KI-Verordnung: Was seit dem 2. August 2026 gilt – und was verschoben wurde

Seit dem 2. August 2026 ist die europäische KI-Verordnung allgemein anwendbar. Gleichzeitig hat die EU mit dem Digital Omnibus im Juni 2026 zentrale Fristen verschoben – und in vielen Geschäftsleitungen ist davon vor allem eine Botschaft angekommen: „Die Regulierung kommt später.“ Diese Lesart ist gefährlich verkürzt. Verschoben wurden ausschließlich die Pflichten für Hochrisiko-Systeme. Die Transparenzpflichten gelten seit dem 2. August, das Sanktionsregime ist scharf – und betroffen ist praktisch jedes Unternehmen, das einen Chatbot betreibt oder KI-generierte Inhalte veröffentlicht.

Der Stand: allgemeine Anwendbarkeit – mit einer großen Ausnahme

Die KI-Verordnung (Verordnung (EU) 2024/1689) ist am 1. August 2024 in Kraft getreten und wird stufenweise anwendbar. Der 2. August 2026 war als die dritte und größte Stufe geplant. Parallel dazu wurde im Juni 2026 das Änderungspaket beschlossen, das als Digital Omnibus on AI verhandelt wurde (Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026). Es verschiebt die Hochrisiko-Pflichten – mehr nicht. Wer aus den Schlagzeilen zur Verschiebung geschlossen hat, das Thema könne insgesamt warten, sollte diese Annahme dringend überprüfen.

Was seit dem 2. August 2026 konkret gilt

• Transparenzpflichten (Art. 50): Chatbots müssen sich als KI-System zu erkennen geben. KI-generierte oder manipulierte Inhalte – insbesondere Deepfakes – müssen als solche gekennzeichnet werden; für bestimmte KI-generierte Texte, die zur Information der Öffentlichkeit veröffentlicht werden, gilt eine Kennzeichnungspflicht.
• Das Sanktionsregime ist scharfgestellt: Verstöße gegen Transparenz- und Betreiberpflichten können mit bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden. Bei verbotenen Praktiken drohen bis zu 35 Millionen Euro oder 7 %.
• Die Durchsetzung beginnt: Das EU AI Office und die nationalen Marktüberwachungsbehörden nehmen ihre Prüftätigkeit auf.

Hinzu kommt, was ohnehin schon gilt: die Verbotstatbestände (Art. 5) und die KI-Kompetenz-Pflicht (Art. 4) bestehen seit dem 2. Februar 2025, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) seit dem 2. August 2025. Gerade die Kompetenzpflicht wird unterschätzt: Anbieter und Betreiber müssen dafür sorgen, dass ihr Personal KI-Systeme ausreichend versteht – und das idealerweise dokumentieren.

Was der Digital Omnibus verschoben hat

• Hochrisiko-Systeme nach Anhang III – etwa KI in der Personalauswahl, bei der Bonitätsprüfung oder in kritischer Infrastruktur: Anwendungsbeginn verschiebt sich um 16 Monate auf den 2. Dezember 2027.
• Hochrisiko-KI als Sicherheitsbauteil regulierter Produkte (Anhang I): neuer Anwendungsbeginn ist der 2. August 2028.
• Maschinenlesbare Kennzeichnung synthetischer Inhalte (Art. 50 Abs. 2, etwa Wasserzeichen): eigene Übergangsfrist bis zum 2. Dezember 2026.
• Neu aufgenommen wurden zudem Verbotstatbestände: KI-Systeme, die nicht einvernehmliche intime Darstellungen realer Personen erzeugen oder manipulieren, sind ab dem 2. Dezember 2026 verboten.

Anbieter oder Betreiber? Die Rollenfrage entscheidet

Die strengsten Pflichten treffen den Anbieter eines Systems. Wer ein eingekauftes Werkzeug produktiv einsetzt – und das ist die große Mehrheit der Unternehmen –, ist Betreiber mit eigenen, aber überschaubareren Pflichten. Vorsicht ist geboten, sobald ein System unter eigenem Namen vermarktet oder wesentlich verändert wird: Dann kann aus dem Betreiber rechtlich ein Anbieter werden.

Was Unternehmen jetzt tun sollten

• 1. KI-Inventar erstellen: Wo wird im Unternehmen tatsächlich KI eingesetzt – inklusive der informellen Nutzung durch Beschäftigte (Schatten-KI)?
• 2. Transparenz prüfen: Kennzeichnen Chatbot, Marketing-Inhalte und automatisiert erstellte Texte die KI-Erzeugung ausreichend? Das ist der Teil, der seit dem 2. August bußgeldbewehrt ist.
• 3. Rollen klären: Für jedes System festhalten, ob das Unternehmen Betreiber oder Anbieter ist – und die Verträge mit den Herstellern entsprechend prüfen.
• 4. Schulungen dokumentieren: Die KI-Kompetenz-Pflicht gilt seit Februar 2025; Schulungsnachweise gehören in die Compliance-Akte.
• 5. Hochrisiko-Screening vorbereiten: Systeme, die unter Anhang III fallen könnten (Personalauswahl, Bonität, Kritische Infrastruktur), jetzt identifizieren – die verlängerte Frist bis Dezember 2027 ist Vorbereitungszeit, kein Aufschub.

Fazit

Der 2. August 2026 war kein Papiertag: Transparenzpflichten und Sanktionen gelten, die Aufsicht prüft. Wer jetzt Bestand, Rollen, Kennzeichnungen und Schulungsnachweise ordnet, erledigt den Pflichtteil mit überschaubarem Aufwand – und nutzt die verlängerten Hochrisiko-Fristen als das, was sie sind: Vorbereitungszeit, kein Freifahrtschein.