01 · Zeitplan
Was gilt wann wirklich
Der EU AI Act wird stufenweise anwendbar. Der Digital Omnibus hat im Mai 2026 zentrale Fristen für Hochrisiko-Systeme nach hinten verschoben – aber nicht alle Pflichten. Wer nur auf die verschobene Frist schaut, übersieht, was längst gilt.
- Seit 2. Februar 2025
Art. 4 KI-Kompetenz & Art. 5 verbotene Praktiken
Jedes Unternehmen, das KI nutzt, muss sicherstellen, dass Mitarbeitende ein nachweisbares KI-Grundverständnis haben. Acht Praktiken sind verboten – u. a. unterschwellige Manipulation, Emotionserkennung am Arbeitsplatz, Social Scoring. Wer die Schulungspflicht nicht dokumentiert hat, befindet sich bereits in der Pflichtverletzung.
- Seit 2. August 2025
GPAI-Pflichten, Aufsichtsbehörden, Bußgeldrahmen
Pflichten für Anbieter von KI-Modellen für allgemeine Zwecke sind anwendbar. Die eigentliche Durchsetzung durch die Kommission beginnt erst zum 2. August 2026 – ein Jahr nach Anwendbarkeit.
- Ab 2. August 2026
Transparenzpflichten nach Art. 50 – zentraler Stichtag
Chatbots müssen sich als KI zu erkennen geben, Deepfakes und KI-generierte Inhalte zu öffentlichen Themen benötigen eine Kennzeichnung. Diese Frist ist vom Digital Omnibus nicht betroffen. Gleichzeitig beginnt das BSI als deutsche Marktüberwachungsbehörde mit aktiven Prüfungen.
- 2. Dezember 2026
Maschinenlesbare Kennzeichnung & Wasserzeichen
Die technische Wasserzeichenpflicht für synthetische Inhalte nach Art. 50 Abs. 2 wurde vorgezogen bzw. konkretisiert – abhängig vom finalen Trilog-Ergebnis.
- Voraussichtlich 2. Dezember 2027
Hochrisiko-Pflichten Anhang III – noch nicht final
Der Digital Omnibus verschiebt die vollständigen Pflichten für eigenständige Hochrisiko-Systeme (u. a. Bewerberauswahl, Kreditvergabe, kritische Infrastruktur) voraussichtlich um mehr als ein Jahr. Ohne verabschiedeten und im Amtsblatt veröffentlichten Digital Omnibus vor dem 2. August 2026 greifen die ursprünglichen Fristen unverändert.
- Voraussichtlich 2. August 2028
Hochrisiko-KI in regulierten Produkten (Anhang I)
Verlängerter Übergangszeitraum für KI, die als Sicherheitskomponente in bereits regulierte Produkte eingebettet ist – etwa Maschinen, Medizinprodukte oder Aufzüge.
Handlungsempfehlung
Nicht auf die verschobene Frist warten, sondern die gewonnene Zeit nutzen: KI-Systeme inventarisieren, Risiken klassifizieren, Governance-Strukturen aufbauen. Parallel dazu Deutschland im Blick behalten – das KI-MIG als nationales Durchführungsgesetz wurde im Februar 2026 vom Bundeskabinett beschlossen und regelt die Marktüberwachung durch das BSI.
02 · Systematik
Vier Risikoklassen, vier Pflichtenniveaus
Der EU AI Act reguliert nicht die Technologie an sich, sondern den konkreten Anwendungsfall und das Risiko, das von ihm ausgeht. Die Einordnung entscheidet über den gesamten weiteren Aufwand.
Verboten
Kein Einsatz erlaubt
Social Scoring, unterschwellige Manipulation, Emotionserkennung am Arbeitsplatz, biometrische Kategorisierung nach sensiblen Merkmalen – unabhängig von der Unternehmensgröße.
Hochrisiko
Voller Pflichtenkatalog
Bewerberauswahl, Kreditvergabe, kritische Infrastruktur, Bildung, Versicherung. Risikomanagement, Datenqualität, menschliche Aufsicht, Konformitätsbewertung, Registrierung.
