KI-Verordnung 2026: Was jetzt gilt, was verschoben ist

Im März haben wir in „Was ist die KI-Verordnung?" die Grundlagen erklärt: Verbote, Hochrisiko-Anwendungen, Transparenz. Seitdem ist einiges passiert. Am 2. August 2026 ist der nächste große Block der Verordnung in Kraft getreten, und kurz davor hat die EU mit dem sogenannten Digital Omnibus einige Fristen nach hinten geschoben. Hier ist der aktuelle Stand — bewusst aus Sicht eines kleinen Unternehmens, das KI im Alltag nutzt.

Hinweis: Dieser Beitrag ist eine technische Einordnung und keine Rechtsberatung. Wenn Sie KI in sensiblen Bereichen einsetzen, sprechen Sie mit einer Fachanwältin oder einem Fachanwalt.

Was seit dem 2. August 2026 gilt

Der wichtigste neue Baustein sind die Transparenzpflichten (Artikel 50 der Verordnung). Sie betreffen nicht nur KI-Entwickler, sondern jedes Unternehmen, das KI gegenüber Kunden einsetzt:

Chatbots und KI-Assistenten: Wer mit einer KI kommuniziert, muss das erfahren — auf der Webseite, im Kundenservice, am Telefon. Ein Hinweis wie „Sie chatten mit einem KI-Assistenten" reicht, er muss aber da sein.
KI-erzeugte Bilder, Audio und Video: Täuschend echte Darstellungen von Personen, Orten oder Ereignissen (Deepfakes) müssen als KI-erzeugt gekennzeichnet werden.
KI-Texte zu Themen von öffentlichem Interesse: Werden solche Texte ohne menschliche redaktionelle Verantwortung veröffentlicht, muss offengelegt werden, dass sie KI-generiert sind.
Maschinenlesbare Kennzeichnung: Anbieter generativer KI müssen ihre Ausgaben technisch markieren. Für Systeme, die vor dem Stichtag schon im Einsatz waren, gilt hier eine Übergangsfrist bis zum 2. Dezember 2026.

Ebenfalls seit August steht die Aufsicht: In Deutschland ist die Bundesnetzagentur als zentrale Marktüberwachungsbehörde vorgesehen. Verstöße gegen die Transparenzpflichten können mit Bußgeldern bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes geahndet werden — bei kleinen Unternehmen wird die wirtschaftliche Lage ausdrücklich berücksichtigt.

Schon länger in Kraft, und oft vergessen: Seit Februar 2025 sind bestimmte KI-Praktiken verboten (etwa Social Scoring oder manipulative Systeme), und Unternehmen müssen für KI-Kompetenz ihrer Mitarbeiter sorgen.

Was der „Digital Omnibus" verschoben hat

Mit der Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, hat die EU die KI-Verordnung an mehreren Stellen entschärft:

Hochrisiko-KI später: Die umfangreichen Pflichten für Hochrisiko-Systeme — etwa KI in der Bewerberauswahl, bei der Kreditvergabe oder in der Personalbewertung — gelten statt ab August 2026 erst ab dem 2. Dezember 2027. Für KI, die in regulierten Produkten wie Maschinen oder Medizingeräten steckt, gilt der 2. August 2028.
Engere Definition: Eine KI-Komponente, die nur unterstützt oder Abläufe beschleunigt, gilt nur dann als Hochrisiko, wenn ihr Ausfall tatsächlich Gesundheit oder Sicherheit gefährden kann.
KI-Kompetenz entschärft: Unternehmen müssen Maßnahmen ergreifen, die KI-Kompetenz fördern — einen bestimmten Wissensstand jeder einzelnen Person müssen sie nicht garantieren.
Erleichterungen für kleine Unternehmen: Vereinfachte Dokumentation, leichterer Zugang zu Test-Umgebungen („Sandboxes") und eine neue Kategorie für kleine mittelgroße Unternehmen.

Nicht verschoben wurden die Verbote, die Transparenzpflichten und die Pflichten für Anbieter großer KI-Modelle. Wer also auf „das kommt eh später" gesetzt hat, sollte jetzt genau hinschauen.

Was das für Ihr Unternehmen konkret heißt

Chatbot auf der Webseite? Hinweis einbauen, dass eine KI antwortet — sichtbar beim ersten Kontakt, nicht versteckt im Impressum.
KI-Bilder im Marketing? Illustrationen und Symbolbilder sind unkritisch. Täuschend echte Personen, Orte oder Ereignisse brauchen eine Kennzeichnung.
KI-Texte im Blog oder Newsletter? Wenn ein Mensch prüft und die Verantwortung trägt, greift die Offenlegungspflicht in der Regel nicht. Ehrlich bleiben schadet trotzdem nicht.
Interne Regeln festhalten: Welche Werkzeuge sind erlaubt, welche Daten dürfen hinein (Kundendaten gehören nicht in öffentliche Chat-Dienste), wer prüft die Ergebnisse. Eine Seite reicht — und eine kurze Schulung des Teams, die Sie dokumentieren.
Inventur: Welche KI steckt in Ihrer Software, oft unbemerkt in Recruiting-, CRM- oder Buchhaltungs-Tools? Fällt etwas in den Hochrisiko-Bereich, haben Sie bis Dezember 2027 Zeit — anfangen sollten Sie trotzdem jetzt.
Anbieter fragen: Lassen Sie sich von Ihren Software-Lieferanten bestätigen, wie sie die Kennzeichnungspflichten umsetzen.

Unsere Einschätzung

Für die meisten kleinen Unternehmen bleibt der Aufwand überschaubar: ein Hinweis am Chatbot, eine Kennzeichnung bei realistischen KI-Bildern, eine Seite interne Regeln und eine kurze Schulung. Wir unterstützen Sie bei der technischen Umsetzung — vom Chatbot-Hinweis über die Kennzeichnung bis zur Team-Schulung in unserer KI-Beratung. Wenn Sie unsicher sind, wo Sie stehen: Ein kurzes Gespräch genügt für eine erste Einordnung.