EU AI Act in der Kanzlei: Was ab August 2026 gilt – und was nicht

Am 2. August 2026 beginnt ein neuer Abschnitt der EU-KI-Verordnung: Die Transparenzpflichten des Artikels 50 werden anwendbar, und die Behörden können Verstöße erstmals praktisch ahnden. Gleichzeitig hat der sogenannte Digital Omnibus die Hochrisiko-Pflichten, vor denen zuletzt viele warnten, auf Ende 2027 verschoben. Aus diesen beiden gegenläufigen Nachrichten entsteht derzeit erhebliche Verwirrung – auch in Kanzleien. Dieser Beitrag ordnet ein, was ab August tatsächlich gilt, was verschoben wurde und welche Schritte jetzt sinnvoll sind. Er ersetzt keine Rechtsberatung im Einzelfall, gibt aber eine belastbare Arbeitsgrundlage.

Was am 2. August 2026 tatsächlich gilt

Die KI-Verordnung (Verordnung (EU) 2024/1689) ist seit dem 1. August 2024 in Kraft und wird gestaffelt anwendbar. Verbotene Praktiken nach Artikel 5 – etwa manipulative Systeme, Social Scoring oder bestimmte Formen biometrischer Überwachung – sind bereits seit dem 2. Februar 2025 untersagt. Seit demselben Datum gilt außerdem die Pflicht zur KI-Kompetenz nach Artikel 4: Wer KI-Systeme einsetzt, muss dafür sorgen, dass die damit befassten Personen über ein ausreichendes Maß an Wissen verfügen. Für Anbieter allgemeiner KI-Modelle (GPAI) gelten seit August 2025 eigene Pflichten.

Der 2. August 2026 bringt nun die Transparenzpflichten des Artikels 50 zur vollen Anwendung. Für Kanzleien sind drei Regelungen praxisrelevant.

Erstens muss erkennbar sein, wenn Menschen mit einem KI-System interagieren. Wer auf der Kanzleiwebsite einen Chatbot oder ein KI-gestütztes Telefonsystem einsetzt, muss Besucherinnen und Anrufer darüber informieren, dass sie es nicht mit einem Menschen zu tun haben – es sei denn, dies liegt von vornherein auf der Hand.

Zweitens müssen KI-generierte oder KI-manipulierte Inhalte maschinenlesbar gekennzeichnet werden. Für generative Systeme, die bereits vor dem Stichtag auf dem Markt waren, sieht der Digital Omnibus eine Übergangsfrist bis zum 2. Dezember 2026 vor.

Drittens betrifft Artikel 50 Absatz 4 synthetische Inhalte: Deepfakes müssen sichtbar als künstlich erzeugt offengelegt werden. KI-erzeugte Texte, die der Information der Öffentlichkeit in Angelegenheiten von öffentlichem Interesse dienen, sind als KI-erzeugt zu kennzeichnen – mit einer für Kanzleien wichtigen Ausnahme: Die Kennzeichnung entfällt, wenn die Inhalte eine redaktionelle Prüfung durchlaufen haben und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt. Wer KI als Schreibassistenz nutzt, Beiträge aber sorgfältig prüft und freigibt, dürfte von dieser Pflicht in der Regel ausgenommen sein. Detailfragen sind hier noch nicht abschließend geklärt; die EU-Kommission hat im Mai 2026 Leitlinien zu Artikel 50 in Konsultation gegeben, deren endgültige Fassung abzuwarten bleibt.

Neu ist außerdem die praktische Durchsetzbarkeit: Mit dem Stichtag beginnen Marktüberwachung und Sanktionsmöglichkeiten für diese Pflichten. Verstöße gegen die Transparenzregeln können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden; für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Werte.

Was der Digital Omnibus verschoben hat – und was nicht

Der Digital Omnibus on AI (Verfahren 2025/0359(COD)) ist die erste substanzielle Änderung der KI-Verordnung, noch bevor deren zentrale Hochrisiko-Pflichten überhaupt anwendbar wurden. Das Europäische Parlament stimmte dem Text am 16. Juni 2026 zu, der Rat nahm ihn am 29. Juni 2026 an. Die Veröffentlichung im Amtsblatt stand bei Redaktionsschluss (24. Juli 2026) noch aus; der Rechtsakt tritt am dritten Tag nach Veröffentlichung in Kraft. Bis dahin gilt formal die ursprüngliche Fassung – planen sollte man gleichwohl mit den neuen Terminen.

