Wenn Sie in den letzten Wochen Beiträge zum EU AI Act gelesen haben, sind Ihnen vermutlich zwei gegensätzliche Botschaften begegnet: „Ab dem 2. August 2026 wird es ernst“ auf der einen Seite, „Brüssel verschiebt alles um 16 Monate“ auf der anderen.
Beides stimmt. Und genau darin liegt das Problem: Wer sich auf nur eine der beiden Schlagzeilen verlässt, macht entweder unnötig Panik oder verpasst eine Frist, die tatsächlich in wenigen Tagen fällig wird. Ich habe den aktuellen Stand für Sie sortiert.
Was gerade passiert ist
Am 27. Juli 2026 ist die Verordnung (EU) 2026/1744 in Kraft getreten – im deutschsprachigen Raum meist KI-Omnibus genannt, offiziell „Digital Omnibus on AI“. Es ist die erste substanzielle Änderung der KI-Verordnung (VO (EU) 2024/1689) seit ihrer Verabschiedung.
Der Grund für die Reform ist unbequem, aber nachvollziehbar: Die harmonisierten Normen, an denen sich Unternehmen bei der Umsetzung der Hochrisiko-Anforderungen orientieren sollten, waren zum ursprünglichen Stichtag schlicht nicht fertig. Unternehmen hätten Regeln einhalten müssen, deren technische Konkretisierung noch gar nicht existierte. Hinzu kam, dass etliche Mitgliedstaaten ihre nationalen Aufsichtsbehörden noch nicht benannt hatten.
Wichtig zur Einordnung: Der KI-Omnibus ist keine Entschärfung der Substanz. Die inhaltlichen Anforderungen an Hochrisiko-Systeme – Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht – bleiben unverändert. Verschoben wurde der Zeitpunkt, nicht der Maßstab.
EU AI Act: Was am 2. August 2026 weiterhin gilt
Trotz aller Verschiebungen bleibt der 2. August ein Schlüsseldatum. Drei Dinge werden an diesem Tag wirksam beziehungsweise durchsetzbar:
- Die Transparenzpflichten nach Artikel 50. Das ist der Teil, der die meisten kleinen und mittleren Unternehmen tatsächlich betrifft – und der in der Verschiebungs-Berichterstattung regelmäßig untergeht.
- Die Durchsetzbarkeit der GPAI-Pflichten. Die Pflichten für Anbieter von Allzweck-KI-Modellen gelten inhaltlich bereits seit August 2025. Ab dem 2. August 2026 können Verstöße mit Bußgeldern geahndet werden.
- Die Marktüberwachung durch die zuständigen Behörden. Die Aufsichtsstrukturen werden operativ.
Dazu kommt: Die Verbote nach Artikel 5 – etwa Social Scoring oder manipulative Systeme – gelten unverändert bereits seit Februar 2025. Ebenso die KI-Kompetenzpflicht nach Artikel 4. Diese hat der Omnibus allerdings abgeschwächt: Statt ein hinreichendes Kompetenzniveau sicherzustellen, müssen Anbieter und Betreiber künftig „Maßnahmen zur Förderung“ der KI-Kompetenz ihres Personals ergreifen.
Artikel 50 im Klartext
Artikel 50 schreibt keine einheitliche „KI-Kennzeichnung“ vor, sondern verschiedene Pflichten für verschiedene Situationen. Übersetzt in den Arbeitsalltag heißt das:
- Chatbots und KI-Assistenten im Kundenkontakt brauchen einen Hinweis, dass gegenüber kein Mensch sitzt – und zwar bevor die Interaktion beginnt, nicht versteckt im Impressum.
- KI-generierte Bilder, Audio- oder Videoinhalte, die veröffentlicht werden, müssen als solche erkennbar sein.
- KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse fallen ebenfalls darunter. Ein redaktionell geprüfter und verantworteter Text ist ausgenommen – wenn diese Prüfung nachweisbar ist.
