Die kurze Antwort

Der „Digital Omnibus" ist seit dem 27. Juli 2026 geltendes Recht — Verordnung (EU) 2026/1744. Er hat die Fristen für Hochrisiko-KI-Systeme nach hinten verschoben, auf Dezember 2027 bzw. August 2028. Das ist das, was die Schlagzeilen machen.

Er hat außerdem Artikel 4 neu gefasst: Die KI-Kompetenzpflicht ist von einer Sicherstellungs- zu einer Unterstützungspflicht geworden. Sie müssen weiterhin Maßnahmen ergreifen — ein bestimmtes Kompetenzniveau schulden Sie nicht mehr.

Was nicht verschoben wurde: die Transparenzpflichten aus Artikel 50. Die gelten seit dem 2. August 2026; seit diesem Tag setzen die nationalen Behörden die Regeln durch, in Deutschland die Bundesnetzagentur. Verstöße gegen Artikel 50 können bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes kosten, bei KMU gilt der niedrigere Wert. Für Artikel 4 sieht das deutsche KI-MIG derzeit kein Bußgeld vor. Wer ChatGPT, Copilot oder Gemini im Betrieb nutzt, hat also jetzt Pflichten – nicht erst 2027.

Änderungsverlauf. 26.05.2026: Erstfassung, der Digital Omnibus war noch im Verfahren. 01.08.2026: angepasst an die Verordnung (EU) 2026/1744, verkündet am 24.07.2026, in Kraft seit 27.07.2026. 03.10.2026: alle Aussagen am Rechtstext, am KI-MIG und an den Veröffentlichungen der EU-Kommission geprüft, Fundstellen und Quellen ergänzt, Zeitstrahl erweitert.

In den letzten Wochen kam in fast jedem Erstgespräch dieselbe Frage: „Marcel, ich habe gehört, der AI Act ist verschoben – kann ich mir das Thema also noch ein Jahr sparen?"

Kurze, ehrliche Antwort: Nein — in einem Punkt aber doch. Verschoben wurden die Pflichten für sogenannte Hochrisiko-Systeme; das sind sehr spezielle Anwendungen, die die wenigsten KMU überhaupt einsetzen. Entschärft wurde zusätzlich die Kompetenzpflicht aus Artikel 4 — dazu unten mehr. Alles andere, was ein normales Unternehmen betrifft, gilt weiter: Mitarbeitende, die ChatGPT für E-Mails oder Recherche nutzen, lösen Pflichten aus, und seit dem 2. August 2026 kommen die Kennzeichnungspflichten aus Artikel 50 dazu.

Ich gehe in diesem Artikel die wichtigsten Änderungen durch, zeige einen Zeitstrahl bis 2030 und gebe Ihnen am Ende eine 5-Schritte-Checkliste, mit der Sie die Pflichten in wenigen Wochen umsetzen.

Zeitstrahl: Was gilt wann?

Der EU AI Act ist seit 1. August 2024 in Kraft – die einzelnen Pflichten greifen aber gestaffelt. Hier der Überblick, was schon gilt, was noch kommt und was der Omnibus verschoben hat:

Zeitstrahl der KI-Verordnung, Stand 03.10.2026
  • gilt bereits
  • kommt noch
  • durch den Omnibus verschoben (altes Datum durchgestrichen)

  1. KI-Verordnung in Kraft. Die Verordnung (EU) 2024/1689 tritt in Kraft; die Pflichten greifen gestaffelt.

  2. Verbote und KI-Kompetenz. Kapitel I und II gelten: verbotene Praktiken (Art. 5) und die Pflicht zu Maßnahmen für die KI-Kompetenz (Art. 4).

  3. Governance und KI-Modelle. Regeln zur Aufsicht und Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (etwa die Modelle hinter ChatGPT, Claude, Gemini). Bis dahin sollten die Mitgliedstaaten ihre Sanktionsregeln erlassen.

  4. Digital Omnibus in Kraft. Die Verordnung (EU) 2026/1744 gilt: Artikel 4 neu gefasst, Hochrisiko-Fristen verschoben, Erleichterungen für KMU und kleine Midcaps.

  5. Allgemeiner Geltungsbeginn. Die Transparenzpflichten nach Artikel 50 gelten – nicht verschoben. Nationale Behörden und KI-Büro setzen die Regeln durch, in Deutschland die Bundesnetzagentur.

