MacherMentor
Regulierung

KI-Verordnung nach dem Digital Omnibus: Was KMU jetzt wissen und tun müssen

Von Joe Martin · · Regulierung

Infografik EU KI-Verordnung nach Digital Omnibus: drei Status-Karten (Gilt jetzt / Ab Dez 2026 / Hochrisiko ab Dez 2027) auf cremefarbenem Hintergrund mit Grün-, Amber- und Rot-Akzenten

Aufschub mit Hintertür

Die Nachricht klingt gut: Der Digital Omnibus (Verordnung EU 2026/1744), in Kraft seit dem 27. Juli 2026, verschiebt die Hochrisiko-KI-Pflichten um 16 Monate. Wer dachte, ab August 2026 brauche er ein Risikomanagementsystem für seine KI-Tools, hat jetzt bis zum 2. Dezember 2027 Zeit.

Das Problem: Viele Betriebe interpretieren den Aufschub als Entwarnung für alles. Das ist falsch. Drei Pflichten der EU KI-Verordnung (EU) 2024/1689 gelten bereits — und die Marktüberwachungsbehörden sind seit dem 2. August 2026 aktiv.

Was der Digital Omnibus konkret verschoben hat

Die Verordnung (EU) 2026/1744 ändert die Anwendungsfristen für Hochrisiko-KI-Systeme:

Das materielle Pflichtenprogramm für Hochrisiko-KI — Risikomanagementsystem, technische Dokumentation, menschliche Aufsicht, Protokollierung, CE-Kennzeichnung — bleibt unverändert. Nur der Zeitpunkt der Anwendbarkeit wurde gestreckt.

Was trotzdem schon gilt

Drei Pflichten der KI-Verordnung sind unabhängig vom Digital Omnibus bereits in Kraft:

Art. 5 — Verbotene KI-Praktiken (seit 02.02.2025)

Bestimmte KI-Anwendungen sind verboten: Social Scoring durch öffentliche Stellen, manipulative KI-Systeme, die das Verhalten von Nutzern unbewusst beeinflussen, und biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum zu Strafverfolgungszwecken. Verstöße: bis 35 Mio. Euro oder 7 Prozent des Jahresumsatzes.

Art. 4 — KI-Kompetenzpflicht (seit 02.02.2025)

Betriebe, die KI-Systeme einsetzen oder entwickeln, müssen sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Das betrifft nicht nur Tech-Unternehmen — jeder Betrieb, der ChatGPT, Copilot, ein KI-Recruiting-Tool oder einen KI-gestützten Kundenservice einsetzt, fällt darunter.

Was das bedeutet: Schulungsnachweise müssen dokumentiert sein. Wer das nicht hat, ist angreifbar — auch schon heute.

Art. 50 — Transparenzpflicht (seit 02.08.2026)

Chatbots, KI-Agenten und Deep-Fake-Inhalte müssen für Nutzer klar als KI erkennbar sein. Wer einen KI-Chatbot auf der Website betreibt, ohne diesen als solchen zu kennzeichnen, verstößt bereits gegen die KI-Verordnung.

Die 8 Hochrisiko-Bereiche nach Anhang III

Ab dem 2. Dezember 2027 gelten strenge Pflichten für KI-Systeme in diesen Bereichen:

Was das für KMU jetzt bedeutet

Nutzt dein Betrieb KI-Tools — auch kommerzielle wie ChatGPT oder Copilot — und sind die Mitarbeiter im Umgang damit nicht dokumentiert geschult? Dann besteht Handlungsbedarf bei Art. 4, und zwar seit 18 Monaten.

Betreibst du einen Chatbot auf deiner Website ohne Kennzeichnung als KI? Art. 50 gilt seit dem 2. August 2026.

Die gute Nachricht: Ein vollständiges Compliance-Programm für Hochrisiko-KI braucht es erst ab Dezember 2027. Die schlechte Nachricht: Wer die Zeit als Pause nutzt, hat die laufenden Pflichten bereits verpasst.

Drei Sofortmaßnahmen

Für Hochrisiko-Systeme (Anhang III) sollte die Zeit bis Dezember 2027 genutzt werden, um Systeme zu klassifizieren und ein Governance-Framework aufzubauen — nicht um abzuwarten.

---

*Melde dich für die Macher-Session an: macher-mentor.de*

Disclaimer: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Für verbindliche Einschätzungen wende dich an einen Rechtsanwalt oder Compliance-Spezialisten.

