AI Act: Hochrisiko-Pflichten verschoben. Was Mittelständler jetzt trotzdem tun sollten

Viele Unternehmen haben den 2. August 2026 als Stichtag für die KI-Verordnung (AI Act) im Kalender stehen. Die gute Nachricht: Für die strengsten Pflichten gibt es mehr Zeit. Die weniger gute: Ein Teil der Regeln gilt bereits, und genau dieser Teil betrifft viele Mittelständler, die KI ganz normal im Alltag nutzen. In diesem Beitrag sortiere ich, was sich verschiebt, was schon gilt und was ich Ihnen jetzt empfehle.

Was sich verschoben hat

Grundlage ist das sogenannte „Digital Omnibus“, mit dem die EU den AI Act vereinfacht. Das Europäische Parlament hat dem Paket am 16. Juni 2026 zugestimmt, anschließend auch der Rat. Die entsprechende Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt der EU veröffentlicht und gilt seit dem 27. Juli 2026.

Die wichtigsten neuen Termine:

• 2. Dezember 2027: Die Pflichten für Hochrisiko-KI-Systeme aus den Bereichen nach Anhang III. Dazu zählen unter anderem Systeme im Bereich Beschäftigung, etwa zur Analyse und Filterung von Bewerbungen, sowie in Bildung, Biometrie und kritischer Infrastruktur.

• 2. August 2028: Die Pflichten für Hochrisiko-KI, die als Sicherheitskomponente in regulierten Produkten steckt, zum Beispiel in Maschinen oder Medizinprodukten.

• Zeitplan statt Standard-Klausel: Die frühere Regel, nach der die Pflichten erst greifen, wenn harmonisierte Normen vorliegen, wurde gestrichen. Es gelten feste Daten.

Für kleine und mittlere Unternehmen sieht das Paket außerdem geringere Anforderungen vor, vor allem bei der technischen Dokumentation. Die Details hängen von Ihrer Rolle ab (Anbieter oder Betreiber), deshalb lohnt sich der Blick auf den Einzelfall.

Was trotzdem schon gilt

Wer jetzt durchatmet und das Thema auf 2027 schiebt, übersieht drei Punkte:

1. Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026. Menschen müssen erkennen können, wenn sie mit KI interagieren, etwa mit einem Chatbot auf Ihrer Website. Wer Deepfakes erzeugt, muss das offenlegen. Das Gleiche gilt für KI-generierte Texte, mit denen öffentlich über Themen von öffentlichem Interesse informiert wird, es sei denn, ein Mensch hat sie redaktionell geprüft und trägt die Verantwortung.

2. Die maschinenlesbare Kennzeichnung KI-erzeugter Inhalte ist für bestehende Systeme bis zum 2. Dezember 2026 übergangsweise verschoben. Diese Pflicht liegt vor allem bei den Anbietern der Systeme, aber Sie sollten wissen, was Ihre Tools künftig leisten.

3. Verbotene Praktiken gelten seit dem 2. Februar 2025. Neu hinzu kommt ein Verbot sogenannter „Nudification“-Apps ab dem 2. Dezember 2026. Die Bußgelder reichen laut Borncity bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.

Zur KI-Kompetenz: Seit dem 2. Februar 2025 sollen Unternehmen dafür sorgen, dass Beschäftigte, die mit KI arbeiten, ausreichend geschult sind. Das Omnibus-Paket sieht laut Haufe vor, diese Verantwortung künftig nicht mehr allein den Unternehmen aufzubürden, sondern EU und Mitgliedstaaten stärker einzubinden. Wie genau sich das auswirkt, sollten Sie im Einzelfall rechtlich prüfen lassen. Als Beraterin sage ich unabhängig davon: Geschulte Mitarbeitende sind der günstigste Schutz vor Fehlern.

Ein weiterer Baustein: Der erste Standard liegt vor

Am 14. Oktober 2026 hat die EU-Kommission die Norm EN 18286:2026 im Amtsblatt veröffentlicht. Es ist der erste harmonisierte Standard zum AI Act und betrifft Qualitätsmanagementsysteme. Wer ihn anwendet, kann für die abgedeckten Teile von Artikel 17 eine Konformitätsvermutung geltend machen. Ein Freifahrtschein für das gesamte Gesetz ist das nicht: Risikomanagement, Daten-Governance, Transparenz, menschliche Aufsicht und Cybersicherheit bleiben Aufgabe der Anbieter. Neun weitere Normen sind noch in Arbeit. Für die meisten Mittelständler ist das vor allem ein Signal, dass die Regeln konkreter werden.

Was ich Ihnen jetzt empfehle

Mehr Zeit heißt nicht weniger Arbeit. Drei Schritte, die Sie ohne großen Aufwand angehen können:

1. KI-Inventur machen. Listen Sie auf, welche KI-Tools in Ihrem Unternehmen im Einsatz sind, von ChatGPT über Übersetzungstools bis zur Bewerbersoftware. Notieren Sie, wer sie nutzt und wofür. Ohne diese Liste können Sie keine Risikoeinstufung vornehmen.

2. Einsatzbereiche einordnen. Prüfen Sie, ob ein Tool in einen Hochrisiko-Bereich fällt. Besonders aufmerksam sollten Sie bei Personalthemen sein: Software, die Bewerbungen filtert oder bewertet, kann als Hochrisiko-System gelten. Fragen Sie Ihren Anbieter, wie er sich vorbereitet.

3. Transparenz sofort sauber aufsetzen. Kennzeichnen Sie Chatbots als KI, regeln Sie intern, wann KI-generierte Inhalte offengelegt werden, und legen Sie fest, wer Texte vor der Veröffentlichung prüft.

Fazit

Die Frist für die Hochrisiko-Pflichten ist verschoben, der Handlungsbedarf nicht. Transparenzregeln gelten bereits, und die Inventur Ihrer KI-Tools ist die Grundlage für alles, was noch kommt. Wer jetzt in Ruhe sortiert, ist 2027 nicht im Zeitdruck.

Wenn Sie wissen möchten, welche Ihrer Tools unter welche Regeln fallen: Melden Sie sich für ein kostenloses Vorgespräch. Wir schauen gemeinsam, wo Sie stehen und was wirklich nötig ist.

Hinweis: Dieser Beitrag ist eine fachliche Einordnung und ersetzt keine Rechtsberatung.

Quellen

• Amtsblatt der EU (24.07.2026): Verordnung (EU) 2026/1744: https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng

• Borncity (20.10.2026): EU AI Act: Hochrisiko-KI-Pflichten für eigenständige Systeme bis Ende 2027 verschoben: https://borncity.com/news/eu-ai-act-hochrisiko-ki-pflichten-fuer-eigenstaendige-systeme-bis-ende-2027-verschoben/

• Haufe (28.07.2026): AI Act: Zentrale Regelungen im EU KI-Gesetz verschoben: https://www.haufe.de/personal/arbeitsrecht/ai-act-ki-gesetz-der-eu_76_627800.html