EU AI Act

Vier Risikoklassen

Digital Omnibus on AI (Vorschlag 11/2025 → Einigung 07.05.2026 → in Kraft 27.07.2026)

Stand 2026-07-27: Nach der politischen Einigung vom 7. Mai 2026 hat das EU-Parlament am 16.06.2026 zugestimmt, der Rat der EU am 29.06.2026 final gebilligt. Der Digital Omnibus ist als Verordnung (EU) 2026/1744 am 24.07.2026 im EU-Amtsblatt veröffentlicht worden und am 27.07.2026 in Kraft getreten. Die folgenden Fristen sind damit verbindlich, nicht mehr nur erwartet.

• Hochrisiko-Frist (Anhang III) verschoben: Aug 2026 → 02.12.2027
• Anhang I (in regulierte Produkte integrierte KI): verschoben auf 02.08.2028
• Transparenzpflichten (Art. 50) unverändert: Kennzeichnung KI-generierter Inhalte bleibt bei 02.08.2026 – hier gibt es (anders als teils kolportiert) keine Verschiebung.
• SMC-Kategorie eingeführt: < 750 MA / ≤ 150 Mio. € Umsatz → KMU-Erleichterungen
• Art. 4 (AI Literacy) in Kraft seit Feb 2025, von der Verschiebung ausdrücklich nicht betroffen: Arbeitgeber müssen sicherstellen, dass die Belegschaft Funktionsweise und Risiken eingesetzter KI-Tools versteht. Ab 02.08.2026 – in wenigen Tagen – erhalten die nationalen Marktüberwachungsbehörden die formale Aufsichts- und Durchsetzungsbefugnis. Wer bis dahin keinen Schulungsnachweis hat, agiert im Prüfrisiko.
• Art. 50 (Transparenzpflichten): Die EU-Kommission hat am 20.07.2026 finale Leitlinien veröffentlicht (51 Seiten, rechtlich nicht bindend, aber maßgeblich für die Auslegungspraxis der Marktüberwachungsbehörden). Der freiwillige Code of Practice on Transparency of AI-Generated Content liegt seit 10.06.2026 vor, die Kommission hat ihn im Juli 2026 als adäquat bewertet. Wie sich das auf einer echten Website umsetzen lässt, zeigt go4ais eigene Transparenzseite – Chat-Kennzeichnung, Bild-Labeling und Redaktionsstatut inklusive.
• DSGVO-Anpassungen: Legitimes Interesse für KI-Training erlaubt; Pseudonymisierung kann von DSGVO entbinden.
• Deutschland: Der Bundestag hat das KI-Durchführungsgesetz am 11.06.2026 beschlossen (Zustimmung des Bundesrats bei Redaktionsschluss noch ausstehend). Die Bundesnetzagentur wird zentrale Marktüberwachungsbehörde und richtet ein Koordinierungs- und Kompetenzzentrum (KoKIVO) sowie eine KI-Marktüberwachungskammer ein.

Was zum 02.08.2026 tatsächlich greift – nicht das, was im Marketing steht

Der 02.08.2026 rückt näher – bei Redaktionsschluss dieses Texts nur noch wenige Tage entfernt. Manches Marketing zeichnet das Datum als „vollständige Durchsetzung des EU AI Act”. Das überzeichnet. Was tatsächlich greift:

• Art. 4 (AI-Literacy) – seit Feb 2025 inhaltlich in Kraft, ab 02.08.2026 aktiv prüffähig durch die Bundesnetzagentur als deutsche Marktüberwachungsbehörde.
• Art. 50 (Transparenzpflichten) – Kennzeichnungspflicht für KI-generierte Inhalte, ebenfalls ab 02.08.2026, unverschoben.
• Art. 5 (Verbote) – seit Feb 2025 in Kraft, weiterhin gültig.

Hochrisiko-Pflichten (Anhang III) liegen dagegen auf 02.12.2027. Für die meisten KMU als Deployer bleibt die operative Pflicht zum Stichtag im August damit auf AI-Literacy-Nachweis und Transparenzkennzeichnung begrenzt – aber genau diese zwei sollten jetzt, nicht erst im Spätsommer, erledigt sein.

Provider oder Deployer?

Provider (Anbieter) entwickelt oder verändert ein KI-System wesentlich → trägt die Hauptlast der Konformitätsbewertung.

Deployer (Betreiber) nutzt ein fertiges KI-System → deutlich geringere Pflichten. Die meisten KMU sind Deployer. Das reduziert die Compliance-Last erheblich.

ISO 42001 ist 2026 als Goldstandard für KI-Governance etabliert – sinnvoll für alle, die ohnehin auf Hochrisiko zusteuern oder mit Konzern-Auftraggebern arbeiten, die das früher oder später fordern werden.

Bußgeldstruktur

Compliance-Reihenfolge für KMU

1. Verbote einhalten (sofort – seit Feb 2025)
2. KI-Inventar erstellen
3. Risikoklassifizierung + Provider-/Deployer-Rolle klären
4. Bei Hochrisiko: Vorbereitung auf Dez 2027 (Risikomanagement, DSFA)
5. AI Policy gegen Shadow AI einführen

Drei Nachweise, die ab 02.08.2026 prüffähig sein müssen

Der Termin ist keine ferne Ankündigung mehr, sondern eine Frage von Wochen. Für ein KMU als Deployer reduziert sich die operative Pflicht auf drei Dokumente. Das ist behördenfest, unabhängig von der Risikoklasse, und in 1–2 Wochen erstellbar – also noch rechtzeitig vor dem Stichtag, wenn jetzt begonnen wird:

1. AI-Literacy-Nachweis (Art. 4) – Schulungsaufzeichnung: Datum, Themen, Teilnehmerliste, Format. Interne Briefings reichen, wenn dokumentiert.
2. Risikoregister – Tabellarische Liste aller KI-Systeme mit Anwendungsbereich, Risikoklasse, Verantwortlicher.
3. KI-Policy (Minimalversion) – 2–5 Seiten: Wer darf was, wie wird Output geprüft, wo ist menschliche Freigabe Pflicht. Der Satz, an dem solche Policies im Alltag scheitern, betrifft die Eingabe: welche Daten überhaupt in einen Prompt dürfen und was vorher ersetzt wird (siehe Pseudonymisierung & Anonymisierung).

Mehr ist für die meisten KMU-Deployer nicht erforderlich. Weniger ist Bußgeldrisiko.

Pragmatische Umsetzung

• Inventar aller eingesetzten KI-Tools (was, wo, von wem)
• Risiko-Klassifikation pro Tool (Minimal / Limited / High)
• Bei Limited / High: Dokumentation + DSGVO-Abgleich
• Bei Minimal: nichts tun außer regelmäßig prüfen, ob’s Minimal bleibt

Regulatorische Sandboxes

Bis August 2026 muss jeder EU-Mitgliedstaat mindestens einen Sandkasten betreiben. KMU und Start-ups bekommen kostenfreien Zugang. Deutschland: über die Bundesnetzagentur, die mit dem im Juni 2026 vom Bundestag beschlossenen KI-Durchführungsgesetz auch formal mit dem Aufbau eines KI-Reallabors beauftragt wird. Der Exit Report aus dem Sandkasten ist Compliance-Nachweis für spätere Konformitätsbewertung.