AI Act verschoben – und trotzdem gilt heute schon einiges

Am 7. Mai 2026 haben sich Rat und Parlament der EU auf den sogenannten Digital Omnibus geeinigt. Die wichtigste Botschaft für mittelständische Unternehmen mit KI-Vorhaben: Die zentralen Hochrisiko-Pflichten des AI Acts sind um 16 Monate verschoben. Anhang-III-Systeme greifen jetzt erst ab 2. Dezember 2027, Anhang-I-Systeme erst ab 2. August 2028 (ki-recht-updates-2026-05).

In den Beratungsterminen der letzten Wochen taucht eine Antwort darauf gleich zwei Mal die Woche auf: „Gut, dann haben wir ja noch Zeit." Das ist die falsche Interpretation. Drei Artikel des AI Acts gelten unverändert, einige sogar schon seit Februar 2025. Wer sich auf den Verschiebe-Effekt verlässt, riskiert, in genau den drei Feldern erwischt zu werden, die nicht verschoben wurden.

Was tatsächlich verschoben wurde

Verschoben wurden ausschließlich die Hochrisiko-Pflichten (eu-ai-act). Konkret: alle Anforderungen an Hochrisiko-KI-Systeme nach Anhang III – darunter KI in der Personalauswahl, im Bonitäts-Scoring, in der Bildungs-Bewertung, in kritischer Infrastruktur, in der Strafverfolgung, in Migration und Grenzkontrolle, in der Rechtspflege. Anhang I betrifft KI, die in Produkte eingebettet ist, die ohnehin EU-weiten Sicherheits-Anforderungen unterliegen (Spielzeug, Aufzüge, Medizinprodukte). Hier ist die Frist sogar bis August 2028 verlängert.

Begründung der Kommission: Die harmonisierten Normen, die für die Konformitätsbewertung nötig wären, sind noch nicht fertig. Ohne Normen können Hersteller nicht konformitätsbewerten – und ohne Konformitätsbewertung darf das System nicht in Verkehr gebracht werden. Die Verschiebung ist also eher technisches Eingeständnis als regulatorische Nachsicht.

Für den deutschen Mittelstand bedeutet das konkret: Wenn Sie ein KI-Bonitätsscoring oder eine KI-gestützte Personalauswahl im Plan haben, gewinnen Sie 16 Monate für die Umsetzung der Hochrisiko-Pflichten. Das ist deutlich – aber es ist kein Freifahrtschein.

Drei Artikel, die heute gelten

Die folgenden drei Artikel sind von der Verschiebung explizit ausgenommen. Sie gelten unverändert.

Art. 4 – KI-Kompetenz: in Kraft seit 2. Februar 2025. Alle Anbieter und Betreiber von KI-Systemen müssen durch geeignete Maßnahmen sicherstellen, dass ihre Mitarbeitenden – und Personen, die im Auftrag des Unternehmens KI nutzen – über ausreichende KI-Kompetenz für den konkreten Einsatz verfügen. Die Verordnung verlangt keine Einheitszertifizierung, sondern ein dokumentiertes, risikoadäquates Schulungskonzept. Was bedeutet das praktisch: Wer ChatGPT, Copilot oder einen Voicebot im Service einsetzt, muss heute schon nachweisen können, dass die Bedienpersonen wissen, was diese Systeme können, wo sie halluzinieren, was sie nicht mit dem Tool teilen dürfen (eu-ai-act-nachweise-kmu).

Was viele übersehen: Die Schulungspflicht gilt nicht nur für Hochrisiko-KI. Sie gilt für jeden KI-Einsatz im Unternehmen. Eine 12-Personen-Kanzlei, die ihren Mitarbeitenden ChatGPT-Zugang gibt, ist genauso betroffen wie ein Konzern. Seit August 2025 besteht zudem zivilrechtliche Haftung: Wenn ein Schaden durch ungeschulte KI-Nutzung entsteht – etwa weil ein Mitarbeitender vertrauliche Mandantendaten in ein US-Tool kopiert – haftet das Unternehmen.

Art. 5 – Verbote: in Kraft seit 2. Februar 2025. Die Verbote betreffen KI-Anwendungen, die als nicht-vereinbar mit europäischen Grundwerten gelten: Social Scoring, manipulative KI-Systeme, predictive Policing in bestimmten Konstellationen, biometrische Echtzeit-Identifizierung im öffentlichen Raum (mit eng begrenzten Ausnahmen). Im Digital Omnibus kam ein neues Verbot hinzu: KI-generierte intime Inhalte ohne Einwilligung der dargestellten Person. Für den klassischen Mittelstand sind die meisten Verbote nicht direkt relevant – aber wer mit Personalsoftware oder mit Kunden-Profiling arbeitet, sollte die Liste einmal pro Quartal lesen. Was 2025 erlaubt war, kann 2026 ergänzt sein.

Art. 50 – Transparenz: in Kraft ab 2. August 2026. Hier liegt der nächste konkrete Stichtag, weniger als zehn Wochen entfernt. Drei Pflichten greifen:

• Chatbot-Offenlegung: Nutzende müssen erkennen können, dass sie mit einem KI-System interagieren, nicht mit einem Menschen.
• Kennzeichnung KI-generierter Inhalte: Bilder, Videos und Audio-Inhalte, die mit KI erzeugt oder substanziell verändert wurden, sind kenntlich zu machen.
• Deepfake-Kennzeichnung: Inhalte, die echt wirken könnten aber KI-generiert sind, müssen klar als solche markiert werden.

