EU AI Act pragmatisch: was wirklich gilt

Stand: Rechtslage nach Inkrafttreten der Verordnung (EU) 2026/1744 am 27. Juli 2026.

Seit dem Sommer 2026 hörst du in Unternehmen einen Satz, der bequem klingt und in die Irre führt: *Der AI Act ist ja verschoben.*

Er ist es nicht. Ein Teil ist verschoben, ein größerer Teil gilt.

Was am 27. Juli 2026 passiert ist

Die KI-Verordnung wurde erstmals geändert. Die Verordnung (EU) 2026/1744 — im Verfahren „AI Omnibus" genannt — wurde am 8. Juli 2026 angenommen, am 24. Juli im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft. Sechs Tage vor dem Stichtag, auf den sich Unternehmen vorbereitet hatten.

Sie nimmt 43 Änderungen an der Verordnung (EU) 2024/1689 vor und ist die erste Änderung der KI-Verordnung überhaupt.

Begriffe auseinanderhalten. Der AI Omnibus ist diese eine Verordnung. Davon zu trennen ist der breitere Digital Omnibus — ein eigenes Vorhaben mit Änderungen unter anderem an der Datenschutz-Grundverordnung. Wenn im Gespräch beides durcheinandergeht, lohnt die Rückfrage, welches gemeint ist. Über den Verfahrensstand des Digital Omnibus trifft dieser Text keine Aussage.

Der Fristenplan

*Nach Art. 113 KI-VO in der konsolidierten Fassung vom 27.07.2026, ergänzt um die Übergangsfrist des Art. 111 Abs. 4.*

Zwei Zeilen sind der Aufschub. Drei gelten bereits, zwei stehen im Dezember 2026 an.

Was längst gilt

Die Verbote nach Artikel 5

Seit dem 2. Februar 2025, unmittelbar bußgeldbewehrt. Betrieblich am wichtigsten ist Art. 5 Abs. 1 lit. f: die Ableitung von Emotionen einer natürlichen Person am Arbeitsplatz. Das kennst du aus Lektion 2 — dort war es ein Ausschlusskriterium bei der Ideensammlung.

Artikel 4 — die KI-Kompetenz des Personals

Seit demselben Tag, ebenfalls nicht verschoben. Der Omnibus hat ihn allerdings entschärft: Verlangt wird jetzt, „Maßnahmen [zu ergreifen], um die Entwicklung der KI-Kompetenz zu fördern".

Artikel 50 — die Transparenzpflichten

Seit dem 2. August 2026, bewehrt mit bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes (Art. 99 Abs. 4 lit. g). Er trifft ganz gewöhnliche Anwendungsfälle:

• Systeme zur direkten Interaktion mit Menschen müssen die Person darüber informieren, dass sie mit einem KI-System interagiert — es sei denn, das ist offensichtlich.
• Anbieter generativer Systeme müssen ihre Ausgaben maschinenlesbar als künstlich erzeugt kennzeichnen.
• Betreiber müssen Deepfakes offenlegen.
• Veröffentlichte KI-Texte zu Angelegenheiten von öffentlichem Interesse müssen offengelegt werden — außer bei menschlicher Prüfung mit redaktioneller Verantwortung.

Der erste Punkt ist der, den die meisten Unternehmen betrifft: Ein Chatbot auf der eigenen Website fällt darunter.

Was verschoben ist — und was daran übersehen wird

Die zentrale Änderung steht in Art. 113 Abs. 3 lit. c. Verschoben sind die Abschnitte 1, 2 und 3 des Kapitels III: die Anforderungen an Hochrisiko-Systeme und die Pflichten von Anbietern und Betreibern nach Art. 16 bis 27.

• Für Anhang-III-Systeme ab dem 2. Dezember 2027.
• Für Anhang-I-Systeme ab dem 2. August 2028.

Und hier der Punkt, der regelmäßig untergeht:

Abschnitt 4 gilt seit August 2025. Abschnitt 5 — Normen, Konformitätsbewertung, Zertifikate — gilt seit August 2026.

Wer also sagt, „Kapitel III ist verschoben", sagt etwas Falsches. Verschoben sind drei von fünf Abschnitten.

*Dass Abschnitt 5 von der Verschiebung nicht erfasst ist, folgt aus dem Wortlaut des Art. 113 Abs. 3 lit. c. Eine amtliche Auslegung oder Fachkommentierung dazu liegt uns nicht vor.*

Zwei offene Stichtage im Dezember 2026

Der erste: Der Omnibus hat zwei neue Verbotstatbestände in Art. 5 eingefügt — nicht einvernehmliche intime Bildinhalte und Darstellungen sexuellen Kindesmissbrauchs. Nach Art. 113 Abs. 3 lit. a gelten sie ab dem 2. Dezember 2026. Für typische B2B-Anwendungsfälle sind sie selten einschlägig.

