Der „Digital Omnibus" ist seit dem 27. Juli 2026 geltendes Recht — Verordnung (EU) 2026/1744. Er hat die Fristen für Hochrisiko-KI-Systeme nach hinten verschoben, auf Dezember 2027 bzw. August 2028. Das ist das, was die Schlagzeilen machen.
Er hat außerdem Artikel 4 neu gefasst: Die KI-Kompetenzpflicht ist von einer Sicherstellungs- zu einer Unterstützungspflicht geworden. Sie müssen weiterhin Maßnahmen ergreifen — ein bestimmtes Kompetenzniveau schulden Sie nicht mehr.
Was nicht verschoben wurde: die Transparenzpflichten aus Artikel 50. Die gelten seit dem 2. August 2026. Am selben Tag hat auch die aktive nationale Marktüberwachung nach Artikel 70 begonnen – in Deutschland durch die Bundesnetzagentur. Der Bußgeldrahmen ist bereits seit 2. August 2025 anwendbar; für Betreiberpflichten wie Artikel 4 und Artikel 50 sind bis zu 15 Mio. € oder 3 % vom weltweiten Jahresumsatz vorgesehen (35 Mio. € / 7 % gelten nur bei verbotenen Praktiken nach Artikel 5). Wer ChatGPT, Copilot oder Gemini im Betrieb nutzt, hat also jetzt Pflichten – nicht erst 2027.
Aktualisiert am 1. August 2026. Dieser Artikel erschien im Mai 2026, als der Digital Omnibus noch im Verfahren war. Inzwischen ist er beschlossen: Die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt verkündet und ist seit dem 27. Juli 2026 in Kraft. Die wichtigste Änderung gegenüber der ursprünglichen Fassung dieses Artikels: Artikel 4 wurde neu gefasst und ist keine Sicherstellungspflicht mehr. Die betroffenen Abschnitte unten sind korrigiert.
In den letzten Wochen kam in fast jedem Erstgespräch dieselbe Frage: „Marcel, ich habe gehört, der AI Act ist verschoben – kann ich mir das Thema also noch ein Jahr sparen?"
Kurze, ehrliche Antwort: Nein — in einem Punkt aber doch. Verschoben wurden die Pflichten für sogenannte Hochrisiko-Systeme; das sind sehr spezielle Anwendungen, die die wenigsten KMU überhaupt einsetzen. Entschärft wurde zusätzlich die Kompetenzpflicht aus Artikel 4 — dazu unten mehr. Alles andere, was ein normales Unternehmen betrifft, gilt weiter: Mitarbeitende, die ChatGPT für E-Mails oder Recherche nutzen, lösen Pflichten aus, und seit dem 2. August 2026 kommen die Kennzeichnungspflichten aus Artikel 50 dazu.
Ich gehe in diesem Artikel die wichtigsten Änderungen durch, zeige einen Zeitstrahl bis 2028 und gebe Ihnen am Ende eine 5-Schritte-Checkliste, mit der Sie in 2–3 Wochen sauber aufgestellt sind.
Zeitstrahl: Was gilt wann?
Der EU AI Act ist seit 1. August 2024 in Kraft – die einzelnen Pflichten greifen aber gestaffelt. Hier der Überblick, was schon gilt und was noch kommt:
Lesart in einem Satz: Was schon gilt, gilt. Was verschoben wurde, betrifft fast nur Großunternehmen und sehr spezielle Anwendungen.
Was kostet ein Verstoß? Die echten Bußgelder
Hier kursieren viele Halbwahrheiten – oft hört man nur „bis zu 35 Mio. €". Die Wahrheit ist gestaffelt:
| Verstoß gegen… | Wer trifft das? | Maximalstrafe |
|---|---|---|
| Verbotene Praktiken (Art. 5) | z. B. Social Scoring, manipulative KI | 35 Mio. € / 7 % |
| Sonstige Anbieter- & Betreiberpflichten | z. B. Dokumentation, Kennzeichnung, Hochrisiko-Pflichten | 15 Mio. € / 3 % |
| Falsche Angaben gegenüber Behörden | Auskunftspflichten verletzt | 7,5 Mio. € / 1 % |
Die Prozentangabe bezieht sich auf den weltweiten Jahresumsatz – die EU nimmt jeweils den höheren der beiden Beträge. Für KMU gibt es eine Sonderregel: Hier nimmt sie den niedrigeren. Das mildert die Wirkung deutlich.
Wichtig: Verstöße gegen die Kompetenzpflicht aus Artikel 4 fallen unter den Rahmen für sonstige Anbieter- und Betreiberpflichten – bis zu 15 Mio. € oder 3 % vom weltweiten Jahresumsatz. Die Durchsetzung liegt in Deutschland bei der Bundesnetzagentur. In der Praxis ist zunächst mit Verwarnungen und Auflagen zu rechnen; Bußgelder kommen bei wiederholten oder schweren Verstößen. Wer dokumentiert geschult hat, ist hier auf der sicheren Seite.
