phils.ai.lab
EU AI Act:
Was seit dem 2. August wirklich gilt
Und was davon dein Labor tatsächlich betrifft
KI-Startcheck: Womit fängst du an? →Seit dem 2. August 2026 gelten neue Pflichten aus der KI-Verordnung. In vielen Newslettern klang das, als würde jetzt alles anders. Ich habe einen Abend sortiert. Weil wir selbst KI im Betrieb haben: im Chat auf der Website, in der Kundenkommunikation, bei Bildern für Social Media.
Das Ergebnis vorweg: Der Teil, vor dem gerade alle Angst haben, ist um 16 Monate verschoben. Der Teil, der seit August 2026 gilt, ist überschaubar und für die meisten Labore an einem Nachmittag erledigt. Was fehlt, ist nicht Aufwand. Es ist Klarheit darüber, welche Pflicht überhaupt auf dich zeigt. Abschnitt 6 ist die Liste zum Abhaken.
Ich bin Zahntechniker und Unternehmer, kein Anwalt. Dieses Briefing ist meine persönliche Einordnung aus der Praxis. Kein Rechtsrat, keine Prüfung deines Falls, keine Garantie auf Vollständigkeit oder Aktualität.
Bitte recherchiere jeden Punkt, der dich betrifft, selbst nach und lass ihn im Zweifel anwaltlich prüfen. Ob und welche Pflichten dich treffen, hängt am einzelnen System, an deiner Rolle in der Kette und am Einsatzkontext. Allein in den letzten Wochen wurden über 40 Artikel angefasst. Was hier steht, kann morgen überholt sein.
Die Weiche: Anbieter oder Betreiber?
Fast jede Pflicht hängt an dieser einen Unterscheidung. Sie entscheidet, wer im Ernstfall angeschrieben wird. Und für viele Labore lautet die Antwort: beides, je nach System.
| Rolle | Wer das ist | Typischer Laborfall |
|---|---|---|
| Anbieter | Entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke auf den Markt. | Du lässt ein Patientenportal, einen Praxis-Chatbot oder einen Visualisierungs-Generator bauen und spielst ihn unter deinem Laborlogo aus. |
| Betreiber | Setzt ein KI-System in eigener Verantwortung ein. | Der Normalfall. Du nutzt fertige Werkzeuge im Tagesgeschäft. Sprachassistent am Telefon, KI im Schriftverkehr, Bildgeneratoren für Social Media. |
Als Anbieter schuldest du Art. 50 Abs. 1 und 2. Den KI-Hinweis und die maschinenlesbare Kennzeichnung. Als Betreiber schuldest du Abs. 3 und 4. Die Offenlegung bei Emotionserkennung und bei veröffentlichten Deepfakes. Und wenn eine Agentur für dich baut: Wer was schuldet, gehört in den Vertrag. Nicht in eine E-Mail nach dem Go-live.
Die Pflichten, die jetzt gelten
Fünf Pflichten sind seit dem 2. August scharf. Vier davon hängen an Art. 50, eine an Art. 4.
Der Mensch muss wissen, dass er mit einer KI spricht
KI-Systeme, die direkt mit Menschen interagieren, müssen so gebaut sein, dass die Person das erkennt. Chatbots, Sprachassistenten, KI-Agenten, Avatare. Der Hinweis muss spätestens bei der ersten Interaktion kommen. Klar und unterscheidbar. Ausnahme nur, wenn es ohnehin offensichtlich ist; die Ausnahme wird eng ausgelegt.
Der Hinweis gehört in den ersten Satz des Chats und in die Begrüßung des Telefonassistenten. Nicht ins Impressum, nicht in die AGB. Wenn dein Bot „Lisa“ heißt und ein Portrait trägt, hast du dir die Ausnahme gerade selbst verbaut.
KI-erzeugte Inhalte maschinenlesbar kennzeichnen
Synthetische Audio-, Bild-, Video- und Textinhalte müssen maschinenlesbar als künstlich erzeugt erkennbar sein. Wasserzeichen, Metadaten oder kryptografische Herkunftsnachweise. Ausgenommen sind reine Hilfsfunktionen ohne wesentliche Änderung, dazu Code, kurze Zeichenfolgen und bestimmte geschlossene B2B-Kontexte.
