In unserem ersten Artikel zum AI Act ging es um die Grundlagen: die vier Risikoklassen, die Rollen von Anbieter und Betreiber und die Kennzeichnungspflicht aus Artikel 50. Bisher stand der 2. August 2026 als der große Stichtag im Kalender, an dem gefühlt „alles auf einmal“ greift. Genau dieses Bild stimmt inzwischen nicht mehr ganz.
Was der Digital Omnibus verändert hat
Der Digital Omnibus ist im Kern ein Vereinfachungspaket. Die EU-Kommission hatte ihren Vorschlag im November 2025 vorgelegt, um einzelne Pflichten der KI-Verordnung praktikabler zu machen und Fristen dort zu strecken, wo die nötigen technischen Normen und Prüfwerkzeuge schlicht noch nicht fertig sind. Das Europäische Parlament hat dem Paket am 16. Juni 2026 zugestimmt, der Rat gab Ende Juni sein finales Go.
Wichtig ist dabei ein Missverständnis, das gerade durch viele Beiträge geistert: Der Digital Omnibus hat den AI Act nicht insgesamt verschoben. Der allgemeine Anwendungsbeginn am 2. August 2026 bleibt für zahlreiche Vorschriften bestehen. Das Paket setzt punktuell an, bei einzelnen Pflichten und bei abgegrenzten Systemgruppen. Für die Praxis heißt das: Es gibt keine pauschale Verschnaufpause, sondern eine Einzelfallbetrachtung. Für dein Unternehmen läuft das auf zwei einfache Fragen hinaus, die wir uns in diesem Teil der Reihe nach anschauen: Was gilt jetzt wirklich ab August, und was hast du länger Zeit umzusetzen?
Die Transparenzpflichten ab dem 2. August 2026 bleiben
Fangen wir mit dem an, was dich am ehesten betrifft. Die Transparenzpflichten aus Artikel 50, um die es im ersten Teil ausführlich ging, gelten wie ursprünglich geplant ab dem 2. August 2026. Der Digital Omnibus hat sie ausdrücklich von der Verschiebung ausgenommen. Und das Entscheidende daran: Diese Pflichten hängen nicht an der Risikoklasse. Ein völlig harmloser Website-Chatbot ist regulatorisch kein Hochrisiko-Fall und trotzdem ab August kennzeichnungspflichtig.
Konkret heißt das für dich als Betreiber: Wenn Menschen auf deiner Website oder in deinen Kanälen mit einer KI interagieren, müssen sie das erkennen können. Dein Chatbot darf sich also nicht als „Sabine aus dem Kundenservice“ ausgeben, sondern muss offenlegen, dass hier ein KI-Assistent antwortet. Dasselbe gilt für Deepfakes und für KI-generierte oder manipulierte Inhalte, die echten Personen, Orten oder Ereignissen täuschend ähnlich sehen: Sie müssen als künstlich erzeugt gekennzeichnet werden.
Genau hier lohnt sich der Rückverweis auf Teil 1. Denn ein sauber freigegebener, redaktionell betreuter Werbetext deiner Marketingabteilung fällt in aller Regel nicht unter die Kennzeichnungspflicht. Der Chatbot-Hinweis und die Deepfake-Kennzeichnung dagegen schon. Es kommt eben nicht darauf an, dass irgendwo KI im Spiel war, sondern wofür und in welcher Sichtbarkeit.
Die Hochrisiko-Pflichten werden später umgesetzt als geplant
Jetzt zu dem Teil, den der Digital Omnibus tatsächlich nach hinten geschoben hat. Die strengen Pflichten für Hochrisiko-KI-Systeme, also Risikomanagement, umfangreiche Dokumentation, menschliche Aufsicht und saubere Datengrundlagen, sollten ursprünglich ebenfalls ab dem 2. August 2026 gelten. Diese Frist ist nun deutlich großzügiger:
Für eigenständige Hochrisiko-Systeme nach Anhang III, also KI in der
- Personalauswahl,
- in der Kreditvergabe,
- in der Bildungsbewertung oder
- in kritischer Infrastruktur,
gilt jetzt der 2. Dezember 2027. Für Hochrisiko-KI, die fest in regulierte Produkte eingebaut ist (Anhang I, man denke an Maschinen oder Medizingeräte), wurde sogar bis zum 2. August 2028 verlängert. Begründet wird der Aufschub vor allem damit, dass die harmonisierten Normen und Prüfwerkzeuge, ohne die eine Zertifizierung gar nicht möglich wäre, schlicht noch fehlen.
Ab August 2026 wird tatsächlich kontrolliert
Ein Punkt, der in Teil 1 noch keine Rolle spielte, wird ab dem 2. August 2026 aber richtig konkret: Bis dahin standen viele Pflichten zwar im Gesetz, es fehlte aber der Apparat, der sie durchsetzt. Das ändert sich jetzt. Auf europäischer Ebene kann das EU AI Office ab diesem Datum aktiv gegenüber den Anbietern großer Basismodelle ermitteln und Bußgelder verhängen.
Für dich als Mittelständler in Deutschland ist aber vor allem die nationale Ebene interessant. Mit dem KI-Maßnahmen- und Innovationsgesetz (kurz KI-MIG) hat Deutschland die zuständige Aufsicht geregelt. Für die Transparenzpflichten, die dich tatsächlich betreffen, wird künftig die Bundesnetzagentur die zentrale Aufsichtsbehörde sein. Anders gesagt: Ab August gibt es erstmals eine Stelle, die im Zweifel nachfragen darf, ob dein Chatbot ordentlich als KI gekennzeichnet ist.
35 Millionen Euro Bußgeld?
Die Schlagzeile mit den 35 Millionen Euro Bußgeld hat es inzwischen in jeden zweiten Beitrag geschafft, und sie ist irreführend. Dieser Maximalsatz, 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, gilt ausschließlich für die schwersten Verstöße, nämlich für verbotene KI-Praktiken wie Social Scoring. Mit deinem Chatbot-Hinweis, der zwei Wochen zu spät online geht, hat das nichts zu tun.
Für die Transparenzpflichten, um die es bei dir geht, liegt der Rahmen deutlich niedriger, bei bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Und noch wichtiger für kleine und mittlere Unternehmen: Das Gesetz sieht in diesen Fällen ohnehin jeweils den niedrigeren der beiden Beträge vor. Die Logik kennen wir von der DSGVO. Auch dort wurde 2018 das Ende des Mittelstands ausgerufen, und auch dort zeigte sich am Ende, dass es zuallererst diejenigen trifft, die das Thema komplett ignoriert haben. Genau das ist die eigentliche Botschaft: Nicht die Höhe der Bußgelder ist das Risiko, sondern das Wegschauen.