Was der „Digital Omnibus" tatsächlich ändert
Der Digital Omnibus ist ein Paket, mit dem die EU mehrere digitale Regelwerke gleichzeitig anpasst (DSGVO, AI Act, NIS2, Cyber Resilience Act u. a.). Der KI-Teil ist mit der Verordnung (EU) 2026/1744 seit dem 27. Juli 2026 in Kraft und ändert über 40 Artikel der KI-Verordnung. Für ein KMU sind fünf Punkte relevant:
- Hochrisiko-Fristen verschoben. HR-, Biometrie- und Bildungs-Anwendungen greifen jetzt ab Dezember 2027 (vorher August 2026). Produktanwendungen ab August 2028.
- KMU-Erleichterungen. Vereinfachte technische Dokumentation – weniger Bürokratie für kleine Anbieter, die selbst KI-Systeme entwickeln.
- AI Office gestärkt. Die EU-zentrale Aufsicht bekommt mehr Befugnisse, um europaweit einheitliche Linien durchzusetzen.
- Mehr „Sandboxes". Geschützte Testumgebungen, in denen Unternehmen KI erproben können – ein Plus für Innovation.
- Artikel 4 neu gefasst. Der Punkt, der KMU am unmittelbarsten betrifft. Bisher mussten Anbieter und Betreiber die KI-Kompetenz ihres Personals „nach besten Kräften sicherstellen". Nach der Neufassung besteht die Pflicht darin, Maßnahmen zur Förderung der KI-Kompetenz des Personals zu ergreifen – ohne dass ein bestimmtes Kompetenzniveau garantiert werden muss (vgl. Erwägungsgrund 8 der Verordnung 2026/1744).
Was der Omnibus nicht tut: Er rührt weder den Sanktionsrahmen aus Artikel 99 an noch die Transparenzpflichten aus Artikel 50. Die gelten seit dem 2. August 2026 – was dabei auf einen normalen Betrieb zukommt, steht in diesem Artikel.
Und was heißt die Artikel-4-Änderung praktisch? Wer bisher gar nichts getan hat, ist nicht plötzlich aus dem Schneider – die Pflicht, Maßnahmen zu ergreifen, besteht weiter. Weggefallen ist nur das geschuldete Ergebnis. Wer eine Schulung durchgeführt und dokumentiert hat, kann das Ergreifen von Maßnahmen belegen, und mehr verlangt der neue Wortlaut nicht.
„Verschoben heißt nicht aufgehoben – und schon gar nicht, dass jetzt weniger Pflichten gelten."
5-Schritte-Checkliste: Was ein KMU jetzt konkret tun sollte
Das hier ist kein Berater-Bla. Wenn Sie diese fünf Schritte abarbeiten, sind Sie rechtlich sauber aufgestellt – meist in 2 bis 3 Arbeitswochen Aufwand, verteilt über 2 Monate.
- Bestandsaufnahme: Welche KI-Tools nutzen Mitarbeitende heute schon – offiziell und inoffiziell? ChatGPT, Copilot, Gemini, Deepl Write, Midjourney, Notion AI? Eine einfache Excel-Liste reicht.
- Verantwortliche Person benennen: Eine Ansprechperson für KI im Betrieb – muss kein neuer Job sein, oft ist es die IT-Leitung oder Datenschutzbeauftragte. Wichtig: schriftlich dokumentieren.
- Kompetenzschulung durchführen: Alle Mitarbeitenden, die KI nutzen (oder nutzen sollen), brauchen eine nachweisbare Schulung mit Teilnahmebescheinigung. 4 Stunden live reichen für die meisten – siehe KI-Kompetenzschulung.
- KI-Richtlinie schreiben: Eine 1–2-seitige Hausordnung: Welche Tools sind erlaubt? Was darf rein, was nicht (Kundendaten, Geschäftsgeheimnisse)? Wer entscheidet bei Zweifeln? Vorlagen gibt's bei mir kostenlos.
- Marketing & Content prüfen: Seit dem 2. August 2026 gilt Artikel 50. Deepfakes müssen offengelegt, Chatbots als KI erkennbar sein. Klären Sie, wer im Marketing-Team das umsetzt – die Details stehen im Artikel zur Kennzeichnungspflicht.
Kostenloser Schnellcheck: Ob Sie mit Ihrem aktuellen Stand die Schulungspflicht erfüllen, prüfen Sie in 5 Minuten mit unserer 1-Seiten-Checkliste – 9 Prüf-Fragen als PDF per E-Mail.
Drei verbreitete Irrtümer, die ich gerade oft höre
„Der AI Act gilt erst ab 2027, also habe ich noch Zeit."
RealitätNur Hochrisiko-Pflichten sind verschoben. Kompetenzpflicht, GPAI-Regeln und der gesamte Sanktionsrahmen gelten schon jetzt. Wer wartet, riskiert eine Verwarnung – und im Wiederholungsfall ein Bußgeld.
„Wir sind ein kleiner Betrieb, das betrifft uns nicht."
RealitätEs gibt keine Mindestgröße. Sobald jemand in Ihrem Unternehmen ChatGPT für eine Mail nutzt, sind Sie „Betreiber eines KI-Systems" im Sinne der Verordnung – und damit schulungspflichtig. KMU bekommen Erleichterungen bei Dokumentation und Bußgeldern, aber keinen Freibrief.
