EU AI Act

Vier Risikoklassen

Digital Omnibus on AI – Verordnung (EU) 2026/1744, in Kraft seit 27.07.2026

Stand 2026-08-23: Nach der politischen Einigung vom 7. Mai 2026 hat das EU-Parlament am 16.06.2026 zugestimmt, der Rat der EU am 29.06.2026 final gebilligt. Der Digital Omnibus ist als Verordnung (EU) 2026/1744 am 24.07.2026 im EU-Amtsblatt veröffentlicht worden und am 27.07.2026 in Kraft getreten. Die folgenden Fristen sind damit verbindlich, nicht mehr nur erwartet.

• Hochrisiko-Frist (Anhang III) verschoben: Aug 2026 → 02.12.2027
• Anhang I (in regulierte Produkte integrierte KI): verschoben auf 02.08.2028
• Transparenzpflichten (Art. 50) unverändert: Kennzeichnung KI-generierter Inhalte bleibt bei 02.08.2026 – hier gibt es (anders als teils kolportiert) keine Verschiebung.
• SMC-Kategorie eingeführt: < 750 MA / ≤ 150 Mio. € Umsatz → KMU-Erleichterungen
• Art. 4 (AI Literacy) abgeschwächt, nicht gestrichen: Aus „sicherstellen“ wird „Maßnahmen ergreifen, um KI-Kompetenz zu fördern“. Ein bestimmtes Kompetenzniveau pro Person ist damit nicht mehr geschuldet, Kommission und Mitgliedstaaten übernehmen eine Förderrolle. Seit dem 02.08.2026 haben die nationalen Marktüberwachungsbehörden die formale Aufsichts- und Durchsetzungsbefugnis. Ein dokumentierter Schulungsnachweis bleibt sinnvoll – weil er die Rechenschaft gegenüber Behörde und Betriebsrat trägt, nicht weil ein Niveau pro Kopf einklagbar wäre.
• Art. 50 (Transparenzpflichten): Die EU-Kommission hat am 20.07.2026 finale Leitlinien veröffentlicht (51 Seiten, rechtlich nicht bindend, aber maßgeblich für die Auslegungspraxis der Marktüberwachungsbehörden). Der freiwillige Code of Practice on Transparency of AI-Generated Content liegt seit 10.06.2026 vor, die Kommission hat ihn im Juli 2026 als adäquat bewertet. Wie sich das auf einer echten Website umsetzen lässt, zeigt go4ais eigene Transparenzseite – Chat-Kennzeichnung, Bild-Labeling und Redaktionsstatut inklusive.
• DSGVO-Anpassungen: Legitimes Interesse für KI-Training erlaubt; Pseudonymisierung kann von DSGVO entbinden.
• Deutschland – KI-MIG seit 29.07.2026 in Kraft: Der Bundestag beschloss das KI-Marktüberwachungs- und Innovationsförderungsgesetz am 11.06.2026. Die Bundesnetzagentur ist damit zentrale Marktüberwachungsbehörde mit einem Koordinierungs- und Kompetenzzentrum (KoKIVO) und einer KI-Marktüberwachungskammer; BaFin, BSI und BfArM behalten ihre Sektorzuständigkeit. Zwei Punkte, die für KMU praktisch zählen: Das KoKIVO betreibt einen kostenlosen KI-Service-Desk für Compliance-Fragen, vorrangig für kleine und mittlere Unternehmen, und die Bundesnetzagentur muss mindestens ein KI-Reallabor einrichten, zu dem KMU und Start-ups bevorzugt Zugang bekommen. Nationale Bußgelder: bis 50.000 € bei Verstößen gegen Mitwirkungs- und Informationspflichten, bis 7,5 Mio. € oder 1 % des Weltumsatzes bei falschen Angaben gegenüber Behörden.

Was seit dem 02.08.2026 tatsächlich greift – nicht das, was im Marketing steht

Manches Marketing hat den 02.08.2026 als „vollständige Durchsetzung des EU AI Act“ gezeichnet. Das überzeichnet. Was seither tatsächlich greift:

• Art. 4 (AI-Literacy) – seit Feb 2025 inhaltlich in Kraft, seit dem 02.08.2026 prüffähig durch die Bundesnetzagentur als deutsche Marktüberwachungsbehörde, in der Omnibus-Fassung als Förderpflicht.
• Art. 50 (Transparenzpflichten) – Kennzeichnungspflicht für KI-generierte Inhalte, ebenfalls seit 02.08.2026, unverschoben. Die maschinenlesbare Kennzeichnung nach Abs. 2 hat eine Übergangsfrist bis 02.12.2026, aber nur für Systeme, die vor dem 02.08.2026 in Verkehr waren, und nur auf Anbieterseite.
• Art. 5 (Verbote) – seit Feb 2025 in Kraft. Zwei weitere Verbote (Nudifier-Anwendungen, CSAM) kommen zum 02.12.2026 dazu.
• GPAI-Pflichten – seit 02.08.2025 in Kraft, seit 02.08.2026 durch das AI Office durchsetzbar. Wer ChatGPT, Claude oder Copilot lediglich nutzt, hat daraus keine eigenen Pflichten.

