Der 2. August 2026 war lange als Stichtag gesetzt, an dem die europäische KI-Verordnung für die meisten Unternehmen ernst wird. Er ist es geworden – allerdings anders als ursprünglich geplant. Kurz vor dem Termin hat die EU die Fristen für Hochrisiko-KI verschoben. Wer daraus ableitet, er könne sich zurücklehnen, unterschätzt, was bereits gilt.
Was sich geändert hat
Die KI-Verordnung, Verordnung (EU) 2024/1689, ist am 1. August 2024 in Kraft getreten und gilt stufenweise. Seit dem 2. Februar 2025 sind bestimmte KI-Praktiken verboten (Art. 5), etwa Social Scoring oder manipulative Techniken, und Anbieter wie Betreiber von KI-Systemen müssen sich um die KI-Kompetenz ihres Personals kümmern (Art. 4). Seit dem 2. August 2025 gelten die Regeln für KI-Modelle mit allgemeinem Verwendungszweck, also die großen Sprachmodelle hinter gängigen Chat-Anwendungen.
Am 2. August 2026 ist die Verordnung nach der Kommission grundsätzlich vollständig anwendbar geworden. Ausgenommen ist jedoch der Kernbereich, auf den sich viele Unternehmen vorbereitet hatten: die Pflichten für Hochrisiko-KI-Systeme.
Grund ist der sogenannte Digital Omnibus zur KI. Die Kommission hatte ihn im November 2025 vorgeschlagen, Parlament und Rat erzielten im Mai 2026 eine politische Einigung. Als Verordnung (EU) 2026/1744 wurde er am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft. Die wichtigsten Änderungen:
- Hochrisiko-KI nach Anhang III – etwa in Personalauswahl, Bildung, Kreditwürdigkeitsprüfung oder kritischer Infrastruktur: Die Pflichten gelten erst ab dem 2. Dezember 2027 statt ab dem 2. August 2026.
- Hochrisiko-KI in regulierten Produkten nach Anhang I – etwa in Maschinen oder Spielzeug: Verschiebung auf den 2. August 2028.
- Transparenzpflichten nach Art. 50 gelten wie geplant seit dem 2. August 2026. Für generative Systeme, die bereits vorher auf dem Markt waren, gilt die Pflicht zur maschinenlesbaren Kennzeichnung künstlich erzeugter Inhalte ab dem 2. Dezember 2026.
- KI-Kompetenz (Art. 4) bleibt Pflicht, wurde aber abgeschwächt: Unternehmen müssen die Entwicklung von KI-Kompetenz bei ihren Beschäftigten fördern, statt ein ausreichendes Niveau sicherzustellen.
- Neues Verbot in Art. 5 für KI-Systeme, die nicht einvernehmliche intime Bilder oder Darstellungen sexuellen Kindesmissbrauchs erzeugen.
- Entlastungen, die bisher kleinen und mittleren Unternehmen vorbehalten waren, gelten künftig auch für sogenannte Small Mid-Caps.
In Deutschland ist seit dem 29. Juli 2026 das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) in Kraft. Es bestimmt die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde, zentralen Anlaufstelle und Beschwerdestelle. Etablierte Fachaufsichten, etwa im Finanzbereich, bleiben für ihre Sektoren zuständig. Die Bundesnetzagentur bietet zudem einen KI-Service-Desk mit Informationen und Hilfen zur Risikoeinstufung an.
Warum das für Mittelstand und Gründer zählt
Die Verschiebung verschafft Zeit, ändert aber nichts an der Richtung. Die Hochrisiko-Pflichten sind nicht gestrichen, sondern vertagt. Sie umfassen Risikomanagement, Anforderungen an die Datenqualität, Protokollierung, technische Dokumentation, menschliche Aufsicht und Cybersicherheit. Wer ein Bewerbermanagement mit KI-gestützter Vorauswahl nutzt oder KI in der Kreditvergabe einsetzt, wird diese Anforderungen als Betreiber spätestens Ende 2027 erfüllen müssen. Der Aufbau solcher Prozesse dauert erfahrungsgemäß länger als ein Jahr.
Unmittelbar relevant sind dagegen die Transparenzpflichten. Sie betreffen nicht nur KI-Entwickler, sondern jeden Betrieb, der etwa einen Chatbot im Kundenservice einsetzt oder KI-generierte Bilder und Videos veröffentlicht. Menschen müssen erkennen können, dass sie mit einer KI interagieren. Wer Deepfakes – also täuschend echt wirkende, künstlich erzeugte oder veränderte Bild-, Ton- oder Videoinhalte – verbreitet, muss offenlegen, dass sie künstlich erzeugt sind. Gerade Unternehmen, die generative KI im Kundenservice erproben, sollten ihre Anwendungen daraufhin prüfen.