„Ein 30-Minuten-YouTube-Video reicht als Schulung."
RealitätDer AI Act fordert nachweisbaren Kompetenzaufbau, abgestimmt auf Ihre konkreten Tools und Rollen. Generische Videos ohne Teilnahmenachweis erfüllen das nicht. Sinnvoll: Live-Schulung (vor Ort oder online), praktische Übungen, dokumentierte Teilnahme.
Mein Take in einem Absatz
Der Digital Omnibus ist vor allem eine Entlastung für Unternehmen, die Hochrisiko-KI bauen oder einsetzen – also eher größere Player und Spezialisten. Für den normalen Mittelstand ist eine Pflicht spürbar weicher geworden: Artikel 4 verlangt kein garantiertes Kompetenzniveau mehr, sondern Maßnahmen. Verschwunden ist die Pflicht damit nicht, und der Rest bleibt: Sie müssen Ihre Leute befähigen, Sie müssen dokumentieren, und seit August 2026 müssen Sie Deepfakes und KI-Chatbots kenntlich machen. Wer das jetzt entspannt aufsetzt, hat einen kleinen Wochenend-Aufwand. Wer wartet, bis die Aufsicht klopft, einen großen.
Häufige Fragen
Wurde der EU AI Act 2026 abgeschwächt?
In einem Punkt ja. Die Verordnung (EU) 2026/1744, seit 27. Juli 2026 in Kraft, hat Artikel 4 neu gefasst: Aus der Pflicht, KI-Kompetenz nach besten Kräften sicherzustellen, wurde die Pflicht, Maßnahmen zu deren Unterstützung zu ergreifen – ein bestimmtes Niveau muss niemand mehr garantieren. Die Pflicht selbst besteht fort. Außerdem verschiebt der Omnibus die Hochrisiko-Fristen auf Dezember 2027 bzw. August 2028. Nicht abgeschwächt wurden die Transparenzpflichten aus Artikel 50 – die gelten seit 2. August 2026 – und der Sanktionsrahmen aus Artikel 99.
Welche Pflichten gelten 2026 für ein normales KMU?
Wenn Sie ChatGPT, Copilot oder Gemini im Betrieb einsetzen, müssen Sie seit dem 2. Februar 2025 Maßnahmen ergreifen, die die KI-Kompetenz Ihrer Mitarbeitenden unterstützen – seit 27. Juli 2026 in der entschärften Fassung von Artikel 4, die kein bestimmtes Kompetenzniveau mehr verlangt. Seit dem 2. August 2026 kommen die Transparenzpflichten aus Artikel 50 hinzu: Deepfakes offenlegen, Chatbots als KI erkennbar machen. Was das konkret heißt, steht hier.
Wie hoch sind die Bußgelder beim EU AI Act?
Der Bußgeldrahmen ist seit 2. August 2025 anwendbar und gestaffelt: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. € oder 3 % bei Verstößen gegen sonstige Anbieter- und Betreiberpflichten, bis zu 7,5 Mio. € oder 1 % bei falschen Angaben. Für KMU gilt jeweils der niedrigere der beiden Beträge.
Muss ich KI-generierte Bilder kennzeichnen?
Ja, ab 2. August 2026. Alle Inhalte, die mithilfe von KI erzeugt oder verändert wurden – Bilder, Audio, Videos, Deepfakes – müssen eindeutig als KI-generiert kenntlich gemacht werden. Praktisch relevant für Social Media, Werbung, Website-Bilder und Newsletter. Ein dezenter Hinweis im Bild oder Bildtext reicht.
Was ist der Digital Omnibus?
Ein Paket, mit dem die EU mehrere digitale Regelwerke gleichzeitig anpasst. Für den AI Act ist er seit dem 27. Juli 2026 geltendes Recht: Die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt verkündet und ändert über 40 Artikel. Kernpunkte: Verschiebung der Hochrisiko-Fristen, Neufassung der Kompetenzpflicht in Artikel 4, vereinfachte Dokumentation für KMU und kleine Midcaps, erweiterte Befugnisse des AI Office.
Was sollte ich als KMU jetzt konkret tun?
Fünf Schritte: (1) Bestandsaufnahme aller genutzten KI-Tools. (2) Verantwortliche Person benennen. (3) Kompetenzschulung für alle Mitarbeitenden mit Teilnahmenachweis. (4) Kurze KI-Richtlinie für den Betrieb schreiben. (5) Kennzeichnung von KI-Inhalten im Marketing einplanen (Pflicht ab 2. August 2026).
Weiterlesen: Alle Details zur Schulungspflicht finden Sie auf der Seite KI-Schulungspflicht nach EU AI Act. Wenn Sie direkt einen Schulungstermin planen wollen: KI-Kompetenzschulung buchen.
Unsicher, ob Ihr Betrieb sauber aufgestellt ist?
30 Minuten kostenloses Erstgespräch – wir gehen Ihre konkrete Situation durch und Sie wissen am Ende, was als Nächstes ansteht.
Kostenloses KI-Mini-Audit buchen