Was jetzt gilt, was verschoben wurde und was zu tun ist
Der „Digital Omnibus“ hat die Fristen für Hochrisiko-KI verschoben — und ist inzwischen formal beschlossen. Doch der nächste Stichtag steht direkt vor der Tür: Am 2. August 2026 greifen die Transparenz- und Kennzeichnungspflichten nach Art. 50. Dieser Leitfaden trennt, was rechtlich schon bindend ist, was jetzt kommt und wofür Ihr mehr Zeit habt.
Stand: Juli 2026 — keine Rechtsberatung
Der EU AI Act (Verordnung (EU) 2024/1689) ist seit August 2024 in Kraft und gilt gestaffelt. Der „Digital Omnibus“ — das Reformpaket, das die Pflichten für Hochrisiko-KI deutlich nach hinten verschiebt — ist inzwischen formal beschlossen: Das Parlament hat am 16. Juni 2026 zugestimmt, der Rat am 29. Juni 2026; die Veröffentlichung im EU-Amtsblatt wird für Juli erwartet. Wichtig: Das ist keine Entwarnung. Mehrere Pflichten sind bereits bindend, und am 2. August 2026 folgt mit den Transparenzpflichten nach Art. 50 der nächste Stichtag — er betrifft jedes Unternehmen, das Chatbots oder generative KI einsetzt.
Der AI Act greift nicht auf einen Schlag, sondern in Stufen. Nach dem formal beschlossenen Omnibus sieht der Fahrplan so aus:
Übergangsregel für die Kennzeichnung: Generative KI-Systeme, die vor dem 2. August 2026 bereits auf dem Markt sind, haben bis zum 2. Dezember 2026 Zeit, die maschinenlesbare Markierung ihrer Outputs umzusetzen. Für alle übrigen Pflichten aus Art. 50 gilt der 2. August 2026 ohne Aufschub.
Der AI Act reguliert nicht „KI“ pauschal, sondern nach Risiko. In welche Klasse Euer System fällt, entscheidet über Eure Pflichten:
Der AI Act unterscheidet zwischen „Anbieter“ (Provider — wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt) und „Betreiber“ (Deployer — wer ein KI-System beruflich einsetzt). Die meisten Mittelständler sind Betreiber — und unterschätzen oft, dass auch diese Rolle Pflichten trägt. Wer ein System aber wesentlich anpasst oder unter eigenem Branding weitergibt, kann selbst zum Anbieter werden.
Klärt zuerst Eure Rolle pro System — sie bestimmt den gesamten Pflichtenkatalog. Im Zweifel, etwa beim Fine-Tuning oder White-Labeling fremder Modelle, frühzeitig prüfen, ob Ihr zum Anbieter werdet.
Ja, als Betreiber. Auch wer KI nur einsetzt statt sie zu entwickeln, unterliegt der KI-Kompetenz-Pflicht und den Transparenzregeln. Zudem überlagert sich der Einsatz solcher Cloud-Tools mit der DSGVO, sobald personenbezogene Daten in Prompts fließen.
Weder vollständig abgeschafft noch komplett verschoben. Der Digital Omnibus verschiebt die Hochrisiko-Pflichten auf 2027/2028, lässt die bereits geltenden Verbote, GPAI-Regeln und Kompetenzpflichten aber unangetastet. Die Verschiebung ist seit Ende Juni 2026 formal beschlossen — und die Transparenzpflichten nach Art. 50 kommen wie geplant am 2. August 2026.
Die Transparenzpflichten nach Art. 50: Chatbots müssen sich als KI zu erkennen geben, generative Systeme müssen ihre Outputs maschinenlesbar markieren, und Deepfakes sowie KI-generierte Texte zu Themen von öffentlichem Interesse müssen sichtbar gekennzeichnet werden. Einzige Ausnahme: Generative Systeme, die vor dem Stichtag bereits am Markt sind, haben für die maschinenlesbare Markierung bis zum 2. Dezember 2026 Zeit.
Bei verbotenen Praktiken bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes. Bei Verstößen gegen andere Pflichten bis zu 15 Mio. Euro oder 3 %. Falschangaben gegenüber Behörden bis zu 7,5 Mio. Euro oder 1 %.
Nein. Der Aufbau von Risikomanagement, Dokumentation und Daten-Governance dauert Monate. Die verlängerte Frist ist Puffer, kein Grund zum Aufschieben — und viele Maßnahmen zahlen ohnehin auf DSGVO und IT-Sicherheit ein.
Sie greifen ineinander. Sobald KI personenbezogene Daten verarbeitet, gelten beide. Eine saubere DSGVO-Grundlage — Rechtsgrundlage, Datenminimierung, Betroffenenrechte — ist oft die halbe Miete für die AI-Act-Konformität. Unser DSGVO-KI-Leitfaden ergänzt diesen Überblick.
Art. 4 EU AI Act: Wer welche KI-Kompetenz nachweisen muss.
Weiterlesen →Art. 50 EU AI Act: Wann KI-Inhalte und Bots gekennzeichnet werden müssen.
Weiterlesen →KI datenschutzkonform einsetzen: Rechtsgrundlagen, AVV, Datenflüsse.
Weiterlesen →Wir ordnen Eure KI-Landschaft in die Risikoklassen ein, klären Eure Rolle als Anbieter oder Betreiber und zeigen, welche Schritte jetzt zählen — DSGVO-konform und ohne Hype.
Oder startet mit unserer strukturierten KI-Potenzial- und Compliance-Analyse.
Zur KI-Readiness-Analyse