EU AI Act für den Mittelstand: Was du 2026 wissen musst

Stand: 10. Oktober 2026

Wer im Unternehmen ChatGPT für Mails nutzt, ein KI-Tool im Recruiting einsetzt oder eine Bonitätsprüfung mit KI laufen lässt, ist im Sinne des EU AI Act bereits Betreiber eines KI-Systems. Mit Pflichten, von denen ein Teil schon heute gilt. Der verbreitete Reflex „Wir bauen doch gar keine KI, das betrifft uns nicht“ trägt also nicht.

Seit dem 2. August 2026 hat sich die Lage sortiert: Die Transparenzpflichten nach Artikel 50 sind scharf, die Hochrisiko-Pflichten hat der Digital Omnibus dagegen nach hinten verschoben. Und Deutschland hat seit Ende Juli mit dem KI-MIG endlich eine zuständige Aufsichtsbehörde. Genau diese Gleichzeitigkeit aus „gilt jetzt“ und „gilt erst 2027“ sorgt für Verunsicherung. Dieser Artikel ordnet ein, was davon dich als mittelständisches Unternehmen wirklich betrifft. Kein Alarmismus, keine Verharmlosung. Der Reihe nach.

Was der EU AI Act ist und wen er betrifft

Der EU AI Act — auf Deutsch KI-Verordnung, offiziell „Verordnung über künstliche Intelligenz“, VO (EU) 2024/1689 — ist die erste umfassende Regulierung für künstliche Intelligenz weltweit. Seit August 2024 ist sie in Kraft, ihre Pflichten greifen aber gestaffelt über mehrere Jahre. Als EU-Verordnung gilt sie unmittelbar in allen Mitgliedstaaten, ohne dass Deutschland sie erst in nationales Recht umsetzen müsste.

Wichtig für den Mittelstand ist die Unterscheidung zweier Rollen. Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen auf den Markt oder nehmen es so in Betrieb. Betreiber (im Gesetzestext „Deployer“) setzen ein KI-System im eigenen Betrieb ein. Die meisten Mittelständler sind Betreiber, nicht Anbieter. Eine Ausnahme ist häufiger, als man denkt: Wer einen Chatbot für die eigene Website bauen lässt und unter eigenem Namen einsetzt, ist dessen Anbieter. Wer aber kein eigenes KI-Modell baut, fällt damit nicht automatisch aus der Verordnung heraus.

Genau hier liegt der unterschätzte Punkt: Schon der Einsatz von ChatGPT für Texte, eines KI-Tools im Recruiting oder einer KI-gestützten Bonitätsprüfung macht dich zum Betreiber im Sinne des Gesetzes. Welche Pflichten daraus folgen, hängt dann von der Risikoklasse des konkreten Systems ab, nicht von der Größe des Unternehmens.

Die vier Risikoklassen

Der EU AI Act reguliert nicht „KI“ pauschal, sondern arbeitet risikobasiert. Je höher das Risiko für Gesundheit, Sicherheit oder Grundrechte, desto strenger die Pflichten. Es gibt vier Stufen.

Verbotenes Risiko: Bestimmte Anwendungen sind generell untersagt, etwa das Social Scoring von Personen (durch öffentliche oder private Stellen) oder manipulative Systeme, die das Verhalten von Menschen zu deren Schaden beeinflussen. Diese Verbote gelten bereits. Mit dem Digital Omnibus kommt zum 2. Dezember 2026 ein weiteres Verbot hinzu: KI-Systeme, die nicht-einvernehmliche intime Darstellungen oder Darstellungen von Kindesmissbrauch erzeugen sollen oder ohne wirksame Schutzvorkehrungen erzeugen können, werden ausdrücklich untersagt.

Hohes Risiko: KI in sensiblen Bereichen wie Personalauswahl, Kreditvergabe oder kritischer Infrastruktur. Im Mittelstand ist der typische Fall ein KI-gestütztes Bewerber-Screening. Hier greifen die strengsten Pflichten: Risikomanagement, technische Dokumentation, menschliche Aufsicht, Protokollierung.

Begrenztes Risiko: Systeme mit Transparenzpflicht. Der Klassiker ist der Chatbot auf der eigenen Website oder eine KI, die Bilder, Texte und Videos erzeugt. Nutzer müssen erkennen können, dass sie es mit einer Maschine zu tun haben. Für den Mittelstand ist das die häufigste regulatorisch relevante Stufe, weil generative KI im Marketing und im Kundenservice inzwischen breit im Einsatz ist.

