Im Sommer haben viele aufgeatmet. Am 27. Juli 2026 ist die Digital-Omnibus-Verordnung zur KI in Kraft getreten, die Verordnung (EU) 2026/1744. Sie verschiebt die aufwendigsten Pflichten der KI-Verordnung um mehr als ein Jahr.
Seitdem höre ich öfter: „Dann haben wir ja noch Zeit.“ Für einen Teil stimmt das. Für einen anderen Teil nicht.
Was der Omnibus verschoben hat
Die größte Änderung betrifft die Hochrisiko-KI. Für eigenständige Hochrisiko-Systeme nach Anhang III gelten die Pflichten jetzt ab dem 2. Dezember 2027 statt ab August 2026. Dazu gehören etwa KI-Systeme im Recruiting und Personalmanagement, bei der Kreditwürdigkeitsprüfung oder im Bildungsbereich. Für KI in regulierten Produkten nach Anhang I gilt der 2. August 2028.
Verschoben wurde der Zeitpunkt, nicht der Inhalt. Die Anforderungen an Hochrisiko-Systeme bleiben im Wesentlichen bestehen, von Risikomanagement über Dokumentation bis zur menschlichen Aufsicht. Die Fristen hängen außerdem nicht mehr davon ab, ob harmonisierte Normen vorliegen. Es sind feste Termine.
Erleichterungen, die bisher für KMU galten, etwa bei der technischen Dokumentation, werden auf sogenannte kleine Midcap-Unternehmen ausgeweitet.
Was trotzdem schon gilt
Die Verbote nach Artikel 5. Seit Februar 2025 sind bestimmte KI-Praktiken verboten, etwa manipulative Systeme, die Menschen unbemerkt beeinflussen, oder Social Scoring. Der Omnibus ergänzt diese Liste: Ab dem 2. Dezember 2026 sind zusätzlich KI-Systeme verboten, die ohne Einwilligung intime Darstellungen realer Personen oder Missbrauchsdarstellungen erzeugen.
Transparenzpflichten nach Artikel 50. Seit dem 2. August 2026 gilt: Wer etwa einen KI-Chatbot einsetzt, muss Menschen darüber informieren, dass sie mit einer KI kommunizieren. Wer Deepfakes verwendet, muss sie kenntlich machen. Anbieter generativer Systeme, die schon vor August 2026 auf dem Markt waren, haben für die maschinenlesbare Kennzeichnung bis zum 2. Dezember 2026 Zeit. Für viele Mittelständler ist der Chatbot auf der eigenen Website der naheliegendste Prüfpunkt.
KI-Kompetenz nach Artikel 4, in abgeschwächter Form. Bisher mussten Anbieter und Betreiber von KI-Systemen die KI-Kompetenz ihres Personals sicherstellen. Jetzt müssen sie Maßnahmen ergreifen, um diese Kompetenz zu fördern. Abgeschafft ist die Pflicht damit nicht. Und praktisch bleibt das Thema wichtig: Wer KI einsetzt und Fehler macht, steht für die Folgen ein. Geschulte Mitarbeitende sind die beste Vorsorge, dokumentierte Schulungen der beste Nachweis.
Die gewonnene Zeit nutzen
Mein Vorschlag: die gewonnene Zeit nutzen, statt sie zu verschlafen. Wer jetzt strukturiert vorgeht, hat Ende 2027 keinen Stress, sondern einen Vorsprung. Vier Schritte haben sich bewährt.
- Ein ehrliches KI-Verzeichnis. Welche KI-Systeme laufen im Haus? Die inoffiziellen gehören ausdrücklich dazu, denn Schatten-KI ist auch rechtlich relevant. Für jedes System: Wofür wird es genutzt, mit welchen Daten, wer ist verantwortlich?
- Die Hochrisiko-Prüfung. Geht eines dieser Systeme in Richtung Hochrisiko? Der häufigste Fall im Mittelstand ist das Recruiting, etwa wenn ein Tool Bewerbungen vorsortiert oder bewertet. Wer das früh erkennt, kann entscheiden, ob er das System anpasst, ersetzt oder die Anforderungen bis Dezember 2027 erfüllt.
- Der Transparenz-Check. Wo kommunizieren Kunden oder Bewerber mit KI, ohne es zu wissen? Chatbots, automatisierte E-Mail-Antworten, KI-generierte Bilder und Videos. Hier gelten die Pflichten bereits.
- Schulungen mit Bezug zum Alltag. Auch wenn die Pflicht abgeschwächt wurde: Schulungen, die am eigenen Arbeitsalltag ansetzen und dokumentiert sind, verbessern Ergebnisse und senken Risiken.
Ein Steuerungsprojekt mit juristischem Anteil
Viele Unternehmen behandeln die KI-Verordnung als reines Juristenthema. Das greift zu kurz. Die rechtliche Einordnung ist wichtig. Die eigentliche Arbeit aber ist eine Steuerungsaufgabe: Überblick schaffen, Zuständigkeiten klären, Prozesse anpassen, Menschen befähigen. Das ist kein reines Juristenprojekt. Es ist ein Steuerungsprojekt mit juristischem Anteil.
Hinweis: Ich bin kein Anwalt. Dieser Artikel gibt einen Überblick über den Rechtsstand im November 2026. Die Einordnung im Einzelfall gehört in eine rechtliche Prüfung.
Häufige Fragen
Wann gelten die Pflichten für Hochrisiko-KI?
Nach der Digital-Omnibus-Verordnung gelten sie für eigenständige Hochrisiko-Systeme nach Anhang III ab dem 2. Dezember 2027 und für KI in regulierten Produkten nach Anhang I ab dem 2. August 2028. Die Termine sind fest und hängen nicht mehr von harmonisierten Normen ab.
Muss ich meine Mitarbeitenden noch zu KI schulen?
Artikel 4 verpflichtet Anbieter und Betreiber seit dem Omnibus, Maßnahmen zur Förderung der KI-Kompetenz zu ergreifen. Die frühere Pflicht, ausreichende Kompetenz sicherzustellen, wurde abgeschwächt. Schulungen bleiben sinnvoll, weil sie Fehler verhindern und im Ernstfall belegen, dass das Unternehmen sorgfältig gehandelt hat.
Ist ein Chatbot auf meiner Website betroffen?
In der Regel ja. Nach Artikel 50 müssen Menschen darüber informiert werden, dass sie mit einem KI-System interagieren, sofern das nicht offensichtlich ist. Ein klarer Hinweis im Chatfenster ist der einfachste Weg. Im Zweifel sollte die konkrete Gestaltung rechtlich geprüft werden.
Gibt es bei Ihnen schon ein KI-Verzeichnis, oder existiert das bisher nur in ein paar Köpfen? Wenn Sie es aufbauen möchten, unterstütze ich Sie gern.
Quellen
- Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI), Amtsblatt vom 24.07.2026 – eur-lex.europa.eu
- Oikonomakis Law: „KI-Verordnung nach dem Digital Omnibus: Was bereits gilt und was verschoben wurde“, 19.08.2026 – oikonomakislaw.com
- IHK Frankfurt am Main: „Der neue KI-Omnibus (Verordnung (EU) 2026/1744)“, 2026 – frankfurt-main.ihk.de