AI Act nach dem KI‑Omnibus: Was der Mittelstand tun muss

Der AI Act bleibt für den Mittelstand verbindlich, aber mit neuen Fristen. Seit dem KI‑Omnibus vom Juli 2026 greifen die Pflichten für Hochrisiko-KI erst ab Dezember 2027 bzw. August 2028, die KI‑Kompetenz nach Art. 4 ist entschärft, und die Transparenzpflichten gelten seit August 2026. Für die meisten Unternehmen heißt das: Jetzt sortieren, wo KI im Einsatz ist, und die Grundlagen sauber machen.

Ich zeige dir, was sich geändert hat, welche Termine zählen und was ich einer Geschäftsführung als Nächstes empfehle.

Was der KI‑Omnibus geändert hat

Die KI‑Verordnung, offiziell Verordnung (EU) 2024/1689, ist seit dem 1. August 2024 in Kraft. Ein Teil der Pflichten sollte ab dem 2. August 2026 greifen. Dafür fehlten aber Normen, Leitlinien und vielerorts auch die zuständigen Behörden. Die EU hat deshalb nachgesteuert: mit der Verordnung (EU) 2026/1744, dem sogenannten KI‑Omnibus. Parlament und Rat haben sie am 8. Juli 2026 unterzeichnet, im Amtsblatt erschien sie am 24. Juli 2026. Sie tritt nach ihrem Artikel 4 am dritten Tag nach der Veröffentlichung in Kraft, also am 27. Juli 2026.

Die wichtigsten Änderungen für Unternehmen im Mittelstand:

• Hochrisiko-Pflichten später. Die Anforderungen an Hochrisiko-KI-Systeme gelten nicht mehr ab August 2026, sondern gestaffelt ab dem 2. Dezember 2027 und dem 2. August 2028.
• KI‑Kompetenz entschärft. Art. 4 verlangt nicht mehr, dass du KI‑Kompetenz sicherstellst, sondern dass du Maßnahmen ergreifst, um sie zu unterstützen.
• Übergang bei der Kennzeichnung. Anbieter generativer Systeme, die schon vor dem 2. August 2026 am Markt waren, haben für die maschinenlesbare Markierung bis zum 2. Dezember 2026 Zeit.
• Sonderweg für Maschinen. KI als Sicherheitsbauteil in Maschinen wird künftig über die Maschinenverordnung (EU) 2023/1230 geregelt, nicht mehr direkt über die Hochrisiko-Regeln des AI Act. Die Anforderungen dafür sollen ebenfalls ab dem 2. August 2028 gelten.
• Neue Verbote. KI‑Systeme, die nicht einvernehmliche intime Darstellungen oder Darstellungen sexuellen Kindesmissbrauchs erzeugen, sind ab dem 2. Dezember 2026 verboten.
• Erleichterungen für kleine Midcaps. Die Verordnung kennt jetzt neben KMU auch kleine Midcap-Unternehmen (SMC). Für sie gilt bei Bußgeldern jeweils der niedrigere Betrag aus Prozentsatz und Festsumme, ähnlich wie bisher schon für KMU.

Wichtig ist, was nicht passiert ist: Der AI Act wurde nicht ausgesetzt. Die Verbote gelten seit Februar 2025 unverändert, und die Transparenzpflichten sind nicht verschoben worden. Ich höre in Gesprächen gerade oft „Das ist doch jetzt alles nach hinten gerutscht“. Das stimmt nur für einen Teil.

Alle Änderungen stehen im endgültigen Rechtstext des Rates, der dem Amtsblatt-Text zugrunde liegt.

AI Act im Mittelstand: die Fristen im Überblick

Diese Termine solltest du kennen. Quelle sind Art. 113 der KI‑Verordnung in der Fassung des KI‑Omnibus und der Zeitplan der Bundesnetzagentur.

• 2. Februar 2025: Die Verbote nach Art. 5 und die Pflicht zur KI‑Kompetenz nach Art. 4 gelten.
• 2. August 2025: Die Regeln für KI‑Modelle mit allgemeinem Verwendungszweck (etwa große Sprachmodelle) gelten für deren Anbieter.
• 27. Juli 2026: Der KI‑Omnibus tritt in Kraft. Ab hier gilt die neue Fassung von Art. 4.
• 2. August 2026: Die Transparenzpflichten nach Art. 50 gelten für Anbieter und Betreiber.
• 2. Dezember 2026: Die neuen Verbote greifen. Anbieter generativer Systeme, die schon vor August 2026 am Markt waren, müssen ihre Ausgaben jetzt maschinenlesbar markieren.
• 2. Dezember 2027: Die Hochrisiko-Pflichten gelten für Systeme nach Anhang III, zum Beispiel im Personalbereich bei der Auswahl von Bewerbungen.
• 2. August 2028: Die Hochrisiko-Pflichten gelten für Systeme nach Anhang I, also KI als Sicherheitsbauteil in Produkten, die schon unter EU‑Produktrecht fallen, etwa Medizinprodukte oder Aufzüge. Für Maschinen gilt der Sonderweg über die Maschinenverordnung.

