Vier Wochen EU AI Act: Was sich für den Vertrieb wirklich geändert hat
EU AI Act
Automatisierung
Ihr Vertrieb nutzt längst KI. Der Assistent im CRM fasst Gespräche zusammen, jemand lässt Angebotstexte vorformulieren, auf der Website beantwortet ein Chatbot Fragen zum Produkt. Die Frage seit dem 2. August 2026 ist nicht mehr, ob das erlaubt ist. Die Frage ist, ob Sie es erklären können.
Denn an diesem Tag ist der EU AI Act nicht „in Kraft getreten“, wie es oft heißt. Das ist er seit August 2024. Am 2. August 2026 wurde er in einer weiteren Stufe anwendbar, und vor allem: Ab jetzt wird er durchgesetzt. Vier Wochen später lohnt ein nüchterner Blick auf das, was tatsächlich passiert ist.
Drei Dinge sind am 2. August passiert
Erstens: Transparenz ist Pflicht. Wer Menschen mit einer KI interagieren lässt, muss das erkennbar machen. Wer Deepfakes erzeugt, muss sie kennzeichnen. Anbieter generativer Systeme müssen erzeugte Inhalte maschinenlesbar markieren. Das steht in Artikel 50 und gilt seit dem Stichtag. Die Kommission hat dazu am 20. Juli Leitlinien veröffentlicht, ergänzt um einen freiwilligen Code of Practice mit einheitlichen Kennzeichnungs-Icons.
Zweitens: Die Behörden dürfen jetzt. Das AI Office in Brüssel und die nationalen Marktaufsichtsbehörden haben seit dem 2. August ihre Durchsetzungsbefugnisse. Sie können Auskünfte verlangen, bei Modellanbietern Evaluierungen durchführen und Bußgelder verhängen. Der Rahmen: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Millionen oder 3 Prozent bei den meisten anderen Verstößen.
Drittens: Die Hochrisiko-Regeln kamen nicht. Ursprünglich sollten sie ebenfalls am 2. August greifen. Der AI Omnibus, seit dem 27. Juli 2026 in Kraft, hat sie verschoben: auf den 2. Dezember 2027 für die sensiblen Einsatzbereiche aus Anhang III (Personalauswahl, Kreditwürdigkeit, kritische Infrastruktur) und auf den 2. August 2028 für KI in regulierten Produkten wie Maschinen oder Medizingeräten. Grund waren fehlende harmonisierte Normen und noch nicht benannte Behörden.
Was sich nach vier Wochen zeigt
Keine Bußgeldwelle. Das war zu erwarten, Behörden bauen erst auf. Trotzdem hat sich etwas verschoben, und zwar in den Unternehmen selbst: Die Frage „Welche KI nutzen wir eigentlich, wo und wofür?“ wird jetzt gestellt. Oft zum ersten Mal ernsthaft. Und oft stellt sich heraus, dass niemand eine vollständige Antwort hat.
Zwei Details aus dem Omnibus, die in der Berichterstattung untergehen, aber für den Mittelstand relevant sind:
Die Pflicht zur KI-Kompetenz (Artikel 4) gilt bereits seit Februar 2025, wurde aber zum 27. Juli entschärft. Unternehmen müssen die Entwicklung von KI-Kompetenz ihrer Mitarbeiter „unterstützen“. Ein bestimmtes Niveau muss ausdrücklich nicht garantiert werden, ein Zertifikat ist nicht nötig. Die Pflicht bleibt aber, und seit dem 2. August ist sie überwachbar. Wer nichts dokumentiert hat, steht schlechter da als jemand mit einer halben Seite Nutzungsregeln und einer Einweisung.
Für die maschinenlesbare Kennzeichnung generierter Inhalte gibt es eine Übergangsfrist: Systeme, die vor dem 2. August 2026 auf dem Markt waren, müssen sie erst ab dem 2. Dezember 2026 erfüllen. Das betrifft primär die Anbieter, also die Hersteller der Tools. Als Anwender sollten Sie aber wissen, ob Ihr Tool das leistet, weil Sie die erzeugten Inhalte veröffentlichen.
