KI-Verordnung: Warum die Entwarnung keine ist

Am 2. August 2026 wurden zentrale Bestimmungen der europäischen KI-Verordnung anwendbar. Wenige Tage zuvor, Ende Juli, trat die Digital-Omnibus-Verordnung in Kraft und verschob den umfangreichsten Pflichtenblock: Die vollen Anforderungen an Hochrisiko-Systeme greifen nun erst ab Dezember 2027 beziehungsweise August 2028. Genau genommen sind es zwei Stichtage: Für eigenständige Hochrisiko-Systeme nach Anhang III gilt der 2. Dezember 2027, für KI als Bestandteil regulierter Produkte nach Anhang I der 2. August 2028.

Die Änderungsverordnung trägt die Nummer (EU) 2026/1744 und gilt seit dem 27. Juli 2026. In vielen Geschäftsleitungen ist davon vor allem ein Wort angekommen: verschoben. Das ist verständlich, führt aber in die Irre. Die Verschiebung betrifft einen klar umrissenen Teil der Verordnung – und für Unternehmen, die KI vor allem als Schreib-, Such- oder Übersetzungshilfe einsetzen, ist das nicht einmal der wichtigste.

Der Kalender nach dem Omnibus

Was die Verschiebung nicht betrifft

Verschoben wurde der Block für Hochrisiko-Anwendungen – also etwa KI in Personalauswahl, Kreditvergabe oder kritischer Infrastruktur. Nicht verschoben sind die Verbote unzulässiger Praktiken, die Transparenzpflichten und die Pflicht, die KI-Kompetenz der Beschäftigten zu fördern, die KI-Systeme einsetzen. Diese Pflicht trifft jedes Unternehmen, das seinen Leuten ein KI-Werkzeug an die Hand gibt – unabhängig von Größe und Branche.

Inhaltlich hat der Omnibus die Kompetenzpflicht allerdings neu gefasst. Anbieter und Betreiber müssen Maßnahmen ergreifen, die die Entwicklung der KI-Kompetenz ihres Personals fördern; ein bestimmtes Niveau jeder einzelnen Person müssen sie ausdrücklich nicht garantieren. Aus einer Pflicht mit Ergebniserwartung ist damit eine Pflicht zum Bemühen geworden. Abgeschafft ist sie nicht, und ein Bemühen, das sich nicht belegen lässt, ist gegenüber einer Aufsicht wertlos.

Ein verbreitetes Missverständnis lautet: Wir entwickeln keine KI, also betrifft uns das nicht. Die Verordnung unterscheidet aber zwischen Anbietern, die ein System entwickeln oder in Verkehr bringen, und Betreibern, die es in eigener Verantwortung beruflich nutzen. Wer seinen Beschäftigten einen zugekauften Schreibassistenten oder ein KI-gestütztes Bewerbermanagement bereitstellt, ist Betreiber – mit eigenen Pflichten.

Transparenz: die Pflicht, die im Alltag ankommt

Die seit August geltenden Transparenzpflichten sind für viele Betriebe der greifbarste Teil. Wer mit KI erzeugte oder veränderte Bilder, Tonaufnahmen oder Videos veröffentlicht, die realen Personen, Orten oder Ereignissen täuschend ähneln, muss das offenlegen. Für KI-erzeugte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen, gilt Entsprechendes, sofern sie nicht redaktionell geprüft und verantwortet werden. Anbieter von Chat-Assistenten müssen ihre Systeme so gestalten, dass Nutzer erkennen, dass sie mit einer KI kommunizieren.

Die Aufsicht in Deutschland liegt bei der Bundesnetzagentur. Das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz ist am 29. Juli 2026 in Kraft getreten und weist ihr die Rolle der zentralen Marktüberwachungsbehörde, Anlauf- und Beschwerdestelle zu. Für Unternehmen unterhält die Behörde einen KI-Service-Desk, der bei der Einordnung einzelner Anwendungen weiterhilft.

Der Bußgeldrahmen bleibt

Verstöße gegen die Verordnung können mit bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden. Diese Zahl steht unverändert, auch wenn einzelne Fristen sich verschieben. Die Obergrenze gilt für den Einsatz verbotener Praktiken. Für Verstöße gegen die meisten übrigen Pflichten, darunter die Transparenzpflichten, reicht der Rahmen bis 15 Millionen Euro oder 3 Prozent, für falsche oder unvollständige Auskünfte gegenüber Behörden bis 7,5 Millionen Euro oder 1 Prozent. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge.

Wofür die gewonnene Zeit taugt

Für Betreiber von Hochrisiko-Systemen stehen die Pflichten ab Dezember 2027 bereits heute im Text fest: das System nach der Gebrauchsanweisung des Anbieters verwenden, die menschliche Aufsicht fachkundigen Personen übertragen, den Betrieb überwachen, automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren und die Beschäftigten sowie ihre Vertretung vor dem Einsatz am Arbeitsplatz informieren. In Deutschland kommt das Mitbestimmungsrecht des Betriebsrats bei technischen Einrichtungen hinzu, die Verhalten oder Leistung überwachen können. Nichts davon lässt sich in den letzten Wochen vor dem Stichtag nachholen.

Unsere Einordnung: Die zusätzliche Zeit ist ein Geschenk für die Dokumentation, nicht für das Nichtstun. Wer die Bestandsaufnahme jetzt macht, hat 2027 eine Grundlage – wer wartet, beginnt dann unter Zeitdruck.

Verwandte Themen: Wer hier weiterdenkt, liest bei KI-Richtlinie, IT-Personalengpässe und Cyber Resilience Act weiter.