Kurzantwort: Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50 der KI-Verordnung: Chatbots müssen sich als KI zu erkennen geben, KI-erzeugte Inhalte müssen maschinenlesbar gekennzeichnet sein, Deepfakes müssen offengelegt werden. Die viel gefürchteten Hochrisiko-Pflichten wurden dagegen verschoben — durch die Digital-Omnibus-Verordnung (EU) 2026/1744 auf den 2. Dezember 2027 (Anhang III) beziehungsweise 2. August 2028 (Anhang I). Bußgelder reichen bis 15 Mio. Euro oder 3 % des Jahresumsatzes, bei KMU gilt der jeweils niedrigere Wert. Zuständig ist in Deutschland seit dem 29. Juli 2026 die Bundesnetzagentur.
Für den Mittelstand ist das eine gute und eine schlechte Nachricht zugleich: Der große Dokumentations-Aufwand für Hochrisiko-Systeme ist um gut 16 Monate nach hinten gerückt. Die Pflichten, die jetzt gelten, treffen dafür fast jeden — auch Betriebe, die KI nur nutzen statt sie zu bauen. Dieser Ratgeber zeigt, welche Regeln seit August konkret greifen, welche Rolle Ihr Unternehmen einnimmt und was in den nächsten vier Wochen zu tun ist.
1. Was seit dem 2. August 2026 gilt — und was verschoben wurde
Die KI-Verordnung (EU) 2024/1689 tritt in Stufen in Kraft. Der ursprüngliche Fahrplan sah den 2. August 2026 als den großen Stichtag: allgemeiner Geltungsbeginn samt Hochrisiko-Pflichten. Diese Planung ist überholt.
Am 24. Juli 2026 wurde die Digital-Omnibus-Verordnung zur KI — Verordnung (EU) 2026/1744 vom 8. Juli 2026 — im Amtsblatt der EU veröffentlicht; in Kraft ist sie seit dem 27. Juli 2026. Sie ändert über 40 Artikel der KI-Verordnung und schiebt vor allem die Hochrisiko-Fristen nach hinten.
| Stichtag | Was gilt | Betroffen |
|---|---|---|
| seit 02.02.2025 | Verbotene KI-Praktiken (Art. 5), KI-Kompetenz (Art. 4) | alle |
| seit 02.08.2025 | Pflichten für Universal-KI-Modelle (Art. 53), Sanktionsrahmen | Modellanbieter |
| seit 02.08.2026 | Transparenzpflichten (Art. 50), nationale Aufsicht arbeitsfähig | alle KI-Nutzer |
| ab 02.12.2026 | Ende der Übergangsfrist für maschinenlesbare Kennzeichnung bei Altsystemen; neue Verbotstatbestände zu nicht einvernehmlichen intimen Deepfakes | Anbieter generativer KI |
| ab 02.08.2027 | KI-Reallabore in den Mitgliedstaaten | Behörden |
| ab 02.12.2027 | Hochrisiko-Pflichten Anhang III (vorher 02.08.2026) | z. B. HR-, Kredit-, Bildungs-KI |
| ab 02.08.2028 | Hochrisiko-Pflichten Anhang I (KI in regulierten Produkten) | Maschinen-, Medizinproduktbau |
Wichtig für die Einordnung: Verschoben wurde nur der Hochrisiko-Teil. Artikel 50 ist ausdrücklich nicht Teil der Fristverlängerung. Wer gehofft hatte, der Omnibus verschaffe generell Luft, liegt falsch — die Pflicht, die den Mittelstand am breitesten trifft, ist genau die, die geblieben ist.
2. Anbieter oder Betreiber? Diese Rollenfrage entscheidet über fast alles
Die KI-Verordnung verteilt Pflichten nicht nach Unternehmensgröße, sondern nach Rolle:
- Anbieter ist, wer ein KI-System entwickelt oder unter eigenem Namen beziehungsweise eigener Marke in Verkehr bringt.