Minimales Risiko: Der Großteil heutiger Anwendungen, vom Spamfilter über die Produktempfehlung im Shop bis zur KI in der Lagerlogistik. Hier entstehen aus dem AI Act keine besonderen Pflichten. Das ist die Mehrheit dessen, was ein typischer Betrieb tatsächlich nutzt.

Für die allermeisten Betriebe liegen die eingesetzten Systeme in den unteren beiden Klassen. Brisant wird es dort, wo KI über Menschen entscheidet, also vor allem im Recruiting und bei der Kreditwürdigkeit.

Was hat der Digital Omnibus an der KI-Verordnung geändert?

Der Digital Omnibus zur KI, Verordnung (EU) 2026/1744, ist seit dem 27. Juli 2026 in Kraft. Er verschiebt die Hochrisiko-Pflichten auf den 2. Dezember 2027 (Anhang III) und den 2. August 2028 (Anhang I), entschärft die KI-Kompetenzpflicht und gibt Bestandssystemen bis zum 2. Dezember 2026 Zeit für die maschinenlesbare Markierung. Die übrigen Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026.

Hier liegt die wichtigste Änderung des Jahres, und sie wird in vielen älteren Ratgebern noch falsch dargestellt. Im Mai 2026 haben sich EU-Parlament und Rat im Trilog auf den „Digital Omnibus on AI“ geeinigt, ein Paket gezielter Änderungen am AI Act.

Inzwischen ist daraus beschlossenes Recht geworden: Am 16. Juni 2026 hat das Parlament dem Paket zugestimmt (423 Ja-Stimmen, 57 Nein, 174 Enthaltungen), am 29. Juni 2026 hat der Rat final grünes Licht gegeben. Am 24. Juli 2026 wurde das Paket als Verordnung (EU) 2026/1744 im EU-Amtsblatt veröffentlicht, am 27. Juli 2026 ist es in Kraft getreten, rechtzeitig vor dem 2. August 2026. Ziel ist eine Vereinfachung und mehr Zeit für die Umsetzung.

Der entscheidende Effekt: Die Frist für die Hochrisiko-Pflichten, vor der viele Unternehmen standen, wird nach hinten verschoben. Statt zum 2. August 2026 greifen diese Pflichten nun gestaffelt später, wie die Tabelle zeigt. Offiziell begründen Rat und Parlament den Schritt mit Vereinfachung und mit Überschneidungen zum sektoralen Recht. Der praktische Grund ist nüchterner: Die technischen Normen und die Aufsichtsinfrastruktur, auf die der ursprüngliche Fahrplan baute, waren nicht rechtzeitig fertig.

Die Fristen in diesem Artikel sind damit nicht mehr „wahrscheinlich“, sondern veröffentlichtes Recht. Wer seine Compliance-Planung auf den alten Zeitplan gebaut hat, kann sie verbindlich anpassen.

Digital Omnibus zur KI und zur DSGVO: nur einer ist in Kraft

Der Begriff sorgt regelmäßig für Verwechslungen, denn die EU-Kommission hat am 19. November 2025 zwei Vorschläge unter dem Namen „Digital Omnibus“ vorgelegt. Der „Digital Omnibus on AI“, oft auch KI-Omnibus genannt, ändert die KI-Verordnung und ist seit dem 27. Juli 2026 in Kraft. Um ihn geht es in diesem Artikel.

Der zweite, allgemeine Digital Omnibus betrifft die DSGVO, den EU Data Act und die Cookie-Regeln. Er ist noch kein geltendes Recht: Im EU-Parlament wartet er Stand Oktober 2026 laut Legislative Observatory weiterhin auf die Abstimmung in den zuständigen Ausschüssen, und der Rat hat bislang keine eigene Verhandlungsposition beschlossen.

Für DSGVO und Cookie-Einwilligung gilt deshalb bis auf Weiteres die bisherige Rechtslage. Was der allgemeine Digital Omnibus für Cookie-Banner vorsieht, ordnen wir im Ratgeber zu Cookies und TDDDG ein.

Was für den Mittelstand schon heute gilt

Unabhängig vom Omnibus sind drei Pflichten scharf: die Verbote und die KI-Kompetenz seit dem 2. Februar 2025, dazu seit dem 2. August 2026 die Transparenzpflichten nach Artikel 50.