Der zweite trifft mehr Unternehmen. Art. 111 Abs. 4 gibt Anbietern von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und vor dem 2. August 2026 in Verkehr gebracht wurden, Zeit bis zum 2. Dezember 2026.

Im Klartext: Wer ein generatives System schon länger im Einsatz hat, hatte für die Kennzeichnungspflicht eine Übergangsfrist. Sie läuft im Dezember aus.

Wenn du eine solche Lösung betreibst, ist das ein Termin für deinen Kalender — und eine Frage an deinen Anbieter, nicht an dich selbst.

Die Bußgelder — und ein weit verbreiteter Fehler

Über die Bußgelder liest man überall dieselbe Schlagzeile: *35 Millionen oder 7 Prozent.* Das stimmt — für Verstöße gegen Art. 5, und für Unternehmen, die keine KMU sind.

Maßgeblich ist grundsätzlich der höhere der beiden Beträge. Für kleine und mittlere Unternehmen, Start-ups und kleine Midcap-Unternehmen kehrt sich diese Regel um: Art. 99 Abs. 6 und der durch den Omnibus eingefügte Abs. 6a stellen für sie auf den niedrigeren Betrag ab.

Das ist kein Detail. Für ein Unternehmen mit 20 Mio. € Umsatz bedeutet es bei einem Art.-5-Verstoß eine Obergrenze von 1,4 Mio. statt 35 Mio.

Deutschland hat seit Juli 2026 eine Aufsicht

Das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG) vom 22. Juli 2026 (BGBl. 2026 I Nr. 223) ist am 29. Juli 2026 in Kraft getreten; der Bundestag hat es am

1. Juni 2026 beschlossen. § 2 benennt die Bundesnetzagentur als zuständige Behörde.

Sie beschreibt drei Funktionen: Marktüberwachung — unter anderem für Personalmanagement, kritische Infrastruktur und Bildung —, zentrale Anlaufstelle und Beschwerdestelle.

Dass Personalmanagement in dieser Aufzählung auftaucht, ist für die meisten Unternehmen die praktisch wichtigste Zeile: Bewerberauswahl und Leistungsbewertung sind genau die Fälle, die im Mittelstand am häufigsten vorgeschlagen werden.

KI-Reallabor und KI-Service-Desk. Die Bundesnetzagentur betreibt ein KI-Reallabor („AI Regulatory Sandbox") für die kontrollierte Entwicklung und Erprobung und nennt kleine und mittlere Unternehmen ausdrücklich als Adressaten. Daneben steht ein KI-Service-Desk als Anlaufstelle für Fragen.

Die Einstufungs-Leitlinien fehlen weiterhin

Art. 6 Abs. 5 verpflichtet die Kommission, „spätestens bis zum 2. Februar 2026 Leitlinien zur praktischen Umsetzung dieses Artikels […] und eine umfassende Liste praktischer Beispiele" vorzulegen. Sie liegen nicht vor.

Für die Praxis heißt das: Jede Einstufung, die du heute vornimmst, ist vorläufig. Das ist kein Grund, sie zu unterlassen — aber ein Grund, sie zu datieren und wieder anzusehen.

Was das für deine Anwendungsfälle heißt

Wer heute Anwendungsfälle bewertet, sortiert sie nicht nach dem Kalender, sondern danach, welche Regeln überhaupt greifen. Drei Gruppen — eine Strukturierungshilfe für die eigene Bewertung, keine Einstufung:

1 · Ohne Anhang-III-Bezug Interne Wissensrecherche, Dokumentenzusammenfassung, Übersetzung, Code-Unterstützung, Text- und Angebotsentwürfe ohne Personenbezug. Es bleiben Art. 4 und, sobald Menschen mit dem System interagieren, Art. 50.

2 · Mit Anhang-III-Bezug Bewerberauswahl, Bewertung von Leistung und Verhalten, Kreditwürdigkeitsprüfung, Risikobewertung in der Lebens- und Krankenversicherung. Die Pflichten der KI-Verordnung greifen ab dem 2. Dezember 2027 — DSGVO und Betriebsverfassungsrecht gelten sofort.

3 · Verboten Ableitung von Emotionen am Arbeitsplatz, Social Scoring, biometrische Kategorisierung nach sensiblen Merkmalen. Seit dem 2. Februar 2025, im höchsten Bußgeldrahmen. Kein Aufwandsposten, sondern ein Ausschlusskriterium — wie in Lektion 4.

Der Gestaltungsspielraum liegt zwischen Gruppe 1 und 2

Art. 6 Abs. 3 nimmt Anhang-III-Systeme aus, wenn sie „kein erhebliches Risiko der Beeinträchtigung in Bezug auf die Gesundheit, Sicherheit oder Grundrechte natürlicher Personen" bergen. Ob das im Einzelfall trägt, ist genau die Frage, für die es die fehlenden Leitlinien bräuchte — und im Zweifel die Frage an eine Juristin.

