Fünf Tage vor der Frist verschoben: was vom AI Act jetzt wirklich gilt
Am 2. August 2026 sollten die Hochrisiko-Pflichten des EU AI Acts greifen. Fünf Tage vorher trat der Digital Omnibus in Kraft und schob sie auf Dezember 2027. Verschoben wurde aber nur ein Teil: Die Transparenzpflichten gelten seit August, die Bundesnetzagentur ist seitdem Aufsicht und Beschwerdestelle, und am 2. Dezember 2026 läuft eine Frist ab, die kaum jemand auf dem Schirm hat. Eine Korrektur unserer eigenen Einschätzung vom Mai.
Ende Mai haben wir hier einen Beitrag mit dem Titel „67 Tage bis zum EU AI Act” veröffentlicht. Darin stand, was am 2. August 2026 auf den Mittelstand zukommt, und die Empfehlung, den August nicht ohne dokumentierte Konformitätsbewertung zu erreichen, falls Sie Hochrisiko-KI einsetzen.
Der 2. August ist vorbei. Und fünf Tage vorher hat sich die Rechtslage geändert.
Am 27. Juli 2026 trat die Verordnung (EU) 2026/1744 in Kraft, im Amtsblatt veröffentlicht am 24. Juli. Sie heißt „Digital Omnibus on AI” und ändert unter anderem die KI-Verordnung selbst. Ihr wichtigster Punkt: die strengen Pflichten für Hochrisiko-Systeme wurden um sechzehn Monate nach hinten geschoben.
Das ist keine Kleinigkeit. Der Termin, auf den ein halbes Beratungsjahr hingearbeitet hat, wurde eine knappe Woche vor seinem Eintreten kassiert. Deshalb dieser Text: eine Korrektur unserer eigenen Einschätzung, und eine Trennung zwischen dem, was jetzt Zeit hat, und dem, was seit August scharf ist.
Was verschoben wurde
Zwei Daten haben sich bewegt:
Eigenständige Hochrisiko-Systeme nach Anhang III sollten ab dem 2. August 2026 die vollen Pflichten erfüllen. Risikomanagement nach Art. 9, Daten-Governance nach Art. 10, technische Dokumentation nach Art. 11, Protokollierung nach Art. 12, menschliche Aufsicht nach Art. 14, Qualitätsmanagement nach Art. 17, Registrierung in der EU-Datenbank nach Art. 71. Neuer Stichtag ist der 2. Dezember 2027.
Das betrifft genau die Bereiche, die wir im Mai als mittelstandsrelevant markiert haben: KI in der Personalauswahl, in der Kreditvergabe, in Bildung und Prüfung, beim Zugang zu wesentlichen Diensten.
KI als Sicherheitsbauteil in regulierten Produkten nach Anhang I, also in Maschinen, Medizinprodukten, Aufzügen, Spielzeug, stand im Mai bei uns auf dem 2. August 2027. Neuer Stichtag ist der 2. August 2028. Auch das ist eine Korrektur an unserem eigenen Text.
Der Digital Omnibus ändert dafür nicht nur die KI-Verordnung, sondern greift auch in die EASA-Verordnung und die Maschinenverordnung ein, damit die Fristen zueinander passen.
Was nicht verschoben wurde
Hier wird es für die meisten Leser interessant, denn dieser Teil ist scharf und wird durchgesetzt.
Die Transparenzpflichten nach Art. 50 gelten seit dem 2. August 2026. Wer ein KI-System betreibt, das direkt mit Menschen spricht, muss dafür sorgen, dass die Menschen das erkennen. Wer KI-erzeugte oder manipulierte Inhalte veröffentlicht, muss sie kennzeichnen. Bei Deepfakes und bei KI-generierten Texten zu Fragen von öffentlichem Interesse trifft diese Offenlegungspflicht ausdrücklich auch den Betreiber, nicht nur den Anbieter.
Die verbotenen Praktiken nach Art. 5 gelten seit Februar 2025, die Pflichten für Anbieter allgemeiner KI-Modelle seit August 2025. Beides war nie Teil der Verschiebung.
Und es gibt seit dem 2. August eine Adresse. Mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG, hat Deutschland am 10. Juni 2026 seine Vollzugsarchitektur beschlossen. Zentrale Marktüberwachungsbehörde ist die Bundesnetzagentur. Sie ist zugleich Anlaufstelle und Beschwerdestelle. Das ist der praktisch wichtigste Satz dieses Beitrags: Es gibt jetzt eine Stelle, bei der sich ein Bewerber, ein Kunde oder ein Wettbewerber über Ihren KI-Einsatz beschweren kann.
Der Termin, den kaum jemand auf dem Schirm hat
Am 2. Dezember 2026 läuft eine Übergangsfrist ab, und der Digital Omnibus hat sie sogar verkürzt, von sechs auf drei Monate.
Anbieter generativer KI-Systeme, die vor dem 2. August 2026 bereits in Verkehr waren, müssen bis dahin die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 umsetzen. Gemeint ist eine technisch wirksame, interoperable und robuste Markierung synthetischer Audio-, Bild-, Video- und Textinhalte, soweit technisch machbar. Die übrigen Transparenzpflichten aus Art. 50 sind von dieser Übergangsfrist nicht erfasst, die gelten wie gesagt seit August.