Die wichtigsten Änderungen im Überblick: Eigenständige Hochrisiko-Systeme nach Anhang III – etwa KI in der Personalauswahl, im Bildungsbereich oder bei der Kreditwürdigkeitsprüfung – müssen die vollen Pflichten erst ab dem 2. Dezember 2027 erfüllen statt ab August 2026. KI als Sicherheitsbauteil regulierter Produkte (Anhang I) folgt am 2. August 2028. Die KI-Kompetenzpflicht nach Artikel 4 wird von einer strikten Pflicht zu einer Bemühenspflicht abgeschwächt: Künftig genügt es, nach besten Kräften für KI-Kompetenz zu sorgen; abgeschafft ist sie damit nicht. Neu aufgenommen werden Verbote gegen KI-Systeme, die nicht einvernehmliche intime Darstellungen oder Missbrauchsdarstellungen erzeugen. An Artikel 50 ändert sich abgesehen von der genannten Übergangsfrist nichts.

Welche KI-Systeme in Kanzleien typischerweise betroffen sind

Kanzleien treten im System der Verordnung fast immer als Betreiber auf, nicht als Anbieter: Sie nutzen KI-Systeme, die andere entwickelt haben. Das begrenzt die Pflichten, entbindet aber nicht von ihnen. Eine ehrliche Bestandsaufnahme dürfte in den meisten Kanzleien vier Gruppen ergeben.

Textassistenz, Zusammenfassungen und Recherchehilfen bilden die häufigste Gruppe – von der Diktatfunktion über juristische Datenbanken mit KI-Auswertung bis zum allgemeinen Sprachmodell für Entwürfe. Diese Anwendungen haben nach dem Risikomodell der Verordnung in der Regel ein minimales Risiko und lösen keine besonderen Pflichten aus. Das bedeutet nicht, dass hier alles erlaubt ist: Berufsrecht und Datenschutz gelten vollständig weiter, dazu gleich mehr.

Der Chatbot auf der Kanzleiwebsite oder ein KI-Telefonassistent fällt unmittelbar unter Artikel 50 Absatz 1. Die Kennzeichnung als KI-System ist ab August Pflicht. Kanzleien, die ihre Erstkontakte bereits digital strukturieren, sollten prüfen, an welcher Stelle KI mit Mandanten in Berührung kommt und wie das kenntlich gemacht wird – unsere Erfahrungen zur digitalen Mandantenaufnahme zeigen, wie eng Transparenz und gute Erstinformation zusammenhängen.

KI-gestützte Bewerbungsverfahren sind die dritte Gruppe – und die einzige, in der Kanzleien selbst ins Hochrisiko-Regime rutschen können. Anhang III Nummer 4 erfasst KI-Systeme in Beschäftigung und Arbeitnehmerverwaltung, etwa zum Vorsortieren von Bewerbungen. Dank des Omnibus gilt hierfür nun der 2. Dezember 2027. Kanzleien, die entsprechende Recruiting-Tools einsetzen oder planen, sollten den Termin im Blick behalten und sich vom Anbieter den Fahrplan zur Konformität bestätigen lassen.

Die vierte Gruppe sorgt regelmäßig für Missverständnisse: Anhang III Nummer 8 betrifft KI in der Rechtspflege – gemeint sind vor allem Systeme, die Gerichten und Behörden bei Recherche, Auslegung oder der Anwendung des Rechts auf konkrete Sachverhalte unterstützen. Eine Kanzlei, die juristische Recherchesoftware nutzt, wird dadurch nicht automatisch zur Betreiberin eines Hochrisiko-Systems. Gleichwohl lohnt der Blick in die Anbieterdokumentation: Seriöse Anbieter deklarieren, wie sie ihr System einordnen, und diese Einordnung sollte zur eigenen Nutzung passen.

Berufsrecht und Datenschutz bleiben die härtere Währung

Der AI Act ist im Kern ein Gesetz zur Produktsicherheit und Marktregulierung. Er ändert nichts an den Pflichten, die den Mandatsalltag tatsächlich prägen: der anwaltlichen Verschwiegenheit nach § 43a Absatz 2 BRAO, der strafrechtlichen Absicherung des Berufsgeheimnisses durch § 203 StGB und der DSGVO. Diese Ebenen laufen parallel zum AI Act – und sie sind für Kanzleien fast immer die strengeren.

Konkret heißt das: Mandatsgeheimnisse gehören nicht in Consumer-Versionen allgemeiner KI-Dienste, deren Nutzungsbedingungen ein Training mit Eingabedaten vorsehen. Wo personenbezogene Mandatsdaten verarbeitet werden, braucht es eine Auftragsverarbeitung nach Artikel 28 DSGVO, Klarheit über den Verarbeitungsort und belastbare Zusagen zur Verschwiegenheit des Dienstleisters. Ob ein bestimmtes KI-Tool diesen Anforderungen genügt, ist eine Einzelfallprüfung – unsere Prüfpunkte für neue Tools in der Kanzlei liefern dafür einen strukturierten Kriterienkatalog. Und wer gerade grundsätzlich Anbieter vergleicht, findet in unserem Beitrag zum Kanzleisoftware-Vergleich Kriterien, die über den AI Act hinausgehen.

