EU AI Act 2026: Pflichten für Unternehmen nach dem Digital-Omnibus

Das Wichtigste in Kürze

Die KI-Verordnung gilt seit 2. August 2026 weitgehend. Verbote und KI-Kompetenz gelten schon seit Februar 2025.
Der Digital-Omnibus (Verordnung (EU) 2026/1744) hat die Pflichten für Hochrisiko-KI verschoben: auf 2. Dezember 2027 bzw. 2. August 2028.
Unverändert seit 2. August 2026 gelten die Transparenzpflichten, etwa der Hinweis, dass man mit einer KI spricht.
Bei der KI-Kompetenz müssen Unternehmen nun Maßnahmen setzen, um sie zu fördern – ein bestimmtes Niveau müssen sie nicht garantieren.
Wer KI nur nutzt, etwa Chatbots oder Schreibwerkzeuge, hat meist überschaubare Pflichten. Mehr kommt dazu, wenn Sie KI selbst anbieten oder in sensiblen Bereichen einsetzen.

Der Zeitplan nach dem Digital-Omnibus

Die KI-Verordnung (EU) 2024/1689 tritt in Stufen in Kraft. Mit dem Digital-Omnibus zur KI, veröffentlicht am 24. Juli 2026 und seit 27. Juli 2026 in Kraft, hat die EU einige dieser Stufen verschoben. Stand heute gilt:

Seit / ab	Was gilt
2. Februar 2025	Verbotene KI-Praktiken (Art. 5) und KI-Kompetenz (Art. 4)
2. August 2025	Regeln für KI-Modelle mit allgemeinem Verwendungszweck und Sanktionen
2. August 2026	Allgemeine Geltung, darunter die Transparenzpflichten nach Art. 50
2. Dezember 2026	Kennzeichnung KI-erzeugter Inhalte (Art. 50 Abs. 2) auch für Systeme, die schon vor dem 2. August 2026 auf dem Markt waren
2. Dezember 2027	Pflichten für Hochrisiko-KI nach Anhang III, etwa im Personalbereich oder in der Bildung
2. August 2028	Pflichten für Hochrisiko-KI in regulierten Produkten nach Anhang I, etwa Maschinen oder Medizinprodukte

Anbieter oder Betreiber: Welche Rolle Sie haben

Welche Pflichten Sie treffen, hängt davon ab, welche Rolle Sie nach Art. 3 der Verordnung haben:

Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Lassen Sie sich zum Beispiel einen eigenen Chatbot bauen und betreiben ihn unter Ihrem Namen, können Sie Anbieter sein.
Betreiber ist, wer ein KI-System in eigener Verantwortung beruflich verwendet – etwa ein Unternehmen, das ein fertiges KI-Werkzeug für seine Arbeit nutzt.

Die meisten Unternehmen sind Betreiber. Wer KI-Lösungen individuell entwickeln lässt, sollte die Frage nach der Rolle aber bewusst klären – sie entscheidet über die Pflichten.

Was die meisten Unternehmen jetzt tun müssen

1. KI-Kompetenz fördern (Art. 4)

Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals und anderer Personen zu fördern, die in ihrem Auftrag mit KI-Systemen arbeiten. Dabei sind Vorwissen, Erfahrung und der Einsatzkontext zu berücksichtigen. Seit dem Digital-Omnibus ist ausdrücklich geregelt, dass damit kein bestimmtes Kompetenzniveau garantiert werden muss. Praktisch heißt das: kurze Schulungen, klare interne Regeln für den Umgang mit KI-Werkzeugen und eine Dokumentation, was Sie getan haben.

2. Transparenz herstellen (Art. 50)

Chatbots und Telefonassistenten müssen offenlegen, dass Menschen mit einer KI sprechen, sofern das nicht offensichtlich ist – spätestens bei der ersten Interaktion. Mehr dazu im Artikel KI-Telefonassistent.
Wer Deepfakes erzeugt – also Bild-, Ton- oder Videoinhalte, die echte Personen, Orte oder Ereignisse täuschend echt nachahmen –, muss sie als künstlich erzeugt kennzeichnen.
Wer mit KI Texte erstellt, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, muss das offenlegen – außer die Texte wurden von Menschen geprüft und jemand trägt die redaktionelle Verantwortung.

