Was gilt ab dem 2. August 2026?

Die allgemeine Anwendung der KI-Verordnung: Transparenzpflichten (Art. 50), die Betreiberrollen, die Aufsichtsstrukturen und der Bußgeldrahmen. Aufsichtsbehörden können durchsetzen und sanktionieren. Ein Chatbot muss als KI erkennbar sein — dort, wo jemand mit ihm spricht; KI-generierte Bilder, Videos und Audio sind zu kennzeichnen.

Was hat der Digital Omnibus verschoben — und was nicht?

Verschoben wurden die vollen Pflichtenkataloge für Hochrisiko-Systeme: für eigenständige Systeme nach Anhang III auf Ende 2027, für in Produkte eingebettete Systeme auf 2028. Nicht verschoben wurden der Anwendungsbeginn selbst und die Pflichten, die längst gelten — etwa die KI-Kompetenz-Pflicht (seit Februar 2025) und die GPAI-Regeln (seit August 2025).

Was sollten Unternehmen jetzt konkret tun?

Vier Schritte: ein KI-Inventar erstellen (inklusive der inoffiziellen Systeme), die Transparenz-Kennzeichnung an jedem KI-Kundenkontakt prüfen, die KI-Kompetenz der Beschäftigten dokumentieren (Einweisungen, Rollenbezug, Nachweise) und Hochrisiko-Kandidaten identifizieren, um Architektur-Entscheidungen jetzt zu treffen — die verlängerte Frist ist Bauzeit, keine Schonfrist.

Der AI Act gilt ab jetzt — was wirklich verschoben wurde und was nicht

Was tatsächlich passiert ist

Die Verordnung trat im August 2024 in Kraft und wird stufenweise scharf:

Seit Februar 2025 gelten die Verbote bestimmter KI-Praktiken und die Pflicht zur KI-Kompetenz (Art. 4): Wer KI einsetzt, muss dafür sorgen, dass die Beschäftigten sie verstehen und einordnen können.
Seit August 2025 gelten die Governance-Regeln und die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck.
Ab dem 2. August 2026 — jetzt — beginnt die allgemeine Anwendung: Transparenzpflichten (Art. 50), die Betreiberrollen, die Aufsichtsstrukturen und der Bußgeldrahmen. Die Aufsichtsbehörden können durchsetzen und sanktionieren.

Und dann kam im Juli 2026 der sogenannte Digital Omnibus — eine Änderungsverordnung, die einen Teil des Fahrplans neu sortiert hat: Die vollen Pflichtenkataloge für Hochrisiko-Systeme wurden nach hinten verschoben — für eigenständige Systeme nach Anhang III auf Ende 2027, für in Produkte eingebettete Systeme auf 2028. Deutschland hat parallel mit dem KI-MIG sein Durchführungsgesetz auf den Weg gebracht, das Marktüberwachung und Sanktionen national konkretisiert.

Der Denkfehler „verschoben heißt erledigt"

Wer aus dem Omnibus „wir haben Zeit" ableitet, macht drei Rechenfehler:

Erstens: Verschoben wurden die Hochrisiko-Pflichten — nicht der Anwendungsbeginn. Ab sofort gilt für jeden, der KI im Kundenkontakt einsetzt: Ein Chatbot muss als KI erkennbar sein — dort, wo jemand mit ihm spricht, nicht im Impressum. KI-generierte oder veränderte Bilder, Videos und Audio sind zu kennzeichnen, ebenso bestimmte KI-Texte zur Information der Öffentlichkeit.

Zweitens: Die Pflichten, die längst gelten, bleiben. Die KI-Kompetenz-Pflicht läuft seit Februar 2025. Wer bis heute keine dokumentierte Einweisung seiner Mitarbeitenden vorweisen kann, ist nicht „früh dran" — er ist im Verzug. Wie man diese Pflicht sinnvoll erfüllt, statt sie abzusitzen, beschreibe ich im Beitrag zum hochintelligenten Praktikanten.

Drittens: Die Klassifizierungsfrage stellt sich jetzt, nicht 2027. Ob ein System als Hochrisiko gilt — etwa bei Personalentscheidungen, Kreditwürdigkeit oder kritischer Infrastruktur — entscheidet über Architektur, Dokumentation und Datenhaltung. Wer das erst kurz vor der Frist prüft, baut zwei Jahre in die falsche Richtung. Eine Konformitätsbewertung dauert erfahrungsgemäß Monate, nicht Wochen.

Bauplan statt Bremse

Und damit zum eigentlichen Punkt, der in der Fristen-Debatte untergeht: Der AI Act beschreibt in seinem Kern keine Bürokratie, sondern eine Architektur — menschliche Aufsicht, Transparenz, Robustheit, Dokumentation, Qualitätsmanagement.

Das ist exakt die Architektur, die gute KI-Systeme ohnehin brauchen, um akzeptiert und vertrauenswürdig zu sein. Wer nach dem Ausbildungsprinzip baut — Vorarbeit durch die KI, Begründung, explizite Freigabe, lückenlose Dokumentation — erfüllt zentrale Anforderungen als Nebeneffekt der Architektur, nicht als Nachrüstprojekt.

Die Reihenfolge macht den Unterschied:

Compliance als Nachrüstung: System bauen, dann Anwälte rufen, dann Dokumentation rekonstruieren. Teuer, langsam, lückenhaft.
Compliance als Bauplan: Anforderungen von Tag 1 als Architekturvorgaben lesen. Menschliche Aufsicht = Freigabe-Logik. Transparenz = Begründungspflicht. Dokumentation = automatisches Protokoll. Kostet am Anfang Denkarbeit, spart am Ende das Nachrüstprojekt.

Was jetzt konkret zu tun ist

KI-Inventar erstellen. Welche Systeme sind im Einsatz — inklusive der inoffiziellen? Ohne Inventar keine Klassifizierung, ohne Klassifizierung keine Pflichten-Zuordnung.
Transparenz prüfen. Jeder Kundenkontakt mit KI: Ist die Kennzeichnung da, wo die Interaktion stattfindet?
KI-Kompetenz dokumentieren. Einweisungen, Rollenbezug, Nachweise. Pragmatisch, aber schriftlich.
Hochrisiko-Kandidaten identifizieren und die Architektur-Entscheidungen jetzt treffen — die verlängerte Frist ist ein Geschenk für alle, die sie als Bauzeit nutzen statt als Schonfrist.

Der AI Act ist da. Die Frage ist nicht mehr, ob er gilt — sondern ob Sie ihn als Bremse erleben oder als Bauplan nutzen.

Hinweis: Dieser Beitrag ist keine Rechtsberatung. Für die Einordnung Ihrer konkreten Systeme sprechen Sie mich oder Ihre Rechtsabteilung an.

Quellen und weiterführende Links

Alle Links geprüft am 4. August 2026. Externe Inhalte können sich ändern.