AI Omnibus: was am 2. Dezember 2026 trotzdem gilt

Seit dem 27. Juli 2026 gilt der AI Omnibus, die Verordnung (EU) 2026/1744. Die Berichterstattung dazu lässt sich in einem Satz zusammenfassen: Die Pflichten sind verschoben. Das stimmt, ist aber die halbe Nachricht, und in dieser Verkürzung wird sie falsch.

Verschoben wurde ein einzelnes Kapitel des EU AI Acts. Andere Pflichten gelten unverändert weiter, eine davon seit wenigen Wochen. Und eine Frist, die in kaum einer Meldung auftaucht, läuft in dreieinhalb Monaten ab. Wer die Zusammenfassung, alles sei verschoben, mitnimmt und den Ordner zuklappt, übersieht genau die Pflicht, die den Mittelstand tatsächlich betrifft.

Was der AI Omnibus tatsächlich geändert hat

Der Ablauf: Die Europäische Kommission hat das Digital-Omnibus-Paket am 19. November 2025 vorgelegt. Der KI-Teil wurde daraus herausgelöst und im Eilverfahren behandelt, damit die neuen Fristen vor dem ursprünglichen Stichtag des 2. August 2026 in Kraft treten konnten. Unterzeichnet am 8. Juli, veröffentlicht im Amtsblatt am 24. Juli, in Kraft seit dem 27. Juli 2026.

Der Grund für die Verschiebung ist kein politischer Sinneswandel, sondern ein praktischer: Die harmonisierten Normen und die benannten Prüfstellen, gegen die Unternehmen ihre Hochrisiko-Systeme hätten prüfen lassen müssen, waren nicht fertig. Es gab schlicht keinen Maßstab, an dem sich die Einhaltung hätte messen lassen.

Verschoben wurde ein Kapitel, nicht das Gesetz

Der AI Act besteht nicht aus einer Pflicht, sondern aus mehreren Gruppen, die zu unterschiedlichen Zeitpunkten greifen. Verschoben wurde ausschließlich Kapitel III, das die Anforderungen an Hochrisiko-Systeme regelt: Risikomanagement, technische Dokumentation, Datenqualität, menschliche Aufsicht, Konformitätsbewertung.

Nicht verschoben wurden die Verbote, die seit Februar 2025 gelten. Nicht verschoben wurden die Pflichten für Anbieter allgemeiner KI-Modelle, die seit August 2025 gelten. Und, für die meisten Unternehmen das Entscheidende: nicht verschoben wurden die Transparenzpflichten nach Artikel 50. Sie gelten seit dem 2. August 2026.

Der Unterschied ist keine Feinheit. Ein Hochrisiko-System betreibt im Mittelstand fast niemand. Inhalte mit KI erzeugen oder einen Chatbot betreiben inzwischen fast alle.

Was am 2. Dezember 2026 abläuft

Systeme, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen diese in maschinenlesbarer Form als künstlich erzeugt markieren. Für Systeme, die ab dem 2. August 2026 auf den Markt gekommen sind, gilt das bereits. Für Systeme, die vorher auf dem Markt waren, gibt es eine Übergangsfrist bis zum 2. Dezember 2026.

Das ist die einzige Frist des AI Acts, die in diesem Jahr noch abläuft. Und sie betrifft genau die Systeme, die in Unternehmen bereits im Einsatz sind, denn ein Werkzeug, das heute produktiv läuft, war in aller Regel vor August 2026 verfügbar.

Sind Sie Anbieter oder Betreiber?

Bevor Sie daraus eine Aufgabe machen, klären Sie eine Frage, an der sich fast alles entscheidet: In welcher Rolle handeln Sie?

Anbieter ist, wer ein KI-System entwickelt und unter eigenem Namen auf den Markt bringt. Die maschinenlesbare Markierung erzeugter Inhalte ist eine Anbieterpflicht. Wenn Sie ChatGPT, Copilot oder ein Werkzeug Ihres Softwarehauses nutzen, sind Sie nicht der Anbieter. Diese Pflicht trifft dann nicht Sie.

Betreiber ist, wer ein solches System im eigenen Namen einsetzt. Das sind Sie. Ihre Pflichten sind enger gefasst und knüpfen an den Verwendungszweck an, nicht an die Technik: Wer mit einem Chatbot arbeitet, muss erkennbar machen, dass eine Maschine antwortet. Wer Deepfakes veröffentlicht, muss sie als solche ausweisen. Wer KI-erzeugte Texte veröffentlicht, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, muss das offenlegen.

