AI Act und CRA: welche Frist jetzt wirklich zählt

Die Lage

Beide Bußgeld-Zahlen führen in die Irre

Seit dem 2. August 2026 sind die Transparenzpflichten nach Artikel 50 der KI-Verordnung anwendbar: Wer mit einem KI-System interagiert, muss das erkennen können, der Einsatz von Emotionserkennung und biometrischer Kategorisierung ist von Betreibern offenzulegen (Absatz 3), Deepfakes und bestimmte KI-generierte Texte sind zu kennzeichnen.¹ Nur die maschinenlesbare Markierung nach Artikel 50 Absatz 2 kennt eine Ausnahme: Anbieter generativer Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, haben dafür bis zum 2. Dezember 2026 Zeit.² Der Bußgeldrahmen für Transparenzverstöße liegt bei bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Vorjahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4). Die 35 Millionen aus den Schlagzeilen betreffen verbotene Praktiken nach Artikel 5, der Bußgeldrahmen dafür steht in Artikel 99 Absatz 3. Für KMU einschließlich Start-ups gilt nach Artikel 99 Absatz 6 stets der niedrigere der beiden Werte, für kleine Midcaps nach dem neuen Absatz 6a ebenfalls, dort allerdings nur bei den Stufen der Absätze 4 und 5.³

Meine Einschätzung: Beide kursierenden Zahlen führen den Mittelstand in die Irre. Die 35 Millionen gehören zur falschen Pflicht und die 15 Millionen erreichen ein KMU rechnerisch nicht, weil dort die 3 Prozent vom Umsatz maßgeblich sind. Was bleibt, ist eine Pflicht mit überschaubarem Bußgeldrahmen und klarem Prozesscharakter: dokumentieren, wo im Haus KI-Inhalte entstehen und regeln, wie sie markiert werden.

Konkret relevant für alle, die KI-generierte Inhalte veröffentlichen oder Chatbots betreiben, vom Marketing bis zur Kundenkommunikation.

Hochrisiko verschoben, nicht gestrichen

Mit der Verordnung (EU) 2026/1744, veröffentlicht im Amtsblatt am 24. Juli und in Kraft seit dem 27. Juli, hat die EU die Anwendung der Hochrisiko-Pflichten der KI-Verordnung verschoben.⁴ Für eigenständige Systeme nach Anhang III (etwa Personalauswahl oder Kreditvergabe) gilt nun der 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I (etwa Maschinen oder Medizinprodukte) der 2. August 2028.⁴

Meine Einschätzung: Die Verschiebung ist ein Zugeständnis an fehlende Normen, nicht an fehlende Notwendigkeit. Die neuen Termine stehen so im Verordnungstext. Wer Hochrisiko-Anwendungen plant, hat Zeit für saubere Governance gewonnen, nicht die Erlaubnis, das Thema zu vertagen.

Relevant für Unternehmen, die KI in Personalprozessen, Kreditentscheidungen oder als Sicherheitskomponente in Produkten einsetzen oder das vorhaben.

Deutschland hat jetzt eine KI-Aufsicht

Der Bundestag hat das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG) am 11. Juni beschlossen, am 10. Juli ließ der Bundesrat es passieren, seit dem 29. Juli ist es in Kraft.⁵ Die Bundesnetzagentur wird zentrale Marktüberwachungsbehörde, Anlauf- und Beschwerdestelle, für besonders sensible Hochrisiko-Bereiche entsteht dort eine unabhängige Marktüberwachungskammer. Sektorale Aufsichten wie die BaFin behalten ihre Zuständigkeiten.⁵

Meine Einschätzung: Erst damit ist der Bußgeldrahmen in Deutschland überhaupt vollziehbar. Es gibt jetzt eine Behörde, die Dokumentation anfordern und Verfahren führen kann. Wer die Transparenzpflichten bislang als Brüsseler Theorie abgelegt hat, sollte diese Ablage überdenken.

Relevant für jedes Unternehmen, das KI-Systeme anbietet oder einsetzt, denn erstmals gibt es dafür eine konkrete deutsche Zuständigkeit.

Der CRA verlangt ab dem 11. September Meldungen

Ab dem 11. September 2026 gilt die Meldepflicht nach Artikel 14 des Cyber Resilience Act für Hersteller von Produkten mit digitalen Elementen. Gemeldet werden aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle, in drei Stufen: Frühwarnung binnen 24 Stunden, Folgemeldung binnen 72 Stunden, Abschlussbericht bei Schwachstellen binnen 14 Tagen nach Verfügbarkeit einer Abhilfe, bei Vorfällen binnen eines Monats.⁶ Die Meldungen gehen an das zuständige CSIRT und an die ENISA, übermittelt über die einheitliche Meldeplattform, betroffene Nutzer sind zu informieren.⁶ Einen Bestandsschutz gibt es nicht: Nach Artikel 69 Absatz 3 sind auch Produkte erfasst, die vor dem 11. Dezember 2027 in Verkehr gebracht wurden.⁶ Ende Juli hat die Kommission Leitlinien mit 67 Praxisbeispielen veröffentlicht.⁷ Kleinst- und Kleinunternehmen werden für das reine Versäumen der 24-Stunden-Frist nicht mit Bußgeld belegt.⁸

Alle Stufen laufen ab der Kenntnis. Welche letzte Stufe gilt, hängt davon ab, ob eine Schwachstelle oder ein Vorfall gemeldet wird.

Meine Einschätzung: Der Maschinenbauer mit Steuerungen von 2019 ist genauso in der Pflicht wie das Softwarehaus mit dem aktuellen Release. Und die Rolle entscheidet: Hersteller müssen melden können. Reine Betreiber trifft diese Pflicht nicht, für sie wird es eine Einkaufs- und Vertragsfrage, ob die eigenen Lieferanten melden und ob man selbst davon erfährt. Wer eigene Software oder vernetzte Produkte in Verkehr bringt, ist allerdings selbst Hersteller und die organisationsbezogenen Meldepflichten aus NIS-2 bleiben davon unberührt.

Konkret relevant für Hersteller vernetzbarer Hard- und Software und mittelbar für jeden, der solche Produkte einkauft und betreibt.

Zum Schluss

Die eine Pflicht wird dramatisiert, die andere übersehen. Einordnung heißt in solchen Wochen vor allem, den eigenen Kalender nicht von Überschriften führen zu lassen.

Dazu meine Frage an Sie, je nach Rolle: Falls Sie herstellen, würde Ihr Haus die 24-Stunden-Frühwarnung heute tragen? Falls Sie einkaufen und betreiben, wissen Sie, ob Ihre Lieferanten ab dem 11. September melden und ob Sie davon erfahren würden? Gern in den Kommentaren zur LinkedIn-Fassung.

KI-gestützt erstellt. Geprüft und verantwortet von Rene Eisenkolb.