Was passiert ist
Am 16. Juni 2026 hat das Europäische Parlament den Digital Omnibus angenommen, am 29. Juni folgte der Rat. Damit ist die meistdiskutierte Frist der EU-KI-Verordnung — der 2. August 2026 als Stichtag für Hochrisiko-Systeme — Geschichte.
Was daraus in der öffentlichen Wahrnehmung geworden ist, sind zwei Missverständnisse.
Das erste lautet: Der AI Act ist verschoben, wir haben Zeit bis 2027. Das stimmt für einen klar abgegrenzten Teil der Verordnung und für alles andere nicht.
Das zweite lautet: Am 2. August passiert nichts mehr. Das ist falsch. Es tritt eine Pflicht in Kraft — sie trifft nur andere Adressaten, als die meisten Ratgeber gerade behaupten.
Die Fristen im Überblick
| Pflicht | Status |
|---|---|
| Art. 4 — KI-Kompetenz | Gilt seit 02.02.2025, unverändert |
| Art. 5 — Verbotene Praktiken | Gilt seit 02.02.2025, ergänzt um ein Verbot von NCII und CSAM |
| GPAI-Pflichten | Gelten seit 02.08.2025, unverändert |
| Art. 50 — Transparenz | 02.08.2026 — nicht verschoben |
| Maschinenlesbare Markierung (Art. 50 Abs. 2) | 02.12.2026 für Systeme, die am 02.08.2026 bereits im Markt sind |
| Hochrisiko Annex III (standalone) | Verschoben: 02.08.2026 → 02.12.2027 |
| Hochrisiko Annex I (produkteingebettet) | Verschoben: 02.08.2027 → 02.08.2028 |
Die Verschiebung ist real und substanziell — für die Unternehmen, die sie betrifft. Das sind Betriebe, die KI in der Kreditwürdigkeitsprüfung, im Versicherungspricing, im Bewerber-Screening, in der Bildung oder in kritischer Infrastruktur einsetzen. Wer heute Lebensläufe automatisiert vorsortieren lässt, hat statt weniger Tage nun rund sechzehn Monate Zeit.
Der Punkt, den fast alle Ratgeber überspringen
Artikel 50 hat vier Absätze, und sie richten sich an zwei verschiedene Adressaten. Wer das übersieht, verkauft Mittelständlern Pflichten, die sie gar nicht treffen — oder übersieht die, die sie treffen.
| Adressat | Inhalt | |
|---|---|---|
| Abs. 1 | Anbieter | KI-Systeme, die direkt mit Menschen interagieren, müssen so gestaltet sein, dass die Interaktion erkennbar ist — außer es ist ohnehin offensichtlich |
| Abs. 2 | Anbieter | Synthetische Audio-, Bild-, Video- und Textausgaben müssen maschinenlesbar markiert sein |
| Abs. 3 | Betreiber | Bei Emotionserkennung und biometrischer Kategorisierung müssen Betroffene informiert werden |
| Abs. 4 | Betreiber | Kennzeichnungspflicht für KI-Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden |
Anbieter ist, wer ein KI-System entwickelt und unter eigenem Namen oder eigener Marke in Verkehr bringt. Betreiber ist, wer ein KI-System unter eigener Verantwortung einsetzt.
Für ein typisches KMU heißt das: Wenn Sie ChatGPT nutzen, sind Sie Betreiber. Die maschinenlesbare Markierung aus Absatz 2 schulden Sie nicht — die schuldet OpenAI. Wenn Sie einen Chatbot eines Anbieters auf Ihrer Website einbinden, sind Sie ebenfalls Betreiber; die Gestaltungspflicht aus Absatz 1 liegt beim Anbieter des Chatbots.
Das ist die gute Nachricht. Jetzt die unbequeme.
Wo es für Mittelständler trotzdem eng wird
Erstens: Sie können ungewollt zum Anbieter werden. Wer ein KI-System unter eigenem Namen oder eigener Marke anbietet, wer es wesentlich verändert oder wer seine Zweckbestimmung ändert, rutscht in die Anbieterrolle — mitsamt der Pflichten aus Absatz 1 und 2. Der klassische Fall ist der weiß gelabelte Chatbot, der als „Ihr Assistent” mit Ihrem Logo auftritt. Ob die Grenze im Einzelfall überschritten ist, hängt an Details der Vertragsgestaltung und der technischen Anpassungstiefe. Das ist die Frage, die man vorher klären sollte und nicht im Prüfungsfall.
Zweitens: Absatz 4 hat eine engere Reichweite, als oft behauptet wird — aber eine Reichweite. Er greift nur bei Texten, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden, und er greift ausdrücklich nicht, wenn der Inhalt einer menschlichen Überprüfung oder redaktionellen Kontrolle unterlag und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt. Ihr Produkttext, Ihr Newsletter, Ihr LinkedIn-Post über die neue Maschinenhalle sind damit im Normalfall außen vor. Ein automatisiert erzeugter Beitrag zu einem gesellschaftlich relevanten Thema, den niemand gegengelesen hat, ist es nicht.