Erstens die Verbote aus der höchsten Risikoklasse. Direkt betroffen sind davon die wenigsten Mittelständler, aber wer ein zugekauftes Tool einsetzt, sollte wissen, dass etwa Emotionserkennung am Arbeitsplatz in weiten Teilen untersagt ist.

Zweitens, und das ist die praktisch relevantere Pflicht: die KI-Kompetenz nach Artikel 4. Anbieter und Betreiber müssen Maßnahmen ergreifen, damit ihre Mitarbeitenden, die KI-Systeme bedienen oder deren Ergebnisse nutzen, die nötige KI-Kompetenz aufbauen. Das gilt seit Februar 2025 und ist an keine Risikoklasse gebunden.

Der Omnibus hat diese Pflicht beibehalten, aber den Wortlaut entschärft: Statt KI-Kompetenz „nach besten Kräften sicherzustellen“, ergreifen Unternehmen seit dem 27. Juli 2026 Maßnahmen, um deren Entwicklung „zu unterstützen“. Ein garantiertes Kompetenzniveau jedes Einzelnen verlangt das Gesetz ausdrücklich nicht. Praktisch ändert das wenig. Die Grundpflicht bleibt, und der Nachweis läuft in beiden Fassungen über dasselbe Instrument: Schulungsmaßnahmen, die zum Einsatzkontext passen und dokumentiert sind.

Im Alltag heißt das: Sobald jemand bei dir ein KI-Tool im Arbeitskontext nutzt, bist du schulungspflichtig. Eine Zertifizierung schreibt das Gesetz nicht vor. Eine pragmatische Grundschulung plus rollenspezifische Vertiefung erfüllt die Anforderung in den meisten Fällen; praxisnahe Formate wie KI-Workshops für das Team decken genau diesen Bedarf ab.

Die Transparenzpflicht und die KI-Kennzeichnung

Die dritte Pflicht, die viele Betriebe 2026 betrifft, ist die Transparenz nach Artikel 50. Die praktische Botschaft ist schlicht: Chatbots müssen sich als KI zu erkennen geben, und wer Deepfakes oder bestimmte KI-Texte veröffentlicht, muss das kenntlich machen.

Dahinter stehen zwei Stränge. Anbieter müssen Chatbots und andere Systeme, die direkt mit Menschen kommunizieren, so gestalten, dass Nutzer die KI erkennen. Außerdem markieren sie die Ausgaben generativer Systeme maschinenlesbar als künstlich erzeugt (Watermarking). Betreiber wiederum müssen Deepfakes sowie KI-Texte, die der Information der Öffentlichkeit zu Themen von öffentlichem Interesse dienen, offenlegen und Betroffene informieren, wenn sie Emotionserkennung oder biometrische Kategorisierung einsetzen.

Für den Chatbot auf deiner Website heißt das: Hast du ihn selbst entwickeln lassen und betreibst ihn unter eigenem Namen, bist du nach den Leitlinien der Kommission dessen Anbieter, und der KI-Hinweis in der Begrüßung ist deine Pflicht. Welche Hinweise genügen und wo die typischen Zweifelsfälle liegen, steht im Wiki-Eintrag zur KI-Kennzeichnungspflicht.

Bei der Textpflicht steckt eine Ausnahme, die im Mittelstand regelmäßig übersehen wird. Die Leitlinien der Kommission zu Artikel 50 vom 20. Juli 2026 stellen klar: Die Offenlegungspflicht für KI-Texte greift nicht, wenn der Text eine menschliche Prüfung oder redaktionelle Kontrolle durchlaufen hat und eine natürliche oder juristische Person die redaktionelle Verantwortung für die Veröffentlichung trägt.

Für redaktionell betreute Inhalte heißt das: Die Pflicht zielt auf ungeprüfte Massenausspielung, nicht auf jeden Text, hinter dem eine verantwortliche Redaktion steht. Ebenfalls ausgenommen sind künstlerische, kreative, satirische und fiktionale Werke.

Bei den Fristen lohnt Genauigkeit, weil hier viel Halbwissen kursiert. Die allgemeinen Transparenzpflichten nach Artikel 50, also etwa der Chatbot-Hinweis der Anbieter und die Deepfake-Kennzeichnung durch Betreiber, gelten seit dem 2. August 2026. Der Omnibus hat sie ausdrücklich nicht verschoben; Kommission und nationale Behörden setzen sie seit diesem Tag durch.

