Der 2. August 2026 fällt auf einen Sonntag. Die Büros sind leer, die Rechtsabteilungen im Urlaub, die meisten Geschäftsführer denken an diesem Tag eher an den Grill als an eine EU-Verordnung. Genau an diesem Sonntag werden zentrale Pflichten des AI Act scharf gestellt. Kein Pressetermin, keine Schonfrist, kein sanfter Übergang. Die Verordnung kennt keine Wochenenden.
Seit Monaten diskutiert der deutsche Mittelstand, welche Prompts am besten funktionieren, welches Modell für welchen Anwendungsfall taugt, ob Copilot oder ein eigenes System die bessere Wahl ist. Das ist eine legitime Debatte. Nur beantwortet sie nicht die Frage, die in drei Wochen plötzlich Geld kostet: Wer haftet, wenn die KI-Governance im Unternehmen fehlt? Die Antwort lautet zunehmend: die Geschäftsführung persönlich.
Was am 2. August wirklich passiert
Der AI Act ist seit 2024 in Kraft, greift aber stufenweise. Im Februar 2025 wurden verbotene Praktiken untersagt und die Pflicht zur KI-Kompetenz nach Artikel 4 eingeführt. Seither müssen Unternehmen ihr Personal nach bestem Bemühen im Umgang mit KI schulen. Im August 2025 folgten die Regeln für General Purpose AI und die Bußgeldvorschriften. Am 2. August 2026 kommt der große Rest: die materiellen Anforderungen an Hochrisiko-KI-Systeme, die Pflichten von Anbietern und Betreibern zur Zusammenarbeit mit Behörden, die Transparenzvorgaben für Chatbots und KI-generierte Inhalte, die nationale Aufsichtsstruktur unter Führung der Bundesnetzagentur. Was bis dahin Theorie war, wird an diesem Tag Betriebsrealität. KI-Verzeichnis, Risikoanalyse, dokumentierte Richtlinien, nachweisbare Schulung. Konkret heißt das: eine schriftliche Übersicht, welche KI-Systeme im Unternehmen überhaupt im Einsatz sind, eine Einschätzung, welche davon als hochriskant gelten, klare interne Regeln zur Nutzung und ein Nachweis, dass die Mitarbeitenden diese Regeln auch kennen. Vier Punkte, die sich nicht an einem Wochenende erledigen lassen, wenn bislang niemand damit angefangen hat. Wer das nicht vorweisen kann, hat ab diesem Datum ein Problem, das größer ist als eine Bußgeldzeile im Jahresbericht.
Die persönliche Dimension
Der AI Act selbst adressiert Unternehmen, nicht einzelne Personen. Die persönliche Haftung entsteht über einen Umweg, den viele Geschäftsführer nicht auf dem Schirm haben: das deutsche Gesellschaftsrecht. Nach Paragraf 43 GmbHG und Paragraf 93 AktG muss die Geschäftsleitung die Sorgfalt eines ordentlichen Kaufmanns walten lassen. Eine dokumentierte KI-Governance gehört mittlerweile dazu. Fehlt sie, ist das kein Kavaliersdelikt mehr, sondern eine mögliche Pflichtverletzung mit Innenhaftungsrisiko gegenüber der eigenen Gesellschaft. Deutsche Gerichte haben diese Linie bereits vorgezeichnet. Das Oberlandesgericht Hamm entschied im Mai 2026, dass Aussagen von Chatbots dem Unternehmen zugerechnet werden. Wer sich hinter der Technik versteckt, kommt damit nicht mehr durch. Parallel dazu stellte das Amtsgericht München im Februar 2026 klar, dass rein KI-generierte Inhalte keinen urheberrechtlichen Schutz genießen. Für Unternehmen ergibt sich daraus ein doppeltes Problem: Sie haften für fehlerhafte KI-Ausgaben, können deren Ergebnisse aber nicht als exklusives Eigentum schützen. Das Landgericht München I hatte bereits Ende 2025 die Haftung eines KI-Anbieters bejaht. Die Rechtsprechung bewegt sich also bereits in die Richtung, die der AI Act am 2. August verbindlich macht.
Und hier wird es unbequem, gleich in doppelter Hinsicht. Zum einen wegen des Datums selbst. Drei Wochen sind kein Zeitraum für eine seriöse Compliance-Struktur, das ist ein Zeitraum für Krisenmanagement. Zum anderen wegen dessen, was direkt danach kommt.
Der zweite Schlag im Dezember
Wer den 2. August übersteht, bekommt am 9. Dezember 2026 die nächste Rechnung präsentiert. An diesem Tag muss die neue EU-Produkthaftungsrichtlinie in nationales Recht umgesetzt sein. Sie erfasst erstmals ausdrücklich Software und KI-Systeme. Ihr Kern ist eine Beweiserleichterung zulasten der Hersteller und Betreiber. Wenn ein Geschädigter wegen der technischen Komplexität eines KI-Systems nur schwer nachweisen kann, dass ein Fehler oder eine Kausalität vorliegt, dürfen Gerichte künftig genau das vermuten. Wer gegen AI-Act-Pflichten verstoßen hat, verschärft diese Vermutung zusätzlich. Praktisch bedeutet das: Im Schadensfall muss das Unternehmen zeigen, dass es alles richtig gemacht hat, nicht der Kläger, dass etwas schiefging.