Begrenztes Risiko
Transparenzpflicht Art. 50
Chatbots, Deepfakes, KI-generierte Texte zu Themen von öffentlichem Interesse. Nutzer müssen erkennen können, dass sie mit KI interagieren.
Minimales Risiko
Keine spezifischen Pflichten
Die meisten internen Assistenz- und Workflow-Tools, Spamfilter. Gute Praxis und Dokumentation trotzdem empfohlen.
Rollen – wer ist eigentlich betroffen?
Vier Akteure entlang der Wertschöpfungskette: Anbieter, Betreiber (Deployer), Importeur, Händler. Die meisten Mittelständler sind Betreiber – mit reduzierten, aber realen Pflichten nach Art. 26. „Mein Anbieter kümmert sich darum“ ist kein Freibrief: Transparenz gegenüber Kunden, Datenschutz und die Kontrolle des Einsatzbereichs bleiben eigene Pflichten.
Empfehlung: Im Zweifel wie Hochrisiko dokumentieren
Alle KI-Anwendungen von Beginn an so dokumentieren, als würden sie als Hochrisiko-System eingestuft. Das schafft Sicherheit, erleichtert spätere Audits – und macht die Klassifizierung überprüfbar, statt sie einmalig zu behaupten.
03 · Handlungsdruck
Was der Mittelstand jetzt konkret tun muss
Unabhängig davon, wie sich die Hochrisiko-Fristen final entwickeln: Diese sechs Punkte sind heute bereits Pflicht oder werden es zum 2. August 2026.
01 · KI-Kompetenz nachweisen
Art. 4 gilt seit Februar 2025 für alle, die KI-Tools im Auftrag des Unternehmens nutzen – Einkauf, Vertrieb, Konstruktion. Ein dokumentiertes Schulungskonzept ist die am häufigsten unterschätzte Pflicht.
02 · Vollständige Bestandsaufnahme
Nicht nur die offiziell eingeführten Tools zählen. Auch Schatten-KI und in SaaS-Lösungen eingebettete KI-Funktionen gehören ins Inventar – sonst bleibt die Risikoklassifizierung lückenhaft.
03 · Risikoklassifizierung je Use Case
Hochrisiko-nahe und grundrechtsrelevante Fälle zuerst prüfen, einfache interne Tools zuletzt.
04 · Transparenzhinweise vorbereiten
Chatbots, Bildgeneratoren und Textautomatisierung brauchen bis zum 2. August 2026 klare Hinweise im Frontend – unabhängig vom Ausgang des Digital Omnibus.
05 · Governance-Grundgerüst
Rollen, Freigabeprozesse, Dokumentationspflichten und Eskalationswege definieren – schriftlich, aber schlank genug, um Agilität nicht zu untergraben.
06 · Verträge mit KI-Anbietern prüfen
Zusagen zu Datenqualität, Nachweisunterstützung und Haftung gehören in jeden Vertrag. Sie bleiben als Betreiber verantwortlich, wie das System bei Ihnen eingesetzt wird.
04 · Risiko
Sanktionen, Haftung und die Rolle des BSI
Bußgeldrahmen
Verbotene Praktiken: bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes. Hochrisiko-Verstöße: bis 15 Mio. € oder 3 %. Falsche Angaben gegenüber Behörden: bis 7,5 Mio. € oder 1 %. Für KMU und Start-ups gelten reduzierte Obergrenzen.
Marktüberwachung durch das BSI
Deutschland regelt mit dem KI-MIG die nationale Durchführung. Das BSI übernimmt die Marktüberwachung und hat angekündigt, ab August 2026 aktiv zu prüfen – mit Befugnis zu Bußgeldern, Betriebsuntersagung und Rückruf.
Verantwortung der Geschäftsführung
Wie bei NIS2 verschiebt sich Compliance von einer IT-Frage zu einer Managementaufgabe. Die finale Verantwortung für KI-gestützte Entscheidungen liegt stets beim Unternehmen und seiner Führung – nicht beim Tool-Anbieter.
05 · Unsere Perspektive
Compliance als Betriebssystem, nicht als Projekt
KI-Compliance ist kein Bürokratiethema. Es ist ein Wettbewerbsvorteil – wenn sie von Anfang an in die Organisation eingebettet wird, statt als Nachgedanke behandelt zu werden.
