AI Act: Was am 2. August 2026 gilt, und was nicht

Für viele Projektpläne in der Life-Sciences-Branche stand der 2. August 2026 als allgemeiner AI-Act-Stichtag im Kalender. Für KI-Medizinprodukte war die Ausgangslage jedoch bereits nach der ursprünglichen Fristenlogik differenzierter: Die Pflichten für Hochrisiko-KI-Systeme nach Artikel 6 Absatz 1 sollten erst ab dem 2. August 2027 gelten. Durch die Verordnung (EU) 2026/1744 wurde dieser Termin auf den 2. August 2028 verschoben. Für Hochrisiko-KI-Systeme nach Anhang III gilt nun der 2. Dezember 2027. Für MedTech ist der 2028-Pfad relevant, wenn das KI-System selbst ein reguliertes Produkt oder dessen Sicherheitskomponente ist und für die Produktkonformität eine Drittstellenbewertung erforderlich ist.

Unabhängig von diesen Fristverschiebungen gilt die Pflicht zur Sicherstellung ausreichender KI-Kompetenz nach Artikel 4 bereits seit dem 2. Februar 2025. Unternehmen, die KI-Systeme anbieten oder betreiben, müssen daher schon heute sicherstellen, dass die eingesetzten Personen über ein für ihre Aufgaben und den Nutzungskontext angemessenes Wissen verfügen.

Was an diesem Tag tatsächlich anwendbar wird

Am 2. August 2026 wird der AI Act in weiten Teilen anwendbar. Für viele Unternehmen unmittelbar praxisrelevant sind insbesondere die Transparenzpflichten nach Artikel 50. Dabei ist danach zu unterscheiden, ob ein Unternehmen Anbieter oder Betreiber des jeweiligen KI-Systems ist und welche konkrete Funktion das System erfüllt:

• Anbieter von KI-Systemen, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, müssen sicherstellen, dass die betroffenen Personen erkennen können, dass sie mit einem KI-System interagieren, sofern dies nicht bereits offensichtlich ist.
• Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen grundsätzlich sicherstellen, dass diese Ausgaben maschinenlesbar gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind.
• Betreiber von Emotionserkennungs- oder biometrischen Kategorisierungssystemen müssen die betroffenen Personen über den Einsatz des Systems informieren.
• Betreiber müssen Deepfakes als solche offenlegen.
• Betreiber müssen bestimmte KI-generierte oder manipulierte Texte kennzeichnen, wenn diese zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden. Eine Kennzeichnung ist nicht erforderlich, wenn der Text einer tatsächlichen fachlichen Prüfung oder redaktionellen Kontrolle unterzogen wurde und eine Person oder Organisation die redaktionelle Verantwortung trägt.

Für KI-Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, besteht ausschließlich hinsichtlich der technischen Kennzeichnungs- und Erkennbarkeitspflicht für synthetische Inhalte nach Artikel 50 Absatz 2 eine begrenzte Übergangsfrist bis zum 2. Dezember 2026.

Für ein Krankenhaus mit einem Patientenchatbot wird der 2. August 2026 unmittelbar relevant, weil Patientinnen und Patienten erkennen können müssen, dass sie mit einem KI-System interagieren. Auch bei öffentlich verwendeten KI-generierten Inhalten können Kennzeichnungs- oder Offenlegungspflichten bestehen. Eine KI-gestützte Vorbefundung fällt dagegen nicht allein aufgrund ihrer diagnostischen Funktion unter Artikel 50; entscheidend ist, ob zusätzlich eine der dort geregelten Interaktions- oder Inhaltsfunktionen vorliegt.

Für die spezifischen Hochrisiko-Anforderungen an ein KI-gestütztes Diagnosesystem, das nach MDR oder IVDR unter Beteiligung einer Benannten Stelle bewertet wird, ist dagegen grundsätzlich der 2. August 2028 maßgeblich. Unabhängig davon können einzelne Transparenzpflichten nach Artikel 50 bereits ab dem 2. August 2026 relevant sein.

Warum die Verschiebung kein Grund ist, das Projekt anzuhalten

Der naheliegende Schluss aus der Fristverschiebung lautet: Wir nehmen das Thema später wieder auf. Drei Gründe sprechen dagegen.

Erstens ändert die Verschiebung die regulatorische Einstufung des Systems nicht. Ob ein KI-System als Hochrisiko-KI-System einzustufen ist, richtet sich nach Artikel 6 AI Act. Bei Medizinprodukten und IVD ist insbesondere entscheidend, ob das KI-System selbst ein reguliertes Produkt oder dessen Sicherheitskomponente ist und ob für die Produktkonformität eine Drittstellenbewertung erforderlich ist. Wer diese Einordnung heute nicht vornimmt, gewinnt durch die Fristverschiebung keine regulatorische Klarheit.

Zweitens sollen die AI-Act-Anforderungen nicht erst nach Abschluss der MDR- oder IVDR-Konformitätsbewertung bearbeitet werden. Sie müssen in die Produktentwicklung, das Qualitätsmanagement, die Technische Dokumentation und die bestehende Konformitätsbewertung integriert werden. Wer die KI-spezifischen Anforderungen erst nachträglich ergänzt, riskiert erhebliche Nacharbeiten an bereits erstellten Dokumenten, Prozessen und Nachweisen.

Drittens ist die Datengrundlage häufig der eigentliche Engpass. Fehlende Nachweise zur Herkunft, Auswahl, Qualität, Repräsentativität oder Aufbereitung von Trainings-, Validierungs- und Testdaten lassen sich später möglicherweise nicht mehr vollständig und belastbar rekonstruieren. Dann besteht nicht nur ein Dokumentationsdefizit, sondern unter Umständen eine nicht mehr schließbare Lücke in der Datengrundlage.

Was jetzt zu tun ist

• Die regulatorische Einordnung des KI-Systems einschließlich der Begründung schriftlich festhalten. Sie bildet die Grundlage für die Bestimmung der anwendbaren Anforderungen und Fristen.
• Die bereits seit dem 2. Februar 2025 geltende Pflicht zur KI-Kompetenz organisatorisch verankern: betroffene Rollen bestimmen, Kompetenzbedarf festlegen und geeignete Schulungs- oder Qualifizierungsmaßnahmen dokumentieren.
• Das eigene KI-Portfolio daraufhin prüfen, welche Systeme und Anwendungsfälle unter Artikel 50 fallen. Dabei sind neben eigenen Produkten auch eingekaufte oder intern eingesetzte Systeme zu berücksichtigen.
• Die Umsetzung vom gesetzlichen Geltungsbeginn und von der nächsten relevanten Konformitätsbewertung rückwärts planen. Die gesetzliche Frist bleibt verbindlich; Bearbeitungs- und Bewertungszeiten der Benannten Stelle müssen zusätzlich eingeplant und frühzeitig abgestimmt werden.

Entourage unterstützt Hersteller und Gesundheitseinrichtungen bei der Einstufung ihrer KI-Systeme, bei der Verzahnung von AI-Act-Anforderungen mit dem laufenden MDR- oder IVDR-Verfahren und bei der Frage, welche Pflichten heute schon greifen.