Die Fristen auf einen Blick
Datum | Was gilt |
|---|---|
2. Februar 2025 | Verbotene Praktiken, KI-Kompetenz |
2. August 2025 | Pflichten für Anbieter von Basismodellen (GPAI) |
2. August 2026 | Transparenzpflichten, Beginn der Durchsetzung |
2. Dezember 2026 | Kennzeichnungspflicht auch für Altsysteme, Verbot von Nudification-Apps |
2. Dezember 2027 | Hochrisiko-Systeme nach Anhang III |
2. August 2028 | Hochrisiko-KI in regulierten Produkten |
Was das für einen Vertrieb mit erklärungsbedürftigen Produkten heißt
Der Chatbot auf der Website. Muss klar zu erkennen geben, dass er eine KI ist. Nicht im Impressum, sondern dort, wo der Kontakt stattfindet. Das ist die einfachste Pflicht und trotzdem oft nicht umgesetzt. Schwieriger ist die Frage dahinter: Was darf der Bot zu Preisen, Lieferzeiten und technischer Machbarkeit sagen? Wenn er Produktkonfigurationen vorschlägt, die technisch nicht gehen, ist das kein AI-Act-Problem. Es ist ein Vertriebsproblem, das der AI Act nur sichtbar macht.
Generierte Angebotstexte. Ein Angebot, das mit KI vorformuliert und dann von einem Menschen geprüft und verantwortet wurde, ist kein kennzeichnungspflichtiger Text nach Artikel 50. Die Pflicht zielt auf Inhalte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, und auf Deepfakes. Anders sieht es bei Produktvideos mit synthetischen Personen oder Stimmen aus. Da braucht es die Kennzeichnung.
Lead-Scoring und Priorisierung im CRM. Hier lohnt ein genauer Blick auf die Wirkung, nicht auf den Namen der Funktion. Eine Empfehlung, welchen Kontakt der Vertrieb zuerst anruft, ist unkritisch. Ein System, das faktisch entscheidet, ob ein Kunde eine Finanzierung oder ein Angebot überhaupt bekommt, rückt in die Nähe der Hochrisiko-Bereiche. Das gilt erst ab Dezember 2027, aber wer heute so ein System einführt, baut es für diese Regeln.
Der Produktkonfigurator. Ein regelbasierter CPQ-Konfigurator ist keine KI im Sinne des AI Act. Abhängigkeiten, Ausschlüsse, Preislogik, Machbarkeitsprüfung: alles deterministisch, alles nachvollziehbar. Genau das ist übrigens ein Vorteil, den viele unterschätzen. Sobald aber ein Sprachmodell Kundenanforderungen interpretiert und daraus eine Konfiguration vorschlägt, ist das ein eigener Anwendungsfall mit eigener Bewertung. Er darf nicht unter dem Etikett „CPQ“ verschwinden.
Drei Fragen, die Sie jetzt beantworten können sollten
Welche KI-Funktionen laufen bei uns im Vertrieb? Inklusive der Funktionen, die in CRM, ERP, Office-Tools und Supportsystemen still mitgeliefert wurden. Und inklusive der Tools, die einzelne Kollegen privat nutzen, um Unternehmensdaten zu verarbeiten.
Was entscheidet die KI, und was entscheidet ein Mensch? Nicht formal, sondern tatsächlich. Ein Freigabeklick, den niemand mehr hinterfragt, ist keine menschliche Aufsicht.
Wer verantwortet das? Eine Person, die weiß, welches System welche Daten nutzt, wann sich das Modell geändert hat und was intern dazu geregelt ist.
Wer diese drei Fragen sauber beantworten kann, erfüllt bereits einen großen Teil dessen, was der AI Act vom Mittelstand heute verlangt. Wer sie nicht beantworten kann, hat kein Compliance-Problem. Er hat ein Prozessproblem, das jetzt eine rechtliche Dimension bekommen hat.
Fazit
Der 2. August 2026 hat den Mittelstand nicht in ein Hochrisiko-Regime geworfen. Er hat eine Grenze gezogen: zwischen KI, die im Unternehmen einfach passiert, und KI, die jemand verantwortet. Die verschobenen Fristen bis 2027 und 2028 sind kein Grund abzuwarten. Sie sind die Zeit, in der die Systeme gebaut werden, die dann geprüft werden.
Dieser Beitrag ist eine fachliche Einordnung und ersetzt keine Rechtsberatung. Die Einstufung eines konkreten KI-Systems hängt von Zweck, Ausgestaltung und Einsatzkontext ab.
Redaktioneller Hinweis: Dieser Beitrag wurde mit Unterstützung generativer KI erstellt, von Andreas Renk fachlich geprüft, überarbeitet und redaktionell verantwortet.
Quellen
Europäische Kommission: AI Omnibus tritt in Kraft (27. Juli 2026)
Europäische Kommission: Leitlinien zu Transparenzpflichten nach Artikel 50 (20. Juli 2026)
Europäische Kommission: FAQ zu Artikel 50, inkl. Übergangsfrist
Quellenstand: 4. September 2026.
