KI-Verordnung nach dem Omnibus: Was jetzt gilt, was wartet
Die KI-Verordnung hat in diesem Sommer zwei Dinge gleichzeitig erlebt: Am 27. Juli trat der Digital Omnibus on AI in Kraft, der mehrere Fristen nach hinten schiebt, und am 2. August begann die aktive Durchsetzungsphase, in der das AI Office und die nationalen Behörden Bußgelder verhängen können. Seither vermischt die Berichterstattung beides zu der Botschaft „alles verschoben” oder „alles scharf”, und beides ist falsch. Dieser Beitrag trennt, was seit August durchsetzbar ist, was der Omnibus tatsächlich verschoben hat und was ein Unternehmen daraus für die nächsten zwölf Monate ableitet.
Was der Omnibus geändert hat
Der Digital Omnibus on AI ist als Verordnung (EU) 2026/1744 am 27. Juli 2026 in Kraft getreten, nach dem Trilog-Kompromiss vom 7. Mai und der Annahme im Parlament am 16. Juli. Er verschiebt vier Termine. Die Pflichten für Hochrisiko-Systeme nach Anhang III, also die eigenständigen Anwendungsfälle wie Personalauswahl, Kreditwürdigkeit oder kritische Infrastruktur, gelten erst ab dem 2. Dezember 2027. Hochrisiko-Systeme nach Anhang I, die als Sicherheitskomponenten regulierter Produkte gelten, folgen am 2. August 2028. Die nationalen KI-Reallabore müssen bis zum 2. August 2027 stehen. Und die maschinenlesbare Kennzeichnung synthetischer Inhalte nach Artikel 50 Absatz 2 gilt für Systeme, die vor dem 2. August 2026 in Verkehr waren, erst ab dem 2. Dezember 2026.
Was der Omnibus nicht angefasst hat, ist ebenso wichtig: die verbotenen Praktiken, die KI-Kompetenzpflicht, die Pflichten für Modelle mit allgemeinem Verwendungszweck und die übrigen Transparenzpflichten aus Artikel 50. Diese Teile gelten, und seit August sind sie durchsetzbar.
Was seit dem 2. August durchsetzbar ist
Vier Pflichtenblöcke sind heute scharf. Erstens die verbotenen Praktiken aus Artikel 5, etwa Social Scoring oder manipulative Techniken; sie gelten seit Februar 2025, und Verstöße können mit bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Umsatzes geahndet werden. Zweitens die Pflichten für Anbieter von Modellen mit allgemeinem Verwendungszweck, die seit August 2025 gelten und seit August 2026 vom AI Office durchgesetzt werden; für die meisten Unternehmen sind sie nur relevant, wenn sie eigene Modelle in Verkehr bringen oder bestehende wesentlich verändern.
Drittens die Transparenzpflichten aus Artikel 50, die seit dem 2. August 2026 gelten. Wer Menschen mit einem KI-System interagieren lässt, muss das offenlegen. Wer Deepfakes erzeugt, muss sie kennzeichnen. Wer KI-generierte Texte zu Themen von öffentlichem Interesse veröffentlicht, kennzeichnet sie oder lässt sie von einer benannten Person redaktionell prüfen, die die Verantwortung trägt. Wie wir diese Ausnahme im eigenen Blog dokumentieren, mit Prüfer und Prüfdatum je Artikel, haben wir im Beitrag zu KI-Wasserzeichen beschrieben; dort steht auch, warum die maschinenlesbare Kennzeichnung eine Anbieterpflicht ist und was der 2. Dezember für ältere Modelle bedeutet. Verstöße gegen die übrigen Pflichten kosten bis zu 15 Millionen Euro oder 3 Prozent, Falschangaben gegenüber Behörden bis zu 7,5 Millionen Euro oder 1 Prozent.
Viertens die KI-Kompetenzpflicht aus Artikel 4, die seit Februar 2025 verlangt, dass Mitarbeitende, die KI-Systeme bedienen, ausreichend geschult sind. Sie ist nicht bußgeldbewehrt, spielt aber in jede Aufsichtsprüfung und in jede Haftungsfrage hinein.
