Aktueller Geltungs-Zeitplan

Die Kurzformel „gilt ab August 2026″ beschreibt die Grundregel richtig und die Ausnahmen gar nicht: Ein Teil der Verordnung ist seit Februar 2025 anwendbar, die Hochrisiko-Pflichten kommen zweistufig (2027 und 2028), ein Teil des Verbotskatalogs folgt dem Dezember 2026. Quellen u. a.: VO (EU) 2024/1689 (konsolidierte Fassung mit Stand 27.07.2026), VO (EU) 2026/1744 (ABl. L vom 24.07.2026), KI-MIG (BGBl. 2026 I Nr. 223).

Was der Omnibus inhaltlich geändert hat

• KI-Kompetenz (Art. 4): Statt die KI-Kompetenz „sicherzustellen”, müssen Anbieter und Betreiber jetzt Maßnahmen ergreifen, um sie zu unterstützen – ausdrücklich ohne ein bestimmtes Kompetenzniveau garantieren zu müssen. Die Pflicht bleibt, ihr Maßstab ist realistischer geworden.
• Neue Verbote (Art. 5): nicht-einvernehmliche intime Deepfakes („Nudifier”) und Systeme, die Darstellungen sexuellen Kindesmissbrauchs erzeugen – anwendbar ab 02.12.2026.
• Hochrisiko-Fristen (Art. 113): Anhang III ab 02.12.2027, Anhang I ab 02.08.2028.
• Sicherheitsbauteile (Art. 6 Abs. 1a–1c): KI, die ausschließlich nicht sicherheitsrelevanten Zwecken dient – Nutzerunterstützung, Leistungsoptimierung, Automatisierung, Qualitätskontrolle –, gilt nicht als Sicherheitsbauteil. Was bei Ausfall Gesundheit oder Sicherheit gefährdet, bleibt eines.
• Maschinen: Die Maschinenverordnung (EU) 2023/1230 wandert in Anhang I von Abschnitt A nach Abschnitt B. KI in Maschinen wird damit sektorspezifisch über das Maschinenrecht geregelt statt über das volle Hochrisiko-Regime der KI-Verordnung.
• Registrierung bei Ausnahme (Art. 6 Abs. 3): Wer ein Anhang-III-System per Ausnahme als nicht hochriskant einstuft, muss es weiterhin in der EU-Datenbank registrieren – mit gestrafften Angaben – und seine Bewertung vor dem Inverkehrbringen dokumentieren.
• KMU und kleine Midcaps: Erleichterungen für KMU gelten künftig auch für kleine Midcap-Unternehmen. Bei Bußgeldern gilt für sie der jeweils niedrigere Betrag (Art. 99 Abs. 6a), in KI-Reallaboren erhalten KMU und kleine Midcaps vorrangigen Zugang.

Offizielle Leitlinien der EU-Kommission

Leitlinien sind nicht rechtsverbindlich, zeigen aber, wie die Kommission und die Aufsichtsbehörden die Verordnung lesen werden.

Die erste Frage ist nicht die Risikoklasse. Es ist die Rolle.

Wenn in einem Unternehmen zum ersten Mal ernsthaft über die KI-Verordnung gesprochen wird, fällt fast immer derselbe Satz: „Wir entwickeln ja nichts, wir setzen es nur ein.” Der Satz ist als Entwarnung gemeint. Er ist keine.

Die meisten Unternehmen sind Betreiber – und die Betreiberrolle löst eigene Pflichten aus. Entscheidend ist aber, dass die Rollenzuordnung nicht statisch ist. Artikel 25 nennt drei Vorgänge, durch die ein Betreiber zum Anbieter wird und den weit strengeren Anbieterpflichten nach Artikel 16 unterliegt:

• Zweckänderung (Art. 25 Abs. 1 lit. c) – der wahrscheinlichste und am wenigsten bemerkte Fall. Beispiel: Ein allgemein verfügbares Sprachmodell wird zunächst für Textentwürfe genutzt, ein halbes Jahr später zur Vorsortierung von Bewerbungen. Nichts wurde entwickelt, kein Vertrag geändert – aber der Verwendungszweck fällt jetzt in den Hochrisiko-Bereich. Die Auslösung ist eine Entscheidung im Fachbereich, keine im IT-Projekt.
• Eigener Name (Art. 25 Abs. 1 lit. a) – wer ein zugekauftes Hochrisiko-System mit dem eigenen Namen oder der eigenen Marke versieht, gilt als Anbieter. Typischer Auslöser ist nicht Absicht, sondern Produktgestaltung: eine eigene Oberfläche, ein eigenes Label.
• Wesentliche Veränderung (Art. 25 Abs. 1 lit. b) – wer ein bereits in Verkehr gebrachtes Hochrisiko-System wesentlich verändert, es aber Hochrisiko-System bleibt.

