Die KI-Verordnung ab August 2026: Was nach dem Digital Omnibus wirklich gilt

Kaum ein europäischer Rechtsakt der jüngeren Vergangenheit ist von so vielen Missverständnissen begleitet worden wie die KI-Verordnung. Erst galt sie als Innovationsbremse, dann als Papiertiger, und seit dem Digital Omnibus vom Juni 2026 kursiert in manchen Geschäftsleitungen die bequeme Erzählung, Brüssel habe die KI-Regulierung ohnehin „abgeräumt". Nichts davon trifft zu. Die Verordnung (EU) 2024/1689 ist seit dem 1. August 2024 in Kraft, ihre ersten Pflichten gelten seit Februar 2025, und am 2. August 2026 erreicht sie ihre allgemeine Geltung. Verschoben wurde – gezielt und begrenzt – allein der anspruchsvollste Teil: die Pflichten für Hochrisiko-Systeme. Dieser Beitrag zeichnet den risikobasierten Ansatz und die Zeitschiene nach, ordnet den Digital Omnibus ein, erläutert die Rollenverteilung zwischen Anbietern und Betreibern, stellt das seit dem 29. Juli 2026 geltende deutsche KI-Durchführungsgesetz vor und benennt, was Unternehmen jetzt konkret veranlassen sollten.

Der risikobasierte Ansatz: vier Stufen und ein Sonderregime

Die KI-Verordnung reguliert nicht „die künstliche Intelligenz" als Technologie, sondern konkrete Einsatzszenarien – abgestuft nach dem Risiko für Gesundheit, Sicherheit und Grundrechte. An der Spitze der Pyramide stehen die verbotenen Praktiken des Art. 5 KI-VO, darunter manipulative Techniken, die Ausnutzung von Schutzbedürftigkeit und das Social Scoring. Darunter liegt die Kategorie der Hochrisiko-Systeme nach Art. 6 KI-VO, die sich aus zwei Quellen speist: KI als Sicherheitsbauteil regulierter Produkte nach Anhang I und die eigenständigen Einsatzfelder des Anhangs III, zu denen etwa Personalauswahl, Kreditwürdigkeitsprüfung, kritische Infrastruktur und Bildung zählen. Für diese Systeme gelten die dichtesten Anforderungen – von Risikomanagement über Daten-Governance bis zur menschlichen Aufsicht. Die dritte Stufe bilden Systeme mit begrenztem Risiko, für die Art. 50 KI-VO Transparenzpflichten anordnet: Wer mit einem Chatbot interagiert, muss dies erkennen können; synthetische Inhalte und Deepfakes sind als solche zu kennzeichnen; über den Einsatz von Emotionserkennung und biometrischer Kategorisierung ist zu informieren. Der weit überwiegende Rest der Anwendungen bleibt weitgehend pflichtenfrei. Quer zu dieser Pyramide liegt das Sonderregime des Kapitels V für KI-Modelle mit allgemeinem Verwendungszweck (GPAI), das die Anbieter der großen Basismodelle adressiert – einschließlich der urheberrechtlichen Pflichten des Art. 53 KI-VO, eine Urheberrechts-Policy vorzuhalten und eine Zusammenfassung der Trainingsinhalte vorzulegen.

Die Zeitschiene: Was seit wann gilt

Die gestaffelte Geltung ist der Schlüssel zum Verständnis der aktuellen Rechtslage. Seit dem 2. Februar 2025 gelten die Verbote des Art. 5 KI-VO – und, was in der Praxis noch immer häufig übersehen wird, die Pflicht zur Sicherstellung von KI-Kompetenz nach Art. 4 KI-VO, die Anbieter und Betreiber gleichermaßen trifft. Seit dem 2. August 2025 sind die Anbieter von GPAI-Modellen an die Pflichten des Kapitels V gebunden. Am 2. August 2026 folgt nun die allgemeine Geltung der Verordnung einschließlich der Transparenzpflichten des Art. 50 KI-VO. Wer einen Kundenservice-Chatbot betreibt, KI-generierte Bilder im Marketing einsetzt oder Audio- und Videomaterial synthetisch erzeugen lässt, muss die Kennzeichnungsfragen also nicht irgendwann lösen, sondern in diesem Sommer. Allein die Pflichten rund um Hochrisiko-Systeme folgen einem eigenen Kalender – und genau dieser wurde durch den Digital Omnibus neu justiert.