  6. Übergangsfrist für Anbieter generativer KI. Nur für die maschinenlesbare Markierung nach Art. 50 Abs. 2 und nur für Systeme, die vor dem 02.08.2026 in Verkehr gebracht wurden (Art. 111 Abs. 4). Für Betreiber gibt es keinen Aufschub.

  7. Neue Verbote. Die vom Omnibus eingefügten Verbote in Art. 5 Abs. 1 lit. ba und bb sowie Abs. 1a und 1b gelten (Art. 113 Abs. 3 lit. a).

  8. bisher 02.08.2026

    Hochrisiko-KI nach Anhang III. Etwa Auswahl von Bewerbungen, Bewertung von Lernergebnissen und Prüfungsaufsicht, Kreditwürdigkeitsprüfung (Art. 113 Abs. 3 lit. c Ziffer i).

  9. bisher 02.08.2027

    Hochrisiko-KI in Produkten nach Anhang I. KI als Sicherheitsbauteil regulierter Produkte oder selbst ein solches Produkt, etwa bei Robotern, Drohnen, Medizinprodukten (Art. 113 Abs. 3 lit. c Ziffer ii).

  10. Hochrisiko-KI bei Behörden. Bis dahin müssen Anbieter und Betreiber von Hochrisiko-Systemen, die Behörden nutzen sollen, die Anforderungen erfüllen (Art. 111 Abs. 2).

Grundlage: Art. 113 und 111 der KI-Verordnung in der Fassung der Verordnung (EU) 2026/1744, Erwägungsgründe 1 und 40; Daten zu 2025 laut EU-Kommission. Der Status („gilt“, „kommt“, „Frist läuft“) richtet sich nach dem heutigen Datum. Quellen

Lesart in einem Satz: Was schon gilt, gilt. Was verschoben wurde, betrifft fast nur Großunternehmen und sehr spezielle Anwendungen.

Was kostet ein Verstoß? Die echten Bußgelder

Hier kursieren viele Halbwahrheiten – oft hört man nur „bis zu 35 Mio. €". Die Wahrheit ist gestaffelt:

Verstoß gegen… Wer trifft das? Maximalstrafe
Verbotene Praktiken (Art. 5) z. B. Social Scoring, manipulative KI 35 Mio. € / 7 %
Pflichten nach Art. 99 Abs. 4 andere Pflichten von Anbietern und Betreibern, z. B. Kennzeichnung (Art. 50) 15 Mio. € / 3 %
Falsche Angaben gegenüber Behörden Auskunftspflichten verletzt 7,5 Mio. € / 1 %

Die Prozentangabe bezieht sich auf den weltweiten Jahresumsatz des Vorjahres – maßgeblich ist der höhere der beiden Beträge. Für KMU gilt der niedrigere, seit dem Omnibus auch für kleine Midcap-Unternehmen (Artikel 99 Absatz 6a). Außerdem müssen Sanktionen die Interessen von KMU und ihr wirtschaftliches Überleben berücksichtigen (Artikel 99 Absatz 1). Das mildert die Wirkung deutlich. Die Obergrenzen nennt die EU-Kommission in ihren FAQ zur KI-Verordnung.

Wichtig zu Artikel 4: Für die Kompetenzpflicht richten sich Sanktionen nach nationalem Recht, so die EU-Kommission (Artikel 99 Absatz 1). Das deutsche KI-MIG sieht Bußgelder nur für Verstöße gegen die Artikel 21, 27, 45 und 86 vor (§ 15) – für Artikel 4 also derzeit keines. Zuständige Marktüberwachungsbehörde ist die Bundesnetzagentur (§ 2 Absatz 1 KI-MIG). Die Pflicht gilt trotzdem. Was Artikel 4 genau verlangt, steht auf der Seite zur KI-Schulungspflicht.

Quellen: § 15 KI-MIG · Kommission, Q&A KI-Kompetenz und FAQ zur KI-Verordnung · Stand 03.10.2026

Was der „Digital Omnibus" tatsächlich ändert

Der Digital Omnibus ist ein Paket, mit dem die EU mehrere digitale Regelwerke vereinfacht. Der KI-Teil ist mit der Verordnung (EU) 2026/1744 seit dem 27. Juli 2026 in Kraft und ändert die KI-Verordnung in 40 Punkten (Artikel 1 Nummer 1 bis 40). Für ein KMU sind fünf Punkte relevant:

  1. Hochrisiko-Fristen verschoben. Anwendungen nach Anhang III (etwa Bewerberauswahl, Bildung, Kreditwürdigkeit) ab 2. Dezember 2027 statt 2. August 2026; KI in Produkten nach Anhang I ab 2. August 2028 (Artikel 113 Absatz 3 Buchstabe c).
  2. KMU-Erleichterungen. Vereinfachte technische Dokumentation über ein Formular der Kommission (Artikel 11 Absatz 1), vereinfachtes Qualitätsmanagement (Artikel 63), Beratung durch die Behörden (Artikel 70 Absatz 8), Rücksicht bei Sanktionen (Artikel 99 Absatz 1, 6a) – jetzt auch für kleine Midcaps. Die meisten Punkte betreffen Anbieter von Hochrisiko-Systemen, nicht den normalen Anwenderbetrieb.
  3. KI-Büro gestärkt. Das KI-Büro der Kommission überwacht KI-Systeme, die auf eigenen KI-Modellen desselben Anbieters beruhen, selbst und kann Geldbußen verhängen (Artikel 75 bis 75c).
  4. Mehr Reallabore. Geschützte Testumgebungen; KMU erhalten vorrangigen Zugang zu den Reallaboren des KI-Büros (Artikel 57 Absatz 3a).
  5. Artikel 4 neu gefasst. Der Punkt, der KMU am unmittelbarsten betrifft. Bisher waren Anbieter und Betreiber verpflichtet, die KI-Kompetenz ihres Personals sicherzustellen (Erwägungsgrund 8). Jetzt ergreifen sie Maßnahmen, um die Entwicklung der KI-Kompetenz zu unterstützen; die Verpflichtung verpflichtet sie ausdrücklich nicht, „für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren“ (Artikel 4 Absatz 1, eingefügt durch Artikel 1 Nummer 5). Alte und neue Fassung im Vergleich.

Was der Omnibus nicht tut: Er senkt weder die Bußgeld-Höchstbeträge noch verschiebt er die Transparenzpflichten aus Artikel 50 – die gelten seit dem 2. August 2026. Geändert hat er dort nur Randbereiche: In Artikel 99 die Sanktionsgrundsätze (Absatz 1), einen neuen Tatbestand (Absatz 4 Buchstabe da) und die Midcap-Regel (Absatz 6a); in Artikel 50 die Rolle von Praxisleitfäden (Absatz 7) und eine Übergangsfrist für Anbieter bis 2. Dezember 2026 (Artikel 111 Absatz 4). Was die Kennzeichnungspflicht für einen normalen Betrieb heißt, steht in diesem Artikel.

Und was heißt die Artikel-4-Änderung praktisch? Wer bisher gar nichts getan hat, ist nicht plötzlich aus dem Schneider – die Pflicht, Maßnahmen zu ergreifen, besteht weiter. Weggefallen ist nur das geschuldete Ergebnis. Wer eine Schulung durchgeführt und intern festgehalten hat, kann das Ergreifen von Maßnahmen belegen; ein Zertifikat braucht es laut EU-Kommission nicht. Mehr zur Kompetenzpflicht.

„Verschoben heißt nicht aufgehoben – und schon gar nicht, dass jetzt weniger Pflichten gelten."

5-Schritte-Checkliste: Was ein KMU jetzt konkret tun sollte

Das hier ist kein Berater-Bla. Wenn Sie diese fünf Schritte abarbeiten, haben Sie die Pflichten umgesetzt, die einen normalen Betrieb treffen – meist in 2 bis 3 Arbeitswochen Aufwand, verteilt über 2 Monate. Gesetzlich vorgeschrieben ist davon die Kompetenzmaßnahme und, wo sie greift, die Kennzeichnung; der Rest ist meine Empfehlung.

Ihre Roadmap für 2026
  1. Bestandsaufnahme: Welche KI-Tools nutzen Mitarbeitende heute schon – offiziell und inoffiziell? ChatGPT, Copilot, Gemini, Deepl Write, Midjourney, Notion AI? Eine einfache Excel-Liste reicht.
  2. Ansprechperson benennen: Eine Person, bei der Fragen zu KI im Betrieb zusammenlaufen – muss kein neuer Job sein, oft ist es die IT-Leitung oder der Datenschutzbeauftragte. Eine bestimmte Organisationsform schreibt Artikel 4 nicht vor.
  3. Kompetenzmaßnahme umsetzen: Für alle, die KI nutzen (oder nutzen sollen), eine Maßnahme passend zu Kenntnissen und Einsatz – üblich ist eine Schulung an den eigenen Werkzeugen. Halten Sie fest, wer wann teilgenommen hat. 4 Stunden live reichen für die meisten – siehe KI-Kompetenzschulung.
  4. KI-Richtlinie schreiben: Eine 1–2-seitige Hausordnung: Welche Tools sind erlaubt? Was darf rein, was nicht (Kundendaten, Geschäftsgeheimnisse)? Wer entscheidet bei Zweifeln? Einen kostenlosen Fahrplan gibt es bei der KI-Richtlinie.
  5. Marketing & Content prüfen: Seit dem 2. August 2026 gilt Artikel 50. Deepfakes müssen offengelegt, Chatbots als KI erkennbar sein. Klären Sie, wer im Marketing-Team das umsetzt – die Details stehen im Artikel zur Kennzeichnungspflicht.