Dazu kommt, folgt man aktuellen Wirtschaftsmedien, eine sehr kurz bemessene Reaktionsfrist von rund zwei Wochen, wenn eine Behörde konkrete Nachweise verlangt. Diese Frist lässt sich im Verordnungstext selbst nicht eindeutig verorten, das gehört fairerweise dazu. Die Richtung der Berichterstattung ist trotzdem eindeutig. Wer erst dann anfängt, Dokumente zusammenzusuchen, wenn die Anfrage im Postfach liegt, ist zu spät.
Bei den Bußgeldern lohnt sich Genauigkeit statt Panik. Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes markieren die oberste Stufe des AI Act, reserviert für die schwersten Verstöße gegen verbotene Praktiken. Wer gegen die am 2. August scharf gestellten Hochrisiko-Pflichten verstößt, bewegt sich in der Praxis eine Stufe darunter, bis zu 15 Millionen Euro oder 3 Prozent. Das ist keine Randnotiz. Für die meisten Mittelständler ist das eine existenzbedrohende Zahl, ganz ohne die oberste Stufe.
Nicht die Technik ist das Risiko
Man könnte einwenden, das sei doch nur Compliance, ein Thema für die Rechtsabteilung, nicht für die Geschäftsführung. Vielleicht war das früher richtig. Vielleicht ist es das nicht mehr. Der Unterschied zu klassischer Regulierung liegt darin, dass der AI Act keine Technikfrage stellt, sondern eine Führungsfrage. Er fragt nicht, welches Modell ein Unternehmen einsetzt. Er fragt, ob die Führung versteht, was sie da einsetzt, ob sie es dokumentiert hat, ob sie ihre Leute geschult hat, ob sie im Ernstfall belegen kann, dass sie ihrer Sorgfaltspflicht nachgekommen ist. Genau an diesem Punkt gehen die endlosen Prompt-Debatten am eigentlichen Risiko vorbei. Nicht die Technik entscheidet über die Haftung. Das Nichtwissen der eigenen Führung entscheidet darüber.
Diese These ist unbequem, weil sie keine technische Lösung erlaubt. Man kann kein besseres Modell kaufen, um sie zu erledigen. Man kann die Verantwortung auch nicht komplett an einen externen Dienstleister abgeben, denn haftbar bleibt am Ende die Geschäftsführung selbst. Was in den meisten Unternehmen fehlt, ist kein Tool. Was fehlt, ist Wissen auf genau der Ebene, die es am nötigsten hätte.
Vielleicht ein neues Governance-Tool. Vielleicht ein externer Berater. Beides kann helfen, beides ersetzt aber nicht das Grundproblem: Eine Geschäftsführung, die selbst nicht versteht, wo ihr Unternehmen KI einsetzt und mit welchem Risiko, kann diese Entscheidung auch nicht an Dritte delegieren, ohne am Ende trotzdem persönlich dafür geradezustehen.
Die Antwort liegt näher, als viele denken
Genau an diesem Punkt setzt Artikel 4 des AI Act an, die Pflicht zur KI-Kompetenz, die formal schon seit Februar 2025 gilt und am 2. August praktisch einklagbar wird. Der Bundesverband für KI-Transformation e.V. hat darauf früh reagiert und mit der Venture AI Academy ein kuratiertes Weiterbildungsangebot aufgebaut, das genau diese Lücke schließt. Partner wie die Whitecliffe University of Applied Sciences, die IHK Akademie München und Oberbayern oder das mITSM Munich Institute for IT Service Management bieten Formate zu AI Leadership, EU AI Act, KI-Governance und zertifizierten KI-Beauftragten an, kuratiert und geprüft statt beliebig zusammengesucht. Mitglieder des Verbandes erhalten dabei Preisvorteile bei ausgewählten Angeboten. Das ist kein Zufallstreffer im Programm des Verbandes, sondern die logische Antwort auf eine Pflicht, die am 2. August von der Theorie in die persönliche Haftung übergeht.
Die Pointe lautet nicht, dass der AI Act ein bürokratisches Monster ist, das den Mittelstand überfordert. Die Pointe lautet, dass er eine sehr alte Wahrheit in neues Recht gegossen hat. Wer führt, muss verstehen, was er verantwortet. Am 2. August 2026, einem Sonntag, wird diese Wahrheit für viele Geschäftsführer sehr konkret. Bis dahin bleiben drei Wochen. Für eine Prompt-Strategie reicht das locker. Für eine Geschäftsführung, die im Ernstfall belegen kann, dass sie ihrer Sorgfaltspflicht nachgekommen ist, wird es eng.
