Der AI Act ist da, nur nicht der, den alle erwartet haben

Die Primärquelle, vier Tage vor Inkrafttreten veröffentlicht — und der Grund, warum diese Woche zählt: Seit dem 2. August gelten die Transparenzpflichten aus Artikel 50. Ein Chatbot muss sich als Maschine zu erkennen geben, synthetische Inhalte brauchen maschinenlesbare Kennzeichnung, Deepfakes und ungeprüfte KI-Texte zu öffentlichen Themen müssen gelabelt werden. Dazu ein Code of Practice: entweder man folgt ihm, oder man weist „gleichwertig geeignete Mittel" nach. Lesen Sie das Original, nicht die Zusammenfassungen — und behandeln Sie es wie einen Design-Input, nicht wie eine juristische Nacharbeit.

Der Teil, den alle mitbekommen haben — und aus dem die meisten den falschen Schluss ziehen. Finalisiert: Eigenständige Hochrisiko-Systeme (Anhang III) haben bis 2. Dezember 2027, in regulierte Produkte eingebettete KI (Anhang I) bis 2. August 2028, das Wasserzeichen-Gebot für bereits im Markt befindliche Systeme bis 2. Dezember 2026. Für meine Welt ist Anhang I der entscheidende: Maschinen, Medizintechnik, Fahrzeuge — die längste Startbahn von allen. Eine Startbahn ist aber keine Absage, und wer sie als Pause liest, verliert 2027 zwei Jahre Vorsprung.

Die Details, über die kaum jemand berichtet hat. Die KI-Kompetenz-Pflicht wurde abgeschwächt (Unternehmen müssen Kompetenzaufbau nur noch unterstützen, nicht garantieren), ein neues Verbot in Artikel 5 zielt auf „Nudifier" und Missbrauchsdarstellungen — und der unterschätzte Punkt: Das EU AI Office bekommt neue Durchsetzungsinstrumente, inklusive Untersuchungen und Vor-Ort-Inspektionen. Die Fristen rutschen, die Zähne wachsen. Wer „Vereinfachung" mit „Deregulierung" verwechselt, liest das Paket falsch.

Die brauchbarste Praxis-Checkliste, die ich gefunden habe: KI-Anwendungsfälle kartieren, bestehende Hinweise prüfen, Content-Workflows bewerten, Kennzeichnungs-Standards festlegen, Ausnahme-Begründungen dokumentieren — und der Punkt, den fast alle übersehen: Lieferantenverträge prüfen und klären, wer die Pflicht trägt. Genau das ist die Build-vs-Buy-Frage in juristischer Form. Wenn das Modell eines Zulieferers Ihre kundensichtbaren Inhalte erzeugt, wessen Kennzeichnungspflicht ist das? Das klärt man im Vertrag, nicht im Audit.

Die Falle und die technische Realität — für mich das wichtigste Stück der Woche. Der Omnibus hat Hochrisiko vertagt, Artikel 50 aber unangetastet gelassen: Wer angenommen hat, „alles wurde verschoben", hat seit Sonntag eine Compliance-Lücke, bei bis zu 15 Mio. € oder 3 % des Weltumsatzes. Und dann der nüchterne Teil: Ein heute in gutem Glauben eingeführtes Wasserzeichen kann binnen Monaten öffentlich gebrochen sein — Forschung zeigt Angriffe im 50-Dollar-Bereich. Konformität ist ein Boden, kein Beweis. Auch hier gilt: Das Modell ist der einfache Teil.