Für Hochrisiko-Systeme, die vor diesen Terminen in Verkehr gebracht wurden, gibt es eine Bestandsregel: Sie fallen erst unter die neuen Pflichten, wenn sie danach in ihrer Konzeption erheblich verändert werden. Ausgenommen sind Systeme für Behörden. Deren Anbieter und Betreiber müssen bis zum 2. August 2030 nachziehen.

Bin ich Anbieter oder Betreiber?

Diese Frage entscheidet, welche Pflichten dich treffen. Die Bundesnetzagentur fasst es knapp zusammen:

• Anbieter ist, wer ein KI‑System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt.
• Betreiber ist, wer ein KI‑System in eigener Verantwortung nutzt. Rein private Nutzung zählt nicht.

Die meisten Mittelständler sind Betreiber. Ihr nutzt ein Sprachmodell im Büro, eine KI‑Funktion im ERP oder ein Tool zur Angebotserstellung. Das ist die gute Nachricht, denn die schweren Pflichten liegen beim Anbieter.

Die Grenze ist aber dünner, als viele denken. Nach Art. 25 wirst du selbst zum Anbieter, wenn du ein bestehendes System unter deinem Namen anbietest, es wesentlich veränderst oder seine Zweckbestimmung so änderst, dass es zum Hochrisiko-System wird. Wer also einen eigenen Assistenten auf Basis eines fremden Modells baut und ihn Kund:innen unter eigener Marke bereitstellt, sollte genau hinschauen.

Meine Faustregel: Sobald KI nicht nur intern genutzt wird, sondern Teil deines Produkts oder deiner Leistung nach außen ist, lohnt sich eine saubere Einordnung.

KI‑Kompetenz nach Art. 4: was heute gilt

Art. 4 war eine der ersten Pflichten, die gegriffen hat, und eine der am meisten missverstandenen. Viele haben 2025 Schulungen gebucht, weil von „Schulungspflicht“ die Rede war. Mit dem KI‑Omnibus ist der Wortlaut jetzt deutlich weicher.

Die neue Fassung sagt sinngemäß: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI‑Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit KI‑Systemen arbeiten. Dabei zählen Vorwissen, Erfahrung und der Kontext, in dem die Systeme eingesetzt werden. Ausdrücklich steht dort: Die Pflicht verlangt nicht, für irgendeine Person ein bestimmtes Niveau an KI‑Kompetenz zu garantieren.

Was das praktisch heißt:

• Die Pflicht bleibt. Sie gilt für jedes Unternehmen, das KI‑Systeme nutzt, unabhängig von der Größe.
• Ein Zertifikat brauchst du nicht. Die Bundesnetzagentur schreibt, dass die KI‑Verordnung keine Zertifizierungspflicht für Schulungen vorsieht.
• Dokumentieren ist nicht vorgeschrieben, aber empfohlen. Die Bundesnetzagentur rät, die getroffenen Maßnahmen festzuhalten.
• Die EU‑Kommission soll praktische Beispiele veröffentlichen, wie die Pflicht erfüllt werden kann. Das hilft vor allem kleineren Unternehmen.

Ich halte die Entschärfung für richtig. Ein starres Pflichtprogramm für alle hätte am Ziel vorbeigeführt. Trotzdem rate ich davon ab, Art. 4 jetzt abzuhaken. Wer KI im Alltag einsetzt, ohne zu wissen, was die Werkzeuge können und wo sie danebenliegen, hat kein Rechtsproblem, sondern ein Qualitätsproblem. Die Begründung des Omnibus sagt es selbst: KI‑Kompetenz sollte unabhängig von Pflichten und Sanktionen eine strategische Priorität sein.

Transparenzpflichten nach Art. 50

Seit dem 2. August 2026 gelten die Transparenzpflichten. Hier sind auch Betreiber direkt in der Pflicht. Laut Bundesnetzagentur teilen sie sich so auf:

• Anbieter, Abs. 1: Wer ein System für den direkten Kontakt mit Menschen anbietet, etwa einen Chatbot, muss so gestalten, dass die Leute wissen, dass sie mit einer KI sprechen. Es sei denn, das ist aus dem Kontext offensichtlich.
• Anbieter, Abs. 2: Systeme, die Text, Bild, Audio oder Video erzeugen, müssen ihre Ausgaben maschinenlesbar als künstlich erzeugt markieren.
• Betreiber, Abs. 3: Wer Emotionserkennung oder biometrische Kategorisierung einsetzt, muss die betroffenen Personen informieren.
• Betreiber, Abs. 4: Wer Deepfakes veröffentlicht, also täuschend echte Bilder, Töne oder Videos, muss offenlegen, dass sie künstlich erzeugt sind. Bei offensichtlich künstlerischen oder satirischen Werken reicht ein Hinweis in geeigneter Form.
• Betreiber, Abs. 4: Wer KI‑Texte veröffentlicht, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, muss das kenntlich machen. Das entfällt, wenn ein Mensch die Texte redaktionell prüft und jemand die redaktionelle Verantwortung übernimmt.