Was daraus nicht folgt: Ein mit KI vorbereitetes Angebot, ein intern zusammengefasstes Protokoll, ein Produkttext im eigenen Shop sind keine Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse. Wer diese Unterscheidung nicht macht, kennzeichnet am Ende alles und schwächt damit genau die Hinweise, auf die es ankommt.

Für die allermeisten mittelständischen Unternehmen lautet die ehrliche Antwort deshalb: Ihre Aufgabe zum 2. Dezember besteht darin, bei Ihren Lieferanten nachzufragen, nicht selbst zu entwickeln.

Vier weitere Änderungen, die Sie kennen sollten

Erstens: Der Begriff Sicherheitsbauteil ist enger gefasst. Systeme, die Nutzer lediglich unterstützen oder die Leistung verbessern, gelten nicht automatisch als Sicherheitsbauteil, wenn ihr Ausfall keine Gefahr für Gesundheit oder Sicherheit schafft. Das nimmt eine Reihe von Anwendungen aus der Hochrisiko-Einstufung heraus, die vorher im Graubereich lagen, etwa Assistenzfunktionen in der Produktion.

Zweitens: Zwei neue Verbote. Ergänzt wurde das Verbot, KI zur Erzeugung oder Bearbeitung von Darstellungen sexuellen Kindesmissbrauchs einzusetzen, sowie das Verbot, intime oder sexuell explizite Inhalte identifizierbarer Personen ohne deren Einwilligung zu erzeugen. Beides gilt für Bild, Video und Ton.

Drittens: Die Schulungspflicht ist entschärft. Artikel 4 verlangte bisher, ein ausreichendes Maß an KI-Kompetenz bei den eigenen Beschäftigten sicherzustellen. Jetzt genügt es, den Aufbau dieser Kompetenz zu unterstützen. Der Unterschied ist juristisch erheblich: Aus einer Erfolgspflicht wird eine Bemühenspflicht. Dokumentieren Sie trotzdem, was Sie tun. Der Nachweis der Bemühung ist jetzt der Kern der Pflicht.

Viertens: Erleichterungen für kleinere Unternehmen. Vereinfachte technische Dokumentation, angemessenere Anforderungen an das Qualitätsmanagement, gemilderte Bußgelder und bevorzugter Zugang zu Reallaboren. Das senkt den Aufwand für den Nachweis, nicht die inhaltlichen Anforderungen.

Was wir Ihnen raten

Drei Schritte, in dieser Reihenfolge, und keiner davon braucht ein Projekt.

Erstens: Führen Sie eine Liste Ihrer KI-Systeme. Nicht als Compliance-Übung, sondern weil Sie ohne diese Liste keine der folgenden Fragen beantworten können. In den meisten Unternehmen ist das Ergebnis eine Überraschung, weil KI inzwischen in Standardsoftware steckt, die niemand als KI-System eingekauft hat.

Zweitens: Klären Sie je System Ihre Rolle. Eingekauft heißt Betreiber, selbst gebaut heißt Anbieter. Bei eingekauften Systemen fragen Sie beim Anbieter nach, wie er die Kennzeichnung umsetzt. Diese Frage schriftlich zu stellen ist der gesamte Aufwand, und die Antwort gehört in Ihre Unterlagen.

Drittens: Prüfen Sie Ihre nach außen sichtbaren Berührungspunkte. Chatbot, automatische Antworten, veröffentlichte Inhalte. Dort, und nur dort, entstehen Ihre eigenen Offenlegungspflichten.

Was Sie nicht tun sollten: die zusätzliche Zeit bei den Hochrisiko-Pflichten als Entwarnung lesen. Wer ein solches System betreibt, hat nicht weniger Arbeit, sondern dieselbe Arbeit zu einem späteren Zeitpunkt. Der Gewinn liegt darin, dass die Normen bis dahin vorliegen sollen und die Arbeit dann gegen einen feststehenden Maßstab erfolgt statt gegen einen vermuteten.

