Die kurze Antwort
Ab dem 2. August 2026 kann die Europäische Kommission die GPAI-Regeln des EU-KI-Gesetzes durchsetzen und Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist. Die Pflichten selbst gelten bereits seit dem 2. August 2025; was jetzt hinzukommt, ist das Instrumentarium, um sie durchzusetzen — Auskunftsersuchen, Modellbewertungen, Abhilfeanordnungen und Sanktionen. Die einjährige Schonfrist ist vorbei.
Wenn Ihr Produkt auf einem KI-Modell mit allgemeinem Verwendungszweck aufsetzt, es hostet oder feinabstimmt, ist das eine Frage der Lieferkette — nicht bloß eine Schlagzeile über Modellhersteller. Der saubere Schritt: die KI-Gesetz-Reife Ihres Modellanbieters als Sorgfaltsprüfung zu behandeln, die Sie verifizieren, nicht als Häkchen, das Sie voraussetzen.
Was sich am 2. August tatsächlich ändert
Die GPAI-Regeln sind nicht neu. Sie gelten seit dem 2. August 2025 für jedes KI-Modell mit allgemeinem Verwendungszweck, das auf dem EU-Markt in Verkehr gebracht wird — und umfassen technische Dokumentation, eine Urheberrechtspolitik, eine öffentliche Zusammenfassung der Trainingsdaten sowie zusätzliche Sicherheitspflichten für Modelle, denen ein systemisches Risiko zugeschrieben wird. Was bislang fehlte, war die Durchsetzung: Die Aufsichts- und Sanktionsbefugnisse der Kommission wurden bewusst ein Jahr lang zurückgehalten, damit die Anbieter und das neu aufgebaute KI-Büro das Regime operationalisieren konnten, bevor jemand Sanktionen drohten.
Diese Schonfrist endet am 2. August 2026. Ab diesem Tag kann die Kommission vier konkrete Dinge tun. Sie kann Auskunftsersuchen stellen und präzise, vollständige Antworten erwarten (Artikel 91). Sie kann Bewertungen eines Modells durchführen, auch mit unabhängigen Sachverständigen, um die Konformität zu prüfen oder ein systemisches Risiko zu untersuchen (Artikel 92). Sie kann Abhilfemaßnahmen anordnen — bis hin zur Beschränkung, zum Rückruf oder zur Rücknahme eines Modells vom EU-Markt (Artikel 93). Und sie kann Bußgelder von bis zu 3 % des weltweiten Jahresumsatzes oder 15 Millionen Euro verhängen, je nachdem, welcher Betrag höher ist (Artikel 101). Teams, die GenAI-Funktionen in die EU ausliefern, sitzen nun einem Anbieter nachgelagert, dem aufgetragen werden kann, ein Modell zu ändern oder zurückzuziehen.
Warum der Omnibus dieses Datum nicht bewegt hat
Es gab viel Lärm darüber, dass das KI-Gesetz aufgeweicht werde, und ein Teil davon ist real. Das Vereinfachungspaket Digital Omnibus — vom Europäischen Parlament am 16. Juni 2026 gebilligt und vom Rat am 29. Juni 2026 endgültig freigegeben — hat die Hochrisiko-Pflichten um rund 12 bis 16 Monate verschoben. Eigenständige Hochrisiko-Systeme nach Anhang III gelten nun ab dem 2. Dezember 2027, in regulierte Produkte nach Anhang I eingebettete Hochrisiko-KI ab dem 2. August 2028. Wenn Ihr Compliance-Plan an den alten Hochrisiko-Terminen hing, haben Sie mehr Vorlauf als zuvor.
Doch der Omnibus war chirurgisch genau darin, was er bewegt hat. Die Durchsetzungsbefugnisse für KI mit allgemeinem Verwendungszweck und die Transparenzpflichten nach Artikel 50 hat er genau dort gelassen, wo sie waren: Beide greifen weiterhin am 2. August 2026. Die Schlagzeile „die EU hat das KI-Gesetz verschoben“ stimmt also nur zur Hälfte. Der Hochrisiko-Zeitplan ist gerutscht; der GPAI- und Transparenz-Zeitplan nicht. Für die vielen Teams, deren KI-Exposition über Foundation-Modelle und nutzerseitige KI-Funktionen statt über formal hochriskante Systeme läuft, ist das bindende Datum jenes, das geblieben ist.
Der Teil, der Käufer kalt erwischt
Die Bußgelder zielen auf GPAI-Modellanbieter, doch das Risiko endet nicht an deren Tür. Wer ein Modell mit allgemeinem Verwendungszweck feinabstimmt, selbst hostet oder Produkte darauf aufbaut, für den werden die Dokumentation, die Urheberrechtslage und der Compliance-Status dieses Anbieters Teil der eigenen Lieferkette. Eine Abhilfeanordnung gegen ein vorgelagertes Modell — eine erzwungene Änderung oder eine Rücknahme vom EU-Markt — ist Ihr Ausfall, Ihre Neuarchitektur, Ihr Kundengespräch. Die praktische Antwort: genau zu wissen, welche Modelle unter Ihrem Produkt liegen, und den KI-Gesetz-Status Ihres Anbieters laufend zu prüfen, statt ihm blind zu vertrauen.