- Betreiber ist, wer ein fertiges KI-System in eigener Verantwortung einsetzt.
Der typische Mittelständler am Niederrhein ist Betreiber: Er lizenziert Microsoft 365 Copilot, bindet einen eingekauften Chatbot auf der Website ein oder erzeugt Bildmaterial mit einem Generator. Die Pflichten, ein System technisch so zu bauen, dass es sich als KI zu erkennen gibt oder seine Ausgaben maschinenlesbar markiert, treffen den Anbieter — also den Softwarehersteller.
Das entlastet, entbindet aber nicht von der Prüfung. Denn erstens verantworten Sie als Betreiber, ob der Hinweis auf Ihrer Website tatsächlich sichtbar ist. Zweitens rutschen Sie in die Anbieterrolle, sobald Sie ein System unter eigenem Namen anbieten oder wesentlich verändern. Wer einen zugekauften Assistenten als „Ihr digitaler Berater von Firma Muster” vermarktet, sollte das juristisch prüfen lassen, bevor es jemand anderes tut.
Dass die Frage praktisch relevant ist, zeigt die Verbreitung: Laut Bitkom setzten Anfang 2026 bereits 41 Prozent der Unternehmen ab 20 Beschäftigten KI aktiv ein — ein Jahr zuvor waren es 17 Prozent. Weitere 48 Prozent planen oder diskutieren den Einsatz. Die Regulierung trifft also keinen Nischenfall mehr.
3. Artikel 50 in der Praxis: vier Pflichten, vier typische Fälle
Artikel 50 ist kein Generalverdacht gegen KI-Inhalte, sondern ein Katalog aus vier klar abgegrenzten Tatbeständen.
Fall 1: Chatbot auf der Website
Der Nutzer muss erkennen, dass er mit einer Maschine spricht. Die Gestaltungspflicht liegt beim Anbieter — die Praxis liegt bei Ihnen. Ein Satz beim Öffnen des Fensters genügt: „Sie schreiben mit einem KI-Assistenten. Für persönliche Beratung: [Telefonnummer].” Die Ausnahme greift nur, wenn es für eine verständige Person ohnehin offensichtlich ist. Verlassen Sie sich nicht darauf: Ein Chat-Widget im Corporate Design ist nicht offensichtlich.
Fall 2: KI-generierte Bilder in Marketing und Social Media
Anbieter generativer Systeme müssen ihre Ausgaben in einem maschinenlesbaren Format kennzeichnen — also über Wasserzeichen oder Metadaten. Für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, läuft dafür eine Übergangsfrist bis zum 2. Dezember 2026. Als Betreiber müssen Sie generierte Bilder nicht generell beschriften; unterlassen Sie aber nichts, was die Kennzeichnung entfernt, und prüfen Sie, ob Ihr Werkzeug die Markierung überhaupt setzt.
Fall 3: Deepfakes
Hier trifft es Betreiber direkt und ohne Übergangsfrist. Wer Bild-, Ton- oder Videomaterial erzeugt oder manipuliert, das echten Personen, Orten oder Ereignissen täuschend ähnlich sieht, muss das offenlegen. Für offenkundig künstlerische, satirische oder fiktionale Werke gilt eine abgeschwächte Form der Offenlegung. Der KI-generierte Imagefilm mit einem synthetischen Geschäftsführer ist meldepflichtig — der offensichtlich stilisierte Comic-Spot nicht.
Fall 4: Emotionserkennung und biometrische Kategorisierung
Wer solche Systeme einsetzt, muss die betroffenen Personen informieren und die Datenverarbeitung nach DSGVO sauber aufsetzen. Im Mittelstand taucht das seltener auf, aber es taucht auf: in Callcenter-Analytik, in Zutrittssystemen, in manchen Recruiting-Werkzeugen. Wenn Sie hier unsicher sind, ist das der Punkt, an dem sich ein Blick in die Verträge lohnt — häufig mehr aus Datenschutz- als aus KI-Gründen. Unsere Datenschutz- und DSGVO-Beratung setzt genau dort an.
