Die EU hat den regulatorischen Herbst eingeleitet, in dem AI Act, Cyber Resilience Act und Data Act die Daumenschrauben anziehen und für ordentlich Kopfzerbrechen in Marketing- und IT-Teams sorgen. Wer seine Prozesse jetzt nicht auf Vordermann bringt, riskiert bei Chatbots und vernetzten Geräten Bußgelder.
EU AI Act: Kennzeichnungspflicht seit 2. August
Seit dem 2. August 2026 gilt Artikel 50 der KI-Verordnung verbindlich. Wer im geschäftlichen Kontext Chatbots einsetzt, muss Nutzerinnen und Nutzer erkennbar informieren, dass sie mit einer Maschine kommunizieren. Deepfakes – realistisch wirkende, KI-erzeugte oder manipulierte Bild-, Ton- und Videoinhalte – müssen offengelegt werden. Ebenso KI-generierte Texte zu Themen von öffentlichem Interesse, sofern niemand die redaktionelle Verantwortung dafür übernimmt. Zusätzlich informieren Betreiber von Emotionserkennung und biometrischer Kategorisierung die Betroffenen über den Systemeinsatz; für bereits laufende Emotionserkennungssysteme gilt eine Nachrüstfrist bis Dezember 2026.
Für Unternehmen zählt der Zeitpunkt: Bei Bild-, Ton- und Videoinhalten ist die Erzeugung entscheidend, bei Texten zusätzlich die Veröffentlichung. Wer KI-Output nur oberflächlich Korrektur liest, bleibt kennzeichnungspflichtig – reines Lektorat reicht laut EU-Leitlinien nicht aus, um sich der Pflicht zu entziehen. Verstöße können bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes kosten. Marketing- und Kommunikationsabteilungen sollten deshalb dokumentieren, wann und wie KI-Inhalte entstehen, und Prüf- und Freigabeprozesse mit benannten Verantwortlichen etablieren.
Cyber Resilience Act: Meldepflicht seit September
Seit dem 11. September 2026 ist die erste scharfe Verpflichtung des Cyber Resilience Act (CRA) in Kraft: Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle melden, sobald sie davon Kenntnis erlangen. Der Ablauf ist gestaffelt – eine Frühwarnung innerhalb von 24 Stunden, eine vollständige Meldung nach 72 Stunden und ein Abschlussbericht nach 14 Tagen. Die Pflicht gilt auch für bereits verkaufte Geräte und endet nicht mit dem offiziellen Supportzeitraum. Bei Verstößen drohen Bußgelder von bis zu 15 Millionen Euro oder 2,5 Prozent des weltweiten Jahresumsatzes.
Damit wird aus einem IT-Sicherheitsthema ein Compliance-Prozess: Unternehmen brauchen Verantwortlichkeiten, definierte Eskalationswege, aktuelle Software-Stücklisten (SBOMs) und vorbereitete Meldetexte, um die engen Fristen im Ernstfall überhaupt einhalten zu können. Die vollständige CRA-Anwendbarkeit mit CE-Kennzeichnung und Konformitätsbewertung folgt im Dezember 2027 – doch wer jetzt keine funktionierende Meldeorganisation aufbaut, gerät schnell in Verzug.
Data Act: „Access by Design“ seit September
Nur einen Tag nach dem CRA-Stichtag, am 12. September, wurde die nächste Stufe des EU Data Act wirksam. Für alle neu in Verkehr gebrachten vernetzten Produkte – von Smart-Home-Geräten über Wearables bis zu Maschinen und Fahrzeugen – gilt nun das Prinzip „Access by Design“: Nutzerinnen und Nutzer müssen standardmäßig, einfach, sicher und ohne Umweg über den Hersteller direkt auf die von ihren Geräten erzeugten Daten zugreifen können, strukturiert und maschinenlesbar. Der allgemeine Datenzugangsanspruch gilt bereits seit September 2025, auch für Bestandsgeräte. Neu ist nun die Pflicht, den Zugang von vornherein technisch mitzudenken. Eine generelle Nachrüstpflicht für Altgeräte besteht nicht.
Für Hersteller vernetzter Produkte wird Datenzugang damit zur Architekturentscheidung statt zum nachgelagerten Feature. Schnittstellen, Datenformate und vorvertragliche Informationspflichten müssen bereits in der Produktentwicklung mitgedacht werden. In Deutschland ist die Bundesnetzagentur zentrale Aufsichtsbehörde; das nationale Durchführungsgesetz sieht Bußgelder von bis zu 500.000 Euro pro Verstoß vor.
Die Regelungen stehen in der Kritik
Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung, erklärt: „Nicht die einzelne Verordnung ist das Problem, sondern ihr Zusammenspiel. AI Act, Cyber Resilience Act und Data Act sind getrennt und mit zu wenig Abstimmung entstanden, jetzt treffen sie sich im selben Unternehmen: eigene Fristen, eigene Begriffe, eigene Meldewege, eigene Aufsichtsbehörden. Das erzeugt bürokratischen Aufwand und Rechtsunsicherheit – und beides wächst mit den Jahren, statt zu verschwinden.“ Das sieht auch Rechtsanwalt Dr. David Klein, Fachanwalt für Informationstechnologierecht bei Taylor Wessing, so: „Ob die angestrebten Ziele, mehr Transparenz und Selbstbestimmung für Nutzer, erreicht werden, ist fraglich. Wer Wahlen mit Fakevideos manipuliert, kennzeichnet seine KI-Inhalte nicht. Auch schwarze Schafe, die Produkte aus Drittländern in die EU einführen, werden Sicherheitsvorfälle kaum melden. Die Regelwerke wirken nur bei konsequenter Durchsetzung. Andernfalls belasten sie vor allem rechtstreue Unternehmen.“
