EU AI Act: Warum „verschoben“ für Ihr Unternehmen das Gegenteil bedeutet

Im Frühjahr 2026 ging eine Nachricht durch die Wirtschaftspresse, die viele Geschäftsführer erleichtert zur Kenntnis genommen haben: Die EU verschiebt Fristen der KI-Verordnung. Wer daraus geschlossen hat, das Thema lasse sich um ein, zwei Jahre vertagen, liegt falsch – und zwar in einer Weise, die teuer werden kann.

Verschoben wurde nämlich ausgerechnet der Teil, der die meisten mittelständischen Unternehmen gar nicht betrifft. Was sie betrifft, gilt bereits.

Was tatsächlich verschoben wurde

Die sogenannte Digital-Omnibus-Änderung hat die Pflichten für Hochrisiko-KI-Systeme nach hinten geschoben: Für eigenständige Systeme nach Anhang III der Verordnung gilt nun der 2. Dezember 2027, für KI, die als Sicherheitsbauteil in regulierten Produkten steckt, der 2. August 2028.

Hochrisiko im Sinne der Verordnung ist eng definiert. Gemeint sind unter anderem KI-Systeme in der Personalauswahl, in der Kreditvergabe, in kritischer Infrastruktur oder in der Medizintechnik. Wer Sprachmodelle für Angebotstexte nutzt, Termine automatisiert oder Anfragen vorsortiert, fällt in aller Regel nicht darunter. Für diese Unternehmen ändert die Verschiebung schlicht nichts.

Was seit Längerem gilt

Drei Punkte sind unabhängig davon in Kraft.

Verbotene Praktiken (Artikel 5) gelten seit dem 2. Februar 2025. Dazu zählt etwa der Einsatz von KI, die aus Stimme, Mimik oder Gesichtsausdruck auf Emotionen oder innere Zustände von Beschäftigten schließt. Solche Funktionen sind in Standardsoftware schneller enthalten, als man denkt.

KI-Kompetenz (Artikel 4) gilt ebenfalls seit Februar 2025. Unternehmen, die KI einsetzen, müssen dafür sorgen, dass die Menschen, die damit arbeiten, sie auch verstehen. Die Omnibus-Änderung hat diese Pflicht abgeschwächt – gefordert ist nun, Kompetenz zu fördern, statt ein bestimmtes Niveau zu garantieren. Abgeschafft ist sie nicht.

Transparenz (Artikel 50) gilt seit dem 2. August 2026. Wer mit einem Chatbot kommuniziert, muss erkennen können, dass er mit einer Maschine spricht. KI-erzeugte Inhalte müssen als solche gekennzeichnet sein. Für Systeme, die vor dem 2. August 2026 in Betrieb waren, läuft eine Übergangsfrist – sie endet am 2. Dezember 2026.

Dieser letzte Punkt ist der dringendste und wird am häufigsten übersehen. Der Chatbot auf der eigenen Website, das automatisierte Antwortsystem im Kundenservice, KI-generierte Bilder in der Werbung: All das läuft vielerorts seit Monaten und muss bis Anfang Dezember gekennzeichnet sein.

Was bei Verstößen droht

Die Verordnung staffelt die Bußgelder. Für verbotene Praktiken sind bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vorgesehen, für sonstige Verstöße bis zu 15 Millionen Euro oder 3 Prozent, für falsche Angaben gegenüber Behörden bis zu 7,5 Millionen Euro oder 1 Prozent.

Für kleine und mittlere Unternehmen gilt dabei eine Erleichterung, die in vielen Darstellungen untergeht: Bei ihnen gilt jeweils der niedrigere der beiden Werte. Die Schlagzeile von den 35 Millionen trifft den Mittelstand also nicht in dieser Höhe. Beruhigend ist das trotzdem nicht – für ein Unternehmen mit einigen Millionen Umsatz bleibt auch der Prozentwert schmerzhaft, und das eigentliche Risiko liegt ohnehin woanders.

Das eigentliche Risiko ist nicht das Bußgeld

In der Praxis beobachte ich seltener Behörden als Geschäftspartner, die Fragen stellen. Größere Kunden verlangen in Ausschreibungen zunehmend Auskunft darüber, wie ein Lieferant KI einsetzt und wie er das dokumentiert. Wer darauf keine Antwort hat, verliert keinen Bußgeldbescheid, sondern einen Auftrag.

Dazu kommt die Haftungsfrage. KI-Einsatz ohne geregelte Verantwortlichkeit ist eine Organisationsfrage – und Organisationsverschulden landet am Ende bei der Geschäftsführung.

Was ein realistischer erster Schritt ist

Die Verordnung wirkt abschreckend umfangreich. Der Einstieg ist es nicht. Er besteht aus vier Fragen, die sich in einem halben Tag beantworten lassen:

Welche KI-Werkzeuge werden im Unternehmen tatsächlich eingesetzt – auch die, die sich einzelne Mitarbeiter selbst besorgt haben? Wo davon entstehen Inhalte oder Kontakte nach außen, die gekennzeichnet werden müssen? Wer entscheidet, was eingesetzt werden darf? Und wissen die Menschen, die damit arbeiten, was sie tun dürfen und was nicht?

Wer diese vier Fragen beantworten kann, hat den größten Teil der Unsicherheit beseitigt. Wer sie nicht beantworten kann, weiß wenigstens, wo er anfängt.

---

Stand: September 2026. Dieser Beitrag gibt den Diskussionsstand wieder und ersetzt keine Rechtsberatung. Die Angaben beziehen sich auf die Verordnung (EU) 2024/1689 (KI-Verordnung) in der Fassung nach der Digital-Omnibus-Änderung; für die verbindliche Bewertung Ihres Einzelfalls wenden Sie sich bitte an eine Rechtsanwältin oder einen Rechtsanwalt.