Der 2. August 2026 war der Tag, auf den seit zwei Jahren alle Compliance-Kalender zeigten: der allgemeine Geltungsbeginn der KI-Verordnung (EU) 2024/1689. Drei Wochen später herrscht bei vielen Geschäftsführern trotzdem Unsicherheit — denn kurz vor dem Stichtag hat die EU mit dem „Digital Omnibus" die Spielregeln noch einmal geändert. Dieser Beitrag räumt auf: Was gilt seit dem 2. August wirklich, was wurde verschoben, wer kontrolliert das in Deutschland und welche Bußgelder stehen im Raum. Stand: 24. August 2026.
Die kurze Antwort für Eilige
- Seit 2. August 2026 gilt: Transparenzpflichten nach Art. 50 (Chatbot-Hinweis, Deepfake-Kennzeichnung), das Sanktionsregime nach Art. 99, die Governance- und Aufsichtsstrukturen. In Deutschland ist die Bundesnetzagentur seit dem 29. Juli 2026 die zentrale KI-Marktüberwachungsbehörde.
- Bereits seit 2. Februar 2025 gilt: das Verbot bestimmter KI-Praktiken (Art. 5) und die KI-Kompetenzpflicht (Art. 4) — Letztere wurde durch den Omnibus inhaltlich abgeschwächt, aber nicht abgeschafft.
- Verschoben wurde: Die Pflichten für eigenständige Hochrisiko-KI (Anhang III, etwa HR-Software, Kreditscoring) auf den 2. Dezember 2027; für in Produkte eingebettete Hochrisiko-KI (Anhang I) auf den 2. August 2028.
- Neu hinzu kommt: ein Verbot von KI-Systemen zur Erzeugung nicht-einvernehmlicher intimer Deepfakes und von Missbrauchsdarstellungen von Kindern, wirksam ab 2. Dezember 2026.
- KI-Inventar anlegen: Welche KI-Systeme sind im Einsatz — vom ChatGPT-Account in der Marketingabteilung über den Support-Chatbot bis zur Bewerbervorauswahl?
- Rolle klären: Sind Sie Betreiber (nutzen ein fremdes System) oder Anbieter (bringen ein eigenes System in Verkehr oder verändern ein fremdes wesentlich)? Betreiber haben deutlich weniger Pflichten, sind aber bei Transparenz und Kompetenz mit im Boot.
- Art.-5-Check: Prüfen, dass kein System verbotene Praktiken abdeckt — Emotionserkennung im Betrieb ist der Klassiker, der KMU unbeabsichtigt trifft.
- Transparenzhinweise umsetzen: Chatbot-Kennzeichnung auf Website und Telefonie, Deepfake-/KI-Bild-Hinweise in Marketingmaterial, Prüfung, ob Ihre Tool-Anbieter Wasserzeichen unterstützen. Ein Überblick über Anbieter findet sich in unserer Kategorie KI-Chatbots.
- Schulungsnachweis: Kompetenzmaßnahmen dokumentieren (wer, wann, welcher Inhalt). Auch nach der Lockerung wollen Behörden im Zweifel Belege sehen.
- Hochrisiko-Kandidaten markieren: HR-, Kredit-, Bildungs- oder Infrastruktur-Anwendungen jetzt identifizieren. Risikomanagement, Datenqualität und Dokumentation brauchen Vorlauf.
- Datenschutz mitdenken: AI Act und DSGVO laufen parallel — der LTO-Bericht zum KI-MIG bemängelt ausdrücklich die fehlende Koordinierung paralleler Bußgeldverfahren. Wer sensible Daten verarbeitet, sollte lokale Modelle prüfen; unsere Übersicht lokaler KI und die DSGVO-Ampel helfen bei der Auswahl.
- Bildgeneratoren absichern: Bis 2. Dezember 2026 sicherstellen, dass eingesetzte Systeme keine intimen Deepfakes erzeugen können — das neue Verbot richtet sich an Systeme, die dafür ausgelegt sind, trifft aber auch Unternehmen, die solche Tools bereitstellen.
- Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI) — EUR-Lex
- Gesetz zur Durchführung der KI-Verordnung (KI-MIG) — Bundesministerium für Digitales und Staatsmodernisierung
- KI-Marktüberwachung — Bundesnetzagentur
- Art. 99 KI-Verordnung — Sanktionen — dejure.org
- Digital Omnibus zur KI: Was am AI Act wirklich verändert wird — ITMR Legal
- KI-Aufsicht: Das Gesetz hinter dem AI-Act tritt in Kraft — Legal Tribune Online
Der Digital Omnibus ist beschlossen — und in Kraft
Wer unseren Beitrag vom Juni zur Omnibus-Einigung gelesen hat, kennt die Eckdaten. Seitdem ist das Verfahren abgeschlossen: Die „Digital-Omnibus-Verordnung zur KI" trägt die Nummer Verordnung (EU) 2026/1744, wurde am 8. Juli 2026 unterzeichnet, am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten — also sechs Tage vor dem großen Stichtag. Die im Juni genannten Fristen sind damit geltendes Recht.
Wichtig für die Einordnung: Der Omnibus hat den allgemeinen Geltungsbeginn am 2. August 2026 nicht angetastet. Verschoben wurden gezielt einzelne Pflichtenpakete — vor allem die für Hochrisiko-Systeme. Die Grundarchitektur des AI Act (risikobasierter Ansatz, Verbote, Regeln für KI-Modelle mit allgemeinem Verwendungszweck) bleibt unverändert.
Fristen im Überblick (Stand 24. August 2026)
| Regelung | Ursprüngliche Frist | Gilt jetzt seit / ab |
|---|---|---|
| Verbotene Praktiken (Art. 5), KI-Kompetenz (Art. 4) | 2. Februar 2025 | Gilt seit 2. Februar 2025 |
| Pflichten für GPAI-Modelle (Art. 51 ff.) | 2. August 2025 | Gilt seit 2. August 2025 |
| Transparenzpflichten (Art. 50), Sanktionen (Art. 99), Aufsicht | 2. August 2026 | Gilt seit 2. August 2026 |
| Maschinenlesbare Kennzeichnung (Art. 50 Abs. 2) für Systeme, die vor dem 2. August 2026 auf dem Markt waren | 2. August 2026 | Übergangsfrist bis 2. Dezember 2026 |
| Neues Verbot intimer Deepfakes / CSAM-Systeme (Art. 5 Abs. 1 lit. ba, bb) | — | 2. Dezember 2026 |
| Hochrisiko-KI eigenständig (Anhang III) | 2. August 2026 | 2. Dezember 2027 |
| Hochrisiko-KI in Produkten (Anhang I) | 2. August 2027 | 2. August 2028 |
| Mindestens ein nationales KI-Reallabor | 2. August 2026 | 2. August 2027 |
Was seit dem 2. August konkret Pflicht ist
Transparenz nach Art. 50 — betrifft fast jedes Unternehmen
Wer einen KI-Chatbot auf der Website, im Kundenservice oder am Telefon einsetzt, muss Nutzer darüber informieren, dass sie mit einer Maschine sprechen — es sei denn, das ist ohnehin offensichtlich. Wer Deepfakes oder realistisch wirkende KI-Bilder, -Videos oder -Audios veröffentlicht, muss sie als künstlich erzeugt kennzeichnen. KI-generierte Texte zu Themen von öffentlichem Interesse sind ebenfalls zu kennzeichnen, sofern sie nicht redaktionell geprüft und verantwortet werden.
Die Pflicht, KI-Ausgaben maschinenlesbar zu markieren (Wasserzeichen), richtet sich an die Anbieter generativer Systeme. Für Systeme, die vor dem 2. August 2026 bereits auf dem Markt waren, gewährt der Omnibus hier eine Übergangsfrist bis zum 2. Dezember 2026. Keine neuen Pflichten entstehen dagegen bei rein interner KI-Nutzung, bei assistiven Funktionen wie Rechtschreibkorrektur oder Übersetzung und bei Inhalten, die ein Mensch geprüft und freigegeben hat.