Zum selben Datum, dem 2. Dezember 2026, treten zusätzliche Verbote nach Art. 5 in Kraft. Sie zielen auf Systeme zur Erzeugung nicht einvernehmlicher intimer Aufnahmen und auf Darstellungen sexuellen Kindesmissbrauchs.
Für Unternehmen, die Reallabore nutzen wollen: die Frist für die nationalen Sandboxes wurde auf den 2. August 2027 verlängert. Die Erleichterungen für kleine Unternehmen wurden zudem auf sogenannte Small Mid-Caps ausgeweitet.
Die Frage, an der bei Ihnen alles hängt
Anbieter oder Betreiber. Der AI Act unterscheidet scharf, und die Pflichten verteilen sich unterschiedlich.
Die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 ist eine Anbieterpflicht. Wenn Sie einen Chatbot von der Stange einsetzen, sitzt diese Pflicht beim Hersteller, nicht bei Ihnen. Die Offenlegung von Deepfakes und von KI-generierten Texten zu Fragen öffentlichen Interesses nach Art. 50 Abs. 4 ist dagegen eine Betreiberpflicht, und die trifft Sie.
Die Grenze verwischt allerdings schneller, als vielen lieb ist. Wer ein zugekauftes Modell unter eigenem Namen und mit eigener Konfiguration in Verkehr bringt, kann in die Anbieterrolle rutschen. Das ist im Zweifel keine Frage, die man aus einem Blogbeitrag beantwortet, auch nicht aus diesem. Aber es ist die Frage, die Sie stellen müssen, bevor Sie entscheiden, ob Sie betroffen sind.
Bußgelder
An den Rahmen hat der Digital Omnibus nichts geändert.
Verstöße gegen die verbotenen Praktiken nach Art. 5 kosten bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Verstöße gegen die Hochrisiko-Pflichten bis zu 15 Millionen Euro oder 3 Prozent. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge.
Dass die Hochrisiko-Pflichten erst Ende 2027 greifen, senkt das Risiko heute. Es beseitigt es nicht, denn die Transparenz- und Verbotstatbestände sind bereits bußgeldbewehrt.
Wir korrigieren uns
Im Mai haben wir geschrieben, wer Hochrisiko-KI einsetzt, solle den August nicht ohne dokumentierte Konformitätsbewertung erreichen. Das war nach damaliger Rechtslage richtig und ist heute falsch. Sie haben bis Dezember 2027 Zeit.
Was daran nicht falsch war: die Arbeit selbst. Risikoeinstufung, technische Dokumentation, Protokollierung und die Frage, wer im Zweifel die Hand hebt und Nein sagt, bleiben Pflicht. Verschoben heißt nicht aufgehoben. Wer im Frühjahr angefangen hat, hat nichts verbrannt, sondern liegt vor der Zeit.
Teuer wurde es an einer anderen Stelle. Wir haben im Frühjahr mehrfach erlebt, dass Unternehmen den ganzen Aufwand in die Hochrisiko-Frage gesteckt haben, in die sie am Ende gar nicht fielen, und dabei die Kennzeichnung übersehen haben, die sie tatsächlich betrifft. Der Chatbot auf der Website, der sich nicht als Chatbot zu erkennen gibt. Der automatisch erzeugte Ratgebertext ohne Hinweis. Das sind die Fälle, die seit August angreifbar sind, und sie kosten in der Vorbereitung fast nichts.
Was wir jetzt raten
Nehmen Sie sich eine Stunde und beantworten Sie vier Fragen schriftlich.
Erstens: Wo im Unternehmen spricht ein KI-System direkt mit Menschen, und ist das für die Menschen erkennbar? Das ist die Pflicht, die heute gilt.
Zweitens: Wo veröffentlichen wir Inhalte, an denen KI beteiligt war, und wie kennzeichnen wir das? Für Deepfakes und für Texte zu Fragen öffentlichen Interesses ist die Antwort nicht optional.
Drittens: Sind wir bei irgendeinem System Anbieter statt nur Betreiber? Wenn ja, kommt die maschinenlesbare Kennzeichnung zum 2. Dezember 2026 dazu.
Viertens: Fallen wir überhaupt in einen der Anhang-III-Bereiche? Wenn nein, ist Dezember 2027 für Sie kein Datum, sondern eine Randnotiz. Wenn ja, haben Sie jetzt sechzehn Monate mehr, und das ist genug Zeit, es ordentlich statt hektisch zu machen.
Wer nach diesen vier Fragen unsicher ist, in welche Kategorie er fällt, für den ist ein kurzer Readiness-Check der schnellste Weg zur Klarheit. Wir machen das in 60 Minuten und sagen Ihnen danach, ob Sie nichts zu tun haben, leichte Hausaufgaben oder echten Konformitätsaufwand. Wir sagen Ihnen auch, wenn Sie uns dafür nicht brauchen.
Dieser Beitrag ordnet die Rechtslage zum Stand 27. August 2026 ein und ersetzt keine Rechtsberatung. Maßgeblich sind die Verordnung (EU) 2024/1689 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung sowie das nationale Durchführungsrecht.