Deepfakes, KI-generierte Inhalte und biometrische Systeme: Ab 2. August 2026 greifen weitere Vorgaben des europäischen AI Acts. Für Unternehmen werden damit zentrale Transparenzanforderungen verbindlich – und Verstöße können sanktioniert werden.

Ab dem 2. August 2026 tritt die nächste Stufe des europäischen AI Acts in die praktische Anwendung. Nach der zweijährigen Übergangsphase werden weitere Vorgaben der europäischen KI-Verordnung verbindlich. Im Mittelpunkt stehen Transparenzpflichten für bestimmte KI-Systeme sowie für künstlich erzeugte oder manipulierte Inhalte. Gleichzeitig gewinnt die behördliche Kontrolle an Bedeutung: Die zuständigen Stellen können die Einhaltung der Vorgaben überprüfen und Verstöße sanktionieren.

Für Unternehmen ist das nicht nur eine Compliance-Frage. Die neuen Anforderungen betreffen unmittelbar den Umgang mit digitalen Identitäten, synthetischen Medien, automatisierter Kommunikation und biometrischen Verfahren – und damit Bereiche, die auch für Cybersecurity und Unternehmenssicherheit zunehmend relevant sind.

Chatbots müssen als KI erkennbar sein

Eine der sichtbarsten Änderungen betrifft Systeme, die unmittelbar mit Menschen kommunizieren. Nutzer müssen grundsätzlich darüber informiert werden, wenn sie mit einer KI interagieren.

Das betrifft etwa Chatbots und digitale Assistenten im Kundenservice. Unternehmen müssen überprüfen, ob entsprechende Anwendungen für Nutzer eindeutig als KI-Systeme erkennbar sind und die notwendigen Hinweise an geeigneter Stelle erfolgen.

Die Transparenzanforderung hat auch eine sicherheitsrelevante Dimension. Generative KI kann Kommunikation inzwischen in hoher sprachlicher Qualität automatisieren. Gleichzeitig nutzen Cyberkriminelle KI, um Social-Engineering-Angriffe zu skalieren und glaubwürdigere Nachrichten oder Identitäten zu erzeugen. Eine klare Unterscheidbarkeit zwischen automatisierter und menschlicher Kommunikation gewinnt deshalb zusätzlich an Bedeutung.

Deepfakes werden zum regulatorischen Thema

Besonders relevant für Sicherheitsverantwortliche sind die Vorgaben für künstlich erzeugte oder manipulierte Bilder, Videos und Audiodateien. Deepfakes, die den Eindruck authentischer Inhalte vermitteln können, müssen als solche offengelegt werden.

Die Regelung trifft auf eine Bedrohungslage, in der synthetische Medien zunehmend für Täuschungsversuche eingesetzt werden können. Gefälschte Stimmen von Führungskräften, manipulierte Videokonferenzen oder täuschend echte Bilder können klassische Social-Engineering-Methoden erheblich verstärken.

Für Unternehmen reicht es daher nicht, Deepfakes ausschließlich als Kommunikations- oder Reputationsrisiko zu betrachten. Sie können Bestandteil gezielter Angriffe auf Geschäftsprozesse werden – beispielsweise wenn Beschäftigte durch vermeintliche Anweisungen von Vorgesetzten zur Übermittlung sensibler Informationen oder zu finanziellen Transaktionen bewegt werden sollen.

Der AI Act schafft hierfür keine technische Abwehrlösung. Die vorgeschriebene Offenlegung synthetischer Inhalte stärkt jedoch die regulatorische Grundlage für mehr Transparenz im Umgang mit künstlich erzeugten Medien.

KI-Inhalte sollen auch maschinell identifizierbar werden

Anbieter generativer KI, die entsprechende Systeme neu auf den Markt bringen, müssen künstlich erzeugte oder manipulierte Inhalte grundsätzlich maschinenlesbar kennzeichnen. Für bereits eingesetzte Systeme besteht nach Angaben des Bitkom eine Übergangsfrist bis Dezember 2026.

Damit wird die Herkunft digitaler Inhalte nicht allein zu einer Frage sichtbarer Hinweise. Kennzeichnungen sollen auch technisch erkannt und verarbeitet werden können.

Für die Sicherheitsbranche ist dieser Ansatz besonders interessant. Angesichts der wachsenden Menge synthetischer Inhalte wird deren manuelle Erkennung zunehmend schwierig. Maschinenlesbare Informationen über die Herkunft können deshalb künftig eine Rolle in automatisierten Prüf-, Monitoring- und Sicherheitsprozessen spielen.