Kostenloser Schnellcheck: Wo Ihr Betrieb bei Artikel 4 und 50 steht, prüfen Sie mit der Checkliste mit 12 Prüffragen – als PDF per E-Mail. Oder Sie klären es im kostenlosen 30-Minuten-Mini-Audit.

Drei verbreitete Irrtümer, die ich gerade oft höre

Mythos

„Der AI Act gilt erst ab 2027, also habe ich noch Zeit."

Realität

Nur Hochrisiko-Pflichten sind verschoben. Kompetenzpflicht, Verbote, Regeln für KI-Modelle und die Kennzeichnung nach Artikel 50 gelten schon jetzt, und seit dem 2. August 2026 überwachen die Behörden die Einhaltung.

Mythos

„Wir sind ein kleiner Betrieb, das betrifft uns nicht."

Realität

Es gibt keine Mindestgröße. Sobald jemand in Ihrem Unternehmen ChatGPT für eine Mail nutzt, sind Sie „Betreiber eines KI-Systems" im Sinne der Verordnung – und damit verpflichtet, Maßnahmen für die KI-Kompetenz zu ergreifen. KMU bekommen Unterstützung und Erleichterungen bei Dokumentation und Bußgeldern, aber keinen Freibrief.

Mythos

„Ein 30-Minuten-YouTube-Video reicht als Schulung."

Realität

Verboten ist ein Video nicht; ein Format schreibt Artikel 4 nicht vor. Maßstab sind aber Kenntnisse, Erfahrung und Einsatzkontext Ihrer Leute (Artikel 4 Absatz 1) – das trifft ein generisches Video selten. Meine Empfehlung: Live-Schulung an Ihren Werkzeugen, praktische Übungen, festgehaltene Teilnahme.

Mein Take in einem Absatz

Der Digital Omnibus ist vor allem eine Entlastung für Unternehmen, die Hochrisiko-KI bauen oder einsetzen – also eher größere Player und Spezialisten. Für den normalen Mittelstand ist eine Pflicht spürbar weicher geworden: Artikel 4 verlangt kein garantiertes Kompetenzniveau mehr, sondern Maßnahmen. Verschwunden ist die Pflicht damit nicht, und der Rest bleibt: Sie müssen Maßnahmen ergreifen, damit Ihre Leute mit KI umgehen können, Sie sollten festhalten, was Sie getan haben, und seit August 2026 müssen Deepfakes offengelegt und KI-Chatbots erkennbar sein. Wer das jetzt entspannt aufsetzt, hat einen kleinen Wochenend-Aufwand. Wer wartet, bis die Aufsicht klopft, einen großen.

Häufige Fragen

Wurde der EU AI Act 2026 abgeschwächt?

In zwei Punkten ja. Die Verordnung (EU) 2026/1744, seit 27. Juli 2026 in Kraft, hat Artikel 4 neu gefasst: Statt die KI-Kompetenz sicherzustellen, ergreifen Anbieter und Betreiber Maßnahmen, um sie zu unterstützen – ein bestimmtes Niveau muss niemand garantieren. Und sie verschiebt die Hochrisiko-Fristen auf den 2. Dezember 2027 bzw. 2. August 2028. Nicht verschoben wurden die Transparenzpflichten aus Artikel 50; sie gelten seit 2. August 2026. Die Bußgeld-Höchstbeträge sind unverändert.

Welche Pflichten gelten 2026 für ein normales KMU?

Wenn Sie ChatGPT, Copilot oder Gemini im Betrieb einsetzen: seit dem 2. Februar 2025 die Pflicht, Maßnahmen für die KI-Kompetenz Ihrer Mitarbeitenden zu ergreifen (Artikel 4), seit 27. Juli 2026 ohne garantiertes Niveau. Seit dem 2. August 2026 kommen die Transparenzpflichten aus Artikel 50 hinzu, vor allem: Deepfakes offenlegen. Hochrisiko-Pflichten betreffen die meisten KMU nicht. Wann Sie kennzeichnen müssen, zeigt die Entscheidungshilfe.

