AI Act 2026: Was sich für deutsche Unternehmen ab August ändert – und was verschoben wurde

AI Act 2026: der aktuelle Stand nach dem Digital Omnibus

Der EU AI Act (Verordnung (EU) 2024/1689) ist seit dem 1. August 2024 in Kraft und wird schrittweise anwendbar. Der 2. August 2026 galt lange als Stichtag, an dem der Großteil der Pflichten greifen sollte – einschließlich der Anforderungen an Hochrisiko-Systeme. Dieser Artikel wurde im März 2026 unter dieser Annahme veröffentlicht.

Inzwischen hat sich die Lage geändert: Die EU-Kommission hatte im November 2025 den „Digital Omnibus on AI“ vorgeschlagen, um die Umsetzung zu vereinfachen und Fristen an die Verfügbarkeit technischer Normen anzupassen. Parlament und Rat haben ihn im Sommer 2026 verabschiedet; als Verordnung (EU) 2026/1744 ist er seit Juli 2026 in Kraft. Die Änderungen verschieben vor allem die Fristen für Hochrisiko-KI. Maßgeblich für Details und Stichtage ist die im Amtsblatt der EU veröffentlichte Fassung.

Zeitplan: was wann gilt

Was seit dem 2. August 2026 verbindlich ist

Transparenzpflichten (Art. 50): Diese Pflichten treffen auch viele mittelständische Unternehmen, die KI lediglich einsetzen:

• Interagieren Menschen mit einem KI-System, etwa einem Chatbot im Kundenservice, müssen sie erkennen können, dass sie mit einer Maschine kommunizieren.
• Anbieter generativer Systeme müssen erzeugte Texte, Bilder, Audio- und Videoinhalte maschinenlesbar als KI-generiert kennzeichnen (Art. 50 Abs. 2). Für Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, gilt dafür eine Übergangsfrist bis 2. Dezember 2026.
• Deepfakes und KI-generierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, sind offenzulegen.
• Betroffene sind zu informieren, wenn Emotionserkennung oder biometrische Kategorisierung eingesetzt wird.

Aufsicht in Deutschland: Das nationale Durchführungsgesetz (KI-Marktüberwachungs- und Innovationsförderungsgesetz, KI-MIG) ist am 29. Juli 2026 in Kraft getreten. Danach ist grundsätzlich die Bundesnetzagentur Marktüberwachungsbehörde und Anlaufstelle für die KI-Verordnung; für einzelne Bereiche, etwa den Finanzsektor, bleiben Fachbehörden zuständig.

Bereits seit 2025 gelten die Verbote bestimmter Praktiken (etwa Social Scoring, manipulative Techniken, ungezielte Gesichtsbild-Sammlung) und die Pflicht zur KI-Kompetenz der Beschäftigten (Art. 4). Der Digital Omnibus hat sie präzisiert: Anbieter und Betreiber müssen weiterhin Maßnahmen ergreifen, um die KI-Kompetenz ihrer Beschäftigten zu fördern; ein bestimmtes Kompetenzniveau ist dabei nicht vorgeschrieben. An der praktischen Empfehlung – Schulungen durchführen und dokumentieren – ändert das wenig.

Was verschoben wurde und was sich sonst ändert

• Hochrisiko-Systeme nach Anhang III – etwa KI in Personalauswahl, Kreditwürdigkeitsprüfung, Bildung oder bestimmten Bereichen kritischer Infrastruktur – müssen die Anforderungen erst ab 2. Dezember 2027 erfüllen.
• Hochrisiko-KI in regulierten Produkten wie Maschinen oder Medizinprodukten folgt ab 2. August 2028.
• Engere Abgrenzung von Sicherheitsbauteilen: KI, die in einem regulierten Produkt lediglich den Nutzer unterstützt oder die Leistung optimiert, ohne Sicherheitsfunktion zu übernehmen, fällt nicht mehr automatisch in die Hochrisiko-Kategorie.
• Erleichterungen für kleinere Unternehmen: Vereinfachungen bei Dokumentation, die neben KMU auch auf sogenannte Small Mid-Caps ausgeweitet wurden.

Wichtig: Die Verschiebung ist kein Freifahrtschein. Wer Hochrisiko-KI entwickelt oder einsetzt, braucht Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung und menschliche Aufsicht – der Aufbau dauert in der Regel länger als ein Jahr.

Die Risikoklassen im Überblick

• Unannehmbares Risiko: verboten, etwa Social Scoring oder manipulative KI.
• Hohes Risiko: zulässig mit umfangreichen Pflichten, etwa in Personalwesen, Kreditvergabe, Bildung, kritischer Infrastruktur.
• Begrenztes Risiko: Transparenzpflichten, etwa Chatbots und generierte Inhalte.
• Minimales Risiko: keine besonderen Pflichten, etwa Spamfilter oder interne Textentwürfe.

Die meisten Anwendungen im Mittelstand – interne Wissensassistenten, Textentwürfe, Dokumentensuche – fallen in die Kategorien begrenztes oder minimales Risiko.

Bußgelder

Der AI Act sieht gestaffelte Sanktionen vor: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Millionen Euro oder 3 Prozent bei Verstößen gegen andere Pflichten – darunter die Transparenzpflichten – sowie bis zu 7,5 Millionen Euro oder 1 Prozent bei falschen Angaben gegenüber Behörden. Für KMU gilt jeweils der niedrigere der beiden Beträge; seit dem Digital Omnibus gilt das außer bei verbotenen Praktiken auch für kleine Midcaps. Diese Übersicht (Stand: Oktober 2026) ersetzt keine Rechtsberatung.

Compliance-Checkliste für Mittelständler

1. KI-Inventur: Erfassen Sie alle KI-Systeme im Unternehmen – einschließlich externer Tools wie Chat-Assistenten, die Mitarbeitende nutzen. Ungesteuerte Nutzung ist ein eigenes Risiko, siehe Shadow AI.
2. Risikoklassifizierung: Ordnen Sie jedes System einer Risikoklasse zu und klären Sie Ihre Rolle: Anbieter oder Betreiber?
3. Transparenz umsetzen: Chatbots kennzeichnen, generierte Inhalte markieren, Datenschutzhinweise ergänzen.
4. KI-Kompetenz fördern: Schulungen je Rolle durchführen und dokumentieren.
5. Datenschutz verzahnen: Datenschutz-Folgenabschätzung, wo nötig, Rechte- und Löschkonzepte. Siehe Leitfaden DSGVO-konforme KI.
6. Nachvollziehbarkeit schaffen: Protokollierung von Anfragen und Antworten über ein zentrales Gateway, mit Audit-Trail.
7. Hochrisiko-Fälle vorbereiten: Falls vorhanden, jetzt mit Risikomanagement und Dokumentation beginnen – Stichtag Dezember 2027.

Technisch erleichtert ein Local LLM mit Secure Gateway diese Punkte: Alle KI-Anfragen laufen über einen kontrollierten Zugang in Deutschland, werden protokolliert und können mit PII-Filtern abgesichert werden. Vertiefend zur Verzahnung beider Regelwerke: KI-Compliance zwischen DSGVO und AI Act.

Häufige Fehler

• Die Verschiebung als Entwarnung verstehen und die Vorbereitung einstellen
• Nur die Rechtsabteilung einbinden – IT und Fachbereiche kennen die tatsächlich genutzten Systeme
• Externe KI-Tools in der Inventur vergessen
• Transparenzpflichten beim Kundenservice-Chatbot übersehen

Für Inventur, Risikoklassifizierung und Umsetzungsplanung steht Ihnen VerdaGen.ai zur Seite; Verdacloud liefert die technische Grundlage.