AI Act: Ab Sonntag kann Europa endlich Bußgelder verhängen
Die europäischen Regeln für große KI-Modelle gelten seit einem Jahr. Was fehlte, war die Sanktionsmacht. Sie kommt am Sonntag.
Die europäischen Pflichten für Anbieter wie OpenAI, Google, Anthropic oder Mistral gelten bereits seit dem 2. August 2025. Ein Jahr ist das her. Was in diesem Jahr fehlte, war das Bußgeld.
Ein Jahr Regeln ohne Sanktion
Artikel 113 der Verordnung (EU) 2024/1689 legt den Zeitplan für die Anwendung fest, und er enthält einen Vorbehalt, den kaum jemand bemerkt. Die Kapitel mit den Pflichten für KI-Modelle mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025, „mit Ausnahme von Artikel 101“, wie es im Verordnungstext heißt.
Artikel 101 ist die Befugnis der Kommission, gegen Anbieter dieser Modelle Bußgelder zu verhängen: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes.
Die Regeln existierten, die Sanktion nicht. Eine Straßenverkehrsordnung ohne Blitzer. Der Blitzer geht am Sonntag in Betrieb, und das ist der konkreteste Effekt dieses Stichtags, über den seit Wochen geredet wird.
Was an diesem Tag ebenfalls greift
Der zweite Text, der an diesem Tag scharf gestellt wird, ist Artikel 50, jener zu den Transparenzpflichten. Er lässt sich auf vier Punkte herunterbrechen.
Anbieter von Systemen, die für die Interaktion mit Menschen konzipiert sind, müssen offenlegen, dass ihr Gegenüber eine Maschine ist, „es sei denn, dies ist aus der Sicht einer natürlichen Person, die unter Berücksichtigung der Umstände und des Nutzungskontexts angemessen informiert, aufmerksam und umsichtig ist, offensichtlich“. Generierte Inhalte müssen eine maschinenlesbare Kennzeichnung tragen. Betreiber, die einen Deepfake veröffentlichen, müssen angeben, dass der Inhalt erzeugt oder manipuliert wurde. Und Texte, die veröffentlicht werden, „um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren“, müssen gekennzeichnet werden, es sei denn, sie wurden redaktionell von einem Menschen verantwortet.
Vorsicht vor dem verbreitetsten Missverständnis: Es gibt keine allgemeine Pflicht, jeden generierten Inhalt sichtbar mit „mit KI erstellt“ zu kennzeichnen. Die Kennzeichnung aus dem zweiten Punkt ist maschinenlesbar, nicht mit bloßem Auge erkennbar: eine technische Signatur, die in die Datei eingebettet wird, unsichtbar, und sie ist Sache des Anbieters des Werkzeugs, nicht dessen, der es nutzt. Eine sichtbare Kennzeichnung wird nur in zwei Fällen zur Pflicht, den beiden aus Punkt vier: bei einem Deepfake und bei einem Text, der veröffentlicht wird, um die Öffentlichkeit über ein Thema von öffentlichem Interesse zu informieren. Ihr per Prompt erzeugtes Marketingvisual braucht kein sichtbares Etikett.
Auch hier ist das Bußgeld nicht symbolisch: Ein Verstoß gegen Artikel 50 fällt unter Artikel 99, der bei bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Umsatzes deckelt, je nachdem, welcher Betrag höher ausfällt. Für ein KMU gilt die niedrigere Obergrenze.
Die Vier-Monats-Frist ist enger, als sie klingt
Der Digital Omnibus, am 24. Juli im Amtsblatt veröffentlicht und drei Tage später in Kraft getreten, räumt eine Frist bis zum 2. Dezember 2026 ein. Das stimmt, und viele Berichte hören genau dort auf.
Die Ausnahme ist in Wirklichkeit winzig. Sie betrifft ausschließlich die maschinenlesbare Kennzeichnungspflicht, Absatz 2 von Artikel 50, und nur Systeme, die bereits vor dem 2. August in Verkehr gebracht wurden. Die Kommission formuliert das in ihrem FAQ unmissverständlich: Die Frist gilt „nur für KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden“ und „nur in Bezug auf die Kennzeichnungs- und Erkennungspflicht“.
Die Frist deckt also nicht den Stichtag ab, sondern einen einzigen Absatz. Ein am 3. August gestartetes Tool hat keinerlei Aufschub, und der Rest von Artikel 50 gilt am Sonntag für alle.
Konkret: Wenn Sie KI einsetzen
Sie haben einen Chatbot auf Ihrer Website: Er muss ab der ersten Interaktion offenlegen, dass er eine KI ist. Der Button „Mit einem Berater sprechen“, der stillschweigend auf ein Modell führt, ist nicht mehr haltbar.
Sie veröffentlichen einen Nachrichtentext, der größtenteils von einem Modell verfasst wurde: Entweder liest ein Mensch ihn gegen und übernimmt die redaktionelle Verantwortung, oder Sie kennzeichnen ihn. Der in drei Klicks erzeugte Unternehmens-Newsletter fällt in den Anwendungsbereich, sobald er die Öffentlichkeit über ein Thema von öffentlichem Interesse informiert.
Der Geltungsbereich endet an Ihrer eigenen Haustür. Die Kommission schließt aus dem Begriff des Betreibers die „private, nicht berufliche“ Nutzung aus: Das Bild, das Sie generieren, um Freunde zum Lachen zu bringen, fällt nicht darunter. Dasselbe Bild, von einer Agentur für einen Kunden veröffentlicht, schon.
Was am Sonntag nicht kommt
Der Teil der Verordnung, der wirklich gebissen hätte, betrifft die Hochrisikosysteme: Personalauswahl, Kreditvergabe, Bildung, Biometrie, kritische Infrastrukturen. Verpflichtende Dokumentation, Risikomanagement, menschliche Aufsicht, Registrierung.
Dieser Block ist verschoben worden. Der Digital Omnibus schiebt Anhang III auf den 2. Dezember 2027 und Anhang I, die KI in bereits regulierten Produkten, auf den 2. August 2028. Den Mechanismus, seine Ausnahmen und das Lobbying dahinter haben wir in einem eigenen Artikel im Detail beschrieben.
Der Blitzer geht also in Betrieb, bevor die Straße fertig gebaut ist. Die Sanktion für die großen Modelle kommt am Sonntag, die Kontrolle der Systeme, die über einen Job oder einen Kredit entscheiden, wartet noch sechzehn weitere Monate.
Ein Teil der Zivilgesellschaft hat das nicht als Vereinfachung gelesen. EDRi schrieb in einer Stellungnahme vom November 2025, verfasst noch im Stadium des Vorschlags, „der Digital Omnibus zur KI reißt den AI Act auseinander und untergräbt seine zentralen Schutzmechanismen“. Das ist eine Position, die vor dem endgültigen Text formuliert wurde, aber es lohnt sich, sie zu kennen.
In Frankreich ist noch niemand benannt
Bleibt eine lokale Kuriosität. Die Verordnung gilt am Sonntag, doch die für die Marktüberwachung zuständige Behörde ist in Frankreich gesetzlich noch nicht bestimmt: Das Gesetzgebungsvorhaben, der Entwurf DDADUE, wird noch beraten. Die CNIL bereitet sich darauf vor, einen großen Teil davon zu übernehmen, insbesondere bei Biometrie und Beschäftigung, vorbehaltlich der Bestätigung durch den Gesetzgeber.
Der europäische Blitzer schaltet sich am Sonntag ein. In Frankreich steht noch nicht fest, wer die Verstöße ahnden wird.