Es gibt zudem eine Pflicht, die unmittelbar bei Betreibern landet, egal welches Modell sie nutzen. Die Transparenz nach Artikel 50, wirksam am selben 2. August 2026, bedeutet: den Menschen mitzuteilen, wenn sie mit einem KI-System interagieren, und KI-generierte oder KI-manipulierte Inhalte wie synthetische Bilder, Audio oder Video klar zu kennzeichnen. Das ist kein Problem der Modellhersteller, das Sie auslagern können; es ist eine Produktentscheidung in Ihrer eigenen Oberfläche. Wer Chatbots betreibt, Medien generiert oder KI-Copiloten in die EU ausliefert, muss die Offenlegungs- und Kennzeichnungsarbeit selbst umsetzen.
Was das für Teams in den USA & der DACH-Region bedeutet
Für US-Teams, die nach Europa verkaufen, lautet die Neurahmung: Das KI-Gesetz ist nun ein durchgesetztes Gesetz mit einer Aufsicht, die Unterlagen anfordern und Sanktionen verhängen kann — kein künftiges Compliance-Projekt. Die extraterritoriale Reichweite ist der Kern: Das Gesetz greift, wo ein Modell oder KI-System auf dem EU-Markt in Verkehr gebracht oder genutzt wird, unabhängig vom Sitz des Unternehmens. Berühren europäische Nutzer Ihre KI, folgen die Pflichten dem Produkt über den Atlantik, und „wir sind ein US-Unternehmen“ ist keine Verteidigung.
Für Teams in der DACH-Region und alle in regulierten Branchen ist der effiziente Schritt, die KI-Gesetz-Arbeit in bereits laufende Governance einzubinden, statt ein Parallelprogramm aufzubauen. Die Dokumentations-, Datenherkunfts- und Zugriffsprotokollgewohnheiten, die DSGVO und Datenschutz-Compliance ohnehin verlangen, decken sich eng mit dem, was ein Auskunftsersuchen nach dem KI-Gesetz abfragen würde. In einem FinTech, das Zahlungsdaten verarbeitet, oder bei einem Gesundheitsanbieter, der Patientendaten hält, ist die für bestehende Regeln aufgebaute Prüfbarkeit der Großteil der Arbeit; die KI-spezifischen Ergänzungen sind Transparenzoffenlegung, Modellinventar und Anbieter-Sorgfaltsprüfung obendrauf.
Die Falle auf beiden Seiten ist, den 2. August als einmalige Frist statt als Beginn eines durchgesetzten Regimes zu behandeln. Durchsetzung ist eine Fähigkeit, die die Kommission nun dauerhaft hat, und die ersten Auskunftsersuchen werden zeigen, wie offensiv sie genutzt wird. Vorn liegen die Teams, die „auf welche Modelle setzen wir, was sagen diese zu, und wo legen wir KI gegenüber Nutzern offen?“ ohne Hektik beantworten können — denn genau das fragt ein Regulierer, ein Enterprise-Kunde oder ein Security-Review.
Was vor der Frist zu tun ist
Sie brauchen keine Rechtsabteilung, um vor dem 2. August spürbar voranzukommen. Sie brauchen ein Inventar und ein paar Entscheidungen.
- Inventarisieren Sie Ihre Modellabhängigkeiten. Listen Sie jedes KI-Modell mit allgemeinem Verwendungszweck auf, das Ihre Produkte aufrufen, hosten oder feinabstimmen, und notieren Sie, ob es eine gehostete API oder ein selbst betriebenes Modell ist.
- Prüfen Sie den KI-Gesetz-Status jedes Anbieters. Bestätigen Sie, dass er technische Dokumentation, eine Urheberrechtspolitik und eine Trainingsdaten-Zusammenfassung veröffentlicht — und behandeln Sie Lücken als Anbieterrisiko, nicht als Formalie.
- Kartieren Sie Ihre eigenen Pflichten nach Artikel 50. Finden Sie jede Stelle, an der Nutzer mit KI interagieren oder KI-generierte Inhalte sehen, und setzen Sie klare Offenlegung und Kennzeichnung in der Oberfläche um.
- Halten Sie herausgabefähige Aufzeichnungen bereit. Pflegen Sie eine Dokumentation Ihrer Datenquellen, Modellnutzung und Entscheidungen, damit Sie ein Auskunftsersuchen beantworten können, ohne die Historie zu rekonstruieren.
- Nutzen Sie Ihr DSGVO-Fundament weiter. Knüpfen Sie die KI-Gesetz-Arbeit an die bestehende Datenschutz-Governance — Datenherkunft, Zugriffskontrolle, Protokollierung — statt einen separaten Strang aufzubauen.