In den allermeisten Fällen: gar nichts. Adressat ist der Anbieter des generativen Systems, also das Werkzeug selbst. Wer damit Inhalte erstellt, wird dadurch nicht zum Anbieter. Anders nur, wenn du einen Generator unter eigenem Namen ausspielst.
Emotionserkennung und biometrische Kategorisierung offenlegen
Wer ein solches System einsetzt, muss die betroffenen Personen über den Betrieb informieren. Die DSGVO gilt zusätzlich und unverändert. Insbesondere die Frage nach der Rechtsgrundlage.
Klingt weit weg, ist es nicht ganz: Gesichtsanalyse in Beratungs- und Visualisierungssoftware bewegt sich in der Nähe. Einmal beim Hersteller nachfragen ist billiger als raten.
Deepfakes und veröffentlichte KI-Texte offenlegen
Wer Bild-, Ton- oder Videoinhalte veröffentlicht, die eine reale Person oder ein reales Ereignis täuschend echt nachbilden, muss offenlegen, dass der Inhalt künstlich erzeugt oder manipuliert ist. Klar erkennbar, bei der ersten Wahrnehmung. Ein eingebettetes Wasserzeichen allein genügt nicht.
KI-erzeugte Texte zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse sind ebenfalls zu kennzeichnen. Es sei denn, ein Mensch hat geprüft und trägt die redaktionelle Verantwortung.
Der Punkt, der Marketing trifft. Synthetische Stimmen in Reels, KI-Avatare vom Chef, generierte Vorher-Nachher-Szenen mit echten Gesichtern: sichtbar kennzeichnen. Auch in Werbung. Ein Hinweis im Bild oder in der ersten Caption-Zeile reicht. Er muss nur auffallen, bevor jemand weiterscrollt.
KI-Kompetenz der Mitarbeitenden
Gilt formal seit dem 2. Februar 2025, wird aber erst jetzt beaufsichtigt. Der Digital Omnibus hat die Pflicht abgeschwächt: aus „ausreichende KI-Kompetenz sicherstellen“ wurde „Maßnahmen ergreifen, um die Entwicklung von KI-Kompetenz zu unterstützen“. Eine Bemühens-, keine Erfolgspflicht. Erfasst sind eigene Beschäftigte und Personen im organisatorischen Verantwortungsbereich, ausdrücklich auch Auftragnehmer.
Kein Kurs, kein Zertifikat, kein Projekt. 30 Minuten in der Teambesprechung: wer welches Werkzeug wofür nutzt und wo die Grenze ist. Datum drauf, Teilnehmer drauf, ablegen.
Die Übergangsfrist, die gern überlesen wird
Generative Systeme, die vor dem 2. August 2026 schon auf dem Markt waren, haben für die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 Zeit bis zum 2. Dezember 2026. Die Offenlegungspflichten für interaktive Systeme und für Deepfakes gelten dagegen sofort. Ohne Schonfrist.
Das häufigste Missverständnis
„Die Behörden dürfen ab jetzt erstmals durchsetzen.“ Das stimmt so nicht.
Nach Art. 113 sind Sanktionsvorschriften und Governance-Struktur bereits seit dem 2. August 2025 anwendbar. Der Bußgeldrahmen steht also seit einem Jahr. Neu hinzu kommt lediglich Art. 101. Die Befugnis der Kommission, Geldbußen gegen Anbieter von KI-Modellen mit allgemeinem Verwendungszweck zu verhängen.
Was jetzt noch nicht gilt
Der Teil, der die meiste Aufregung erzeugt, ist verschoben. Wer heute in Panik verfällt, fürchtet überwiegend Pflichten, die erst Ende 2027 greifen.
Anhang III umfasst Personalverwaltung und Bewerberauswahl. Wer Bewerbungen künftig per KI vorsortieren lässt, landet im Hochrisiko-Bereich. Mit ganz anderen Pflichten. Zeit bis Dezember 2027. Aber wissen solltest du es heute, nicht 2027.