Fünf Schritte, die Kanzleien jetzt angehen sollten

Der Stichtag liegt nur noch wenige Tage entfernt. Realistisch ist aber: Die meisten Kanzleien müssen keine Großprojekte starten, sondern einige überschaubare Dinge sauber erledigen.

Erstens eine ehrliche KI-Inventur. Nicht nur die offiziell beschafften Systeme zählen, sondern auch die stillen: der Übersetzungsassistent im Browser, die KI-Funktion in der Office-Umgebung, das Transkriptionstool für Diktate. Ohne diese Liste bleibt jede weitere Maßnahme Stückwerk.

Zweitens die Kennzeichnungen einrichten. Der Website-Chatbot braucht einen klaren Hinweis; für KI-unterstützte Inhalte sollte die Kanzlei festlegen, wer redaktionell prüft und die Verantwortung übernimmt – und das kurz dokumentieren.

Drittens die KI-Kompetenz organisieren. Auch als Bemühenspflicht bleibt Artikel 4 der praktische Hebel: eine kurze interne Guideline, eine Unterweisung aller KI-Nutzenden, eine klare Regel, welche Daten in welche Systeme dürfen. Das ist zugleich berufsrechtlich gebotene Sorgfalt und wirkt im Ernstfall als Entlastungsnachweis.

Viertens die Verantwortlichkeit benennen. Eine Person sollte KI-Themen in der Kanzlei bündeln, die Inventur pflegen und Anbieterfragen koordinieren. Fünftens die Anbieter befragen: nach Kennzeichnungsfunktionen, Dokumentation, Trainingsdatennutzung und ihrem Fahrplan für die Hochrisiko-Anforderungen ab 2027.

Aufsicht und Bußgelder: Das KI-MIG ist beschlossen

Parallel zur europäischen Ebene hat Deutschland die nationale Vollzugsstruktur geschaffen. Der Bundestag verabschiedete das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) am 11. Juni 2026, der Bundesrat stimmte am 10. Juli 2026 zu. Das Gesetz tritt am Tag nach seiner Verkündung in Kraft. Zentrale Marktüberwachungsbehörde wird die Bundesnetzagentur; sie betreibt zudem ein Koordinierungs- und Kompetenzzentrum, eine zentrale Beschwerdestelle und einen kostenlosen KI-Service Desk, der besonders kleineren Organisationen Orientierung bieten soll. KI-Reallabore, in denen Anwendungen unter Aufsicht getestet werden können, runden das Angebot ab – mit Vorrang für kleine und mittlere Unternehmen. Neue Registrierungspflichten für Anwender schafft das KI-MIG nicht.

Relevant bleibt die Sanktionsstaffel der Verordnung: Bis zu 35 Millionen Euro oder 7 Prozent des Jahresumsatzes drohen bei verbotenen Praktiken, bis zu 15 Millionen Euro oder 3 Prozent bei Verstößen gegen sonstige Pflichten wie die Transparenzregeln, bis zu 7,5 Millionen Euro oder 1 Prozent bei falschen Angaben gegenüber Behörden. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Wert. Realistischerweise wird die Aufsicht zunächst auf Beschwerden und offensichtliche Verstöße schauen – darauf verlassen sollte sich gleichwohl keine Kanzlei.

Fazit: Die Atempause nutzen, nicht aussitzen

Für Kanzleien lässt sich die Lage auf einen Satz bringen: Ab dem 2. August 2026 zählt Transparenz, die Hochrisiko-Hausaufgaben kommen später. Wer Chatbot, Kennzeichnungen und interne Regeln jetzt ordnet, hat das Wesentliche erledigt – und nebenbei die Grundlage für die Pflichten gelegt, die 2027 folgen. Die Verschiebung durch den Omnibus ist damit weniger Entwarnung als Arbeitsfenster.

Digitale Kanzleiplattformen wie Jurono können dabei unterstützen, diese Ordnung herzustellen: Anfragen, Dokumente und Verantwortlichkeiten an einem Ort zu bündeln, statt sie über Postfächer und Einzelwerkzeuge zu verteilen. Wer prüfen möchte, wie strukturierte Mandatsprozesse in der eigenen Kanzlei aussehen können, findet auf der Jurono-Plattformseite einen Überblick und kann dort unverbindlich starten.