- Planen Sie für eine vorgelagerte Änderung. Entscheiden Sie im Voraus, was Sie tun würden, wenn ein Modell, von dem Sie abhängen, geändert oder vom EU-Markt genommen würde, und halten Sie eine Ausweichlösung bereit.
Nichts davon ist Rechtsberatung, und die genaue Durchsetzungshaltung wird sich erst zeigen, sobald die Kommission ihre Befugnisse nutzt. Die Richtung ist aber unmissverständlich: Ab dem 2. August 2026 sind die GPAI-Regeln des EU-KI-Gesetzes durchsetzbar, mit echten Bußgeldern hinterlegt — und die Teams, die ihre Exposition früh kartiert haben, begegnen dem mit einer Antwort statt mit Hektik.
Häufige Fragen
Was ändert sich für KI-Anbieter am 2. August 2026?
Die Durchsetzungsbefugnisse der Europäischen Kommission gegenüber Anbietern von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) werden anwendbar. Die GPAI-Pflichten gelten bereits seit dem 2. August 2025, doch das Aufsichts- und Sanktionsinstrumentarium wurde ein Jahr lang zurückgehalten, damit sich Anbieter und das KI-Büro vorbereiten konnten. Diese Schonfrist endet am 2. August 2026, wenn die Befugnisse Zähne bekommen: Auskunftsersuchen, Modellbewertungen, Abhilfemaßnahmen und Bußgelder.
Wie hoch sind die Bußgelder des EU-KI-Gesetzes für GPAI-Anbieter?
Nach Artikel 101 kann die Kommission gegen einen GPAI-Modellanbieter Bußgelder von bis zu 3 % des gesamten weltweiten Jahresumsatzes oder 15 Millionen Euro verhängen, je nachdem, welcher Betrag höher ist. Bußgelder können für Verstöße gegen die GPAI-Pflichten verhängt werden, für unrichtige, unvollständige oder irreführende Auskünfte auf ein Dokumentationsersuchen, für die Verweigerung von Abhilfemaßnahmen oder für die Verweigerung des Zugangs zu einem Modell zur Bewertung.
Hat der Digital Omnibus das Datum 2. August 2026 verschoben?
Nein. Der Digital Omnibus, dem der Rat am 29. Juni 2026 nach der Billigung des Parlaments vom 16. Juni 2026 die endgültige Zustimmung erteilt hat, hat die Hochrisiko-Pflichten um 12 bis 16 Monate verschoben: eigenständige Systeme nach Anhang III ab dem 2. Dezember 2027 und in regulierte Produkte eingebettete KI ab dem 2. August 2028. Die GPAI-Durchsetzungsbefugnisse und die Transparenzpflichten nach Artikel 50 blieben unangetastet und greifen beide weiterhin am 2. August 2026.
Betrifft das auch Unternehmen, die KI nur nutzen und keine Modelle bauen?
Die Bußgelder zielen auf GPAI-Modellanbieter, doch die Wirkung reicht nachgelagert weiter. Wer ein Modell mit allgemeinem Verwendungszweck feinabstimmt, hostet oder Produkte darauf aufbaut, für den werden Compliance-Status, Dokumentation und Urheberrechtslage des Anbieters zum Lieferkettenrisiko. Betreiber tragen ab demselben Tag eigene Transparenzpflichten nach Artikel 50 — KI-Interaktion offenlegen und KI-generierte Inhalte kennzeichnen —, also behandeln Sie die Anbieterreife als Sorgfaltsprüfung, nicht als Selbstverständlichkeit.
Was sollten Teams in den USA und der DACH-Region vor der Frist tun?
Erfassen Sie, welche KI-Modelle mit allgemeinem Verwendungszweck Ihre Produkte nutzen, und bestätigen Sie den KI-Gesetz-Status jedes Anbieters, inklusive technischer Dokumentation und Urheberrechtspolitik. Inventarisieren Sie Ihre Artikel-50-Transparenzpflichten und setzen Sie KI-Interaktionshinweise und Inhaltskennzeichnung um. Bewahren Sie Aufzeichnungen zu Datenquellen und Modellnutzung auf, um ein Auskunftsersuchen beantworten zu können. In regulierten Branchen binden Sie dies in die bestehende DSGVO- und Branchen-Governance ein, statt ein separates Projekt aufzusetzen.
Quellen
Rat der EU — Künstliche Intelligenz: Rat gibt endgültiges grünes Licht zur Vereinfachung der Regeln, 29. Juni 2026 (Primärquelle)
Europäische Kommission — KI-Gesetz, Regulierungsrahmen und Anwendungszeitplan (Primärquelle)
EU-KI-Gesetz — Durchsetzung von Kapitel V (GPAI): Befugnisse nach den Artikeln 91–93 und 101