Der „Digital Omnibus" der EU vom Mai 2026 hat die Fristen für Hochrisiko-KI-Systeme nach hinten verschoben – auf Dezember 2027 bzw. August 2028. Das ist das, was die Schlagzeilen machen.
Was viele übersehen: Die KI-Kompetenzpflicht (Artikel 4) gilt unverändert seit Februar 2025, und der Bußgeldrahmen ist seit August 2025 anwendbar – bis zu 35 Mio. € oder 7 % vom Umsatz. Wer ChatGPT, Copilot oder Gemini im Betrieb nutzt, hat also jetzt Pflichten – nicht erst 2027.
In den letzten Wochen kam in fast jedem Erstgespräch dieselbe Frage: „Marcel, ich habe gehört, der AI Act ist verschoben – kann ich mir das Thema also noch ein Jahr sparen?"
Kurze, ehrliche Antwort: Nein. Verschoben wurden nur die Pflichten für sogenannte Hochrisiko-Systeme – das sind sehr spezielle Anwendungen, die die wenigsten KMU überhaupt einsetzen. Was ein normales Unternehmen betrifft – Mitarbeitende, die ChatGPT für E-Mails oder Recherche nutzen –, gilt unverändert.
Ich gehe in diesem Artikel die wichtigsten Änderungen durch, zeige einen Zeitstrahl bis 2028 und gebe Ihnen am Ende eine 5-Schritte-Checkliste, mit der Sie in 2–3 Wochen sauber aufgestellt sind.
Zeitstrahl: Was gilt wann?
Der EU AI Act ist seit 1. August 2024 in Kraft – die einzelnen Pflichten greifen aber gestaffelt. Hier der Überblick, was schon gilt und was noch kommt:
Lesart in einem Satz: Was schon gilt, gilt. Was verschoben wurde, betrifft fast nur Großunternehmen und sehr spezielle Anwendungen.
Was kostet ein Verstoß? Die echten Bußgelder
Hier kursieren viele Halbwahrheiten – oft hört man nur „bis zu 35 Mio. €". Die Wahrheit ist gestaffelt:
| Verstoß gegen… | Wer trifft das? | Maximalstrafe |
|---|---|---|
| Verbotene Praktiken (Art. 5) | z. B. Social Scoring, manipulative KI | 35 Mio. € / 7 % |
| Sonstige Anbieter- & Betreiberpflichten | z. B. Dokumentation, Kennzeichnung, Hochrisiko-Pflichten | 15 Mio. € / 3 % |
| Falsche Angaben gegenüber Behörden | Auskunftspflichten verletzt | 7,5 Mio. € / 1 % |
Die Prozentangabe bezieht sich auf den weltweiten Jahresumsatz – die EU nimmt jeweils den höheren der beiden Beträge. Für KMU gibt es eine Sonderregel: Hier nimmt sie den niedrigeren. Das mildert die Wirkung deutlich.
Wichtig: Für die Kompetenzpflicht aus Artikel 4 sieht der AI Act selbst keine direkte Bußgeldnorm vor – die Durchsetzung liegt bei den nationalen Marktaufsichtsbehörden. In Deutschland werden diese Behörden voraussichtlich Verwarnungen, Auflagen und – bei wiederholten Verstößen – Bußgelder verhängen. Wer dokumentiert geschult hat, ist hier komplett aus dem Schneider.
Was der „Digital Omnibus" tatsächlich ändert
Der Digital Omnibus ist ein Paket, mit dem die EU-Kommission mehrere digitale Regelwerke gleichzeitig anpasst (DSGVO, AI Act, NIS2, Cyber Resilience Act u. a.). Für den AI Act sind vier Punkte relevant:
- Hochrisiko-Fristen verschoben. HR-, Biometrie- und Bildungs-Anwendungen greifen jetzt ab Dezember 2027 (vorher August 2026). Produktanwendungen ab August 2028.
- KMU-Erleichterungen. Vereinfachte technische Dokumentation – weniger Bürokratie für kleine Anbieter, die selbst KI-Systeme entwickeln.
- AI Office gestärkt. Die EU-zentrale Aufsicht bekommt mehr Befugnisse, um europaweit einheitliche Linien durchzusetzen.
- Mehr „Sandboxes". Geschützte Testumgebungen, in denen Unternehmen KI rechtssicher ausprobieren können – ein Plus für Innovation.
Was der Omnibus nicht tut: Er entschärft weder die Kompetenzpflicht noch die Sanktionen für sonstige Pflichten. Beides bleibt 1:1 bestehen.
„Verschoben heißt nicht aufgehoben – und schon gar nicht, dass jetzt weniger Pflichten gelten."
5-Schritte-Checkliste: Was ein KMU jetzt konkret tun sollte
Das hier ist kein Berater-Bla. Wenn Sie diese fünf Schritte abarbeiten, sind Sie rechtlich sauber aufgestellt – meist in 2 bis 3 Arbeitswochen Aufwand, verteilt über 2 Monate.
- Bestandsaufnahme: Welche KI-Tools nutzen Mitarbeitende heute schon – offiziell und inoffiziell? ChatGPT, Copilot, Gemini, Deepl Write, Midjourney, Notion AI? Eine einfache Excel-Liste reicht.
- Verantwortliche Person benennen: Eine Ansprechperson für KI im Betrieb – muss kein neuer Job sein, oft ist es die IT-Leitung oder Datenschutzbeauftragte. Wichtig: schriftlich dokumentieren.
- Kompetenzschulung durchführen: Alle Mitarbeitenden, die KI nutzen (oder nutzen sollen), brauchen eine nachweisbare Schulung mit Teilnahmebescheinigung. 4 Stunden live reichen für die meisten – siehe KI-Kompetenzschulung.