Nur beim maschinenlesbaren Watermarking der Anbieter nach Artikel 50(2) differenziert der final beschlossene Omnibus: Systeme, die vor dem 2. August 2026 auf den Markt gekommen sind, bekommen eine Karenzfrist bis zum 2. Dezember 2026. Diese Karenz gilt ausschließlich für Artikel 50(2). Der Hinweis auf einen Chatbot, die Deepfake-Kennzeichnung und die übrigen Transparenzpflichten aus Artikel 50 sind davon nicht erfasst und gelten ohne Übergang.

Wer heute KI-Inhalte im Marketing einsetzt, hat den Stichtag also bereits hinter sich. Wer noch keine Kennzeichnungspraxis hat, setzt sie jetzt auf, nicht als Vorsorge, sondern als Nachholung. Rückwirkend kennzeichnen musst du laut den Leitlinien nicht: Was vor dem 2. August 2026 erzeugt und veröffentlicht wurde, bleibt, wie es ist. Ein älterer KI-Text, der erst jetzt online geht, braucht den Hinweis dagegen, wenn er unter die Textpflicht fällt.

Praktisch bedeutet das keinen großen Aufwand: ein knapper Hinweis, dass ein Bild oder ein Text KI-generiert ist, reicht in der Regel aus. Aufwendiger ist die organisatorische Seite, nämlich überhaupt zu wissen, an welchen Stellen im Unternehmen KI-Inhalte entstehen. Genau deshalb steht die Bestandsaufnahme am Anfang jedes sinnvollen Vorgehens.

Wie eine saubere Kennzeichnung konkret aussieht, musst du dir nicht selbst ausdenken. Die Kommission hat im Juni 2026 einen Code of Practice zur Transparenz KI-generierter Inhalte veröffentlicht. Er ist freiwillig, aber von Kommission und KI-Gremium (AI Board) als geeigneter Nachweisweg bestätigt. Wer ihn nicht zeichnet, muss die Gleichwertigkeit der eigenen Maßnahmen selbst belegen.

Angenommen wurde er breit: Zum Stichtag 31. Juli 2026 zählte die Kommission 95 Organisationen für den ersten Abschnitt (Anbieter) und 192 für den zweiten (Betreiber), darunter Aleph Alpha und Lufthansa. Die Liste wächst laufend, die Zahlen sind also eine Momentaufnahme. Zwei Signatar-Taskforces zur Umsetzung hatte die Kommission für September 2026 angekündigt; dass sie ihre Arbeit aufgenommen haben, ist Anfang Oktober 2026 nicht öffentlich bestätigt.

Für die Kennzeichnung selbst stellt die Kommission ein offizielles EU-Icon-Set bereit: drei Symbole („Basic“, „Fully AI-Generated“, „Partially AI-Modified“) in je vier Varianten, als SVG und PNG, kostenlos und ohne Attributionspflicht. Die Icons zu nutzen ist freiwillig. Kennzeichnen musst du nach Artikel 50 trotzdem. Wer die Icons einsetzt, spart sich immerhin die Diskussion, ob die eigene Kennzeichnung erkennbar genug ist.

Hochrisiko-KI: Digital Omnibus verschiebt Fristen auf 2027 und 2028

Für Hochrisiko-Systeme ändert sich der Zeitplan am deutlichsten. Nach dem im Juni 2026 final beschlossenen Text gilt ein zweistufiger Ansatz:

Ursprünglich sollten die Anhang-III-Pflichten bereits zum 2. August 2026 greifen. Die Verschiebung verschafft Unternehmen mehr Zeit, ändert aber nichts an der Substanz: Wer ein Hochrisiko-System einsetzt, braucht Risikomanagement, technische Dokumentation, Datenqualität, Protokollierung und menschliche Aufsicht.

Die EU formuliert dabei eine klare Erwartung: Die zusätzliche Zeit ist kein Aufschub zum Nichtstun, sondern soll die Vorbereitung ermöglichen. Hast du eine Hochrisiko-Anwendung im Haus, etwa ein KI-gestütztes Bewerber-Screening, lohnt es sich, die Bestandsaufnahme jetzt zu machen, auch wenn die harte Frist erst Ende 2027 liegt.