Die Hochrisiko-Pflichten sind nicht gestrichen, sondern vertagt – und die Transparenzpflichten gelten schon heute.
Hinzu kommt der Sanktionsrahmen. Nach Art. 99 der KI-Verordnung drohen bei Verstößen gegen die Verbote Geldbußen von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, bei Verstößen gegen weitere Pflichten bis zu 15 Millionen Euro oder 3 Prozent. Für KMU gilt jeweils der niedrigere Betrag.
Was Unternehmer jetzt tun sollten
Nach aktueller Rechtslage (Stand: September 2026) empfiehlt sich ein strukturiertes Vorgehen, das die gewonnene Zeit nutzt, statt sie zu verbrauchen:
- KI-Inventar anlegen: Alle eingesetzten KI-Systeme erfassen – auch Funktionen in bestehender Software wie CRM, Personal- oder Buchhaltungssystemen. Für jedes System festhalten, ob das Unternehmen Anbieter oder Betreiber ist.
- Risikoklassen zuordnen: Jedes System einer Kategorie zuweisen – verboten, hochriskant, transparenzpflichtig oder minimal. Anhang III ist die maßgebliche Liste der Hochrisiko-Bereiche; der KI-Service-Desk der Bundesnetzagentur bietet Orientierung.
- KI-Kompetenz fördern: Schulungen für Beschäftigte, die mit KI arbeiten, planen und dokumentieren. Inhalte an Rolle und Einsatzkontext ausrichten. Allgemeine Prompting-Grundlagen sind ein Einstieg, ersetzen aber keine Einweisung in Risiken und Grenzen.
- Transparenz umsetzen: Chatbots als KI kenntlich machen, KI-generierte Bilder, Videos und Audioinhalte kennzeichnen, interne Freigaberegeln für Marketing und Kommunikation festlegen.
- Dokumentation aufbauen: Zweck, Datenquellen, Verantwortliche und Kontrollmaßnahmen je System festhalten. Für mögliche Hochrisiko-Anwendungen jetzt mit der Vorbereitung beginnen.
- Lieferantenverträge prüfen: Von Softwareanbietern Auskunft über Risikoklasse, Konformität und Kennzeichnungsfunktionen verlangen und Mitwirkungspflichten vertraglich regeln.
Fazit
Der August 2026 hat die KI-Verordnung nicht entschärft, sondern neu getaktet. Verbote, KI-Kompetenz und Transparenzpflichten gelten bereits; die aufwendigen Hochrisiko-Pflichten folgen Ende 2027 und 2028. Für Unternehmer bedeutet das: Die Frage ist nicht mehr, ob sie ihre KI-Nutzung ordnen, sondern wie schnell. Wer Inventar, Risikoeinstufung und Schulungen jetzt aufsetzt, hat 2027 einen Vorsprung – und eine belastbare Grundlage für die eigene KI-Strategie.
Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Anlage-, Steuer- oder Rechtsberatung dar. Maßgeblich ist die individuelle Prüfung durch qualifizierte Berater.
Quellen
- EUR-Lex – Verordnung (EU) 2024/1689 (KI-Verordnung) – https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- EUR-Lex – Verordnung (EU) 2026/1744 (Digital Omnibus zur KI) – https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng
- Europäische Kommission – AI Act: Regulatory framework – https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
- Bundesnetzagentur – Bundesnetzagentur übernimmt zentrale Rolle bei der Umsetzung der KI-Verordnung – https://www.bundesnetzagentur.de/1112336
- BMDS – Neues KI-Gesetz tritt in Kraft – https://bmds.bund.de/aktuelles/pressemitteilungen/detail/neues-ki-gesetz-tritt-in-kraft
- Deutscher Bundestag – Ja zur Durchführung der Verordnung über künstliche Intelligenz – https://www.bundestag.de/dokumente/textarchiv/2026/kw24-de-ki-1183820
- Gibson Dunn – EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes – https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/
- lawandtechnology.eu – Digital Omnibus on AI in the Official Journal – https://lawandtechnology.eu/en/digital-omnibus-on-ai-official-journal-regulation-2026-1744/
- lawandtechnology.eu – AI literacy: the Digital Omnibus rewrites Article 4 of the AI Act – https://lawandtechnology.eu/en/ai-literacy-digital-omnibus-article-4-ai-act/