- KI-Richtlinie schreiben: Eine 1–2-seitige Hausordnung: Welche Tools sind erlaubt? Was darf rein, was nicht (Kundendaten, Geschäftsgeheimnisse)? Wer entscheidet bei Zweifeln? Vorlagen gibt's bei mir kostenlos.
- Marketing & Content vorbereiten: Ab August 2026 müssen KI-generierte Bilder/Videos gekennzeichnet werden. Klären Sie jetzt, wer im Marketing-Team das umsetzt – am einfachsten mit einem dezenten Hinweis im Bild oder im Alt-Text.
Kostenloser Schnellcheck: Ob Sie mit Ihrem aktuellen Stand die Schulungspflicht erfüllen, prüfen Sie in 5 Minuten mit unserer 1-Seiten-Checkliste – 9 Prüf-Fragen als PDF per E-Mail.
Drei verbreitete Irrtümer, die ich gerade oft höre
„Der AI Act gilt erst ab 2027, also habe ich noch Zeit."
RealitätNur Hochrisiko-Pflichten sind verschoben. Kompetenzpflicht, GPAI-Regeln und der gesamte Sanktionsrahmen gelten schon jetzt. Wer wartet, riskiert eine Verwarnung – und im Wiederholungsfall ein Bußgeld.
„Wir sind ein kleiner Betrieb, das betrifft uns nicht."
RealitätEs gibt keine Mindestgröße. Sobald jemand in Ihrem Unternehmen ChatGPT für eine Mail nutzt, sind Sie „Betreiber eines KI-Systems" im Sinne der Verordnung – und damit schulungspflichtig. KMU bekommen Erleichterungen bei Dokumentation und Bußgeldern, aber keinen Freibrief.
„Ein 30-Minuten-YouTube-Video reicht als Schulung."
RealitätDer AI Act fordert nachweisbaren Kompetenzaufbau, abgestimmt auf Ihre konkreten Tools und Rollen. Generische Videos ohne Teilnahmenachweis erfüllen das nicht. Sinnvoll: Live-Schulung (vor Ort oder online), praktische Übungen, dokumentierte Teilnahme.
Mein Take in einem Absatz
Der Digital Omnibus ist eine Entlastung für Unternehmen, die Hochrisiko-KI bauen oder einsetzen – also eher größere Player und Spezialisten. Für den normalen Mittelstand ändert sich praktisch nichts: Sie müssen Ihre Leute schulen, Sie müssen dokumentieren, Sie müssen ab August 2026 KI-Bilder kennzeichnen. Wer das jetzt entspannt aufsetzt, hat einen kleinen Wochenend-Aufwand. Wer wartet, bis die Aufsicht klopft, einen großen.
Häufige Fragen
Wurde der EU AI Act 2026 abgeschwächt?
Nein. Der Digital Omnibus vom Mai 2026 verschiebt nur die Fristen für Hochrisiko-KI-Systeme (HR, Biometrie, Bildung, Produkte) auf Dezember 2027 bzw. August 2028. Die Kompetenzpflicht aus Artikel 4 und der Sanktionsrahmen bleiben unverändert in Kraft.
Welche Pflichten gelten 2026 für ein normales KMU?
Wenn Sie ChatGPT, Copilot oder Gemini im Betrieb einsetzen, müssen Sie seit dem 2. Februar 2025 die KI-Kompetenz Ihrer Mitarbeitenden sicherstellen – dokumentiert und nachweisbar. Ab 2. August 2026 kommen Kennzeichnungspflichten für KI-generierte Inhalte (Bilder, Videos, Audio) hinzu.
Wie hoch sind die Bußgelder beim EU AI Act?
Der Bußgeldrahmen ist seit 2. August 2025 anwendbar und gestaffelt: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. € oder 3 % bei Verstößen gegen sonstige Anbieter- und Betreiberpflichten, bis zu 7,5 Mio. € oder 1 % bei falschen Angaben. Für KMU gilt jeweils der niedrigere der beiden Beträge.
Muss ich KI-generierte Bilder kennzeichnen?
Ja, ab 2. August 2026. Alle Inhalte, die mithilfe von KI erzeugt oder verändert wurden – Bilder, Audio, Videos, Deepfakes – müssen eindeutig als KI-generiert kenntlich gemacht werden. Praktisch relevant für Social Media, Werbung, Website-Bilder und Newsletter. Ein dezenter Hinweis im Bild oder Bildtext reicht.
Was ist der Digital Omnibus?
Ein Maßnahmenpaket der EU-Kommission vom Mai 2026, das mehrere digitale Regelwerke gleichzeitig anpasst. Für den AI Act bedeutet er: Verschiebung der Hochrisiko-Fristen um bis zu 16 Monate, vereinfachte Dokumentation für KMU, erweiterte Befugnisse des AI Office und mehr geschützte Testumgebungen.
Was sollte ich als KMU jetzt konkret tun?
Fünf Schritte: (1) Bestandsaufnahme aller genutzten KI-Tools. (2) Verantwortliche Person benennen. (3) Kompetenzschulung für alle Mitarbeitenden mit Teilnahmenachweis. (4) Kurze KI-Richtlinie für den Betrieb schreiben. (5) Kennzeichnung von KI-Inhalten im Marketing einplanen (Pflicht ab 2. August 2026).
Weiterlesen: Alle Details zur Schulungspflicht finden Sie auf der Seite KI-Schulungspflicht nach EU AI Act. Wenn Sie direkt einen Schulungstermin planen wollen: KI-Kompetenzschulung buchen.
Unsicher, ob Ihr Betrieb sauber aufgestellt ist?
30 Minuten kostenloses Erstgespräch – wir gehen Ihre konkrete Situation durch und Sie wissen am Ende, was als Nächstes ansteht.
Kostenloses Erstgespräch buchen