Kaum ein Rechtsakt hat in den vergangenen Monaten für so viel Verwirrung gesorgt wie die europäische KI-Verordnung. Im Juni hat die EU mit dem sogenannten Digital Omnibus zentrale Fristen verschoben, und in vielen Geschäftsleitungen ist davon vor allem eine Botschaft angekommen: Die Regulierung kommt später. Diese Lesart ist gefährlich verkürzt. Verschoben wurden ausschließlich die Pflichten für Hochrisiko-Systeme, während die Verordnung am 2. August 2026 wie geplant allgemein anwendbar wird.
Ab diesem Stichtag gelten unter anderem die Transparenzpflichten des Art. 50 KI-VO, und die Aufsichtsbehörden nehmen ihre Durchsetzung auf. Betroffen ist damit praktisch jedes Unternehmen, das einen Chatbot betreibt, KI-generierte Inhalte veröffentlicht oder Werkzeuge wie ChatGPT und Microsoft Copilot im Arbeitsalltag einsetzt. Dieser Beitrag ordnet ein, was ab dem 2. August tatsächlich gilt, was der Digital Omnibus verschoben hat und welche Schritte kleine und mittlere Unternehmen jetzt gehen sollten.
2. Aug.
2026 wird die KI-Verordnung allgemein anwendbar, inklusive der Transparenzpflichten nach Art. 50
15 Mio. €
oder 3 % des weltweiten Jahresumsatzes drohen als Bußgeld, wenn Transparenz- und Betreiberpflichten verletzt werden
16 Monate
mehr Zeit gibt der Digital Omnibus für eigenständige Hochrisiko-Systeme: Anwendungsbeginn erst am 2. Dezember 2027
Quellen: Verordnung (EU) 2024/1689 (KI-VO); Digital Omnibus on AI, Ratsbeschluss vom 29. Juni 2026
Das Wichtigste in Kürze
- Am 2. August 2026 wird die KI-Verordnung allgemein anwendbar. Der Digital Omnibus verschiebt diesen Stichtag nicht, sondern nur die Pflichten für Hochrisiko-Systeme.
- Ab dem Stichtag gelten die Transparenzpflichten des Art. 50: Chatbots müssen sich als KI zu erkennen geben, Deepfakes und bestimmte KI-generierte Texte sind zu kennzeichnen.
- Die Pflicht zur maschinenlesbaren Kennzeichnung synthetischer Inhalte (Art. 50 Abs. 2) erhält eine eigene Übergangsfrist bis zum 2. Dezember 2026.
- Hochrisiko-Pflichten greifen später: für eigenständige Systeme nach Anhang III ab dem 2. Dezember 2027, für produktintegrierte Systeme nach Anhang I ab dem 2. August 2028.
- Unverändert in Kraft sind die verbotenen Praktiken und die KI-Kompetenzpflicht (beide seit Februar 2025) sowie die Pflichten für KI-Basismodelle (seit August 2025).
- Mit dem Stichtag beginnt die aktive Durchsetzung, mit Bußgeldern bis 35 Mio. Euro oder 7 % des Jahresumsatzes bei verbotenen Praktiken.
Der 2. August 2026: Die Verordnung wird allgemein anwendbar
Die KI-Verordnung ist bereits am 1. August 2024 in Kraft getreten, entfaltet ihre Pflichten jedoch gestaffelt. Nach den Verboten und der Kompetenzpflicht (Februar 2025) sowie den Regeln für KI-Modelle mit allgemeinem Verwendungszweck (August 2025) folgt am 2. August 2026 die dritte und größte Stufe: Die Verordnung wird nach ihrem Art. 113 allgemein anwendbar. Ab diesem Zeitpunkt gelten die Transparenzpflichten, die Mitgliedstaaten müssen ihre Marktüberwachung arbeitsfähig haben, und das Sanktionsregime wird scharfgestellt.
Parallel dazu hat die EU im Juni 2026 das Änderungspaket zur KI-Verordnung beschlossen, das unter dem Namen Digital Omnibus verhandelt wurde. Das Europäische Parlament stimmte am 16. Juni zu, der Rat erteilte am 29. Juni seine finale Zustimmung; die Veröffentlichung im Amtsblatt ist so getaktet, dass die neuen Fristen noch vor dem 2. August wirksam werden. Wer aus den Schlagzeilen zur Verschiebung geschlossen hat, das Thema könne insgesamt warten, sollte diese Annahme daher dringend überprüfen.