Über allem steht Absatz 5: Die Information muss spätestens bei der ersten Interaktion erfolgen, klar, eindeutig und barrierefrei. Ein Hinweis im Impressum reicht nicht.
4. KI-Kompetenz nach Artikel 4: entschärft, aber nicht weg
Seit Februar 2025 verlangt Artikel 4, dass Anbieter und Betreiber für ein ausreichendes Maß an KI-Kompetenz bei ihrem Personal sorgen. Diese Vorschrift galt als die stille Falle des AI Acts — weil sie jeden trifft, der ChatGPT oder Copilot im Arbeitsalltag einsetzt, und weil sie kaum jemand kannte.
Der Digital Omnibus hat Artikel 4 neu justiert, aber nicht gestrichen. Unternehmen müssen weiterhin Maßnahmen ergreifen, um KI-Kompetenz im Team zu fördern. Weggefallen ist die Erwartung, ein bestimmtes Kompetenzniveau bei jeder einzelnen Person zu garantieren. Kommission und Mitgliedstaaten sollen im Gegenzug mit Praxisbeispielen und Referenzrahmen unterstützen.
Für die Praxis heißt das: Eine dokumentierte Grundunterweisung, eine schriftliche Nutzungsrichtlinie („Welche Daten dürfen in welches Werkzeug?”) und ein benannter Ansprechpartner sind ein vertretbares Niveau. Ein Zertifikatsprogramm für die gesamte Belegschaft war nie gefordert und ist es jetzt erst recht nicht. Wichtig bleibt die Dokumentation — nicht, weil Artikel 4 selbst scharf sanktioniert wäre, sondern weil ein KI-Fehler, der nachweislich auf fehlende Einweisung zurückgeht, ein Haftungsrisiko bleibt.
5. Verbotene Praktiken: die kurze Liste, die jeder Geschäftsführer kennen sollte
Artikel 5 gilt bereits seit Februar 2025 und ist mit bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes die teuerste Stufe. Verboten sind unter anderem manipulative Systeme, die das Verhalten von Menschen unterschwellig steuern, das Ausnutzen von Schutzbedürftigkeit, Social Scoring sowie Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen.
Der letzte Punkt ist der, an dem sich Mittelständler tatsächlich verbrennen können — etwa mit Software, die Stimmung oder Aufmerksamkeit von Mitarbeitenden auswertet. Ab dem 2. Dezember 2026 kommen zudem neue Verbotstatbestände rund um die Erzeugung nicht einvernehmlicher intimer Darstellungen hinzu.
6. Bußgelder und wer in Deutschland prüft
Die Sanktionen der KI-Verordnung sind gestaffelt:
| Verstoß | Obergrenze |
|---|---|
| Verbotene Praktiken (Art. 5) | 35 Mio. € oder 7 % des weltweiten Jahresumsatzes |
| Anbieter-/Betreiberpflichten, darunter Art. 50 | 15 Mio. € oder 3 % |
| Falsche Angaben gegenüber Behörden | 7,5 Mio. € oder 1 % |
Es gilt jeweils der höhere Betrag — außer bei kleinen und mittleren Unternehmen einschließlich Start-ups. Für sie greift der niedrigere Wert. Ein Betrieb mit 8 Mio. Euro Umsatz landet damit bei einem Artikel-50-Verstoß nicht bei 15 Mio. Euro, sondern bei maximal 3 Prozent des Umsatzes.
In Deutschland hat die Vollzugsfrage seit Ende Juli eine klare Antwort. Das Gesetz zur Durchführung der KI-Verordnung, im Bundestag am 10. Juni 2026 beschlossen und am 29. Juli 2026 in Kraft getreten, macht die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde sowie zur nationalen Anlauf- und Beschwerdestelle. Bei ihr entstehen ein Koordinierungs- und Kompetenzzentrum für die einheitliche Rechtsauslegung und ein KI-Reallabor. Für einzelne Sektoren bleiben bestehende Aufsichten zuständig, etwa die Finanzaufsicht; im Medienbereich können die Länder eigene Behörden bestimmen.
