Konsolidierter AI Act bringt ein Verbot für Nudify-Systeme ab 2. Dezember

Das Amt für Veröffentlichungen der EU hat am 5. August die konsolidierte Fassung des AI Act publiziert: Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744, CELEX 02024R1689-20260727. Alle Änderungen des Digitalen Omnibus tragen im Text die Markierung M1.

Neu hinzugekommen ist Artikel 5 Absatz 1 lit. ba. Verboten sind Inverkehrbringen, Inbetriebnahme und Verwendung eines KI-Systems, das realistische Bild-, Video-, Ton- oder ähnliche Inhalte erzeugt oder manipuliert, in denen intime Körperteile einer bestimmbaren natürlichen Person dargestellt werden oder eine bestimmbare Person an eindeutig sexuellen Handlungen beteiligt ist. Erlaubt bleibt das nur mit der aus freien Stücken erfolgenden, spezifischen, aufgeklärten, eindeutigen und ausdrücklichen Zustimmung dieser Person.

Lit. bb schließt direkt an. Verboten ist danach die Erzeugung und Manipulation von Material im Sinne von Artikel 2 lit. c und e der Richtlinie 2011/93/EU, also Darstellungen sexuellen Kindesmissbrauchs. Eine Zustimmungsausnahme gibt es hier nicht, nur den Vorbehalt, dass nationales Recht das Verhalten rechtfertigt.

Die eigentliche juristische Arbeit steckt im neuen Absatz 1a. Das Inverkehrbringen ist nur dann verboten, wenn entweder die Erzeugung solcher Inhalte die Zweckbestimmung des Systems ist, oder wenn sie ein nach vernünftigem Ermessen absehbares und reproduzierbares Ergebnis ohne erhebliche technische Änderungen darstellt und das System keine zumutbaren und angemessenen technischen Sicherheitsmaßnahmen hat. Für die Verwendung gilt eine eigene Schwelle: Sie ist nur verboten, wenn der Betreiber das System gerade zu diesem Zweck einsetzt.

Absatz 1b nimmt harmlose Bearbeitungen ausdrücklich heraus. Manipulationen, die weder die Sichtbarkeit intimer Körperteile erhöhen noch die Art der sexuellen Handlungen verändern, gelten nicht als Manipulation im Sinne des Verbots.

Anwendbar wird das alles am 2. Dezember 2026. Artikel 113 lit. a nimmt genau diese Bestimmungen vom allgemeinen Geltungsbeginn 2. Februar 2025 aus und setzt sie auf den Dezembertermin. Den Sanktionsrahmen für verbotene Praktiken gibt Artikel 99 Absatz 3 vor, bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.

Diese Frage hatte im April den Trilog platzen lassen. Dass sie jetzt nicht als grundsätzliches Verbot, sondern als Verbot mit zwei Ausstiegsklauseln im Text steht, ist das Ergebnis der Runde, die damals scheiterte.

Der zweite Teil der Fassung ist unspektakulärer und praktisch mindestens so wichtig. Sie belegt jetzt amtlich, was bisher nur aus Kanzlei-Analysen und einem Q&A der Kommission bekannt war.

Artikel 57 Absatz 1: Die nationalen KI-Reallabore müssen bis 2. August 2027 einsatzbereit sein. Artikel 111 Absatz 4 ist neu und betrifft Bestandssysteme, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen. Wurden sie vor dem 2. August 2026 in Verkehr gebracht, müssen ihre Anbieter Artikel 50 Absatz 2 bis zum 2. Dezember 2026 erfüllen. Damit ist die Übergangsfrist bestätigt, die bei unserer Berichterstattung zur Durchsetzung von Artikel 50 noch offen war.

Artikel 111 Absatz 2 ist neu gefasst. Für Hochrisiko-Bestandssysteme gilt die Verordnung nur bei einer erheblichen Änderung der Konzeption. Wer Hochrisiko-KI allerdings bestimmungsgemäß für Behörden anbietet oder betreibt, muss die Anforderungen bis 2. August 2030 erfüllen. Artikel 113 lit. c legt die übrigen Hochrisiko-Pflichten auf den 2. Dezember 2027 für Anhang III und den 2. August 2028 für Anhang I.

Unser Fristen-Tracker unter /ai-act ist um diese Stichtage ergänzt.

Die österreichische KI-Servicestelle der RTR verlinkt die Fassung unter Aktuelles. Eine gesonderte Stellungnahme der EU-Kommission zu den neuen Verbotstatbeständen gibt es bis heute nicht.

Für die Durchsetzung ändert das vorerst wenig. Deutschland hat seit Anfang August eine Beschwerdestelle bei der Bundesnetzagentur, Österreich hat bis heute keine Marktüberwachungsbehörde benannt. Ein Verbot ohne zuständige Stelle ist ein Text.

Bis zum 2. Dezember bleiben knapp vier Monate, um zu klären, was zumutbare und angemessene technische Sicherheitsmaßnahmen bei einem Bildgenerator konkret sind. Im Verordnungstext steht es nicht.