EU AI Act – Verordnung (EU) 2024/1689
Im Sommer 2026 hat die EU mit dem Digital Omnibus die Anwendung der Hochrisiko-Regeln deutlich nach hinten gelegt. Viele lesen das als Entwarnung. Das ist es nicht: Die Verbote gelten seit Februar 2025, die Pflicht zur KI-Kompetenz ebenfalls, und die Transparenzpflichten für KI-erzeugte Inhalte sind seit August 2026 scharf gestellt.
Aktueller Stand
Der Digital Omnibus wurde als Verordnung (EU) 2026/1744 im Amtsblatt veröffentlicht und ist in Kraft. Er ändert die Fristen der KI-Verordnung, nicht ihre Logik. Stand dieser Übersicht: Oktober 2026.
Gilt seit 2. Februar 2025
Verbotene Praktiken nach Artikel 5 sind untersagt. Und: Artikel 4 verpflichtet Anbieter wie Betreiber, für ausreichende KI-Kompetenz ihres Personals zu sorgen – unabhängig von jeder Risikoklasse. Diese Pflicht trifft praktisch jedes Unternehmen, das KI einsetzt.
Gilt seit 2. August 2025
Die Pflichten für Anbieter von GPAI-Modellen gelten. Für die meisten mittelständischen Unternehmen relevant als Frage an den Lieferanten: Welches Modell steckt in dem Werkzeug, das wir einsetzen, und erfüllt dessen Anbieter seine Pflichten?
Gilt seit 2. August 2026
Artikel 50: KI-erzeugte oder -veränderte Inhalte müssen als solche erkennbar sein, Chatbots müssen sich zu erkennen geben. Für Systeme, die vor dem 2. August 2026 auf den Markt kamen und synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, läuft die Frist am 2. Dezember 2026 ab.
Neu: 2. Dezember 2027
Die Pflichten für eigenständige Hochrisiko-Systeme – unter anderem in Personalauswahl, Kreditwürdigkeit, Bildung und kritischer Infrastruktur – greifen nun ab dem 2. Dezember 2027 statt ab August 2026. Systeme, die bis dahin in Verkehr sind, fallen erst bei wesentlicher Änderung darunter.
Was sonst noch kam
Der Omnibus hat mehr verändert als nur ein Datum. Zwei dieser Punkte sind für den Mittelstand unmittelbar relevant.
Neu eingeführt wurde die Kategorie der „small mid-cap“-Unternehmen: weniger als 750 Beschäftigte und höchstens 150 Millionen Euro Umsatz oder 129 Millionen Euro Bilanzsumme. Diese Unternehmen bekommen vereinfachte technische Dokumentation, verhältnismäßigere Anforderungen an das Qualitätsmanagement, bevorzugten Zugang zu Reallaboren und angepasste Bußgeldobergrenzen. Viele Mittelständler, die bisher aus den KMU-Erleichterungen herausfielen, sind damit wieder drin.
Artikel 5 wurde erweitert um KI-Systeme, die nicht einvernehmliche intime Darstellungen identifizierbarer Personen erzeugen – einschließlich sogenannter Nudifier-Anwendungen – sowie um Systeme zur Erzeugung von Darstellungen sexuellen Kindesmissbrauchs. Erfasst sind auch Systeme, bei denen solche Ergebnisse ohne wirksame Schutzmaßnahmen vorhersehbar reproduzierbar sind.
Für KI, die als Sicherheitsbauteil in Produkten steckt, die bereits unter europäisches Harmonisierungsrecht fallen – Maschinen, Medizinprodukte, Aufzüge – gilt eine eigene, spätere Frist. Zugleich wurde der Begriff des Sicherheitsbauteils enger gefasst: Systeme, die nur Komfort, Effizienz oder Bedienung verbessern, fallen nicht darunter.
Anbieter und Betreiber von KI-Systemen, die für die Nutzung durch Behörden bestimmt sind, haben die längste Frist. Wer an die öffentliche Hand liefert, sollte sich davon nicht täuschen lassen: Die Beschaffungsstellen fragen in aller Regel deutlich früher.