Häufige Fragen

Was hat der Digital Omnibus an der KI-Verordnung geändert?+
Die Verordnung (EU) 2026/1744 (Digital Omnibus on AI), in Kraft seit 27. Juli 2026, verschiebt die Hochrisiko-KI-Pflichten für eigenständige Systeme nach Anhang III von ursprünglich August 2026 auf den 2. Dezember 2027 — ein Aufschub von 16 Monaten. Für produkteingebettete Hochrisiko-Systeme nach Anhang I gilt der 2. August 2028. Das materielle Pflichtenprogramm (Risikomanagementsystem, Dokumentation, menschliche Aufsicht) bleibt unverändert.
Welche KI-Pflichten gelten für KMU schon jetzt?+
Drei Pflichten sind bereits in Kraft: (1) Art. 5 — Verbotene KI-Praktiken seit 02.02.2025: Kein Social Scoring, keine manipulative KI gegenüber Nutzern. (2) Art. 4 — KI-Kompetenzpflicht seit 02.02.2025: Mitarbeiter, die KI-Tools einsetzen, müssen über ausreichende KI-Kompetenz verfügen — und das muss dokumentiert sein. Diese Pflicht gilt für alle Betriebe, unabhängig von der Unternehmensgröße. (3) Art. 50 — Transparenzpflicht seit 02.08.2026: Chatbots, KI-Agenten und KI-generierte Inhalte (Deepfakes) müssen für Nutzer als KI erkennbar sein.
Was sind Hochrisiko-KI-Systeme nach Anhang III?+
Der Anhang III der KI-Verordnung definiert 8 Bereiche, in denen KI-Systeme als Hochrisiko gelten: Biometrische Identifizierung, kritische Infrastruktur (Energie, Wasser, Verkehr), Bildung und Berufsausbildung, Beschäftigung und Personalmanagement (Recruiting, Leistungsbeurteilung), Zugang zu wesentlichen Diensten (Kredit-Scoring, Sozialleistungen), Strafverfolgung, Migration und Asyl sowie Rechtspflege. Für KMU besonders relevant: KI-Tools im Recruiting und automatisierte Kreditentscheidungen.
Wie hoch sind die Bußgelder bei Verstößen gegen die KI-Verordnung?+
Die Bußgelder sind gestaffelt: Verstöße gegen verbotene KI-Praktiken (Art. 5) werden mit bis zu 35 Mio. Euro oder 7 Prozent des globalen Jahresumsatzes geahndet. Verstöße gegen Hochrisiko-Vorschriften und Transparenzpflichten kosten bis zu 15 Mio. Euro oder 3 Prozent des Jahresumsatzes. Falsche Angaben gegenüber Behörden: bis zu 7,5 Mio. Euro oder 1 Prozent. Die Marktüberwachungsbehörden sind seit dem 2. August 2026 aktiv und können bereits prüfen.
Was sollten KMU jetzt konkret tun?+
Drei Sofortmaßnahmen: (1) KI-Inventar anlegen — welche KI-Tools werden eingesetzt, von wem, wofür? (2) Art. 4 dokumentieren — Schulungsnachweise für Mitarbeiter, die KI nutzen. Das muss kein aufwendiges Zertifikat sein; ein internes Schulungsprotokoll genügt als Einstieg. (3) Chatbots und KI-Agenten prüfen — sind sie für Nutzer als KI erkennbar? Falls nicht, ist Art. 50 bereits verletzt. Für Hochrisiko-Systeme bleibt bis Dezember 2027 Zeit, ein Risikomanagementsystem aufzubauen — diese Zeit sollte genutzt werden.

Du willst wissen, was das für deinen Betrieb bedeutet?

In der Macher-Session sprechen wir über genau solche Themen — konkret, ohne Theorie-Kurs.

Melde dich für die Macher-Session an
Quellen

Hinweis: Allgemeine Einordnung, keine Rechtsberatung im Einzelfall. Stand: 14. August 2026.

Über den Autor

Joe Martin baut seit über 45 Jahren Unternehmen — als Gründer, als Verkäufer eigener Firmen und als Berater für Startups und Banken. Er ist Autor von vier Büchern und entwickelt heute KI-Software. In der offenen Macher-Session beantwortet er reale Unternehmer-Fragen — kein Theorie-Kurs. Mehr über Joe Martin →

← Zurück zum Blog