Digital Omnibus on AI
Änderungsverordnung zur KI-Verordnung (EU) 2024/1689 im Rahmen der EU-Vereinfachungsagenda. Sie verschiebt den Anwendungsbeginn der Hochrisiko-Pflichten, ergänzt den Katalog verbotener Praktiken um KI-Systeme zur Erzeugung nicht einvernehmlicher intimer Darstellungen und von Missbrauchsdarstellungen, und präzisiert einzelne Pflichten zur Entlastung insbesondere kleiner und mittlerer Unternehmen. Die Grundsystematik der Verordnung bleibt unverändert.
Diese Transparenzpflichten gelten ab dem 2. August
Kern des Stichtags sind für die meisten kleinen und mittleren Unternehmen die Transparenzpflichten des Art. 50 KI-VO. Sie folgen einem einfachen Grundgedanken: Wo Menschen mit Künstlicher Intelligenz interagieren oder KI-erzeugte Inhalte wahrnehmen, sollen sie das erkennen können. Die Pflichten treffen je nach Konstellation den Anbieter des Systems oder das Unternehmen, das es einsetzt, im Sprachgebrauch der Verordnung den Betreiber.
| Pflicht (Art. 50 KI-VO) | Wen sie trifft | Typischer Fall im Unternehmensalltag |
|---|---|---|
| Interaktions-Hinweis (Abs. 1) | Anbieter des KI-Systems | Der Website-Chatbot muss so gestaltet sein, dass Nutzer erkennen, dass sie mit einer KI kommunizieren, sofern das nicht offensichtlich ist. |
| Hinweis bei Emotionserkennung und biometrischer Kategorisierung (Abs. 3) | Betreiber | Wer solche Systeme einsetzt, etwa zur Auswertung von Kundenreaktionen, muss die betroffenen Personen darüber informieren. |
| Kennzeichnung von Deepfakes (Abs. 4) | Betreiber | KI-erzeugte oder -manipulierte Bild-, Audio- und Videoinhalte, die reale Personen oder Ereignisse täuschend echt darstellen, sind als künstlich erzeugt offenzulegen. |
| Kennzeichnung bestimmter KI-Texte (Abs. 4) | Betreiber | Veröffentlichte KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, benötigen einen Hinweis, sofern keine menschliche redaktionelle Kontrolle und Verantwortung besteht. |
Sonderfall Abs. 2: Die Pflicht der Anbieter, synthetische Inhalte maschinenlesbar zu kennzeichnen (Wasserzeichen), erhält durch den Digital Omnibus eine eigene Übergangsfrist bis zum 2. Dezember 2026.
Wen das praktisch betrifft
Die Transparenzpflichten sind keine Spezialmaterie für Technologiekonzerne. Ein Kundenservice-Chatbot auf der Website, KI-generierte Produktvideos im Marketing oder automatisiert erstellte Fachbeiträge reichen aus, um in den Anwendungsbereich zu fallen. Wer solche Werkzeuge einsetzt, sollte bis zum Stichtag prüfen, ob die erforderlichen Hinweise und Kennzeichnungen vorhanden sind.
Was der Digital Omnibus verschiebt und was nicht
Die Verschiebung betrifft ausschließlich die Anforderungen an Hochrisiko-KI-Systeme nach Kapitel III der Verordnung, also etwa Konformitätsbewertung, Risikomanagement, technische Dokumentation und CE-Kennzeichnung. Für eigenständige Systeme nach Anhang III (zum Beispiel KI in der Personalauswahl oder Kreditwürdigkeitsprüfung) verschiebt sich der Anwendungsbeginn um 16 Monate auf den 2. Dezember 2027, für Hochrisiko-KI als Sicherheitsbauteil regulierter Produkte nach Anhang I auf den 2. August 2028. Zusätzlich nimmt der Omnibus zwei neue Tatbestände in den Katalog der verbotenen Praktiken auf: KI-Systeme, die nicht einvernehmliche intime Darstellungen realer Personen oder Darstellungen sexuellen Kindesmissbrauchs erzeugen oder manipulieren, sind ab dem 2. Dezember 2026 verboten.
