Kaum eine Regulierung hat in den letzten Jahren so viele Fragen ausgelöst wie die europäische KI-Verordnung. Im Sommer 2026 kam eine weitere hinzu: Mit einer Änderungsverordnung, entstanden im Rahmen des sogenannten digitalen Omnibus, hat die EU zentrale Fristen verschoben. Die Änderung wurde Ende Juli 2026 im Amtsblatt veröffentlicht und trat kurz vor dem ursprünglichen Stichtag 2. August 2026 in Kraft. Dieser Beitrag ordnet ein, was sich geändert hat und was nicht.
Der Zeitplan im Überblick
Die KI-Verordnung ist am 1. August 2024 in Kraft getreten und gilt seitdem in Stufen. Nach der Änderung sieht der Zeitplan so aus:
| Seit bzw. ab | Was gilt |
|---|---|
| 2. Februar 2025 | Verbote bestimmter KI-Praktiken, Pflicht zur KI-Kompetenz |
| 2. August 2025 | Regeln für KI-Modelle mit allgemeinem Verwendungszweck, Governance, Sanktionen |
| 2. August 2026 | Allgemeine Geltung, darunter Transparenzpflichten für bestimmte KI-Systeme |
| Anfang Dezember 2026 | Ende einer kurzen Übergangsfrist für die maschinenlesbare Kennzeichnung bei generativen Systemen, die schon vor August 2026 angeboten wurden |
| 2. Dezember 2027 | Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III |
| 2. August 2028 | Pflichten für Hochrisiko-KI in Produkten, die bereits EU-Produktvorschriften nach Anhang I unterliegen |
Ursprünglich sollten die Hochrisiko-Pflichten nach Anhang III schon im August 2026 greifen, die nach Anhang I im August 2027. Begründet wurde die Verschiebung vor allem damit, dass harmonisierte Normen und Leitlinien, auf die sich Unternehmen stützen sollen, nicht rechtzeitig fertig wurden.
Was die Änderung außerdem bringt
- KI-Kompetenz neu gefasst. Die Pflicht bleibt, ist aber anders formuliert. Anbieter und Betreiber müssen Maßnahmen ergreifen, um die Kompetenz ihrer Beschäftigten zu fördern. Ein bestimmtes Niveau müssen sie nicht mehr garantieren. Belegen sollten Sie die Maßnahmen trotzdem, etwa mit Schulungsnachweisen und Nutzungsregeln.
- Erleichterungen für kleinere Unternehmen. Vereinfachungen, die bisher kleinen und mittleren Unternehmen vorbehalten waren, etwa bei technischer Dokumentation und Qualitätsmanagement, gelten nun auch für kleine Unternehmen mittlerer Größe, die über die KMU-Schwellen hinausgewachsen sind.
Wer was tun muss
Die Verordnung unterscheidet vor allem zwei Rollen. Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen auf den Markt. Betreiber setzen ein KI-System in eigener Verantwortung ein. Die meisten Unternehmen sind Betreiber, viele Softwarehäuser sind beides.
Für Betreiber gelten schon heute unabhängig von der Risikoklasse zwei Dinge: Maßnahmen zur KI-Kompetenz und Transparenz in bestimmten Fällen, etwa wenn Inhalte erzeugt werden, die echt wirken. Kommen Hochrisiko-Systeme zum Einsatz, etwa bei Personalauswahl oder Kreditwürdigkeitsprüfung, folgen ab Dezember 2027 weitere Pflichten, unter anderem zu menschlicher Aufsicht, Protokollierung und Information der Betroffenen.
Anbieter von Hochrisiko-Systemen trifft deutlich mehr: Risikomanagement über den Lebenszyklus, Anforderungen an Trainingsdaten, technische Dokumentation, Qualitätsmanagementsystem, Konformitätsbewertung und Registrierung. Erfahrungsgemäß dauert der Aufbau länger als ein Jahr. Die gewonnene Zeit ist also schnell aufgebraucht.
Aufsicht in Deutschland
Mit dem Durchführungsgesetz zur KI-Verordnung, das Bundestag und Bundesrat im Sommer 2026 verabschiedet haben, ist die Bundesnetzagentur zentrale Marktüberwachungsbehörde. Fachaufsichten wie die BaFin im Finanzsektor behalten Zuständigkeiten in ihren Bereichen. Für KI-Modelle mit allgemeinem Verwendungszweck bleibt das KI-Büro der EU-Kommission zuständig.
Fünf Schritte für die nächsten Monate
- KI-Inventar anlegen. Welche Systeme setzen Sie ein oder bieten Sie an, wofür, mit welchen Daten?
- Rolle und Risikoklasse bestimmen. Je System: Anbieter oder Betreiber, verbotene Praxis, Hochrisiko, Transparenzpflicht oder geringes Risiko. Begründung festhalten.
- KI-Kompetenz belegen. Schulungen und Nutzungsregeln passend zu Aufgabe und System, mit Nachweis.
- Transparenz prüfen. Wo erzeugen Ihre Systeme Inhalte oder interagieren mit Menschen? Sind Hinweise und Kennzeichnung umgesetzt?
- Hochrisiko-Vorhaben planen. Rückwärts vom Dezember 2027 oder August 2028 rechnen und Meilensteine setzen. Ein Managementsystem nach ISO/IEC 42001 kann dafür den Rahmen geben.
Was das für Sie bedeutet
Die Verschiebung betrifft nur die Hochrisiko-Pflichten. Verbote, KI-Kompetenz und Transparenz gelten bereits und treffen fast jedes Unternehmen. Nutzen Sie die zusätzliche Zeit, um Inventar und Einstufung sauber aufzusetzen. Wer Hochrisiko-Systeme anbietet, sollte jetzt mit Risikomanagement und Dokumentation beginnen. Die genauen Daten und Übergangsregeln prüfen Sie im Zweifel im aktuellen Verordnungstext nach.
In Sightadel führen Sie das KI-Inventar, dokumentieren Einstufungen mit Begründung und hängen Nachweise zu Kompetenz und Transparenz an. Mehr auf der Seite zum EU AI Act und zu ISO/IEC 42001. Selbst ausprobieren: 14 Tage kostenlos testen.
Stand: 8. Oktober 2026 · Keine Rechtsberatung. Maßgeblich sind Norm bzw. Gesetz in der geltenden Fassung.