Der wichtigste Satz dieser Lektion

Die Verschiebung betrifft die KI-Verordnung, sonst nichts.

Art. 22 Abs. 1 DSGVO gibt der betroffenen Person das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet. Das gilt unverändert.

Auch bei der Arbeitnehmervertretung führt die Verschiebung in die Irre. Die Informationspflicht des Art. 26 Abs. 7 KI-VO steht in Kapitel III Abschnitt 3 und ruht bis zum 2. Dezember

1. Die deutschen Beteiligungsrechte ruhen nicht:

• § 87 Abs. 1 Nr. 6 BetrVG — Mitbestimmung bei technischen Überwachungseinrichtungen
• § 90 Abs. 1 Nr. 3 BetrVG — Unterrichtung bei Arbeitsverfahren einschließlich KI
• § 95 Abs. 2a BetrVG — Auswahlrichtlinien beim Einsatz von KI
• § 80 Abs. 3 Satz 2 BetrVG — Sachverständiger zur Beurteilung von KI

Für Berater:innen

Die Verschiebung ist der häufigste Einwand, den du 2026 hörst — und meistens kommt er als Entwarnung. Dein Wert liegt darin, sie zu präzisieren, ohne Angst zu verkaufen.

Zwei Sätze, die sich bewährt haben:

„Verschoben sind die Hochrisiko-Pflichten. Die Verbote, die KI-Kompetenz und die Transparenzpflichten gelten." — Das ordnet ein, ohne zu dramatisieren.

„Für die Fälle, die Sie mir zeigen, ändert die Verschiebung meist nichts, weil DSGVO und Betriebsverfassungsrecht ohnehin greifen." — Das ist bei Personalfällen fast immer richtig.

Und: Datiere deine Aussagen. Ein Foliensatz zum AI Act ohne Stand ist in sechs Monaten ein Haftungsrisiko für dich, nicht für den Mandanten.

Für interne KI-Verantwortliche

Drei Dinge, die du ohne Juristin tun kannst:

Führe eine Liste eurer generativen Systeme mit Datum der Inbetriebnahme. Der Stichtag

1. Dezember 2026 aus Art. 111 Abs. 4 hängt genau daran.

Prüfe die Chatbots und Assistenten mit Kundenkontakt auf den Hinweis nach Art. 50. Das ist oft eine Zeile Text und seit August 2026 fällig.

Informiere den Betriebsrat früh — nicht wegen der KI-Verordnung, sondern wegen des BetrVG. Das ruht nicht.

Häufige Fragen

Gilt der EU AI Act jetzt oder ist er verschoben? Beides — für verschiedene Teile. Die Verbote (seit 2/2025), die KI-Kompetenz (seit 2/2025) und die Transparenzpflichten (seit 8/2026) gelten. Verschoben sind die Hochrisiko-Anforderungen auf 12/2027 bzw. 8/2028.

Wir sind ein Mittelständler mit 80 Beschäftigten. Betrifft uns das überhaupt? Art. 4 und Art. 5 gelten unabhängig von der Größe. Art. 50 auch. Was sich für KMU unterscheidet, ist der Bußgeldrahmen — dort gilt der niedrigere Betrag.

Brauchen wir einen KI-Beauftragten? Die KI-Verordnung verlangt keinen. Art. 4 verlangt Maßnahmen zur Förderung der KI-Kompetenz — das ist etwas anderes als eine benannte Rolle. (Zertifikate sind ebenfalls nicht vorgeschrieben.)

Unser Anbieter sagt, er kümmert sich um die Konformität. Dann steht es im Vertrag. Und die Betreiberpflichten — etwa die Offenlegung nach Art. 50 — liegen ohnehin bei euch, nicht beim Anbieter.

Sollen wir mit Hochrisiko-Fällen bis 2027 warten? Nein — aber ihr habt Zeit für die Dokumentation. Was nicht wartet: DSGVO, Betriebsverfassungsrecht und die Frage, ob der Fall überhaupt trägt.

Quellen

• **Verordnung (EU) 2024/1689** (KI-Verordnung), konsolidierte Fassung in der Fassung der **Verordnung (EU) 2026/1744** („AI Omnibus", in Kraft seit 27.07.2026) — insbesondere Art. 4, 5, 6, 26, 50, 99, 111, 113. — 2024/1689** (KI-Verordnung)
• **KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG)** vom 22.07.2026, BGBl. 2026 I Nr. 223, in Kraft seit 29.07.2026 — § 2 (Bundesnetzagentur). — 2026
• **Betriebsverfassungsgesetz**, §§ 80 Abs. 3 Satz 2, 87 Abs. 1 Nr. 6, 90 Abs. 1 Nr. 3, 95 Abs. 2a. — siehe Quelltext
• **Verordnung (EU) 2016/679** (DSGVO), Art. 22 Abs. 1. — 2016/679** (DSGVO)