Gilt ab dem 2. August 2026
Allgemeine Anwendbarkeit der Verordnung. Transparenzpflichten nach Art. 50 Abs. 1, 3 und 4 für Chatbots, Emotionserkennung, Deepfakes und bestimmte KI-Texte. Beginn der aktiven Durchsetzung durch das EU AI Office und die nationale Marktüberwachung. Anwendbarkeit des Sanktionsregimes.
Durch den Omnibus verschoben
Hochrisiko-Pflichten für eigenständige Systeme nach Anhang III auf den 2. Dezember 2027. Hochrisiko-Pflichten für produktintegrierte Systeme nach Anhang I auf den 2. August 2028. Maschinenlesbare Kennzeichnung synthetischer Inhalte nach Art. 50 Abs. 2 auf den 2. Dezember 2026.
Was ohnehin schon gilt
Unabhängig vom Stichtag bestehen drei Pflichtenblöcke bereits heute. Seit dem 2. Februar 2025 sind die verbotenen Praktiken des Art. 5 anwendbar, darunter manipulative Techniken und Social Scoring. Seit demselben Tag verlangt Art. 4 die sogenannte KI-Kompetenz: Anbieter und Betreiber müssen sicherstellen, dass ihr Personal über ein ausreichendes Maß an Kenntnissen im Umgang mit KI-Systemen verfügt. Als Betreiber gilt dabei in der Regel schon ein Unternehmen, das Werkzeuge wie ChatGPT oder Copilot im Arbeitsalltag einsetzt. Seit dem 2. August 2025 gelten außerdem die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck; ab dem 2. August 2026 beginnt hierfür die aktive Durchsetzung durch das EU AI Office.
Für die Kompetenzpflicht bedeutet der Stichtag eine spürbare Veränderung der Risikolage: Mit dem Start der Marktüberwachung wird aus einer bislang kaum kontrollierten Vorgabe eine Anforderung, deren Erfüllung Unternehmen im Zweifel belegen sollten. Dokumentierte Schulungen und eine interne KI-Richtlinie sind der praktikabelste Nachweis. Wie ein solches Vorgehen aussehen kann, zeigen unsere Schulungen und E-Learnings sowie die KI-Beratung.
Durchsetzung und Bußgelder
Mit dem 2. August 2026 wird das Sanktionsregime der Verordnung anwendbar. Verstöße gegen verbotene Praktiken können mit bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden, Verstöße gegen die übrigen Pflichten, einschließlich der Transparenzvorgaben, mit bis zu 15 Mio. Euro oder 3 %. In Deutschland hat das Bundeskabinett im Februar 2026 den Entwurf des nationalen Durchführungsgesetzes beschlossen, das Marktüberwachung und Bußgeldverfahren regelt; nach dem Entwurfsstand ist das Bundesamt für Sicherheit in der Informationstechnik als durchsetzende Behörde vorgesehen, das parlamentarische Verfahren läuft noch. Unternehmen sollten sich darauf einstellen, dass Aufsicht und erste Prüfungen in der zweiten Jahreshälfte 2026 anlaufen.
Was Unternehmen jetzt tun sollten
KI-Bestand erfassen
Erstellen Sie ein Inventar aller eingesetzten KI-Systeme und -Werkzeuge, von der Fachsoftware mit KI-Funktionen bis zu frei zugänglichen Diensten. Ohne diesen Überblick lässt sich keine der folgenden Fragen belastbar beantworten.
Rollen und Betroffenheit klären
Prüfen Sie je System, ob Ihr Unternehmen Anbieter oder Betreiber ist und ob Transparenzpflichten nach Art. 50 greifen. Ordnen Sie außerdem ein, ob eines Ihrer Systeme künftig als Hochrisiko-System einzustufen wäre; die verlängerten Fristen sind Vorbereitungszeit.
Transparenz-Hinweise umsetzen
Statten Sie Chatbots mit einem klaren KI-Hinweis aus und kennzeichnen Sie KI-erzeugte Bild-, Audio-, Video- und Textinhalte dort, wo Art. 50 es verlangt. Legen Sie intern fest, wer diese Kennzeichnung bei neuen Inhalten sicherstellt.
KI-Kompetenz nachweisbar machen
Schulen Sie die Mitarbeitenden, die mit KI-Systemen arbeiten, und dokumentieren Sie die Teilnahme. Der Umfang darf zum Risiko der Nutzung passen; entscheidend ist, dass Sie die Maßnahme im Prüfungsfall belegen können.