Welche Ihrer Abläufe überhaupt für Automatisierung in Frage kommen und was sie einspielen würde, zeigt der Digitalisierungsrechner. Die rechtlichen Zusammenhänge stehen ausführlicher unter KI im Unternehmen, die Begriffe aus diesem Beitrag im KI-Glossar.

Häufige Fragen

Gilt der EU AI Act jetzt oder nicht?

Beides, je nach Pflicht. Die Verbote gelten seit Februar 2025, die Pflichten für Anbieter allgemeiner KI-Modelle seit August 2025, die Transparenzpflichten nach Artikel 50 seit dem 2. August 2026. Nur die Pflichten für Hochrisiko-Systeme wurden verschoben, auf den 2. Dezember 2027 für eigenständige Systeme nach Anhang III und auf den 2. August 2028 für Systeme, die als Sicherheitsbauteil in einem Produkt stecken. Die verbreitete Zusammenfassung, das Gesetz sei verschoben, ist deshalb falsch.

Müssen wir unsere mit KI erzeugten Texte kennzeichnen?

Das hängt davon ab, in welcher Rolle Sie handeln und worum es im Text geht. Die maschinenlesbare Markierung erzeugter Inhalte ist eine Anbieterpflicht: Sie trifft denjenigen, der das generative System auf den Markt bringt, also OpenAI, Microsoft oder Ihren Softwarelieferanten. Als Betreiber trifft Sie eine Offenlegungspflicht in bestimmten Fällen, insbesondere bei Deepfakes und bei veröffentlichten Texten, die der Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse dienen. Ein mit KI vorbereitetes Angebot an einen Kunden fällt nicht darunter.

Was ändert sich für unseren Chatbot?

Wenig, wenn er ordentlich gebaut ist. Nutzer müssen erkennen können, dass sie mit einer Maschine sprechen und nicht mit einem Menschen. Das ist keine neue Anforderung und in den meisten Systemen bereits umgesetzt. Prüfen Sie, ob der Hinweis auch dann sichtbar ist, wenn jemand mitten im Gespräch einsteigt, etwa über einen geteilten Link.

Wir sind ein kleines Unternehmen. Gelten für uns Erleichterungen?

Ja, aber sie betreffen die Nachweisführung, nicht die Anforderungen selbst. Der AI Omnibus weitet bestehende Erleichterungen für kleine und mittlere Unternehmen sowie für kleine Unternehmen mit mittlerer Kapitalausstattung aus: vereinfachte technische Dokumentation, angemessenere Anforderungen an das Qualitätsmanagement, gemilderte Bußgelder und weiterhin bevorzugter Zugang zu Reallaboren. Der Weg zum Nachweis wird also leichter, das Ziel bleibt dasselbe.

Können wir die zusätzliche Zeit einfach abwarten?

Können Sie, nur ändert die Verschiebung nichts am Aufwand. Sie verschiebt ihn. Wer ein Hochrisiko-System betreibt, braucht Risikomanagement, technische Dokumentation, Datenqualitätsnachweise und menschliche Aufsicht, und diese Dinge entstehen nicht in einem Quartal. Der praktische Wert der zusätzlichen Zeit liegt darin, dass die harmonisierten Normen und Prüfstellen bis dahin vorliegen sollen. Erst dann lässt sich die Arbeit gegen einen feststehenden Maßstab erledigen statt gegen einen vermuteten.

Gilt die angekündigte Lockerung der DSGVO auch schon?

Nein. Der AI Omnibus wurde aus einem größeren Paket herausgelöst und vorgezogen, damit die neuen Fristen vor dem ursprünglichen Stichtag in Kraft treten konnten. Die vorgeschlagenen Änderungen an DSGVO, ePrivacy-Richtlinie, NIS2 und Data Act werden weiterhin verhandelt und sind kein geltendes Recht. Für Ihre Datenverarbeitung gilt die DSGVO unverändert.

Quellen und Hinweis

Dieser Beitrag gibt den Stand vom 19. August 2026 wieder und ersetzt keine Rechtsberatung. Für die Beurteilung Ihres konkreten Falls, insbesondere bei der Einstufung als Hochrisiko-System, ziehen Sie bitte rechtlichen Rat hinzu.
Verordnung (EU) 2026/1744 im Amtsblatt · EU AI Act, konsolidierter Text · Einordnung von White & Case · AI Omnibus tritt in Kraft, Europäische Kommission · Endgültige Zustimmung des Rates