EU AI Act für Unternehmen: Was nach dem Omnibus wirklich gilt.

Die Verordnung (EU) 2026/1744, kurz: Digital-Omnibus zur KI, stammt vom 8. Juli 2026. Sie wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am dritten Tag danach in Kraft, also am 27. Juli 2026. Sie ändert die KI-Verordnung (EU) 2024/1689 sowie zwei weitere Verordnungen. Für Unternehmen zählen vor allem fünf Punkte.

Erstens wurde Artikel 4 zur KI-Kompetenz neu gefasst: aus einer Pflicht, ein ausreichendes Maß sicherzustellen, wurde eine Pflicht, die Entwicklung der Kompetenz zu fördern. Zweitens bekommen Anbieter generativer Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, bis zum 2. Dezember 2026 Zeit für die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2. Drittens kommen zwei neue Verbote hinzu, die ab 2. Dezember 2026 gelten: nicht einvernehmliche sexuelle Deepfakes identifizierbarer Personen und die Erzeugung von Darstellungen sexuellen Kindesmissbrauchs.

Viertens verschieben sich die Hochrisiko-Pflichten: Für Systeme nach Anhang III gelten sie ab 2. Dezember 2027, für Systeme nach Anhang I ab 2. August 2028. Fünftens führt der Omnibus neben KMU die Kategorie der kleinen Unternehmen mittlerer Kapitalisierung ein (small mid-cap enterprises, SMC), die bei Verhältnismäßigkeit und Unterstützung berücksichtigt werden. Außerdem muss jeder Mitgliedstaat bis 2. August 2027 mindestens ein KI-Reallabor in Betrieb haben.

Die neue Fassung verlangt, dass Anbieter und Betreiber Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu fördern. Ausdrücklich steht im Text, dass sie kein bestimmtes Kompetenzniveau einzelner Personen garantieren müssen. Kommission und Mitgliedstaaten sollen KMU unterstützen, die Kommission veröffentlicht praktische Beispiele.

Das heißt nicht, dass Artikel 4 entfallen ist. Du musst weiterhin etwas tun, und du solltest es belegen können. Ein pragmatischer Anfang für ein kleines Team: eine Stunde Schulung zu den eingesetzten Werkzeugen, ihren Grenzen und den Datenregeln, eine kurze schriftliche Richtlinie und eine Liste, wer teilgenommen hat. Neue Mitarbeitende bekommen dasselbe beim Onboarding.

Achte auf veraltete Quellen. Bei unserer Recherche am 23. Oktober 2026 beschrieben noch mehrere deutsche Ratgeberseiten die ursprüngliche Fassung mit dem „ausreichenden Maß“ an Kompetenz. Prüfe bei jeder Quelle, ob sie den Omnibus berücksichtigt. Das Datum der Seite allein reicht dafür nicht.

Artikel 50 unterscheidet zwischen Anbietern und Betreibern. Anbieter von KI-Systemen, die direkt mit Menschen interagieren, müssen dafür sorgen, dass Menschen wissen, dass sie mit einer KI sprechen, außer das ist offensichtlich. Anbieter generativer Systeme müssen die erzeugten Inhalte maschinenlesbar kennzeichnen. Wenn du einen eigenen Chatbot auf Basis einer API baust und ihn Kunden anbietest, kannst du selbst Anbieter dieses Systems sein. Kläre das, bevor der Bot live geht.

Betreiber haben eigene Pflichten: Wer Emotionserkennung oder biometrische Kategorisierung einsetzt, muss die betroffenen Personen informieren. Wer Deepfakes veröffentlicht, muss sie offenlegen. Und wer KI-generierte Texte veröffentlicht, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, muss das ebenfalls offenlegen. Für Marketing-Teams mit KI-Bildern und -Videos sowie für Redaktionen ist das der wichtigste Teil.

Ob und wie eine redaktionelle Prüfung oder Freigabe die Pflichten im Einzelfall verändert, regeln Artikel 50 und die Leitlinien der Kommission vom 20. Juli 2026 im Detail. Lies dort nach, bevor du eine Regel für dein Team festlegst. Der Verhaltenskodex für KI-generierte Inhalte ist ein freiwilliger Weg, die Pflichten zu erfüllen. Wenn ein Kodex nicht ausreicht, kann die Kommission einen Durchführungsrechtsakt erlassen.

Die Verbote aus Artikel 5 gelten seit dem 2. Februar 2025, zwei neue kommen am 2. Dezember 2026 dazu. Für die meisten Büroteams sind sie kein Alltagsthema. Prüfe trotzdem einmal schriftlich, dass keiner eurer Einsätze darunterfällt, und wiederhole die Prüfung, wenn ein neues Werkzeug dazukommt.

Hochrisiko-Pflichten betreffen KI-Systeme in den Bereichen, die Anhang III aufzählt, und KI in Produkten unter EU-Harmonisierungsrecht nach Anhang I. Die Fristen liegen nach dem Omnibus beim 2. Dezember 2027 und beim 2. August 2028. Das ist Zeit, aber keine Entwarnung: Wer ein Hochrisiko-System anbietet, muss die Anforderungen aus Kapitel III erfüllen, und das baut man nicht in einem Monat auf. Lies die Liste in Anhang III im Originaltext, bevor du entscheidest, dass sie dich nicht betrifft.

Woche 1: Inventar. Sammle alle KI-Werkzeuge, auch die eingebauten Funktionen in Office, CRM oder Designsoftware. Notiere Anbieter, Zweck, Nutzergruppe und welche Daten hineingehen. Woche 2: Rollen und Pflichten. Markiere, wo ihr Betreiber und wo ihr möglicherweise Anbieter seid, und welche Absätze von Artikel 50 berührt sind.

Woche 3: Kompetenz. Halte eine kurze Schulung pro Rolle, schreibe eine Richtlinie mit erlaubten Werkzeugen, verbotenen Daten und einer Freigaberegel für veröffentlichte Inhalte, und dokumentiere die Teilnahme. Woche 4: Transparenz. Ergänze Hinweise im Chatbot, kennzeichne Deepfakes und lege fest, wie ihr mit KI-Texten zu Themen von öffentlichem Interesse umgeht. Danach empfiehlt sich eine Überprüfung pro Quartal oder bei jedem neuen Werkzeug.