KI ohne Governance
- Tools werden eingeführt, Entscheidungswege bleiben unverändert
- Niemand weiß, wer für welches KI-System verantwortlich ist
- Dokumentation entsteht erst, wenn der Auditor fragt
- Regulatorischer Druck trifft eine unvorbereitete Organisation
KI mit eingebetteter Governance
- Klare Rollen, Freigaben und Entscheidungswege von Beginn an
- Dokumentation ist Nebenprodukt guter Prozesse, kein Zusatzaufwand
- Frühwarnsystem erkennt regulatorische und operative Risiken gemeinsam
- Compliance wird zum Verkaufsargument gegenüber Kunden, Banken, Partnern
Präventiv · Leitplanken vor dem Einsatz
Rollen, Policies, Datenstandards, Freigaben und No-Go-Zonen definieren, bevor KI breit ausgerollt wird.
Proaktiv & detektiv · Risiken früh erkennen
Regulatorische Entwicklungen wie den Digital Omnibus systematisch verfolgen. Nutzung, Outputs und Abweichungen über Reviews, Audits und Monitoring nachvollziehbar machen.
Reaktiv · Handlungsfähig bei Vorfällen
Klare Eskalationswege, Korrekturen und Kommunikation, wenn etwas schiefgeht – organisatorisch abgesichert statt improvisiert.
Diese vier Ebenen sind kein Zusatzprogramm neben unserem Path-to-Resilienz-Ansatz – sie sind sein regulatorisches Fundament. Und sie sind die Voraussetzung dafür, dass hybride Organisationen aus Mensch und KI-Agenten überhaupt vertrauensvoll skalieren können: Transparente KI-Entscheidungen und eingebettete Governance sind kein Gegensatz zu Geschwindigkeit, sondern ihre Grundlage.
06 · Fallstricke
Häufige Fehler vermeiden
Fehler 1 · Auf die verschobene Frist warten
Solange der Digital Omnibus nicht final verabschiedet und veröffentlicht ist, gelten im Zweifel die ursprünglichen Fristen zum 2. August 2026.
Fehler 2 · Nur offizielle Tools erfassen
Schatten-KI und in SaaS-Produkten eingebettete KI-Funktionen bleiben sonst ein blinder Fleck.
Fehler 3 · Compliance rein rechtlich behandeln
Ohne operative Verankerung in Prozessen und Führung bleibt jede Dokumentation Theorie.
Fehler 4 · Art. 4 unterschätzen
Die Pflicht zur KI-Kompetenz gilt bereits seit Februar 2025 – unabhängig vom Ausgang der Hochrisiko-Debatte.
07 · Implementierung
Der Fahrplan zur AI-Act-Readiness
Vier Phasen machen den Weg zur Compliance planbar – und schaffen gleichzeitig die Governance-Struktur, die für skalierbare KI-Nutzung ohnehin nötig ist.
| Phase | Zeitrahmen | Kernergebnisse |
|---|---|---|
| 1 — Bestandsaufnahme | 0–6 Wochen | Vollständiges Inventar aller KI-Systeme (inkl. Schatten-KI), Rollenklärung Anbieter/Betreiber, erste Lückenanalyse zu Transparenz, Dokumentation und Datenqualität. |
| 2 — Governance-Grundgerüst | 6–12 Wochen | Rollen, Freigabeprozesse, Dokumentationsstandards. Nachweisbares Art.-4-Schulungskonzept für alle KI-nutzenden Mitarbeitenden. |
| 3 — Priorisierte Umsetzung | 3–6 Monate | Transparenzhinweise produktiv, Hochrisiko-Vorbereitung wo relevant, Vertragsanpassungen mit KI-Anbietern, erste interne Audits. |
| 4 — Monitoring & Frühwarnsystem | laufend | Regelmäßige Reviews, regulatorisches Tracking (Digital Omnibus, KI-MIG, BSI-Praxis), Audit-Bereitschaft als Dauerzustand statt Projekt. |
Hinweis: Dieses Whitepaper dient als strategische Orientierung und stellt keine Rechtsberatung im Einzelfall dar. Für verbindliche rechtliche Einschätzungen empfehlen wir die Rücksprache mit spezialisierten Kanzleien.