Was es kostet, wenn nichts passiert
Die Bußgelder stehen in Art. 99. Für Unternehmen gilt der höhere der beiden Werte. Für kleine und mittlere Unternehmen nach Art. 99 Abs. 6 der niedrigere. Das dürfte auf die meisten Labore zutreffen.
| Verstoß | Maximum | Gilt seit |
|---|---|---|
| Verbotene KI-Praktiken (Art. 5). Etwa Social Scoring oder manipulative Systeme | 35 Mio. €oder 7 % des weltweiten Jahresumsatzes | 02.08.2025 |
| Verstoß gegen Transparenzpflichten (Art. 50) sowie gegen Anbieter-, Importeur-, Händler- und Betreiberpflichten | 15 Mio. €oder 3 % des weltweiten Jahresumsatzes | 02.08.2025 Art. 50 selbst erst ab 02.08.2026 |
| Falsche, unvollständige oder irreführende Auskunft gegenüber Behörden | 7,5 Mio. €oder 1 % des weltweiten Jahresumsatzes | 02.08.2025 |
| Verstoß gegen die KI-Kompetenzpflicht (Art. 4) | Kein eigener Bußgeldtatbestand in Art. 99. Sanktionierung nach nationalem Recht. | 02.08.2026 |
Marktüberwachungsbehörden können verlangen, dass ein System angepasst, vom Markt genommen oder zurückgerufen wird. Dazu kommen vertragliche Folgen gegenüber deinem Kunden, wenn du als Anbieter etwas ausgeliefert hast, das dessen Betreiberpflichten nicht erfüllen kann. Und wettbewerbsrechtliche Abmahnungen bei fehlender Kennzeichnung. Die DSGVO läuft parallel weiter.
Was du diese Woche konkret tun kannst
Kein Projekt. Eine Liste. Zwei Stunden, ein Blatt Papier, fertig.
- Inventar anlegenJedes produktive KI-System einmal auflisten: Anwendungsfall, Werkzeug, deine Rolle (Anbieter oder Betreiber), verantwortliche Person. Das ist ohnehin die Grundlage für alles Weitere. Auch ohne EU.
- Jeden Chatbot und Sprachassistenten selbst aufrufenIst der KI-Hinweis bei der ersten Interaktion sichtbar? Nicht im Impressum, sondern im ersten Kontakt. Einmal wie ein Patient durchklicken sagt mehr als jedes Herstellerversprechen.
- Nur falls du selbst einen Generator anbietestPrüfen, ob die Ausgaben maschinenlesbar gekennzeichnet sind. Lief das System vor dem 02.08.2026, hast du bis zum 02.12.2026 Zeit. Wer fremde Werkzeuge nur benutzt, schuldet das nicht.
- Veröffentlichte Deepfakes und synthetische Stimmen kennzeichnenSichtbar. Auch in Werbung und Social Content. Der Instagram-Kanal zählt genauso wie die Website.
- Rollen vertraglich festhaltenWer ist Anbieter, wer Betreiber, wer erfüllt welche Pflicht. In Angebot und Vertrag mit Agentur oder Softwarepartner. Nicht mündlich.
- KI-Kompetenz dokumentierenEine kurze, zum Risiko passende Unterweisung für alle, die mit den Systemen arbeiten. Mit Datum und Nachweis.
- Anhang III prüfenFällt eines deiner Systeme darunter, etwa bei der Bewerberauswahl? Dann Zeit bis Dezember 2027. Wissen solltest du es heute.
Der wichtigste Absatz in diesem Dokument
Bitte nimm das hier nicht als Rechtsgrundlage.
Ich baue Systeme in einem Dentallabor. Ich bin kein Anwalt und dieses Briefing ist ausdrücklich keine Rechtsberatung. Es ist meine Lesart, entstanden aus offen zugänglichen Quellen, und sie kann an einzelnen Stellen unvollständig, verkürzt oder schlicht falsch sein.
Konkret: Prüfe jeden Punkt, der auf dein Labor zeigt, selbst nach. Am Verordnungstext, an den Materialien der EU-Kommission und im Zweifel mit anwaltlicher Beratung. Das gilt besonders, wenn du Software unter eigenem Namen ausspielst, mit Patientendaten arbeitest oder KI in Personalentscheidungen einsetzen willst.
Und: Der Rechtsstand bewegt sich schnell. Der Digital Omnibus hat kurz vor dem Stichtag über 40 Artikel geändert. Prüfe vor jeder Entscheidung, ob dieses Dokument noch aktuell ist.
- Verordnung (EU) 2024/1689 (KI-Verordnung), insbesondere Art. 4, 50, 99, 113
- Verordnung (EU) 2026/1744 („Digital Omnibus“ zur KI-Verordnung), veröffentlicht am 24.07.2026
- Europäische Kommission, FAQ zu den Transparenzpflichten nach Art. 50 KI-VO
- Europäische Kommission, Code of Practice on Transparency of AI-generated Content