Regeln und Dokumentation aufsetzen
Halten Sie in einer internen KI-Richtlinie fest, welche Werkzeuge freigegeben sind, welche Daten eingegeben werden dürfen und wer Ergebnisse prüft. Ein schlankes KI-Verzeichnis dokumentiert die Einsätze und erleichtert jede spätere Auskunft gegenüber Aufsicht oder Kunden.
Das Wesentliche
Der Digital Omnibus verschafft bei Hochrisiko-Systemen Zeit, am Stichtag 2. August 2026 ändert er nichts. Ab dann gelten Transparenzpflichten für Chatbots und KI-Inhalte, die Aufsicht beginnt zu prüfen, und die seit 2025 bestehende Kompetenzpflicht wird durchsetzbar. Wer jetzt Bestand, Rollen, Kennzeichnung und Schulungsnachweise ordnet, erledigt den Pflichtteil mit überschaubarem Aufwand und nutzt die verlängerten Hochrisiko-Fristen als das, was sie sind: Vorbereitungszeit.
Häufige Fragen
Gilt der 2. August 2026 trotz des Digital Omnibus?
Ja. Der Omnibus verschiebt die Verordnung nicht insgesamt, sondern nur die Pflichten für Hochrisiko-Systeme und die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2. Der allgemeine Anwendungsbeginn am 2. August 2026 bleibt bestehen, einschließlich der übrigen Transparenzpflichten und des Sanktionsregimes.
Wir nutzen nur ChatGPT im Büroalltag. Betrifft uns die Verordnung überhaupt?
In aller Regel ja. Wer KI-Werkzeuge eigenverantwortlich im Unternehmen einsetzt, gilt als Betreiber im Sinne der Verordnung. Damit greift insbesondere die Kompetenzpflicht nach Art. 4, die seit Februar 2025 besteht, und je nach Nutzung können Kennzeichnungspflichten für veröffentlichte KI-Inhalte hinzukommen.
Muss unser Website-Chatbot ab August einen KI-Hinweis tragen?
Ein KI-System, das für die direkte Interaktion mit Menschen bestimmt ist, muss so gestaltet sein, dass die Nutzer erkennen, dass sie mit einer KI kommunizieren, es sei denn, dies ist aus den Umständen offensichtlich. Die Pflicht richtet sich an den Anbieter des Systems; als einsetzendes Unternehmen sollten Sie bei Ihrem Dienstleister prüfen, ob der Hinweis vorhanden ist, und ihn andernfalls einfordern.
Was ändert sich bei den Hochrisiko-Systemen konkret?
Die Anforderungen der Abschnitte zu Risikomanagement, Datenqualität, Dokumentation, Konformitätsbewertung und CE-Kennzeichnung gelten für eigenständige Hochrisiko-Systeme nach Anhang III erst ab dem 2. Dezember 2027, für in Produkte eingebettete Systeme nach Anhang I ab dem 2. August 2028. Unternehmen, die solche Systeme entwickeln oder einsetzen wollen, sollten die Zeit für Klassifizierung und Aufbau der Dokumentation nutzen.
Wer kontrolliert die Einhaltung in Deutschland?
Auf EU-Ebene überwacht das AI Office insbesondere die Anbieter großer KI-Modelle. Für die nationale Marktüberwachung hat das Bundeskabinett im Februar 2026 den Entwurf eines Durchführungsgesetzes beschlossen; vorgesehen ist danach das Bundesamt für Sicherheit in der Informationstechnik. Bis zum Abschluss des Gesetzgebungsverfahrens sollten Unternehmen die Zuständigkeit im Blick behalten.
Wie hängt die KI-Verordnung mit anderen Pflichten wie NIS-2 zusammen?
Beide Rechtsakte verlangen Governance-Strukturen, Risikobetrachtung und Nachweisfähigkeit, setzen aber an unterschiedlichen Stellen an: NIS-2 bei der Cybersicherheit der Organisation, die KI-Verordnung beim Einsatz von KI-Systemen. Unternehmen, die von beidem betroffen sind, sollten die Dokumentation zusammen denken. Eine Einordnung zu NIS-2 finden Sie in unserem Beitrag NIS-2 im Überblick.
Quellen
Stand der Recherche: 26. Juli 2026. Maßgeblich ist der jeweils im Amtsblatt der EU veröffentlichte Verordnungstext.
