Mit dem Beginn der konkreten Durchsetzung des europäischen Gesetzes über künstliche Intelligenz (EU AI Act) am 2. August 2026 haben das Europäische AI Office und die nationalen Behörden weitreichende Kontroll- und Sanktionsrechte erhalten.
Für Modelle künstlicher Intelligenz mit allgemeiner Zweckbestimmung (General Purpose AI, GPAI) kann die Europäische Kommission nun die Vorlage von Dokumentationen sowie den direkten Modellzugang zur Überprüfung verlangen. Bei festgestellten Verstößen ist die Behörde befugt, verbindliche Korrekturmaßnahmen anzuordnen und Bußgelder zu verhängen.
Fristen und Kennzeichnungspflichten für Anbieter
Seit dem Stichtag am 2. August 2026 besitzt die Kommission formelle Strafbefugnisse gegenüber GPAI-Entwicklern. Die grundlegenden regulatorischen Pflichten für diese Anbieter gelten bereits seit dem 2. August 2025. Unternehmen, die nach diesem Datum auf den europäischen Markt drängten, müssen die Vorgaben vollständig erfüllen; für später hinzugekommene Anbieter besteht eine Übergangsfrist bis zum 2. August 2027.
Flankierend traten am 2. August 2026 neue Transparenzvorschriften in Kraft. Nutzer müssen klar darauf hingewiesen werden, wenn sie mit bestimmten KI-Systemen kommunizieren. Gleiches gilt für den Einsatz von Systemen zur Emotionserkennung oder biometrischen Kategorisierung.
Zudem sind Deepfakes und bestimmte synthetische Inhalte zu kennzeichnen, wobei KI-generierte Daten eine maschinenlesbare Kennzeichnung tragen müssen. Für generative Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, gilt eine Umsetzungsfrist bis Dezember.
Die Zeitpläne für andere Segmente wurden im Juli 2026 durch den sogenannten Digital Omnibus neu justiert. Demnach wurden die Vorgaben für Hochrisiko-KI auf den 2. Dezember 2027 verschoben. Für KI-Komponenten in physischen Produkten, darunter Medizingeräte, Spielzeug und Aufzüge, wurde der Stichtag auf den 2. August 2028 gelegt.
Ein früherer Vorschlag der Kommission vom 19. November 2025 hatte bereits Verzögerungen für Hochrisiko-Systeme bis zum Vorliegen harmonisierter Standards, eine Verlängerung von Transparenzfristen wie dem Watermarking bis zum 2. Februar 2027 sowie eine exklusive Zuständigkeit des AI Office für GPAI-basierte Modelle vorgesehen; die Rückmeldefrist für diesen Entwurf lief bis zum 11. März 2026.
Die neuen gesetzlichen Regelungen zum EU AI Act stellen Unternehmen vor komplexe Herausforderungen bei der Dokumentation und Risikobewertung. Dieser kostenlose Umsetzungsleitfaden bietet Ihnen einen kompakten Überblick über alle relevanten Fristen, Pflichten und Risikoklassen. EU AI Act in 5 Schritten verstehen: Jetzt kostenloses E-Book sichern
Technische Evaluierung und Unterstützung durch Konsortium
Zur Durchsetzung der Sicherheitsstandards forderte die Kommission Ende August 2026 Informationen von mehr als 30 ungenannten KI-Unternehmen an, deren Auswertung durch EU-Technikchefin Henna Virkkunen erfolgt.
Um die Risiken von GPAI-Modellen technisch zu bewerten, beauftragten das AI Office und die Generaldirektion CNECT unter dem Vergabeverfahren EC-CNECT-2025-OP-0032 (Lot 2) ein externes Konsortium. Angeführt vom Dienstleister Capgemini in Paris gehören dem Verbund das IT-Beratungsunternehmen Wavestone sowie das französische Metrologie- und Prüfinstitut LNE an.
Die Partner sollen Modelle für neu aufkommende Risiken erarbeiten, Evaluierungswerkzeuge bereitstellen und Methoden für technische Prüfungen entwickeln. Im Zentrum stehen offensive Cyber-Risiken wie das automatisierte Aufspüren von Sicherheitslücken, das Entwickeln von Exploits sowie die Steuerung umfangreicher Angriffe.
Andrea Falleni, Mitglied des Group Executive Board von Capgemini, erklärte dazu, Europa setze das weltweit erste umfassende Rahmenwerk für KI-Sicherheit um. Capgemini verzeichnete 2025 einen Umsatz von 22,5 Milliarden Euro und beschäftigt über 410.000 Mitarbeiter in mehr als 50 Ländern. Spezifische Benchmark-Ergebnisse oder Bewertungsmetriken des Auftrags wurden nicht veröffentlicht.
Angesichts der neuen Prüfbefugnisse und technischer Sicherheitsvorgaben ist es für Fachverantwortliche entscheidend, die Einstufung ihrer Systeme genau zu kennen. Ein aktueller Report klärt auf, welche KI-Systeme konkret als Hochrisiko gelten und was nun für die Compliance getan werden muss. Kostenlosen Report zu Risikoklassen und Pflichten herunterladen
Whistleblower-Kanal und Unternehmensbeteiligung
Zur Identifikation möglicher Missstände schaltete das AI Office zudem ein digitales Whistleblower-Portal frei. Über diese Plattform können Personen mit einem beruflichen Bezug zu Entwicklern potenziell gefährliche oder rechtswidrige Praktiken bei regulierten Modellen und GPAI-Systemen in allen EU-Amtssprachen anonym anzeigen.
Parallel zur gesetzlichen Regulierung haben Technologiekonzerne wie Anthropic, Google, IBM, Microsoft, Mistral AI und OpenAI einen freiwilligen Verhaltenskodex der Kommission unterzeichnet. Das KI-Unternehmen xAI beteiligte sich ausschließlich am Sicherheitskapitel dieser Vereinbarung.