt, keine Rechtsberatung. Die dauerhafte Erkenntnis ist gegen jede Terminänderung gefeit: Seien Sie transparent, dass Kunden es mit KI zu tun haben, halten Sie einen Menschen einsatzbereit, der eingreifen kann, und halten Sie schriftlich fest, was Ihre KI-Systeme tun.

FAQ

Gilt der EU AI Act für meinen Chatbot, wenn mein Unternehmen nicht in der EU ist?

Häufig ja. Der Rechtsakt gilt für Anbieter und Betreiber außerhalb der EU, wenn die Ausgabe des KI-Systems innerhalb der Union verwendet wird. Wenn Ihre Website oder Ihr DM-Chatbot mit Kunden in der EU spricht, gehen Sie davon aus, dass die Transparenzpflicht für Sie gilt, unabhängig davon, wo Ihr Unternehmen ansässig ist.

Ist ein Kundenservice-KI-Chatbot nach dem EU AI Act „hochriskant"?

Normalerweise nicht. Ein Chatbot, der Fragen beantwortet, Termine bucht oder Support leistet, ist von begrenztem Risiko, sodass die einzige Pflicht darin besteht, offenzulegen, dass es sich um KI handelt. Er wird nur dann hochriskant, wenn Sie ihn für einen Zweck aus Anhang III einsetzen, etwa das Screening von Bewerbern, die Kreditwürdigkeitsprüfung oder Emotionserkennung, in welchem Fall die Hochrisiko-Pflichten (nun fällig ab dem 2. Dezember 2027) gelten.

Wann muss ich Kunden mitteilen, dass sie mit einer KI sprechen?

Ab dem 2. August 2026. Artikel 50 verlangt, dass Menschen darüber informiert werden, dass sie mit einem KI-System interagieren, klar und spätestens bei der ersten Interaktion, es sei denn, es ist bereits offensichtlich. Ein kurzer Offenlegungssatz oben im Chat genügt für einen normalen Support- oder Vertriebsbot.

Welche Bußgelder drohen einem kleinen Unternehmen nach dem EU AI Act?

Ein Verstoß gegen die Transparenzpflichten kann bis zu 15 Millionen EUR oder 3 % des weltweiten Jahresumsatzes erreichen, je nachdem, welcher Betrag höher ist. Für KMU und Start-ups ist das Bußgeld auf den jeweils niedrigeren Wert von Betrag oder Prozentsatz gedeckelt, und die Behörden müssen Größe und Überlebensfähigkeit des Unternehmens berücksichtigen. Die Durchsetzung erfolgt durch die nationalen Behörden in jedem Mitgliedstaat.

Wurde die Hochrisiko-Frist im August 2026 verschoben?

Ja. Die Hochrisiko-Pflichten für Systeme nach Anhang III wurden auf den 2. Dezember 2027 verschoben und für KI, die in regulierte Produkte eingebettet ist, auf den 2. August 2028. Die Transparenzpflichten nach Artikel 50 wurden nicht verschoben und gelten weiterhin ab dem 2. August 2026.

Das Fazit

Die beängstigend klingende Frist des EU AI Act wurde größtenteils auf 2027 und 2028 verschoben, doch die eine Regel, die alltägliche Geschäfts-Chatbots betrifft, blieb bestehen: Ab dem 2. August 2026 gilt es, Menschen mitzuteilen, wenn sie es mit einer KI zu tun haben. Es ist eine kleine Änderung, die zufällig genau das ist, was die meisten Kunden ohnehin wollen, und sie passt von Natur aus dazu, einen Menschen einzubeziehen. Wenn Sie sehen möchten, wie ein KI-Agent klar offenlegen, an Ihr Team übergeben und dennoch über jeden Kanal mehr Kunden buchen kann, buchen Sie eine 30-minütige Demo und wir bilden es auf Ihr Unternehmen ab.

Quellen: EU AI Act, offizieller Text und Umsetzungszeitplan; Artikel 50 (Transparenz) und Artikel 99 (Strafen); Europäische Kommission, Regulierungsrahmen für KI; Gibson Dunn und Covington (Inside Global Tech) zur Verschiebung durch den Digital Omnibus; Cloud Security Alliance Bereitschafts-Note; Liveops 2025 Holiday AI & Customer Service Report. Dieser Artikel stellt allgemeine Informationen dar, keine Rechtsberatung.