Der EU AI Act wird am 2. August 2026 voll anwendbar.

Das sind neun Wochen ab heute. Für US-Unternehmen die europäische Kunden bedienen, ist das der Runway zur Compliance. Die meisten werden es nicht schaffen.

Kurze Auffrischung. Der AI Act ist das weltweit erste umfassende KI-Gesetz. Er klassifiziert KI-Systeme nach Risikostufen. Unannehmbares Risiko (Social Scoring, Predictive Policing auf Individuen) ist komplett verboten. Hohes Risiko (KI in Beschäftigung, Bildung, Kredit, Gesundheit) hat strenge Auflagen: Data Governance, menschliche Aufsicht, Transparenz, Audit Logs. General Purpose AI Models (GPT, Gemini, Claude, Llama und Äquivalente in Europa) bekommen ihren eigenen Bucket mit Dokumentation und Risiko-Assessment-Pflichten.

Was sich kürzlich geändert hat. Am 7. Mai haben Europäisches Parlament, Rat und Kommission eine Einigung auf das AI-Omnibus-Vereinfachungspaket erreicht. Die Deadline für die Einrichtung von AI Regulatory Sandboxes wurde auf August 2027 verschoben. Die Übergangsfrist für Transparenz-Labeling von KI-generierten Inhalten wurde von sechs auf drei Monate gekürzt. Neue Deadline dafür: 2. Dezember 2026.

Für US-Unternehmen ist die unmittelbare Frage nicht ob die EU Autorität über sie hat. Hat sie, gleich wie bei der DSGVO. Wenn du EU-User-Daten über KI verarbeitest, gilt der Act. Auch wenn deine Server, dein HQ und deine Engineers alle in Kalifornien sind.

Strafen skalieren schnell. Bis zu 15 Mio. Euro oder 3 Prozent vom globalen Jahresumsatz für Verstöße gegen High-Risk-Auflagen, was höher ist. Für ein Unternehmen wie Microsoft oder Google sind 3 Prozent vom Umsatz nördlich von 9 Mrd. Dollar. Die Durchsetzung wird am Anfang nicht schnell sein, aber Datenerhebungs- und Auditrechte starten Tag eins.

Die strukturelle Lesart hier. Wir gehen in ein Regulierungsumfeld in dem KI-Compliance wiederkehrende Kosten sind, kein einmaliges Setup. Unternehmen die Audit-Logging und Provenance-Tracking von Anfang an gebaut haben, sind Monate voraus. Unternehmen die das als Afterthought behandelt haben, verhandeln jetzt mit Beratern über Notfall-Rollouts.

Für den Markt ist das zweifach wichtig. Erstens, Big Tech verkraftet die Kosten leicht, kleinere Player werden gequetscht. Das ist strukturelles Moat-Building getarnt als Regulierung. Zweitens, EU-Exposure wird zu einem Bilanzposten. Schau auf KI-Compliance-Offenlegungen in den nächsten 10-Qs.

Die August-Deadline bewegt sich nicht. Die Einigung zur Vereinfachung war der politische Kompromiss um sie auf Kurs zu halten, kein Delay. Neun Wochen. Macht euch bereit.