Der Digital Omnibus vom 29. Juni 2026: gezielte Verschiebung, kein Rollback

Am 29. Juni 2026 ist der Digital Omnibus on AI formell beschlossen worden. Sein Kern lässt sich in zwei Daten zusammenfassen: Die Pflichten für Hochrisiko-KI nach Anhang III gelten nunmehr erst ab dem 2. Dezember 2027; die Pflichten für Hochrisiko-KI, die als Sicherheitsbauteil oder Produkt unter Anhang I fällt, ab dem 2. August 2028. Der europäische Gesetzgeber hat damit den anspruchsvollsten Umsetzungspflichten mehr Vorlauf verschafft – nicht mehr und nicht weniger. Unverändert bleiben die Verbote des Art. 5, die KI-Kompetenzpflicht des Art. 4, die GPAI-Pflichten des Kapitels V und die Transparenzpflichten des Art. 50 KI-VO. Von einem Rollback der KI-Regulierung kann deshalb keine Rede sein. Die Erfahrung lehrt allerdings, dass solche Verschiebungen in der Unternehmenswirklichkeit gern als Signal zum Innehalten gedeutet werden – das wäre hier ein teurer Fehlschluss. Denn erstens gilt der größte Teil der Verordnung ab August 2026 uneingeschränkt, und zweitens sind die Hochrisiko-Pflichten inhaltlich so anspruchsvoll, dass die verlängerten Fristen realistisch betrachtet Umsetzungszeit sind, keine Schonzeit.

Anbieter oder Betreiber: Warum fast jedes Unternehmen betroffen ist

Die Verordnung verteilt ihre Pflichten entlang von Rollen. Anbieter ist nach Art. 3 Nr. 3 KI-VO, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Betreiber ist nach Art. 3 Nr. 4 KI-VO, wer ein KI-System in eigener Verantwortung im beruflichen Kontext verwendet. Diese zweite Definition hat es in sich: Sie erfasst die Bank ebenso wie den Maschinenbauer und das mittelständische Handelsunternehmen, das seinen Beschäftigten einen KI-Assistenten zur Verfügung stellt. Wer generative KI-Werkzeuge im Unternehmen einsetzt – und sei es nur zur Texterstellung oder Recherche –, ist Betreiber im Sinne der Verordnung. Der Pflichtenumfang hängt dann von der Risikoklasse des jeweiligen Systems ab: Beim Einsatz von Hochrisiko-Systemen greifen künftig insbesondere die Betreiberpflichten des Art. 26 KI-VO – Verwendung entsprechend der Betriebsanleitung, wirksame menschliche Aufsicht, Kontrolle der Eingabedaten, Aufbewahrung der Protokolle und Information der betroffenen Beschäftigten –, für bestimmte Betreiber zudem die Grundrechte-Folgenabschätzung nach Art. 27 KI-VO. Vorsicht ist geboten, wo Unternehmen fremde Systeme unter eigener Marke vermarkten oder wesentlich verändern: Wer so agiert, läuft Gefahr, in die deutlich pflichtenintensivere Anbieterrolle einzurücken.

Das deutsche KI-Durchführungsgesetz: Die BNetzA als zentrale Aufsicht

Mit dem Stichtag der allgemeinen Geltung vor Augen hat auch der deutsche Gesetzgeber geliefert. Das KI-Durchführungsgesetz passierte im Juni 2026 den Bundestag, am 10. Juli 2026 den Bundesrat und ist seit dem 29. Juli 2026 in Kraft. Es bestimmt die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde für die KI-Verordnung und zugleich zur Anlauf- und Beschwerdestelle; außerdem betreibt die BNetzA künftig KI-Reallabore, in denen innovative Systeme unter behördlicher Begleitung erprobt werden können. Deutschland folgt dabei einem hybriden Aufsichtsmodell: Für den Finanzsektor bleibt die BaFin zuständig, für den Medienbereich die Landesmedienanstalten. Für Unternehmen bedeutet das zweierlei. Zum einen gibt es nun einen klaren Ansprechpartner – wer Zweifelsfragen zur Einstufung oder zu einzelnen Pflichten hat, weiß, an wen er sie richten kann, und wer mit Beschwerden rechnen muss, weiß, wo sie landen werden. Zum anderen beginnt jetzt die Phase, in der sich eine Verwaltungspraxis herausbildet. Es lohnt sich, deren erste Signale genau zu beobachten, denn sie werden die Auslegungsspielräume der Verordnung für die Praxis konkretisieren.