- Emotionserkennung und biometrische Kategorisierung lösen eine Informationspflicht gegenüber den betroffenen Personen aus.
Eine einzige Erleichterung hat der Omnibus eingebaut: Für die maschinenlesbare Markierung KI-generierter Inhalte nach Art. 50 Abs. 2 gilt für Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, eine Übergangsfrist bis zum 2. Dezember 2026. Diese Ausnahme ist eng: Sie betrifft ausschließlich die technische Markierung und nur Bestandssysteme.
Diese Fristen wurden verschoben
| Pflichtenbereich | Bisher | Neu |
|---|---|---|
| Eigenständige Hochrisiko-KI (Anhang III) | 2. August 2026 | 2. Dezember 2027 |
| Produkteingebettete KI (Anhang I, Abschnitt A) | 2. August 2027 | 2. August 2028 |
| Bestandssysteme in Behördennutzung | – | 2. August 2030 |
Anhang III umfasst die Anwendungsfelder, in denen Mittelstand und Enterprise am häufigsten mit der Regulierung kollidieren: Bewerberauswahl und Personalverwaltung, Kreditwürdigkeitsprüfung, Versicherungsrisikobewertung, Bildungszugang und Benotung, kritische Infrastruktur, Strafverfolgung, Migrationskontrolle.
Ein Detail mit Signalwirkung: Der Kommissionsentwurf vom November 2025 hatte diese Daten noch an einen Trigger gekoppelt – Pflichten sollten erst greifen, wenn die Normen verfügbar sind. Im finalen Text wurde das gestrichen. Es sind jetzt unbedingte Kalenderdaten, die ohne ein neues Gesetzgebungsverfahren nicht mehr verschoben werden können. Wer auf eine zweite Verlängerung spekuliert, plant auf Sand.
Weitere Änderungen, die Sie kennen sollten
Zwei neue Verbote in Artikel 5. Der Omnibus verbietet zusätzlich KI-Systeme, die nicht-einvernehmliches intimes Material oder Darstellungen sexuellen Missbrauchs von Kindern erzeugen oder manipulieren. Auf Anbieterseite greift das auch dann, wenn ein System solche Inhalte vorhersehbar erzeugen kann und angemessene technische Schutzmaßnahmen fehlen. Diese Verbote gelten ab dem 2. Dezember 2026.
Engerer Hochrisiko-Begriff. KI-Komponenten, die lediglich der Nutzerunterstützung, Effizienzsteigerung, Automatisierung oder Qualitätskontrolle dienen, gelten nur noch dann als hochriskant, wenn ihr Ausfall tatsächlich Risiken für Gesundheit oder Sicherheit verursachen kann. Die eigene Risikoeinstufung wird dadurch nicht einfacher, sondern anspruchsvoller.
Gestärktes AI Office. Die Aufsichtsbefugnisse der bei der Kommission angesiedelten Behörde wurden deutlich erweitert – unter anderem auf alle KI-Systeme, die auf GPAI-Modellen desselben Unternehmens basieren, sowie auf sehr große Online-Plattformen. Weniger Fristendruck bedeutet also nicht weniger Aufsicht.
Ihre Checkliste für die nächsten Wochen
Sofort:
- Inventarisieren. Welche KI-Systeme setzen Sie ein – inklusive der Funktionen, die in bestehende Software eingebaut wurden, ohne dass jemand sie als „KI-Projekt“ verbucht hat? Copilot in Microsoft 365, KI-Features im CRM, der Chatbot auf der Website.
- Artikel 50 abklopfen. Wo tritt ein KI-System gegenüber Menschen auf? Wo veröffentlichen Sie KI-generierte Inhalte? Das sind die Punkte mit Fälligkeit 2. August.
- Rolle klären. Sind Sie Anbieter oder Betreiber? Wenn Sie KI nur einkaufen, sind Sie Betreiber – die schweren Pflichten wie Konformitätsbewertung und technische Dokumentation liegen beim Anbieter. Ihre Pflichten sind schlanker, aber nicht null.