Die erste Frage
Fast jede Diskussion über den AI Act scheitert daran, dass diese Frage nicht beantwortet ist. Sie entscheidet darüber, welche Pflichten Sie überhaupt treffen.
Klartext
Verschoben wurden die Pflichten für Hochrisiko-Systeme. Die Verbote, die KI-Kompetenzpflicht und die Transparenzpflichten gelten bereits. Und der Teil, der Zeit braucht, ist ohnehin nicht die Umsetzung, sondern die Bestandsaufnahme: herauszufinden, welche KI im Haus überhaupt läuft. Dafür ist Dezember 2027 keine komfortable Frist, sondern eine realistische.
Als Betreiber haben Sie weniger Pflichten als ein Anbieter, aber nicht keine. Und die Einstufung, in welche Risikoklasse ein von Ihnen genutztes System fällt, nimmt Ihnen niemand ab – auch Ihr Softwareanbieter nicht, weil sie vom Verwendungszweck abhängt. Der ist Ihrer.
Nein. Die KI-Verordnung arbeitet mit harmonisierten europäischen Normen; ISO/IEC 42001 ist eine internationale Norm und begründet keine Konformitätsvermutung. Was ISO 42001 leistet: Es baut Systemverzeichnis, Rollenklarheit, Risikobewertung, Daten-Governance, menschliche Aufsicht und Vorfallbehandlung auf – also genau die Strukturen, die die Verordnung voraussetzt, ohne sie Ihnen beizubringen. Wer das hat, kann die Pflichten erfüllen. Wer es nicht hat, fängt bei der ersten Frage an.
Häufige Fragen
Anbieter und Betreiber müssen dafür sorgen, dass ihr Personal über ausreichende KI-Kompetenz verfügt – gemessen an der Rolle, der Vorbildung und dem Zusammenhang, in dem die Systeme eingesetzt werden. Die Verordnung schreibt kein Format vor. Entscheidend ist, dass die Maßnahme zum Einsatz passt und dass sie nachweisbar stattgefunden hat.
Über den Verwendungszweck, nicht über die Technik. Dasselbe Sprachmodell kann in der Textproduktion unkritisch und in der Bewerberauswahl Hochrisiko sein. Deshalb beginnt jede Einstufung mit einem vollständigen Verzeichnis: Welches System, wofür, mit welchen Daten, mit welcher Folge für wen?
Ja, als Betreiber. Die Pflichten sind schlanker als die eines Anbieters, aber vorhanden: bestimmungsgemäße Verwendung, menschliche Aufsicht, Information betroffener Personen, Protokollführung. Und die Kompetenzpflicht gilt ohne Einschränkung.
Die Verordnung sieht gestaffelte Obergrenzen vor, die sich am Verstöß und am weltweiten Jahresumsatz orientieren – am höchsten bei verbotenen Praktiken. Der Omnibus hat für kleine, mittlere und neuerdings auch für „small mid-cap“-Unternehmen angepasste Obergrenzen eingeführt. Die Zahlen sind das eine; in der Praxis trifft Unternehmen meist früher, dass ein Kunde die Zusammenarbeit aussetzt.
Mit der Bestandsaufnahme. Ohne Verzeichnis gibt es keine Rollenklärung, ohne Rollenklärung keine Einstufung, ohne Einstufung keine Priorisierung. Dieser Schritt ist unspektakulär und dauert am längsten – weil er regelmäßig Werkzeuge zutage fördert, von denen die Geschäftsführung nichts wusste.
Möglich. Die hier genannten Daten geben den Stand nach Veröffentlichung des Digital Omnibus im Amtsblatt wieder. Wir halten diese Seite nach – aber eine Fristplanung, die auf die nächste Verschiebung setzt, ist keine Planung.
Nächster Schritt
Wir erfassen, welche KI-Systeme bei Ihnen im Einsatz sind, klären Ihre Rolle je System und leiten daraus ab, welche Pflichten Sie heute treffen und welche ab Dezember 2027. Daraus ergibt sich, ob ein Managementsystem nach ISO 42001 für Sie sinnvoll ist.
Gerne beraten wir Sie und beantworten all Ihre Fragen rund um die Themen Digitalisierung, Datenschutz und Blockchain.
