Ich frage Unternehmer und Führungskräfte seit Monaten nach diesem Datum. Die häufigste Antwort: ein Schulterzucken.
Das sollte euch aufwecken.
Der 2. August 2026 ist der erste harte Stichtag des EU AI Acts. Ab diesem Tag sind bestimmte KI-Systeme in der Europäischen Union verboten - nicht reguliert, nicht eingeschränkt, sondern illegal. Wer sie danach noch betreibt, riskiert Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes seines Unternehmens.
Und dennoch hat die Mehrheit der betroffenen Unternehmen noch keine Bestandsaufnahme gemacht.
Was genau tritt am 2. August in Kraft?
Die EU nennt diese Kategorie "Unacceptable Risk" - KI-Systeme, die so tief in Grundrechte eingreifen, dass kein Regulierungsrahmen sie akzeptabel macht. Sie fallen nicht unter strenge Auflagen. Sie fallen unter ein vollständiges Verbot.
Konkret verboten sind ab diesem Datum:
Social Scoring durch private oder staatliche Stellen. Systeme, die Menschen auf Basis ihres Verhaltens, ihrer sozialen Kontakte oder persönlichen Merkmale bewerten und auf dieser Grundlage benachteiligen - ähnlich dem chinesischen Sozialkreditsystem, aber auch viele westliche Varianten fallen darunter.
Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen. Das ist der Punkt, der viele überrascht. Tools, die in Videocalls Mimik und Stimmung analysieren, um die "Leistung" oder "Aufmerksamkeit" von Mitarbeitern oder Studierenden zu bewerten - verboten. Einige dieser Funktionen sind in populärer HR-Software und Meeting-Tools bereits eingebaut, ohne dass es die Nutzer wissen.
Biometrische Echtzeit-Fernidentifikation im öffentlichen Raum. Gesichtserkennung in Echtzeit über Kameras - mit engen Ausnahmen für Strafverfolgung unter richterlicher Aufsicht.
Manipulation durch subliminale Techniken. KI-Systeme, die Verhalten beeinflussen, indem sie unter der bewussten Wahrnehmungsschwelle operieren - zum Beispiel durch gezielte Informationsverzerrung oder psychologische Schwachstellen ausnutzen.
Predictive Policing auf Basis persönlicher Merkmale. Systeme, die Straftaten von einzelnen Personen vorhersagen wollen, allein basierend auf Persönlichkeitsprofilen - ohne konkreten Tatnachweis.
Die unbequeme Frage: Setzt ihr gerade eines davon ein?
Wahrscheinlich nicht bewusst. Aber möglicherweise trotzdem.
Das Problem liegt nicht darin, dass Unternehmen absichtlich illegale KI einsetzen. Das Problem liegt darin, dass KI-Funktionen heute tief in SaaS-Produkte eingebettet sind - und die meisten Unternehmen keine vollständige Übersicht darüber haben, was ihre Tools eigentlich tun.
Stellt euch folgende Fragen:
Nutzt ihr Video-Analyse-Tools in HR-Prozessen, die Bewerber automatisch beobachten und bewerten? Manche ATS-Systeme (Applicant Tracking Systems) haben genau das als Feature.
Nutzt ihr Meeting-Intelligence-Plattformen, die Teilnehmer-"Engagement" messen - durch Kameraanalyse, nicht durch Umfragen?
Habt ihr Customer-Profiling-Lösungen, die aus Verhaltensdaten Persönlichkeitsprofile ableiten und darauf basierend Angebote oder Preise differenzieren?
Wenn ihr diese Fragen nicht mit Sicherheit beantworten könnt - dann habt ihr noch Arbeit vor euch.
Was passiert, wenn man nichts tut?
Kurzfristig: wahrscheinlich nichts. Die EU-Behörden werden nicht am 3. August mit Bußgeldbescheiden an eure Türen klopfen. Der Aufbau von Aufsichtsbehörden und Durchsetzungsinfrastruktur braucht Zeit.
Mittelfristig: sehr viel. Regulierungsbehörden werden Kapazitäten aufbauen. Whistleblower-Mechanismen werden eingeführt. Und - das wird unterschätzt - Vertragspartner, Investoren und Kunden werden anfangen, Compliance-Nachweise zu verlangen. Enterprise-Ausschreibungen in regulierten Branchen enthalten bereits erste AI-Act-Klauseln.
Wer jetzt nicht handelt, wird in 18 Monaten unter Druck handeln müssen. Das ist teurer und unsicherer.
Was ihr bis August konkret tun könnt
Der erste Schritt ist kein Compliance-Projekt. Es ist ein AI-Inventar - eine einfache Liste aller KI-Systeme, die euer Unternehmen einsetzt oder plant einzusetzen. Intern entwickelte Tools, eingekaufte SaaS-Produkte, eingebettete Modelle in bestehender Software.
Für jedes System stellt ihr drei Fragen:
- Was genau tut dieses System automatisch?
- Welche Daten verarbeitet es - und über wen?
- Trifft oder beeinflusst es Entscheidungen, die Menschen betreffen?
Aus diesen Antworten ergibt sich in den meisten Fällen schon ein klares Bild: Kein Problem, prüfenswert, oder dringend handeln.
Der zweite Schritt ist eine rechtliche Einordnung. Nicht jeder Anbieter kommuniziert transparent, ob seine Produkte unter die Verbotskategorie fallen könnten. Hier braucht ihr jemanden, der den Gesetzestext kennt und ihn auf euren konkreten Tech-Stack anwenden kann.
Warum das jetzt relevant ist - und nicht in sechs Monaten
Ich spreche täglich mit Unternehmen, die sagen: "Wir kümmern uns darum, wenn es konkreter wird."
Ich verstehe den Impuls. Aber der 2. August ist konkret. Er steht im Amtsblatt der Europäischen Union. Er wird nicht verschoben.
Wer allerdings erst dann beginnt, hat keine Zeit mehr für eine gründliche Bestandsaufnahme. Dann bleibt nur Schnellabschaltung - mit allen operativen Konsequenzen, wenn ein verbotenes Feature tief in einen Workflow integriert ist.
Die Unternehmen, mit denen ich heute arbeite, haben einen strukturierten Prozess. Die Unternehmen, die mich im Juli anrufen, haben eine Notfallsituation.
Ich biete gerne ein kostenloses 30-Minuten-Gespräch an, um gemeinsam einzuschätzen, wo ihr steht. Kein Pitch, keine Agenda - nur eine ehrliche Einordnung.
→ Schreibt mir direkt oder bucht gerne einen unverbindlichen Termin über https://calendly.com/nexpatchai/eu-ai-act-check.
NexPatch AI begleitet Unternehmen bei der strukturierten AI-Act-Implementierung - von der ersten Bestandsaufnahme bis zur Zertifizierungsreife.