Sanktionen nach Art. 99 KI-VO und das Haftungsumfeld

Der Sanktionsrahmen der Verordnung ist empfindlich. Verstöße gegen die Verbote des Art. 5 KI-VO können nach Art. 99 KI-VO mit Geldbußen von bis zu 35 Mio. Euro oder 7 % des gesamten weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Für die meisten übrigen Verstöße – etwa gegen Hochrisiko- oder Transparenzpflichten – reicht der Rahmen bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes. Damit bewegt sich die KI-Verordnung auf dem Sanktionsniveau der DSGVO und teilweise darüber. Hinzu tritt das zivilrechtliche Umfeld: Die neue Produkthaftungsrichtlinie (EU) 2024/2853, von den Mitgliedstaaten bis zum 9. Dezember 2026 umzusetzen, erfasst Software und KI-Systeme ausdrücklich als Produkte und bringt Beweiserleichterungen für Geschädigte. Und schließlich der Blick nach innen: Die Legalitäts- und Compliance-Organisationspflicht der Geschäftsleitung aus § 43 GmbHG und § 93 AktG umfasst selbstverständlich auch die Einhaltung der KI-Verordnung. Ein Organisationsdefizit beim KI-Einsatz kann damit zur persönlichen Haftungsfrage für Geschäftsführer und Vorstände werden – mit allen bekannten Folgefragen bis hin zur D&O-Deckung.

Was Unternehmen jetzt konkret veranlassen sollten

Die Beratungspraxis zeigt, dass die größte Hürde selten das Verständnis einzelner Normen ist, sondern der fehlende Überblick über den eigenen KI-Einsatz. Am Anfang steht deshalb die Bestandsaufnahme: Welche KI-Systeme sind im Unternehmen tatsächlich im Einsatz – einschließlich der Werkzeuge, die Fachabteilungen ohne Wissen der IT eingeführt haben? Ein belastbares KI-Inventar ist die Grundlage jeder weiteren Maßnahme. Darauf aufbauend folgt die Rollen- und Risikozuordnung: Für jedes System ist zu klären, ob das Unternehmen Anbieter oder Betreiber ist und in welche Risikoklasse das System fällt – verboten, hochriskant, transparenzpflichtig oder weitgehend pflichtenfrei. Den dritten Schritt bildet die Governance: eine interne KI-Richtlinie, die den zulässigen Einsatz regelt, Schulungen, die die seit Februar 2025 geltende Kompetenzpflicht des Art. 4 KI-VO einlösen, klare Verantwortlichkeiten und ein Beschaffungsprozess, der neue KI-Systeme künftig durch eine Compliance-Prüfung führt. Wer Systeme einsetzt, die ab Dezember 2027 als Hochrisiko-KI gelten werden, sollte die verlängerte Frist nutzen, um Anbieterverträge, Datenqualität und Aufsichtsprozesse rechtzeitig auf das dann geltende Pflichtenniveau zu heben. Und durchweg gilt: Dokumentieren Sie die Erwägungen. Im Streitfall – gegenüber der Aufsicht wie im Binnenverhältnis der Organe – entscheidet regelmäßig die Aktenlage.

Häufige Fragen

Gilt die KI-Verordnung auch für Unternehmen, die nur fertige KI-Werkzeuge nutzen? Ja. Wer ein KI-System in eigener Verantwortung im beruflichen Kontext verwendet, ist Betreiber nach Art. 3 Nr. 4 KI-VO. Die Kompetenzpflicht des Art. 4 KI-VO gilt für Betreiber bereits seit dem 2. Februar 2025, die Transparenzpflichten des Art. 50 KI-VO greifen ab dem 2. August 2026. Die weitergehenden Pflichten des Art. 26 KI-VO betreffen dagegen nur den Einsatz von Hochrisiko-Systemen.

Was genau hat der Digital Omnibus verschoben – und was nicht? Verschoben wurden allein die Pflichten für Hochrisiko-KI: für die Einsatzfelder des Anhangs III auf den 2. Dezember 2027, für KI als Sicherheitsbauteil oder Produkt nach Anhang I auf den 2. August 2028. Unverändert gelten die Verbote des Art. 5, die KI-Kompetenzpflicht des Art. 4, die GPAI-Pflichten des Kapitels V und die Transparenzpflichten des Art. 50 KI-VO.

Wer beaufsichtigt die Einhaltung der KI-Verordnung in Deutschland? Seit dem 29. Juli 2026 ist die Bundesnetzagentur die zentrale Marktüberwachungsbehörde sowie Anlauf- und Beschwerdestelle; sie betreibt zudem KI-Reallabore. Im Finanzsektor bleibt die BaFin zuständig, im Medienbereich die Landesmedienanstalten. Bei Verstößen drohen Geldbußen nach Art. 99 KI-VO von bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes.

Dieser Beitrag gibt einen allgemeinen Überblick auf dem Rechtsstand 2026 und ersetzt keine Rechtsberatung im Einzelfall. Für eine Einschätzung Ihres konkreten Anliegens vereinbaren Sie gern ein Erstgespräch mit KALER.