3. Verbotene Praktiken ausschließen (Art. 5)

Seit Februar 2025 sind bestimmte Anwendungen verboten, zum Beispiel KI, die Menschen manipulativ beeinflusst, Social Scoring oder das Erkennen von Emotionen am Arbeitsplatz und in Bildungseinrichtungen (mit Ausnahmen aus medizinischen oder Sicherheitsgründen). Für die meisten Unternehmen ist das kein Thema – ein kurzer Abgleich der eingesetzten Werkzeuge schadet aber nicht.

4. Hochrisiko-Einsätze erkennen

Hochrisiko sind vor allem KI-Systeme in den Bereichen, die Anhang III aufzählt – darunter Personalauswahl und Leistungsbewertung von Beschäftigten, Bildung, kritische Infrastruktur und der Zugang zu wichtigen öffentlichen und privaten Leistungen. Wer KI etwa zum Sichten von Bewerbungen einsetzt, sollte sich jetzt auf die Pflichten ab 2. Dezember 2027 vorbereiten.

Was bei Verstößen droht

Art. 99 der Verordnung sieht abgestufte Geldbußen vor: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. € oder 3 % bei Verstößen gegen viele andere Pflichten, darunter die Transparenzpflichten. Grundsätzlich gilt der höhere Betrag – für kleine und mittlere Unternehmen sowie Start-ups dagegen jeweils der niedrigere.

Checkliste für KMU

Bestand aufnehmen: Welche KI-Werkzeuge nutzen Mitarbeiterinnen und Mitarbeiter, wofür, mit welchen Daten?
Rolle klären: Nutzen Sie fertige Werkzeuge (Betreiber) oder bieten Sie eigene KI-Lösungen an (Anbieter)?
KI-Kompetenz fördern: Schulung und interne Regeln, Maßnahmen dokumentieren.
Transparenz prüfen: Chatbots, Telefonassistenten und KI-erzeugte Inhalte richtig kennzeichnen.
Sensible Einsätze markieren: Personal, Bildung, Zugang zu Leistungen – hier Fristen 2027 und 2028 im Blick behalten.
Datenschutz nicht vergessen: Die DSGVO gilt neben der KI-Verordnung unverändert weiter.

Häufige Fragen

Gilt die KI-Verordnung auch für kleine Unternehmen?

Ja, es gibt keine allgemeine Ausnahme nach Größe. Für KMU gelten aber Erleichterungen, etwa niedrigere Höchstbeträge bei Geldbußen. Wer KI nur nutzt, hat in der Regel vor allem die Pflichten zur KI-Kompetenz und zur Transparenz.

Wurde die KI-Verordnung verschoben?

Teilweise. Der Digital-Omnibus (Verordnung (EU) 2026/1744) hat die Pflichten für Hochrisiko-KI auf 2. Dezember 2027 bzw. 2. August 2028 verschoben. Die allgemeine Geltung ab 2. August 2026, die Transparenzpflichten und die schon seit 2025 geltenden Verbote bleiben.

Muss ich meine Mitarbeiter schulen?

Sie müssen Maßnahmen ergreifen, um die KI-Kompetenz der Personen zu fördern, die in Ihrem Auftrag mit KI-Systemen arbeiten. Eine bestimmte Form schreibt Art. 4 nicht vor; Schulungen und interne Regeln sind der übliche Weg. Ein bestimmtes Kompetenzniveau müssen Sie nicht garantieren.

Ist ChatGPT im Unternehmen erlaubt?

Die KI-Verordnung verbietet die Nutzung solcher Werkzeuge nicht. Sie verlangt aber KI-Kompetenz und gegebenenfalls Transparenz. Daneben gelten DSGVO, Geschäftsgeheimnisse und Ihre vertraglichen Pflichten – geben Sie keine Daten ein, die nicht hineingehören.

Quellen

So ist dieser Artikel entstanden: recherchiert mit KI-Unterstützung und von Inan Software Angabe für Angabe gegen die genannten Quellen geprüft. Er ersetzt keine Steuer- oder Rechtsberatung – für Ihren Einzelfall wenden Sie sich bitte an Ihre Steuer- oder Rechtsberatung. Fehler entdeckt? Schreiben Sie uns an [email protected].