Wer im Marketing KI-generierte Bilder einsetzt, im Service Voicebots betreibt oder im Vertrieb Chatbot-Lead-Qualifizierung fährt, hat ab August neue Kennzeichnungspflichten. Bei Verstößen droht ein Bußgeld – die Höchstsätze des AI Acts sind nicht symbolisch.

Was die Verschiebung für KMU wirklich ändert

Der Digital Omnibus enthält neben den Frist-Verlängerungen eine Reihe von Vereinfachungen, die explizit auf kleine und mittlere Unternehmen abzielen (regulatorische-evolution-ki-2026):

Erstens: vereinfachte technische Dokumentation. KMU müssen weniger umfangreich dokumentieren, was sie aufseiten der Hochrisiko-Anforderungen einhalten. Die genauen Erleichterungen werden in delegierten Rechtsakten konkretisiert – Zeitplan dafür: voraussichtlich erste Hälfte 2027.

Zweitens: mehr regulatorische Sandboxes. Reallabore, in denen Hochrisiko-KI unter Aufsicht erprobt werden kann, ohne dass die volle Konformitätsbewertung schon vorliegen muss. Für ein Pilotvorhaben kann das den Unterschied zwischen sechs und achtzehn Monaten Vorlauf machen.

Drittens: erweiterte Befugnisse des AI Office zur Compliance-Unterstützung. Das soll konkret heißen: bessere Vorlagen, klarere Auslegungshinweise, weniger Interpretationsspielraum für Beratungspraxen und damit auch weniger Kosten für Unternehmen.

Das alles greift aber erst, wenn die KMU-Vereinfachungs-Pakete operativ sind. Bis dahin gilt: Die Hochrisiko-Verschiebung ist eine Atempause, keine Befreiung. Wer 2027 in Hochrisiko-Anwendungen einsteigen will, sollte heute schon die organisatorischen Voraussetzungen schaffen – also Compliance-Prozesse, Doku-Templates, interne Verantwortlichkeiten (eu-ai-act-nachweise-kmu).

Wie das zusammen mit der DSGVO greift

Eine Beobachtung aus der Praxis: Wer den AI Act allein betrachtet, übersieht oft die parallele DSGVO-Spur. Die DSGVO-Pflichten – insbesondere die Datenschutz-Folgenabschätzung nach Art. 35 – bleiben vom Digital Omnibus völlig unberührt (dsgvo-kmu-pflichten). Wenn Sie eine KI-Verarbeitung mit „voraussichtlich hohem Risiko" planen, schuldet die DSGVO heute eine DSFA. Selbst wenn der AI Act für dieselbe Verarbeitung erst 2027 die volle Hochrisiko-Compliance verlangt.

Beispiel aus dem KMU-Alltag: Eine Wohnungsgenossenschaft, die einen KI-Klassifikator vor die menschliche Bearbeitung von Mieteranfragen setzt, hat heute eine DSGVO-DSFA zu erstellen (branche-wohnungsverein, dsgvo-pflichten-wohnungsgenossenschaften). Die zusätzliche Grundrechte-Folgenabschätzung nach KI-VO Art. 27 wird erst mit der Hochrisiko-Spur in 2027 fällig – aber die DSFA-Pflicht ist heute da. Wer aufseiten DSGVO sauber arbeitet, hat 2027 nur noch den AI-Act-Aufsatz zu ergänzen, nicht die ganze Pflicht-Architektur neu zu bauen.

Drei Schritte, die heute realistisch sind

Wenn ein Geschäftsführer eines mittelständischen Unternehmens fragt, was er diese Woche zum AI Act tun soll, ist die Antwort:

1. Schulungspflicht dokumentieren (Art. 4). Erstellen Sie eine Liste: Welche KI-Tools sind im Einsatz, wer benutzt sie, was wurde an Schulung gemacht? Eine halbe Seite reicht zu Beginn. Wichtig ist, dass die Liste existiert und gepflegt wird. Im Streitfall wird die Aufsicht genau das verlangen.

2. Kennzeichnung vorbereiten (Art. 50, Stichtag August). Wenn Sie KI-Content im Marketing einsetzen, KI-Chatbots im Service, KI-Voicebots im Vertrieb: definieren Sie heute, wie die Kennzeichnung aussieht. Das ist keine Compliance-Übung, sondern eine UX-Entscheidung – wie kommunizieren Sie KI-Einsatz ohne Vertrauensverlust?

3. Hochrisiko-Roadmap durchplanen, nicht ausführen. Wenn KI-Bonitätsscoring, KI-Personalauswahl oder andere Hochrisiko-Anwendungen auf Ihrer 2027er-Roadmap stehen, ist die Verschiebung eine echte Chance: Sie können in Ruhe die nationalen Aufsichts-Strukturen verstehen, die KMU-Sandboxes nutzen und sich Pilotpartner aussuchen. Aber: Wer das nicht heute anstößt, wartet 2027 auf die nächste Verschiebung.

Die Verschiebung ist gut für die EU – sie zeigt, dass Brüssel Frist-Realitäten ernst nimmt. Sie ist gut für Hersteller, die Normen brauchen, bevor sie konformitätsbewerten können. Sie ist gut für KMU, die Vorbereitungszeit gewinnen. Sie ist nicht gut für Unternehmen, die jetzt aufhören, sich Gedanken zu machen. Drei Artikel gelten heute. Drei reichen für die ersten realistischen Bußgelder.