Allerdings kann Kennzeichnung allein Manipulation und Missbrauch nicht verhindern. Kriminelle Akteure werden sich kaum freiwillig an Transparenzvorgaben halten. Für Unternehmen bleiben daher technische Schutzmaßnahmen und organisatorische Prozesse zur Überprüfung kritischer Kommunikation notwendig.

Regeln für KI-Texte von öffentlichem Interesse

Auch bestimmte KI-generierte Texte werden von den Transparenzpflichten erfasst. Werden Texte mit KI erzeugt oder manipuliert und dienen sie dazu, die Allgemeinheit über Themen von öffentlichem Interesse zu informieren, muss der KI-Einsatz grundsätzlich offengelegt werden.

Ausnahmen bestehen insbesondere dann, wenn eine menschliche inhaltliche Prüfung erfolgt und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung übernimmt.

Die Regelung betrifft damit auch Kommunikations- und Informationsprozesse von Unternehmen und Organisationen. Entscheidend wird künftig nicht nur sein, ob KI bei der Erstellung eines Textes beteiligt war, sondern auch, wie menschliche Kontrolle und redaktionelle Verantwortung organisiert sind.

Biometrische Systeme erfordern zusätzliche Transparenz

Besondere Anforderungen gelten zudem für Systeme zur Emotionserkennung und zur biometrischen Kategorisierung. Betroffene Personen müssen über den Einsatz entsprechender Systeme informiert werden.

Für Betreiber sicherheitsrelevanter Anwendungen ist dies von besonderer Bedeutung. KI-basierte Verfahren werden zunehmend mit Kamera-, Zutritts- und Analysesystemen kombiniert. Wo biometrische Merkmale verarbeitet oder Personen mittels KI kategorisiert werden, treffen Anforderungen aus KI-Regulierung, Datenschutz und technischer Sicherheit aufeinander.

Unternehmen müssen deshalb nicht nur prüfen, ob der Einsatz einer Anwendung technisch möglich ist. Sie müssen auch klären, welche regulatorische Kategorie vorliegt, welche Informationspflichten bestehen und wie sich diese in bestehende Datenschutz-, Sicherheits- und Governance-Prozesse integrieren lassen.

Unternehmen müssen ihre KI-Landschaft kennen

Mit dem Inkrafttreten weiterer Vorgaben wird eine grundlegende Voraussetzung für Compliance immer wichtiger: Unternehmen müssen wissen, wo sie KI einsetzen.

In der Praxis kann genau das zur Herausforderung werden. Generative KI ist inzwischen Bestandteil zahlreicher Softwarelösungen und Cloud-Dienste. Fachabteilungen nutzen KI-Assistenten, automatisierte Content-Werkzeuge oder Analysefunktionen teilweise unabhängig von zentralen IT- und Sicherheitsstrukturen.

Für CISOs, Datenschutzbeauftragte und Compliance-Verantwortliche wird deshalb ein belastbares Inventar der eingesetzten KI-Systeme zunehmend relevant. Nur wenn bekannt ist, welche Anwendungen vorhanden sind, welche Daten sie verarbeiten und welche Funktionen sie erfüllen, lassen sich regulatorische Pflichten und Sicherheitsrisiken systematisch bewerten.

Bitkom kritisiert fehlende Rechtssicherheit

Trotz der zweijährigen Übergangsphase sieht Bitkom weiterhin erhebliche Unsicherheiten bei der Umsetzung. Zentrale Leitlinien und Auslegungshilfen seien erst spät verfügbar geworden, sodass Unternehmen nur begrenzt Zeit für die konkrete Vorbereitung gehabt hätten.

„Noch sind aber zu viele Fragen offen, um die neuen Regeln rechtssicher umsetzen zu können“, erklärt Bitkom-Präsident Dr. Ralf Wintergerst.

Von den zuständigen Aufsichtsbehörden erwartet der Digitalverband deshalb pragmatische Hilfestellungen, eine verhältnismäßige Durchsetzung und ein europaweit abgestimmtes Vorgehen.

Entlastungen sieht Bitkom unter anderem bei verlängerten Fristen für Hochrisiko-KI sowie beim Verzicht auf doppelte Prüf- und Dokumentationsprozesse im Maschinenbereich. Für die jetzt anwendbaren Transparenzvorgaben fehle jedoch weiterhin die notwendige Klarheit.