In den nächsten Monaten:
- Risikoklassifizierung dokumentieren. Auch die Einstufung „nicht hochriskant“ muss begründet und – bei Selbsteinstufung nach Art. 6 Abs. 3 – in der EU-Datenbank registriert werden. Der Omnibus hat den Verwaltungsaufwand reduziert, die Pflicht aber nicht gestrichen.
- KI-Kompetenz aufbauen. Auch in der abgeschwächten Fassung eine laufende Pflicht – und ehrlicherweise das, was den größten praktischen Nutzen bringt.
- Bei Hochrisiko-Systemen: jetzt anfangen. Der Aufbau von Risikomanagement, Daten-Governance und technischer Dokumentation dauert erfahrungsgemäß deutlich länger als geplant. 16 Monate zusätzlich klingen nach viel. Sie sind es nicht.
Fazit
Der KI-Omnibus verschafft Luft, wo die Regulierung ihrem eigenen Zeitplan vorausgeeilt war. Er ändert nichts an der Architektur des EU AI Act und nichts an dem, was am Ende nachgewiesen werden muss.
Für die meisten Unternehmen im Mittelstand ist die praktisch wichtigste Erkenntnis unspektakulär: Sie betreiben vermutlich gar keine Hochrisiko-KI – und waren von der August-Frist ohnehin nur über Artikel 50 betroffen. Genau der bleibt bestehen. Prüfen Sie also nicht, ob die Frist verschoben wurde, sondern in welche Risikoklasse Ihre Systeme überhaupt fallen. Erst daraus ergibt sich, welches Datum für Sie zählt.
Häufige Fragen zum EU AI Act
Gilt der 2. August 2026 trotz KI-Omnibus noch?
Ja. Der allgemeine Anwendungsbeginn bleibt bestehen. Verschoben wurden nur einzelne Pflichten für bestimmte Systemgruppen, konkret die Anforderungen an Hochrisiko-KI. Transparenzpflichten, Verbote, Aufsicht und Bußgelder sind davon nicht betroffen.
Muss ich meinen Chatbot kennzeichnen?
In aller Regel ja. Nutzerinnen und Nutzer müssen erkennen können, dass sie mit einem KI-System interagieren – und zwar zu Beginn der Interaktion. Ausgenommen sind Fälle, in denen das aus dem Kontext für eine verständige Person ohnehin offensichtlich ist.
Was gilt, wenn wir KI nur einkaufen und nicht selbst entwickeln?
Dann sind Sie Betreiber. Konformitätsbewertung und technische Dokumentation liegen beim Anbieter. Für Sie bleiben die KI-Kompetenz nach Artikel 4, die Verbote nach Artikel 5, ab dem 2. August 2026 die Transparenzpflichten nach Artikel 50 und – ab Dezember 2027 – die Betreiberpflichten nach Artikel 26, falls Sie ein Hochrisiko-System einsetzen.
Wie hoch sind die Bußgelder?
Der Rahmen ist gestaffelt und orientiert sich am Schweregrad des Verstoßes sowie am weltweiten Jahresumsatz. Verstöße gegen die verbotenen Praktiken nach Artikel 5 liegen am oberen Ende. Für kleine und mittlere Unternehmen sieht die Verordnung ausdrücklich vor, dass die Obergrenzen anteilig angewandt werden.
Dieser Beitrag gibt den Stand vom 31. Juli 2026 wieder und stellt keine Rechtsberatung dar. Für die verbindliche Bewertung Ihres konkreten Falls ziehen Sie bitte rechtlichen Rat hinzu.
Sie sind unsicher, wie Ihre KI-Systeme einzuordnen sind? Sprechen Sie mich gerne an – eine erste Bestandsaufnahme dauert meist weniger lang, als Sie denken.