AI Act: Die Stunde der Anwendung hat geschlagen — was sich seit dem 2. August konkret ändert

Seit dem 2. August 2026 ist der AI Act kein ferner Horizont mehr: Das europäische KI-Büro und die zuständigen nationalen Behörden haben begonnen, die Verordnung durchzusetzen — mit den Pflichten für Hochrisikosysteme im Visier. Der angewendete Text ist allerdings nicht mehr ganz derselbe wie der 2024 verabschiedete: Die „KI-Omnibus“-Verordnung, im November 2025 im Rahmen des digitalen Vereinfachungspakets vorgeschlagen, wurde im Juni 2026 verabschiedet und trat am 27. Juli in Kraft — fünf Tage vor dem Stichtag. Klarstellungen beim Anwendungsbereich, Erleichterungen bei der Dokumentation, angepasste Fristen für bestimmte Kategorien: Die Kommission hat ihren Willen zu einer verständlichen, innovationsfreundlichen Umsetzung bekundet, begleitet von einer Reihe von Leitlinien.

Was heute tatsächlich einforderbar ist

Konkret strukturieren drei Pflichtenblöcke die aktuelle Phase. Erstens die verbotenen Praktiken, seit Langem anwendbar. Zweitens die Pflichten der Anbieter von Modellen mit allgemeinem Verwendungszweck: technische Dokumentation, Urheberrechts-Policy, Zusammenfassung der Trainingsdaten — mit einem verschärften Regime für Modelle mit systemischem Risiko. Drittens die Hochrisikosysteme, deren vollständiges Regime (Risikomanagement, Daten-Governance, menschliche Aufsicht, Robustheit, Registrierung) in die Phase der effektiven Anwendung eintritt. Für einen B2B-Anbieter lautet die praktische Frage fast immer gleich: Macht meine KI-Komponente mein Produkt zu einem „Hochrisikosystem“ im Sinne von Anhang III — und falls nicht, welche Transparenzpflichten bleiben mir?

Das eigentliche Thema: die Kumulation aus NIS2, CRA, DSGVO und AI Act

Für sich genommen ist jedes Rahmenwerk beherrschbar. Das Problem der europäischen Anbieter ist die Kumulation. Ein und dasselbe Softwareprodukt kann unter NIS2 fallen (weil sein Kunde eine wesentliche Einrichtung ist), unter den Cyber Resilience Act (weil es ein Produkt mit digitalen Elementen ist, mit Anforderungen an Security by Design und Schwachstellenmanagement), unter die DSGVO (weil es personenbezogene Daten verarbeitet) und unter den AI Act (weil es eine Lernkomponente enthält). Vier Dokumentationslogiken, drei Regime für Vorfallsmeldungen, unterschiedliche Behörden. Die einzige tragfähige Strategie ist die vereinheitlichte Compliance-Fabrik: ein einziges Fundament für Risikomanagement, SBOM, Protokollierung und Schwachstellenbehandlung, das anschließend auf jedes Rahmenwerk heruntergebrochen wird — statt vier paralleler Großbaustellen, die jedes Team erschöpfen würden.

Eine Auflage, die zum Argument werden kann

Es gibt jedoch auch eine offensive Lesart. Die Kunden — regulierte Betreiber, öffentlicher Sektor, Industrie — werden ihre eigenen Pflichten vertraglich auf ihre Lieferanten übertragen. Der Anbieter, der die AI-Act-Dokumentation, das vom CRA geforderte SBOM, die DSGVO-Garantien und die NIS2-Zusagen bereits in den Ausschreibungsunterlagen liefern kann, verwandelt einen regulatorischen Kostenblock in einen Wettbewerbsvorteil gegenüber außereuropäischen Akteuren, die diese Anforderungen erst in den Fragen der Einkäufer entdecken. Europäische Compliance ist, früh industrialisiert, eine Eintrittsbarriere, die diejenigen schützt, die sie überwunden haben.

Der AI Act tritt in das Zeitalter der Rechtsanwendung ein: Die kommenden Monate werden zeigen, ob die Durchsetzung so pragmatisch ausfällt wie versprochen. Aber abzuwarten wäre ein Fehlschluss — der Vorteil wird bei denen liegen, die die regulatorische Kumulation in Prozesse verwandelt haben, während ihre Wettbewerber sie als Lawine erleben.