Ein Punkt entlastet Bestandssysteme spürbar: Nach Artikel 111 Absatz 2 müssen Betreiber von Hochrisiko-Systemen, die vor dem 2. Dezember 2027 angeboten oder eingesetzt wurden, die Vorgaben nur dann erfüllen, wenn das System in seinem Design wesentlich geändert wird. Für das seit Jahren laufende Bewerber-Screening ist damit die entscheidende Frage nicht das Datum, sondern der nächste größere Umbau. Wer ohnehin ein Release plant, plant die Compliance gleich mit.

Bußgelder nach dem EU AI Act: Obergrenzen, KMU-Regel, bisher kein Fall

Die Sanktionen des EU AI Act sind höher angesetzt als bei der DSGVO. Der Bußgeldrahmen ist nach Schwere des Verstoßes gestaffelt.

Für Verstöße gegen die Verbote aus der höchsten Risikoklasse liegt die Obergrenze bei 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für Verstöße gegen andere Pflichten, etwa im Hochrisiko-Bereich, sind es bis zu 15 Millionen Euro oder 3 Prozent. Für falsche oder unvollständige Angaben gegenüber Behörden bis zu 7,5 Millionen Euro oder 1 Prozent.

Für KMU und Start-ups sieht die Verordnung eine Erleichterung vor: Hier gilt jeweils die niedrigere der beiden Größen, also der absolute Betrag oder der Prozentsatz, je nachdem, was weniger ist. Das mildert die Spitzenbeträge, die für große Konzerne gedacht sind, deutlich ab.

Der Omnibus hat diese Erleichterung erweitert. Neu ist ein Absatz 6a in Artikel 99. Er dehnt die „jeweils niedrigerer Betrag“-Regel auch auf kleine Unternehmen mittlerer Kapitalisierung (small mid-caps) aus, allerdings nur für die beiden unteren Stufen: sonstige Pflichtverstöße (15 Millionen Euro oder 3 Prozent) und Falschangaben gegenüber Behörden (7,5 Millionen Euro oder 1 Prozent). Für die Verbote aus Artikel 5 bleibt es bei der scharfen Variante.

Wenn du irgendwo liest, der Omnibus habe „die Bußgelder reduziert“: Das stimmt nicht. Die Obergrenzen sind unverändert, erweitert wurde nur der Kreis der begünstigten Unternehmen.

Die Durchsetzung greift zudem gestaffelt; ein Teil der Sanktionsmechanik wird erst mit den jeweiligen Pflichten wirksam. Immerhin ist seit dem 29. Juli 2026 geklärt, wer in Deutschland überhaupt zuständig ist.

Seit dem 2. August 2026 sind auch die Durchsetzungsbefugnisse von KI-Büro und nationalen Behörden wirksam; das KI-Büro hat dafür ein Beschwerde-Tool, ein Hinweisgeber-Tool und einen eigenen Kanal für Unternehmen online gestellt, die ein fremdes KI-Basismodell in ihr eigenes Produkt einbauen. Für dich als Betreiber ist davon vor allem eines relevant: Es gibt jetzt einen offenen Meldeweg, auch für Leute, die dich melden.

Was es dagegen bis heute nicht gibt: einen veröffentlichten Bußgeldfall. Die Durchsetzungsseite der Kommission beschreibt Befugnisse und Verfahren, aber keine Sanktion.

Das ist erwähnenswert, weil in der Debatte regelmäßig zwei Dinge durcheinandergeraten: der Bußgeldrahmen, der seit dem 2. August gilt, und ein tatsächlich verhängtes Bußgeld. Wer seine Compliance-Planung an Zahlen ausrichtet, die er in einem Newsletter gelesen hat, sollte vorher nach der Primärquelle fragen. Für ein verhängtes Bußgeld gibt es bisher keine.

Für die meisten Mittelständler ist deshalb nicht das maximale Bußgeld das realistische Szenario, sondern die schlichte Notwendigkeit, die schon geltenden Pflichten zur KI-Kompetenz und Transparenz ordentlich zu erfüllen. Die größte Gefahr ist nicht die Höchststrafe, sondern das Versäumnis, sich überhaupt mit dem Thema zu befassen.