Hochrisiko-Pflichten (Anhang III) liegen dagegen auf 02.12.2027. Für die meisten KMU als Deployer bleibt die operative Pflicht damit auf AI-Literacy-Nachweis und Transparenzkennzeichnung begrenzt – genau diese zwei sollten erledigt sein.

Provider oder Deployer?

Provider (Anbieter) entwickelt oder verändert ein KI-System wesentlich → trägt die Hauptlast der Konformitätsbewertung.

Deployer (Betreiber) nutzt ein fertiges KI-System → deutlich geringere Pflichten. Die meisten KMU sind Deployer. Das reduziert die Compliance-Last erheblich.

ISO 42001 ist 2026 als Goldstandard für KI-Governance etabliert – sinnvoll für alle, die ohnehin auf Hochrisiko zusteuern oder mit Konzern-Auftraggebern arbeiten, die das früher oder später fordern werden.

Bußgeldstruktur

Compliance-Reihenfolge für KMU

1. Verbote einhalten (sofort – seit Feb 2025)
2. KI-Inventar erstellen
3. Risikoklassifizierung + Provider-/Deployer-Rolle klären
4. Bei Hochrisiko: Vorbereitung auf Dez 2027 (Risikomanagement, DSFA)
5. AI Policy gegen Shadow AI einführen

Drei Nachweise, die seit dem 02.08.2026 prüffähig sein müssen

Der Stichtag ist vorbei. Für ein KMU als Deployer reduziert sich die operative Pflicht auf drei Dokumente. Das ist behördenfest, unabhängig von der Risikoklasse, und in 1–2 Wochen erstellbar. Wer sie noch nicht hat, holt sie jetzt nach; wer Fragen zur Auslegung hat, kann seit Ende Juli den kostenlosen KI-Service-Desk des KoKIVO bei der Bundesnetzagentur nutzen:

1. AI-Literacy-Nachweis (Art. 4) – Schulungsaufzeichnung: Datum, Themen, Teilnehmerliste, Format. Interne Briefings reichen, wenn dokumentiert.
2. Risikoregister – Tabellarische Liste aller KI-Systeme mit Anwendungsbereich, Risikoklasse, Verantwortlicher.
3. KI-Policy (Minimalversion) – 2–5 Seiten: Wer darf was, wie wird Output geprüft, wo ist menschliche Freigabe Pflicht. Der Satz, an dem solche Policies im Alltag scheitern, betrifft die Eingabe: welche Daten überhaupt in einen Prompt dürfen und was vorher ersetzt wird (siehe Pseudonymisierung & Anonymisierung).

Mehr ist für die meisten KMU-Deployer nicht erforderlich. Weniger ist Bußgeldrisiko.

Pragmatische Umsetzung

• Inventar aller eingesetzten KI-Tools (was, wo, von wem)
• Risiko-Klassifikation pro Tool (Minimal / Limited / High)
• Bei Limited / High: Dokumentation + DSGVO-Abgleich
• Bei Minimal: nichts tun außer regelmäßig prüfen, ob’s Minimal bleibt

Regulatorische Sandboxes

Seit August 2026 muss jeder EU-Mitgliedstaat mindestens einen Sandkasten betreiben. KMU und Start-ups bekommen kostenfreien Zugang. Deutschland: über die Bundesnetzagentur, die durch das seit 29.07.2026 geltende KI-MIG formal verpflichtet ist, mindestens ein KI-Reallabor einzurichten. Der Exit Report aus dem Sandkasten ist Compliance-Nachweis für spätere Konformitätsbewertung.

Leitlinien und Normen – was noch fehlt

Wer heute Compliance nach „harmonisierter Norm“ verspricht, verspricht zu viel. Stand August 2026 ist keine Norm des CEN-CENELEC JTC 21 im Amtsblatt zitiert, es gibt also keine Konformitätsvermutung nach Art. 40. EN 18286 (KI-Qualitätsmanagement) steckt in der Approval-Phase, die Normungsgremien haben im Oktober 2025 ein Beschleunigungspaket mit Ziel Q4 2026 beschlossen. Wer zertifizieren will, bezieht sich auf Entwürfe oder auf ISO/IEC 42001 – das ist eine Marktentscheidung, keine Rechtspflicht.

Auch die Leitlinien zur Hochrisiko-Einstufung nach Art. 6 liegen nur als Entwurf vor (19.05.2026, rund 148 Seiten, Konsultation bis 23.06.2026). Für Organisationen, die nah an Anhang III operieren – Personalauswahl, Kreditwürdigkeit, Bildung – heißt das: die Einstufung im Grenzfall ist noch nicht abschließend geklärt, die Frist Dezember 2027 aber schon.