Was sich am 2. August in Brüssel geändert hat

Am 2. August 2026 wurde aus einem Jahr freiwilliger Verhaltenskodizes und Compliance-Dialogen in Brüssel ein bußgeldbewehrtes Regime. Die Transparenzpflichten aus Artikel 50 - wonach Chatbots ihren automatisierten Status offenlegen, Deepfakes gekennzeichnet werden und maschinell erzeugte Inhalte maschinenlesbare Markierungen tragen müssen - traten zusammen mit den Durchsetzungsbefugnissen über KI-Modelle mit allgemeinem Verwendungszweck rechtlich in Kraft. Die AI Office der Europäischen Kommission und 24 nationale zuständige Behörden in den Mitgliedstaaten können nun technische Dokumentation anfordern, eigene Bewertungen durchführen, Korrekturmaßnahmen verlangen und direkt Bußgelder verhängen, anstatt Konformität informell auszuhandeln.

Die Exekutiv-Vizepräsidentin der Europäischen Kommission, Henna Virkkunen, stellte den Wandel als schützend dar, nicht als konfrontativ, und sagte, die Regeln gäben "Innovatoren Rechtssicherheit, während sie das öffentliche Interesse schützen", und bezeichnete den Moment als "einen wichtigen Schritt hin zu KI, der Menschen und Unternehmen verstehen und vertrauen können". Sie nannte künstliche Intelligenz zudem "eine transformative Technologie", warnte jedoch, dass die fortschrittlichsten Modelle "Risiken in einer völlig neuen Größenordnung schaffen" - eine Unterscheidung, die zeigt, worauf sich die Aufmerksamkeit der Durchsetzung zunächst konzentrieren dürfte.

Der erste Schritt der CNIL: 14 Banken, null gewährte Fristverlängerungen

Der erste Live-Test des neuen Regimes kam innerhalb von 48 Stunden. Am 4. August 2026 richtete die französische Datenschutzbehörde CNIL formelle Anfragen zur technischen Dokumentation nach Artikel 11 an 14 Finanzinstitute, die KI-gestützte Bonitätsbewertungsalgorithmen betreiben, und forderte die Dokumentation nach Anhang IV, die für Hochrisiko-KI-Systeme vorgeschrieben ist. Drei der vierzehn Institute baten um mehr Zeit für die Antwort.

Die CNIL lehnte alle drei Fristverlängerungsanträge ab und verwies auf die zwei Jahre Vorbereitungszeit, die Unternehmen seit Verabschiedung des AI Act im Jahr 2024 hatten. Das ist das Detail, bei dem man verweilen sollte: Der erste Schritt einer Aufsichtsbehörde unter den neuen, live wirksamen Durchsetzungsbefugnissen war kein Mahnschreiben und keine informelle Anfrage, sondern eine formelle Dokumentationsforderung mit einem klaren Nein zu zusätzlicher Zeit. Jedes EU-Unternehmen in einer Hochrisikokategorie - Kreditvergabe, Personalauswahl oder ein anderer Anwendungsfall aus Anhang III - hat nun einen konkreten Präzedenzfall dafür, wie eine erste Prüfung tatsächlich abläuft, keinen hypothetischen mehr.

Wie die Bußgelder tatsächlich funktionieren

Die Sanktionsstruktur ist nach Art des Verstoßes gestaffelt, nicht als einheitliche Pauschalzahl. Verstöße gegen die Transparenzpflichten aus Artikel 50 - die Regeln zur Deepfake-Kennzeichnung und zur KI-Offenlegung - ziehen Bußgelder von bis zu EUR 15 Millionen oder 3 % des weltweiten Jahresumsatzes eines Unternehmens nach sich, je nachdem, welcher Betrag höher ist. Verbotene KI-Praktiken, die kleine Gruppe von Anwendungen, die das Gesetz vollständig untersagt, tragen eine höhere Obergrenze: bis zu EUR 35 Millionen oder 7 % des weltweiten Umsatzes.

Für jedes größere Unternehmen zählt die Umsatzprozentstruktur mehr als die Eurobeträge, da sie sich am Umsatz orientiert, statt das Risiko auf eine feste Zahl zu begrenzen. Anordnungen zu Korrekturmaßnahmen fügen eine zweite Drucklage hinzu: Stellt eine nationale Behörde fest, dass ein System nicht konform ist, kann sie ein Zeitfenster von nur 15 Werktagen setzen, um es zu korrigieren, vom Markt zu nehmen oder zurückzurufen - wenig Zeit für ein Unternehmen, das seine technische Dokumentation nicht bereits vorbereitet hat.

Die Frage, die jedes EU-Unternehmen jetzt beantworten muss

Ein Jahr lang lautete die entscheidende Frage für jedes EU-Unternehmen, das KI nutzt oder einsetzt, ob es im weiten Sinne AI Act-konform ist - beantwortet nach bestem Wissen durch interne Prüfungen und freiwillige Kodizes. Seit dieser Woche hat sich diese Frage geändert. Die entscheidende Frage lautet jetzt, ob ein Unternehmen die technische Dokumentation nach Anhang IV auf Verlangen vorlegen kann, innerhalb der von der Behörde selbst gesetzten Frist - denn die CNIL hat gerade gezeigt, dass sie diese Frist auf Anfrage nicht verlängert.

Die Prüfaktion der CNIL im Bereich Bonitätsbewertung ist eine nützliche Vorschau speziell für Unternehmen in den Bereichen Kreditvergabe, Personalauswahl und anderen Hochrisikokategorien nach Anhang III, da sie das erste konkrete Beispiel dafür ist, wie eine Hochrisiko-Dokumentationsprüfung in der Praxis aussieht - und nicht nur im Gesetzestext. Jedes Unternehmen in diesen Kategorien, das seine technische Akte noch nicht zusammengestellt hat, sollte diesen Monat, nicht eine künftige Compliance-Frist, als den Zeitpunkt betrachten, zu dem die Unterlagen bereits vorliegen müssen.

Weiterlesen: Am 2. August werden die EU-KI-Bußgelder real  |  Die US-Schwelle für Frontier-KI ist jetzt geheim