Praktisch bedeutet das: Es gibt jetzt eine Adresse, an die sich Wettbewerber, Kunden und Beschäftigte mit Beschwerden wenden können. Das ist erfahrungsgemäß der häufigere Auslöser eines Verfahrens als eine anlasslose Prüfung.
7. Wann der AI Act für Sie kaum eine Rolle spielt
Nicht jedes Unternehmen braucht ein KI-Compliance-Projekt. Die Regulierung läuft weitgehend an Ihnen vorbei, wenn alle folgenden Punkte zutreffen:
- Sie setzen KI ausschließlich intern ein — etwa zur Textüberarbeitung, Recherche oder Protokollzusammenfassung — und veröffentlichen keine KI-Inhalte nach außen.
- Sie betreiben keinen Chatbot und kein anderes System mit direktem Kundenkontakt.
- Sie nutzen keine Emotionserkennung, keine biometrische Kategorisierung und kein automatisiertes Bewerber-Ranking.
- Ihre KI trifft keine Entscheidungen über Menschen, sondern liefert Vorschläge, die ein Mensch prüft.
Dann bleiben genau zwei Aufgaben: eine dokumentierte Einweisung des Teams nach Artikel 4 und eine Nutzungsrichtlinie, die klärt, welche Daten in welches Werkzeug dürfen. Das ist in einem halben Tag erledigt. Wer Ihnen an dieser Stelle ein fünfstelliges Compliance-Paket verkaufen will, verkauft Ihnen Angst.
Ehrlicherweise gilt aber auch: Sobald ein Hochrisiko-Anwendungsfall dazukommt — automatisierte Vorauswahl im Recruiting ist der mit Abstand häufigste im Mittelstand — ändert sich das Bild grundlegend. Der 2. Dezember 2027 klingt weit weg. Für ein System, das erst ausgewählt, eingeführt und dokumentiert werden muss, ist er es nicht.
8. Ihr Fahrplan für die nächsten vier Wochen
Ein pragmatisches Vorgehen, das ohne externe Beratung auskommt:
- KI-Inventar anlegen (Woche 1). Listen Sie auf, welche KI-Werkzeuge im Haus tatsächlich genutzt werden — inklusive der Systeme, die einzelne Abteilungen ohne IT-Freigabe eingeführt haben. Erfahrungsgemäß ist diese Liste länger als erwartet.
- Rollen zuordnen (Woche 2). Je Werkzeug festhalten: Sind Sie Betreiber oder Anbieter? Entstehen daraus Ausgaben, die nach außen gehen?
- Transparenz-Check (Woche 3). Website, Kundenkommunikation und Social-Media-Kanäle durchgehen: Ist der KI-Hinweis beim Chatbot sichtbar? Sind Deepfake-Inhalte gekennzeichnet? Zeigt Ihr Bildgenerator ein Wasserzeichen?
- Kompetenz und Regeln dokumentieren (Woche 4). Kurzunterweisung durchführen, Nutzungsrichtlinie schriftlich fassen, beides mit Datum ablegen. Diese Dokumentation ist im Ernstfall Ihr Nachweis.
Nutzen Sie die verschobene Hochrisiko-Frist nicht als Grund zum Abwarten, sondern als das, was sie ist: Zeit, um die Grundlagen sauber zu legen, bevor es teuer wird. Wenn Sie KI im Unternehmen ohnehin gerade ausbauen, lohnt es sich, Compliance und Einführung in einem Zug zu denken — genau dafür ist unsere Begleitung bei KI-Projekten im Mittelstand gedacht.
Wer zusätzlich unter NIS-2 fällt, sollte beide Themen nicht getrennt bearbeiten: Dokumentationspflichten, Schulungsnachweise und Risikobetrachtung überschneiden sich erheblich. Der NIS-2-Betroffenheitscheck ist dafür der schnellste Einstieg.