Praktische Folge: Ohne dokumentierte Rollenzuordnung je System wissen Sie nicht, welche Pflichten überhaupt für Sie gelten – und bemerken einen Rollenwechsel erst, wenn jemand danach fragt.

Die vier Risikoklassen

Der AI Act reguliert nicht die Technologie, sondern das Risiko der Anwendung. Ihre Pflichten hängen davon ab, in welche Klasse Ihr System fällt.

Deutschland: Wer die Verordnung durchsetzt

Die Verordnung gilt unmittelbar, überlässt den Mitgliedstaaten aber die Frage, welche Behörde sie durchsetzt. Deutschland hat das geregelt – mit einem Gesetz, das in der Diskussion meist unter einem anderen Namen läuft.

Sanktionen – unverändert scharf

Die Höchstbeträge hat der Digital Omnibus nicht angetastet. Neu ist nur, dass für kleine Midcap-Unternehmen – wie schon für KMU – der jeweils niedrigere Betrag gilt.

Die Frist, die nicht in der KI-Verordnung steht

Für die Produkthaftung gilt ein eigener Stichtag: Die neue Produkthaftungsrichtlinie (EU) 2024/2853 ist bis zum 9. Dezember 2026 umzusetzen und gilt für Produkte, die nach diesem Datum in Verkehr gebracht werden.

Das ist keine Anwendungsfrist im Sinne der KI-Verordnung, sondern eine Stichtagsregel nach Inverkehrbringen – mit der Folge, dass zwei Haftungsregime jahrelang nebeneinander laufen. Wer heute Verträge über Systeme schließt, die bis 2030 in Betrieb bleiben, sollte das Inverkehrbringungsdatum dokumentieren. Es entscheidet darüber, welches Haftungsrecht gilt.

Was das für Ihr Unternehmen heißt – jetzt

Die Fristverschiebung für Hochrisiko-Systeme ist Zeitgewinn, kein Freibrief. Diese Pflichten sind bereits aktiv:

• KI-Kompetenz (Art. 4) – seit Februar 2025. Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihrer Mitarbeitenden zu unterstützen – seit dem Omnibus ohne Garantie eines bestimmten Niveaus. Dokumentierte Schulungen bleiben der naheliegende Nachweis.
• Transparenzpflichten (Art. 50) – seit 2. August 2026. Chatbots, KI-generierte Inhalte und Deepfakes müssen gekennzeichnet werden. Betrifft auch Marketing und Fachpublikationen.
• Rollenzuordnung. Ohne dokumentierte Antwort auf die Frage „Anbieter oder Betreiber?” je System ist keine Pflichtenlage bestimmbar.
• KI-Inventar & Governance. Ohne Überblick, welche KI-Systeme Sie einsetzen und wie sie einzustufen sind, ist keine Compliance planbar.
• Hochrisiko-Vorbereitung. Konformitätsbewertung, Daten-Governance und Dokumentation brauchen Vorlauf – die 2027er-Frist ist knapper, als sie wirkt.

Unser Angebot: von der Standortbestimmung zur belastbaren Compliance

Ihr Weg in 6 Schritten

• 1. Erfassen – Alle eingesetzten und geplanten KI-Systeme inventarisieren.
• 2. Einordnen – Je System die Rolle bestimmen (Anbieter/Betreiber) und die Risikoklasse zuordnen.
• 3. Bewerten – Lücken gegen die konkreten Pflichten identifizieren.
• 4. Umsetzen – Governance, Dokumentation, technische Maßnahmen, Schulung (AI Literacy).
• 5. Nachweisen – Konformität dokumentieren, ggf. Konformitätsbewertung.
• 6. Überwachen – Laufendes Monitoring & Aktualisierung bei neuen Systemen, neuen Zwecken und Rechtsänderungen.