Wie hoch sind die Bußgelder beim EU AI Act?

Die KI-Verordnung setzt Obergrenzen: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. € oder 3 % bei Verstößen gegen andere Pflichten wie die Kennzeichnung nach Artikel 50, bis zu 7,5 Mio. € oder 1 % bei falschen Angaben gegenüber Behörden. Für KMU gilt jeweils der niedrigere Betrag, seit dem Omnibus auch für kleine Midcaps (Artikel 99 Absatz 6a). Für die Kompetenzpflicht aus Artikel 4 ist in Deutschland derzeit kein Bußgeld vorgesehen (§ 15 KI-MIG).

Muss ich KI-generierte Bilder kennzeichnen?

Nur, wenn das Bild ein Deepfake ist: Es ähnelt echten Personen, Gegenständen, Orten oder Ereignissen und würde fälschlich als echt erscheinen (Artikel 50 Absatz 4). Eine erkennbare Illustration fällt nicht darunter. Die Einzelheiten und eine Entscheidungshilfe stehen im Artikel zur Kennzeichnungspflicht.

Was ist der Digital Omnibus?

Ein Paket, mit dem die EU mehrere digitale Regelwerke vereinfacht. Für die KI-Verordnung ist es die Verordnung (EU) 2026/1744, am 24. Juli 2026 im Amtsblatt verkündet und seit dem 27. Juli 2026 in Kraft. Sie ändert die KI-Verordnung in 40 Punkten. Kernpunkte: Hochrisiko-Fristen verschoben, Artikel 4 neu gefasst, vereinfachte Dokumentation und Qualitätsmanagement für KMU und kleine Midcaps, mehr Befugnisse für das KI-Büro der Kommission.

Was sollte ich als KMU jetzt konkret tun?

Fünf Schritte: (1) Bestandsaufnahme aller genutzten KI-Tools. (2) Eine Ansprechperson benennen. (3) Maßnahmen für die KI-Kompetenz ergreifen – meist eine Schulung – und intern festhalten, wer teilgenommen hat. (4) Eine kurze KI-Richtlinie schreiben. (5) Klären, wann Sie KI-Inhalte nach Artikel 50 kennzeichnen müssen.

Weiterlesen: Was Artikel 4 genau verlangt, mit alter und neuer Fassung: KI-Schulungspflicht nach Artikel 4. Wann Sie kennzeichnen müssen: Kennzeichnungspflicht nach Artikel 50 mit Entscheidungshilfe. Umsetzung: KI-Kompetenzschulung, KI-Richtlinie erstellen, laufende Pflege im Compliance-Retainer. Eigenen Stand prüfen: Checkliste mit 12 Prüffragen oder kostenloses Mini-Audit.

Quellen

  1. Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI), ABl. L vom 24.07.2026. Wortlaut geprüft am 03.10.2026.
  2. Verordnung (EU) 2024/1689 (KI-Verordnung, „AI Act“) in der durch die Verordnung (EU) 2026/1744 geänderten Fassung.
  3. KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG) vom 22. Juli 2026, BGBl. 2026 I Nr. 223, insbesondere § 2 und § 15. Abgerufen am 03.10.2026.
  4. Europäische Kommission: AI Literacy – Questions & Answers (englisch). Abgerufen am 03.10.2026.
  5. Europäische Kommission: Leitlinien zu den Transparenzpflichten nach Artikel 50, C(2026) 5054 vom 20.07.2026 (englisch). Abgerufen am 03.10.2026.
  6. Europäische Kommission: Pressemitteilung vom 31.07.2026 zum Beginn der Durchsetzung am 2. August 2026. Abgerufen am 03.10.2026.
  7. Europäische Kommission: Rechtsrahmen für KI – Überblick und Zeitplan. Abgerufen am 03.10.2026.
  8. Europäische Kommission: Navigating the AI Act – FAQ (englisch), Abschnitt zu Sanktionen. Abgerufen am 03.10.2026.

Die Seite erklärt die Rechtslage allgemein und ersetzt keine Rechtsberatung im Einzelfall.

Unsicher, ob Ihr Betrieb sauber aufgestellt ist?

30 Minuten kostenloses Erstgespräch – wir gehen Ihre konkrete Situation durch und Sie wissen am Ende, was als Nächstes ansteht.

Kostenloses KI-Mini-Audit buchen
Was kostet ein KI-Berater? Alle Artikel