Transparenz wird Teil der Sicherheitsarchitektur

Mit der nächsten Stufe des AI Acts verschiebt sich der Fokus von der Vorbereitung auf die praktische Umsetzung. Unternehmen müssen Transparenzanforderungen in bestehende IT-, Sicherheits- und Compliance-Strukturen integrieren und Verantwortlichkeiten zwischen Fachbereichen, IT, Informationssicherheit, Datenschutz, Recht und Kommunikation klären.

Dabei sollte regulatorische Transparenz nicht mit technischer Sicherheit verwechselt werden. Ein gekennzeichneter KI-Inhalt ist nicht automatisch vertrauenswürdig – und ein nicht gekennzeichneter Inhalt nicht zwangsläufig authentisch. Gerade bei Deepfakes und KI-gestütztem Social Engineering bleiben Verfahren zur Identitätsprüfung, Freigabe kritischer Transaktionen und Sensibilisierung von Beschäftigten zentrale Bestandteile der Abwehr.

Der 2. August 2026 markiert damit einen weiteren Schritt von der abstrakten KI-Regulierung zur operativen Unternehmenspraxis. Für Sicherheitsverantwortliche bedeutet das: KI-Governance, Compliance und Cybersecurity lassen sich immer weniger getrennt voneinander betrachten.

Komentar: EU AI Act: Compliance beginnt bei den Daten, nicht beim Gesetzestext

Von Tim Pfälzer, GM and SVP EMEA bei Veeam

„Die Fristen für einzelne Vorgaben des EU AI Acts verschieben sich immer wieder. Doch trotz aller Kritik bleibt der Stichtag am 2. August ein wichtiger Wendepunkt für europäische Organisationen. Auf den ersten Blick wirken die dann geltenden Transparenzregeln für KI-Governance und Rechenschaftspflicht vergleichsweise einfach zu erfüllen. Schließlich wurden die strengeren Vorgaben für Hochrisikobereiche vorerst aufgeschoben. In der Praxis ist ihre Umsetzung aber deutlich schwieriger. Das merken Unternehmen spätestens dann, wenn sie versuchen, ihre bisherigen KI-Systeme an diese Anforderungen anzupassen. Denn es reicht nicht, einfach einen Haken bei „Compliance“ zu setzen. Stattdessen müssen Unternehmen ihre gesamte Datenlandschaft neu denken. Nur so entstehen die Audit-Trails, Governance-Richtlinien und stabilen Grundlagen, die KI im großen Maßstab braucht.

Viel wird über die mangelnde Klarheit des Gesetzes diskutiert – und eine aktuelle Umfrage von uns bestätigt das: 63 Prozent der Unternehmen in der EMEA-Region sagen, Unklarheiten im Gesetz seien ein klares Compliance-Risiko. Doch das lenkt den Blick auf das falsche Problem. Die Vorschriften könnten zwar klarer sein, aber Transparenz und Erklärbarkeit lassen sich ohnehin nicht allein durch Regeln erreichen. Um zu sehen, wo die eigenen Daten liegen, wie sie genutzt werden, wer Zugriff darauf hat und wie sie in KI-Entscheidungen einfließen, müssen die meisten Unternehmen ihre Datenlandschaft von Grund auf neu aufstellen. Genau das wird entscheidend sein: proaktiv Transparenz schaffen, Governance-Rahmenwerke aufbauen und auf Resilienz setzen. Nur so lässt sich sicherstellen, dass die Daten hinter der KI sicher, geregelt, verfügbar und wiederherstellbar sind. Denn KI-Ergebnisse sind nur so vertrauenswürdig wie die Daten, auf denen sie beruhen.

85 Prozent der Unternehmen in der EMEA-Region sagen zwar, das neue Gesetz mache sie noch investitionsbereiter in KI-Tools – doch sie sollten sich dabei nicht allein am Gesetz orientieren. Wer erfolgreich in KI-Tools investieren will, muss zuerst die Transparenz und Nachvollziehbarkeit schaffen, die ab dem 2. August für die Einhaltung der Vorschriften nötig sind. Und das gelingt nur durch eine umfassende Umstrukturierung der eigenen Datenlandschaft. Ohne eine solide Vertrauensbasis laufen Unternehmen Gefahr, mit jedem Schritt in Richtung Mehrwert auch neue Probleme zu schaffen – ausgerechnet bei Governance, Sicherheit und Compliance. Bei Künstlicher Intelligenz kommt der größte Wettbewerbsvorteil nicht unbedingt von der schnellsten, sondern von der vertrauenswürdigsten Umsetzung. Diese gesetzliche Frist sollte man deshalb nicht als Ziellinie sehen, sondern als Startpunkt für die stabile Dateninfrastruktur, die zukunftsfähige KI-Innovation erst möglich macht.“