Wer den EU AI Act in Deutschland durchsetzt: die Bundesnetzagentur

Lange war die praktisch wichtigste Frage unbeantwortet: Wer kontrolliert das eigentlich? Seit dem 29. Juli 2026 ist die Lücke geschlossen. An diesem Tag ist das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) in Kraft getreten, einen Tag nach der Verkündung im Bundesgesetzblatt und damit knapp vor dem Stichtag für die Transparenzpflichten.

Die zentrale Adresse ist die Bundesnetzagentur. Sie ist Marktüberwachungsbehörde, nationale Anlaufstelle und Beschwerdestelle in einem und zuständig für verbotene Praktiken, Hochrisiko-Systeme und eben die Transparenzpflichten. Für dich als Mittelständler ist dabei der praktische Teil interessanter als der aufsichtsrechtliche: Die Behörde betreibt einen KI-Service-Desk und hat ausdrücklich den Auftrag, Unternehmen bei der Umsetzung zu beraten. Das ist ein anderer Zuschnitt als bei einer reinen Sanktionsbehörde.

Konkret nutzbar sind heute drei Dinge. Der KI-Compliance-Kompass führt durch die Risikoeinstufung; das ist genau der Schritt, an dem die meisten Bestandsaufnahmen hängen bleiben. Daneben liegt ein Factsheet speziell für KMU und Start-ups. Und die Beschwerdestelle nach § 8 KI-MIG arbeitet ausschließlich über ein Online-Formular und nimmt keine Beschwerden per E-Mail entgegen. Das ist in beide Richtungen relevant, denn auch Wettbewerber können diesen Weg gehen.

Die KI-Reallabore sind dagegen noch nicht eröffnet. Bislang gibt es ein abgeschlossenes Pilotprojekt und die Beteiligung an einem EU-Vorhaben, kein reguläres Angebot, in das du dein System hineingeben könntest. Das ist kein Versäumnis: Der Omnibus verpflichtet die Mitgliedstaaten erst zum 2. August 2027, mindestens ein einsatzbereites nationales Reallabor vorzuhalten.

Ein Detail, das die Lage gut beschreibt: Der Fristen-Zeitstrahl der Bundesnetzagentur ist inzwischen vollständig auf den Digital Omnibus umgestellt und markiert die verschobenen Einträge ausdrücklich. Auf der KI-Startseite der Behörde steht dagegen weiterhin die alte Zusammenfassung, die Regelungen gälten „vollständig ab August 2027“. Zwei Seiten derselben Behörde, zwei Stände. Für dich heißt das: Prüf Fristen am Verordnungstext, nicht an einer Behörden-Übersichtsseite.

Ein Missverständnis lohnt sich zu vermeiden: Die Bundesnetzagentur ist nicht für alles zuständig. KI, die in bereits regulierte Produkte eingebettet ist, bleibt bei den jeweiligen Produkt-Marktüberwachungsbehörden. KI in regulierten Finanztätigkeiten fällt an die BaFin. KI bei Landesbehörden bleibt Ländersache. Bevor du dich mit einer Frage an eine Behörde wendest, klärst du also zuerst, welche für deinen Anwendungsfall überhaupt die richtige ist.

Praktisch heißt das: Die Zeit, in der man auf die unklare Zuständigkeit verweisen konnte, ist vorbei. Es gibt eine benannte Stelle, sie nimmt Beschwerden entgegen, und sie hat ein Beratungsangebot, das nichts kostet. Wer bei der Risikoeinstufung unsicher ist, hat damit einen ersten Anlaufpunkt, bevor er externe Beratung einkauft.

Fahrplan für den Mittelstand

Die meisten KMU brauchen keine überdimensionierte Compliance-Maschinerie. Sie brauchen einen geordneten Einstieg. Eine sinnvolle Reihenfolge:

1. Bestandsaufnahme: Erfasse, welche KI-Systeme im Unternehmen genutzt werden, in welchen Abteilungen und zu welchem Zweck. Ohne dieses Inventar lässt sich keine Risikoklasse zuordnen.
2. Risikoeinstufung: Ordne jedes System einer der vier Klassen zu. In der Regel landet das meiste bei minimalem oder begrenztem Risiko. Die wenigen Hochrisiko-Fälle, häufig im Recruiting, verdienen besondere Aufmerksamkeit.
3. KI-Kompetenz aufbauen: Schulungen aufsetzen und dokumentieren. Das ist neben der Transparenzpflicht die Pflicht, die für jeden Betreiber unabhängig von der Risikoklasse gilt.
4. Kennzeichnung regeln: Lege fest, wie KI-generierte Inhalte gekennzeichnet werden und wie sich deine Chatbots als KI zu erkennen geben. Die Transparenzpflicht gilt seit dem 2. August 2026; dieser Punkt ist keine Vorbereitung mehr, sondern Pflichterfüllung. Die Karenz bis zum 2. Dezember 2026 betrifft nur das maschinenlesbare Watermarking, und das schulden die Anbieter generativer Systeme, die vor dem 2. August 2026 auf den Markt kamen. Frag deine Tool-Anbieter, wie sie es umsetzen.
5. Verantwortlichkeit festlegen: Benenne, wer im Unternehmen das Thema verantwortet. In kleineren Betrieben reicht oft eine Person mit klarem Mandat.

Wer diese fünf Schritte sauber abarbeitet, ist für den realistischen Pflichtenkreis 2026 gut aufgestellt. Brauchst du beim Einstieg Unterstützung, hilft eine strukturierte KI-Beratung bei Bestandsaufnahme und Risikoeinstufung.

Einordnung

Der EU AI Act ist 2026 in einer Phase, in der zwischen geltenden und verschobenen Pflichten zu unterscheiden ist. Geltend sind die KI-Kompetenz und die Verbote seit Februar 2025, seit dem 2. August 2026 außerdem die Transparenzpflichten nach Artikel 50; nur das Anbieter-Watermarking für Bestandssysteme folgt am 2. Dezember 2026.

Dieser Termin ist damit der nächste harte Stichtag, und er trägt zwei Posten: Erstens läuft die Karenzfrist für das Watermarking ab. Zweitens greift das neue Verbot von KI-Systemen, die nicht-einvernehmliche intime Darstellungen oder Darstellungen des Kindesmissbrauchs erzeugen. Die Hochrisiko-Pflichten hat der Digital Omnibus auf Ende 2027 und 2028 verschoben. Seit dem 27. Juli 2026 ist er als Verordnung (EU) 2026/1744 in Kraft, der Fahrplan ist geltendes Recht.

Die Lage ist damit weniger dramatisch, als es die Schlagzeilen zum 35-Millionen-Bußgeld nahelegen, aber sie ist auch nicht erledigt. Die Pflichten zur KI-Kompetenz und zur Transparenz sind real und gelten jetzt. Der Rest lässt sich planen, wenn die Bestandsaufnahme früh genug beginnt. Genau das ist der vernünftige Umgang mit einer Regulierung, deren Fahrplan sich gerade erst sortiert hat: nicht abwarten, aber auch nicht überreagieren.

Wenn du diese Woche nur eine Sache anstößt, dann das Inventar deiner eingesetzten KI-Systeme. Alles Weitere baut darauf auf.

Häufige Fragen zum EU AI Act

Wurde der AI Act verschoben?

Teilweise. Der Digital Omnibus hat im Kern die Hochrisiko-Pflichten verschoben: auf den 2. Dezember 2027 für Systeme nach Anhang III und auf den 2. August 2028 für KI in regulierten Produkten nach Anhang I. Dazu kommt eine Übergangsfrist bis zum 2. Dezember 2026 für die maschinenlesbare Markierung bei Bestandssystemen. Verbote und KI-Kompetenz gelten seit Februar 2025, die Transparenzpflichten nach Artikel 50 seit dem 2. August 2026.

Was ist der Digital Omnibus?

So heißen zwei Gesetzespakete, die die EU-Kommission am 19. November 2025 vorgeschlagen hat. Der KI-Omnibus ändert die KI-Verordnung und ist als Verordnung (EU) 2026/1744 seit dem 27. Juli 2026 in Kraft. Der allgemeine Omnibus zu DSGVO, Data Act und Cookie-Regeln ist Stand Oktober 2026 noch ein Vorschlag, der im Europäischen Parlament auf die Abstimmung in den Ausschüssen wartet.

Muss ich meinen Chatbot als KI kennzeichnen?

Ja, sofern nicht offensichtlich ist, dass eine KI antwortet. Die Pflicht trifft den Anbieter des Chatbots, und das bist du selbst, wenn du den Bot unter eigenem Namen entwickelt hast oder hast entwickeln lassen. Der Hinweis gehört spätestens in die erste Nachricht; ein Satz in den AGB genügt nach den Leitlinien der Kommission nicht.