Für dein Marketing heißt das: Ein KI‑generiertes Produktfoto ist in der Regel kein Deepfake. Ein realistisches Video mit einer Person, die so nie gesprochen hat, ist es sehr wohl. Und wer auf der Website einen Chatbot einsetzt, sollte prüfen, ob der Anbieter die Hinweise sauber umsetzt.

5-Punkte-Plan für die Geschäftsführung

Was ich einer Geschäftsführung im Mittelstand jetzt empfehle. Nicht als Pflichtenkatalog, sondern als Reihenfolge.

1. KI‑Inventar anlegen. Eine einfache Liste reicht: Welche KI‑Systeme sind im Einsatz, in welcher Abteilung, wofür, von welchem Anbieter? Schatten-KI gehört mit hinein, also private Accounts, die im Arbeitsalltag genutzt werden. Ohne diese Liste ist jede weitere Frage Spekulation.
2. Rolle je System klären. Bei jedem Eintrag festhalten: Sind wir Betreiber oder Anbieter? Besonders genau bei allem, was unter eigenem Namen nach außen geht.
3. Hochrisiko-Kandidaten markieren. Prüfen, ob ein System in einen Bereich nach Anhang III fällt, etwa Personal, oder Sicherheitsbauteil eines Produkts nach Anhang I ist. Wenn ja, ist Dezember 2027 bzw. August 2028 kein ferner Termin. Wer jetzt anfängt, hat Zeit für eine ordentliche Umsetzung.
4. KI‑Kompetenz organisieren und festhalten. Eine kurze interne Leitlinie, eine Einführung je Rolle und eine Ansprechperson. Was ihr gemacht habt, mit Datum dokumentieren. Das ist wenig Aufwand und schafft Klarheit.
5. Transparenz in Marketing und Kundenkontakt prüfen. Chatbots, generierte Bilder und Videos, automatisch erstellte Texte: Wo braucht es einen Hinweis? Das gilt bereits heute, nicht erst 2027.

Das ist kein Großprojekt. In den meisten Unternehmen ist das in wenigen Wochen erledigt, wenn jemand die Verantwortung übernimmt. Wie KI‑Regulierung zur eigenen KI‑Strategie passt, beschreibe ich im Beitrag zur KI‑Strategie im Mittelstand. Und wer KI‑Projekte angehen will, findet Hinweise zu Zuschüssen im Beitrag Förderung für Digitalisierung und KI in Bayern.

Noch ein Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Bei konkreten Hochrisiko-Fragen gehört eine Fachanwältin oder ein Fachanwalt an den Tisch.

Häufige Fragen

Gilt der AI Act auch für kleine Unternehmen?

Ja. Die KI‑Verordnung kennt keine Mindestgröße. Für KMU und kleine Midcap-Unternehmen gibt es Erleichterungen, etwa niedrigere Bußgeldobergrenzen und vereinfachte technische Dokumentation für Anbieter. Die Grundpflichten, etwa zur KI‑Kompetenz und zur Transparenz, gelten aber für alle.

Muss ich meine Mitarbeitenden nach Art. 4 schulen lassen?

Du musst Maßnahmen ergreifen, um ihre KI‑Kompetenz zu unterstützen. Wie, ist dir überlassen. Ein Zertifikat ist nicht vorgeschrieben, und seit dem KI‑Omnibus musst du auch kein bestimmtes Niveau garantieren. Die Bundesnetzagentur empfiehlt, die Maßnahmen zu dokumentieren.

Ist die Nutzung von ChatGPT oder Copilot im Büro Hochrisiko?

In aller Regel nicht. Hochrisiko hängt vom Einsatzzweck ab, nicht vom Werkzeug. Wer ein Sprachmodell aber etwa zur Vorauswahl von Bewerbungen nutzt, kann in einen Bereich nach Anhang III kommen. Dann gelten ab dem 2. Dezember 2027 die Pflichten für Betreiber von Hochrisiko-Systemen.

Wurde der AI Act durch den KI‑Omnibus verschoben?

Nur teilweise. Verschoben wurden vor allem die Hochrisiko-Pflichten. Die Verbote gelten seit Februar 2025, die Pflicht zur KI‑Kompetenz ebenfalls, und die Transparenzpflichten nach Art. 50 gelten seit dem 2. August 2026.

Wenn du wissen willst, wo dein Unternehmen beim Thema KI steht und was davon wirklich dringend ist, sprechen wir darüber. Du schilderst die Lage, ich frage nach. Erstgespräch vereinbaren oder mehr zur Beratung lesen.