Am 2. Dezember 2026 – in knapp acht Wochen – treten drei neue Pflichten aus dem EU AI Act in Kraft, die viele Unternehmen noch nicht auf dem Schirm haben. Zwei davon sind echte Verbote, die durch den Digital Omnibus (Verordnung (EU) 2026/1744) neu in Artikel 5 der KI-Verordnung eingefügt wurden. Die dritte ist eine technische Kennzeichnungspflicht, deren Übergangsfrist an diesem Tag ausläuft. Wer die Fristen verpasst, riskiert Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
Dieser Beitrag erklärt, was am 2. Dezember konkret gilt, wen es trifft und was Sie in den verbleibenden Wochen tun sollten. Er setzt voraus, dass Sie die Grundstruktur des AI Act kennen. Wer die Transparenzpflichten aus Artikel 50 noch nicht umgesetzt hat, findet dazu in unserem Beitrag Artikel 50 des EU AI Act: Die neuen Transparenzpflichten für KI-Systeme den nötigen Hintergrund.
Der Digital Omnibus – Verordnung (EU) 2026/1744, unterzeichnet am 8. Juli 2026, im Amtsblatt veröffentlicht am 24. Juli 2026, in Kraft getreten am 27. Juli 2026 – hat den Zeitplan des AI Act an mehreren Stellen verschoben. Die Hochrisiko-Pflichten aus Anhang III wurden auf den 2. Dezember 2027 verschoben. Was der Omnibus nicht verschoben hat, sind die Transparenzpflichten aus Artikel 50. Und was er neu hinzugefügt hat, sind zwei weitere Verbote in Artikel 5, die am 2. Dezember 2026 wirksam werden.
Konkret treten an diesem Datum drei Dinge in Kraft:
Artikel 5 Absatz 1 Buchstabe (ba) verbietet das Inverkehrbringen, die Inbetriebnahme und die Verwendung von KI-Systemen, die realistische Bilder, Videos, Audiodateien oder ähnliches Material von identifizierbaren natürlichen Personen in intimen oder sexuell expliziten Situationen erzeugen oder manipulieren – sofern die betroffene Person keine freiwillige, spezifische, informierte, eindeutige und ausdrückliche Einwilligung erteilt hat.
Das Verbot zielt in erster Linie auf sogenannte Nudifier-Apps, die Kleidung aus Fotos realer Personen digital entfernen. Das Europäische Parlament hatte sich im Gesetzgebungsverfahren ausdrücklich für dieses Verbot eingesetzt. Für Unternehmen, die solche Systeme weder entwickeln noch einsetzen, ist der direkte Handlungsbedarf gering. Relevant wird es jedoch für Anbieter von Bildbearbeitungs- oder Medienproduktionstools, die generative Funktionen enthalten: Sie müssen sicherstellen, dass ihre Systeme keine solchen Ausgaben produzieren können – oder dass ausreichende technische Schutzmaßnahmen vorhanden sind, die eine solche Nutzung zuverlässig verhindern.
Eine wichtige Einschränkung: Für Betreiber – also Unternehmen, die ein fremdes KI-System einsetzen – gilt das Verbot nur dann, wenn sie das System zu diesem Zweck einsetzen. Wer ein generatives Bildtool für Marketingzwecke nutzt und dabei keine intimen Darstellungen erzeugt, ist von diesem Verbot nicht unmittelbar betroffen. Das ändert nichts daran, dass Anbieter solcher Tools die Pflicht haben, entsprechende Ausgaben technisch zu unterbinden.
Eine Manipulation, die keine intimen Körperteile stärker exponiert und die Natur einer dargestellten sexuell expliziten Handlung nicht verändert, gilt laut Artikel 5 Absatz 1b ausdrücklich nicht als Manipulation im Sinne dieses Verbots. Diese Präzisierung ist für Bildbearbeitungsanwendungen mit Retuschefunktionen relevant.
Artikel 5 Absatz 1 Buchstabe (bb) verbietet KI-Systeme, die Material im Sinne von Artikel 2 Buchstaben (c) und (e) der Richtlinie 2011/93/EU erzeugen oder manipulieren – das sind kindliche Missbrauchsdarstellungen (CSAM). Ausgenommen sind Fälle, in denen nach nationalem Recht ein Rechtfertigungsgrund greift.
Für die überwiegende Mehrheit der Unternehmen, die generative KI im geschäftlichen Kontext einsetzen, ist dieses Verbot keine neue operative Herausforderung – es kodifiziert, was ohnehin bereits durch nationales Strafrecht verboten ist. Praktisch relevant ist es für Anbieter von Bildgeneratoren und Sprachmodellen: Sie müssen nachweisen können, dass ihre Systeme solche Ausgaben nicht produzieren. Wer auf Drittanbieter-APIs setzt, sollte prüfen, ob die Nutzungsbedingungen und technischen Schutzmaßnahmen des Anbieters diese Anforderung abdecken – und das vertraglich absichern.