Drittens: Absatz 3 wird regelmäßig übersehen. Emotionserkennung und biometrische Kategorisierung sind Betreiberpflichten, und manche Callcenter- oder Bewerbungsanalytik fällt darunter, ohne dass sie im Haus je so genannt wurde.
Viertens: Verlassen Sie sich nicht blind darauf, dass Ihr Anbieter liefert. Auch wenn die Pflicht rechtlich beim Anbieter liegt — Sie sind es, dessen Kunden vor dem Chatbot sitzen. Ob die Offenlegung tatsächlich stattfindet, sollte Teil Ihrer Lieferantenprüfung sein. Ob Betreiber darüber hinaus eine eigenständige Pflicht trifft, wird in der Praxis derzeit unterschiedlich beurteilt; die sichere Seite ist, es sicherzustellen.
Bei Verstößen gegen Artikel 50 drohen bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Für KMU greift eine Verhältnismäßigkeitsregel. Durchgesetzt wird das von den nationalen Marktüberwachungsbehörden.
Die Pflicht, die schon länger gilt und die wirklich jeden trifft
Artikel 4 verlangt seit dem 2. Februar 2025 von jedem Unternehmen, das KI einsetzt, den Nachweis ausreichender KI-Kompetenz bei den Mitarbeitenden. Nicht ab einer bestimmten Betriebsgröße. Nicht ab einem bestimmten Risikoniveau. Nicht nur von Anbietern. Von jedem.
Diese Pflicht wurde vom Digital Omnibus nicht angetastet, und sie ist in der Praxis diejenige, an der die meisten KMU hängen — weil sie greift, lange bevor jemand im Haus das Wort „KI-Projekt” in den Mund genommen hat.
Der Satz, den ich in fast jedem Erstgespräch höre, lautet: Wir setzen doch gar keine KI ein. Meistens stimmt er nicht. Was in der Praxis zählt:
- Die Kollegin im Marketing, die Texte mit ChatGPT vorschreibt
- Copilot in Microsoft 365, oft schon über die Lizenz aktiv
- Der KI-Assistent im CRM, der Antwortvorschläge macht
- Übersetzungstools mit KI-Backend
- Bewerbermanagement mit automatischer Vorsortierung — das wäre sogar Hochrisiko
- Der Chatbot, den vor zwei Jahren eine Agentur eingebaut hat
Keines davon war je ein KI-Projekt. Alle sind KI-Einsatz im Sinne der Verordnung.
Was ich KMU jetzt rate
Klären Sie zuerst Ihre Rolle, nicht Ihre Pflichten. Anbieter oder Betreiber — diese Frage entscheidet, welcher Teil von Artikel 50 Sie überhaupt betrifft. Wer sie überspringt, dokumentiert entweder zu viel oder das Falsche.
Prüfen Sie gezielt die Betreiberpflichten. Setzen wir Emotionserkennung oder biometrische Kategorisierung ein? Veröffentlichen wir automatisiert erzeugte Texte zu öffentlich relevanten Themen ohne redaktionelle Kontrolle? Das sind zwei Fragen, keine zwanzig.
Prüfen Sie, ob Sie unbemerkt Anbieter geworden sind. Überall dort, wo fremde KI unter Ihrem Namen auftritt, lohnt der genaue Blick.
Behandeln Sie den Dezember 2027 als Puffer, nicht als neue Deadline. Konformitätsbewertung und technische Dokumentation werden nicht kürzer, wenn man sie aufschiebt.
Dokumentieren Sie die Kompetenzpflicht nachvollziehbar. Eine Schulung, deren Durchführung Sie nicht belegen können, existiert aufsichtsrechtlich nicht.
Fazit
Der Digital Omnibus hat den Zeitdruck aus dem Hochrisiko-Bereich genommen. Was am 2. August 2026 in Kraft tritt, ist real, aber differenzierter adressiert, als der aktuelle Beratungslärm suggeriert: Der größere Teil von Artikel 50 richtet sich an die Anbieter der Systeme, nicht an die Unternehmen, die sie benutzen.
Für ein typisches KMU bleibt damit vor allem eine Pflicht übrig, und die gilt schon seit anderthalb Jahren: der Nachweis der KI-Kompetenz aus Artikel 4.
Wer aus der Verschiebung schließt, gar nichts tun zu müssen, hat die falsche Hälfte gelesen. Wer sich von pauschalen Kennzeichnungsforderungen treiben lässt, allerdings auch.
Dieser Beitrag gibt den Stand vom 28. Juli 2026 wieder und stellt keine Rechtsberatung im Sinne des Rechtsdienstleistungsgesetzes dar. Er dient der organisatorischen Orientierung zur Verordnung (EU) 2024/1689. Die Abgrenzung zwischen Anbieter- und Betreiberrolle ist im Einzelfall rechtlich zu bewerten.
Sie wollen wissen, in welcher Rolle Sie stehen? Der AI-Act-Readiness-Check klärt in wenigen Tagen, welche Pflichten Sie treffen und welche nicht — zum Festpreis, remote, ohne Software-Projekt.