Was das für die nächsten zwölf Monate heißt
Der häufigste Fehler in der Praxis ist, die Hochrisiko-Verschiebung als Generalpause zu lesen. Die Verschiebung verschafft Zeit für Anhang-III-Systeme, sie ändert nichts an dem, was schon gilt, und sie ändert nichts daran, dass ein Bewerbermanagement-System mit KI-Vorauswahl im Dezember 2027 die volle Dokumentation braucht. Wer das erst 2027 beginnt, kommt zu spät, weil Datengovernance, Risikomanagement und technische Dokumentation nicht in sechs Monaten entstehen.
Die sinnvolle Reihenfolge beginnt mit einem Inventar: Welche KI-Systeme sind im Einsatz, in welcher Rolle, als Anbieter oder als Betreiber, und in welche Risikoklasse fallen sie? Dieses Inventar ist die Grundlage für alles Weitere und in wenigen Tagen erstellt. Darauf folgt die Umsetzung der Transparenzpflichten, weil sie schon gelten: Offenlegung bei Chatbots, Kennzeichnung synthetischer Medien, redaktionelle Prüfung veröffentlichter Texte. Der dritte Schritt ist die Vorbereitung der Hochrisiko-Kandidaten mit Blick auf Dezember 2027, ohne Hektik, aber mit Plan. Der 72-Tage-Fahrplan zur Kennzeichnungspflicht aus dem Frühjahr liefert für den Transparenzteil weiterhin die Struktur, und wer die KI-Einführung insgesamt ordnen will, findet in unserem Leitfaden zur KI-Strategie im Mittelstand den Rahmen.
Fazit
Der Omnibus hat der KI-Verordnung Zeit gekauft, aber nur für den Hochrisiko-Teil. Verbote, Transparenz und die Pflichten für Modellanbieter gelten und sind seit August durchsetzbar, die Kennzeichnung älterer Systeme folgt im Dezember. Ein Inventar, umgesetzte Transparenzpflichten und ein Plan für die Hochrisiko-Kandidaten bis Ende 2027 sind das, was jetzt zählt. Bei der Einordnung der eigenen Systeme und der pragmatischen Umsetzung unterstützt unsere KI-Beratung für den Mittelstand, von der Rollenklärung bis zur Dokumentation.
Häufige Fragen
Was hat der Digital Omnibus an der KI-Verordnung geändert?
Die Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026, verschiebt vier Termine: Hochrisiko-Pflichten nach Anhang III auf den 2. Dezember 2027, nach Anhang I auf den 2. August 2028, die nationalen Reallabore auf den 2. August 2027 und die maschinenlesbare Kennzeichnung für Altsysteme auf den 2. Dezember 2026. Verbote, Transparenz und GPAI-Pflichten bleiben unverändert.
Welche Pflichten der KI-Verordnung gelten seit dem 2. August 2026?
Die Transparenzpflichten aus Artikel 50: Offenlegung bei Interaktion mit KI, Kennzeichnung von Deepfakes und von KI-Texten zu Themen von öffentlichem Interesse, sofern keine redaktionelle Prüfung erfolgt. Außerdem begann die aktive Durchsetzung der bereits geltenden Verbote und der Pflichten für Modelle mit allgemeinem Verwendungszweck durch das AI Office.
Welche Bußgelder drohen nach der KI-Verordnung?
Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Millionen Euro oder 3 Prozent bei Verstößen gegen die übrigen Pflichten, bis zu 7,5 Millionen Euro oder 1 Prozent bei Falschangaben gegenüber Behörden. Es gilt jeweils der höhere Betrag; für KMU gelten Erleichterungen.
Müssen Hochrisiko-KI-Systeme jetzt noch nichts erfüllen?
Die spezifischen Hochrisiko-Pflichten nach Anhang III gelten erst ab dem 2. Dezember 2027. Die Vorbereitung sollte trotzdem jetzt beginnen, weil Datengovernance, Risikomanagement und technische Dokumentation Monate brauchen. Unabhängig davon gelten für diese Systeme schon heute die Transparenzpflichten und die Kompetenzpflicht.