Artikel 50 Absatz 2 verpflichtet Anbieter generativer KI-Systeme, ihre Ausgaben – Bilder, Audio, Video, Text – in einem maschinenlesbaren Format als künstlich erzeugt zu kennzeichnen. Die Transparenzpflichten aus Artikel 50 gelten grundsätzlich seit dem 2. August 2026. Für Systeme, die bereits vor diesem Datum auf dem Markt waren, hatte der Digital Omnibus eine Übergangsfrist eingeräumt – ursprünglich waren sechs Monate vorgesehen, der Omnibus hat diese auf drei Monate verkürzt. Die Frist endet am 2. Dezember 2026.
Was das technisch bedeutet: Die Kennzeichnung muss laut Verordnung wirksam, interoperabel, robust und zuverlässig sein – soweit technisch machbar, unter Berücksichtigung der Inhaltsart, der Kosten und des Stands der Technik. Wie genau die Markierung aussehen muss, schreibt die Verordnung nicht vor. In der Praxis setzen Anbieter auf Standards wie C2PA-Metadaten oder digitale Wasserzeichen. OpenAI etwa hat angekündigt, für ChatGPT und Codex in der EU ein unsichtbares Textwasserzeichen einzuführen, das statistisch in der Wortwahl eingebettet wird – ein Ansatz, den auch Anthropic für Claude verfolgt.
Für Unternehmen als Betreiber – also als Nutzer fremder generativer KI-Tools – liegt die unmittelbare Pflicht beim Anbieter des Systems, nicht beim Betreiber. Praktisch bedeutet das: Sie müssen prüfen, ob Ihre KI-Anbieter die Anforderung aus Artikel 50 Absatz 2 bis zum 2. Dezember erfüllen. Tun sie es nicht, tragen Sie als Betreiber kein direktes Bußgeldrisiko aus dieser Norm – aber Sie sollten das vertraglich dokumentieren und gegebenenfalls nachfragen. Wer den freiwilligen Code of Practice on Transparency of AI-Generated Content der EU-Kommission unterzeichnet hat, kann diesen gegenüber Marktüberwachungsbehörden als Nachweis für die Erfüllung der Transparenzpflichten nutzen. Wer ihn nicht unterzeichnet hat, muss die Angemessenheit seiner eigenen Maßnahmen vor jeder Behörde einzeln nachweisen.
Die verbleibenden Wochen bis zum 2. Dezember reichen für gezielte Maßnahmen – aber nicht für eine vollständige Compliance-Aufbauarbeit. Wer noch keine KI-Inventur gemacht hat, sollte damit jetzt beginnen. Folgende Fragen helfen dabei, den Handlungsbedarf einzugrenzen:
Ob ein Unternehmen tatsächlich unter die neuen Verbote fällt, hängt stark vom konkreten Einsatzszenario ab. Wer unsicher ist, ob ein eingesetztes System in den Anwendungsbereich von Artikel 5(1)(ba) fällt, sollte das rechtlich prüfen lassen – die Verordnung enthält Präzisierungen (etwa zu Manipulationen, die keine intimen Körperteile stärker exponieren), die im Einzelfall entscheidend sein können.
Der 2. Dezember 2026 ist kein Datum, das sich verschieben lässt. Die Hochrisiko-Fristen wurden durch den Digital Omnibus nach hinten geschoben – die neuen Verbote aus Artikel 5 und die Kennzeichnungspflicht aus Artikel 50 Absatz 2 wurden es nicht. Wer bis dahin keine Klarheit über seine KI-Systeme hat, riskiert nicht nur Bußgelder, sondern auch Reputationsschäden, wenn Marktüberwachungsbehörden aktiv werden.
Für Unternehmen, die noch am Anfang ihrer AI-Act-Compliance stehen, empfiehlt sich ein strukturierter Einstieg: KI-Inventur, Rollenzuordnung (Anbieter oder Betreiber), Risikoklassifizierung der eingesetzten Systeme. Wie die Hochrisiko-Pflichten, die ab Dezember 2027 gelten, in diesen Rahmen einzuordnen sind, beschreibt unser Beitrag EU AI Act Hochrisiko Compliance: Was der Digital Omnibus geändert hat – und was jetzt gilt.
Wenn Sie wissen möchten, wie DMoove Sie bei der strukturierten Umsetzung des AI Act unterstützen kann – von der Inventur bis zur technischen Governance –, sprechen Sie uns an.