Sanktionen und Aufsicht sind scharf geschaltet
Seit dem 2. August können Behörden Marktüberwachungsmaßnahmen einleiten, Unterlagen anfordern, Systeme prüfen und Bußgelder verhängen. In Deutschland ist dafür das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) die Grundlage: Der Bundestag hat es am 11. Juni 2026 beschlossen, es wurde am 28. Juli 2026 im Bundesgesetzblatt verkündet und ist am 29. Juli 2026 in Kraft getreten. Die Bundesnetzagentur ist damit zentrale Marktüberwachungsbehörde und nationale Anlauf- und Beschwerdestelle; bei ihr entsteht das „Koordinierungs- und Kompetenzzentrum für die KI-Verordnung" (KoKIVO) samt KI-Service-Desk für Unternehmen. Daneben gilt ein hybrides Modell: Die BaFin überwacht KI im regulierten Finanzbereich, die Länder sind unter anderem für KI-Systeme öffentlicher Stellen und den Medienbereich zuständig. Bußgeldverfahren laufen in erster Instanz vor den Amtsgerichten.
Was schon länger gilt — und oft übersehen wird
Die Verbote des Art. 5 (etwa manipulative Techniken, Social Scoring, Emotionserkennung am Arbeitsplatz) gelten seit dem 2. Februar 2025 — und seit dem 2. August 2026 sind sie mit dem vollen Bußgeldrahmen bewehrt. Ebenfalls seit Februar 2025 gilt die KI-Kompetenzpflicht des Art. 4. Der Omnibus hat sie neu gefasst: Anbieter und Betreiber müssen jetzt „Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals" zu fördern — ein garantiertes Kompetenzniveau einzelner Personen wird ausdrücklich nicht verlangt. Aus der Ergebnispflicht ist damit eine Bemühenspflicht geworden. Wer Schulungen nach unserem Leitfaden zur Kompetenzpflicht aufgesetzt hat, ist auf der sicheren Seite.
Die Bußgelder: Was Art. 99 wirklich vorsieht
| Verstoß | Bußgeldrahmen |
|---|---|
| Verbotene Praktiken (Art. 5) | bis 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes |
| Anbieter-, Betreiber- und Transparenzpflichten (u. a. Art. 16, 26, 50) | bis 15 Mio. Euro oder 3 % |
| Falsche oder irreführende Angaben gegenüber Behörden | bis 7,5 Mio. Euro oder 1 % |
Bei Großunternehmen gilt jeweils der höhere Wert. Für KMU und Start-ups gilt nach Art. 99 Abs. 6 der jeweils niedrigere Betrag — für einen typischen Mittelständler ist der Umsatzprozentsatz also die relevante Obergrenze, nicht die Millionensumme. Der Omnibus hat zudem eine neue Kategorie „kleine Midcaps" eingeführt (unter 750 Beschäftigte und maximal 150 Mio. Euro Umsatz oder 129 Mio. Euro Bilanzsumme), die ebenfalls eine günstigere Berechnung sowie vereinfachte Dokumentations- und QM-Anforderungen erhält. Das KI-MIG ergänzt daneben eigene, deutlich kleinere Bußgeldtatbestände: Verstöße gegen nationale Mitwirkungs- und Informationspflichten gegenüber den Behörden können laut Kanzleiberichten mit bis zu 50.000 Euro geahndet werden (§ 15 Abs. 3 KI-MIG); die großen Rahmen des Art. 99 gelten daneben unmittelbar.
Ein Bußgeld nach dem AI Act ist uns bis heute nicht bekannt, die Behörden bauen ihre Strukturen gerade erst auf. Das ist kein Freibrief — die DSGVO hat gezeigt, dass Sanktionen kommen, sobald die Aufsicht arbeitsfähig ist. Und anders als die DSGVO kennt der AI Act mit 7 % einen noch höheren Spitzensatz.
Handlungs-Checkliste für den Mittelstand
Was noch offen ist
Ehrlich gesagt: einiges. Die Bundesnetzagentur baut den Service-Desk und die Aufsichtspraxis erst auf, harmonisierte Normen für Hochrisiko-Systeme sind weiterhin nicht vollständig, und wie die Reallabore in Deutschland konkret ausgestaltet werden, ist laut LTO ebenfalls unklar. Die Kommission hat zudem angekündigte Leitlinien zu Art. 50 nicht in einer Form vorgelegt, die wir am 24. August 2026 als final bestätigen könnten. Wer heute die Punkte oben abarbeitet, erfüllt aber alles, was aktuell verbindlich ist — und steht für Dezember 2027 nicht bei null. Hintergründe: unser Beitrag zum Stichtag 2. August 2026.