Digital Omnibus: Neue Fristen für KI im Mittelstand

Der 2. August 2026: Die Aufsicht hat begonnen

Viele Betriebe haben den 2. August 2026 als Compliance-Datum im Kalender notiert. Was an diesem Tag in Kraft getreten ist, war aber kein Formalismus. Die EU-Kommission hat in ihrer Pressemitteilung vom 31. Juli 2026 klargestellt: Ab dem 2. August setzen das AI Office der Kommission und die zuständigen Behörden der Mitgliedstaaten die KI-Verordnung durch. Das bedeutet konkret, sie können technische Dokumentation anfordern, korrigierende Maßnahmen verlangen und Bußgelder verhängen.

Parallel sind die Transparenzpflichten in Anwendung gegangen. Chatbots und andere interaktive KI-Systeme müssen ihren Nutzern sagen, dass sie mit einer Maschine sprechen. Deepfakes, also mit KI erzeugte oder veränderte Bilder, Videos und Audiodateien, müssen gekennzeichnet werden. Zusätzlich müssen KI-generierte Inhalte maschinenlesbare Markierungen tragen, damit sie erkennbar bleiben. Die Kommission hat dazu einen Code of Practice für die Transparenz KI-generierter Inhalte veröffentlicht, den nach Angaben vom 31. Juli 2026 bereits mehr als 180 Organisationen unterzeichnet haben.

In Deutschland ist die Zuständigkeit seit diesem Jahr geklärt. Der Bundestag hat am 12. Juni 2026 das KI-Gesetz beschlossen, die Bundesnetzagentur wird darin zur zentralen Aufsichtsbehörde für die Marktüberwachung. Wer bis dahin davon ausging, dass es im Mittelstand ohnehin keine Ansprechstelle gibt, hat jetzt eine.

Der Digital Omnibus verschiebt die Hochrisiko-Pflichten

Drei Wochen vor dem Aufsichtsstart hat die EU einen zweiten Beschluss gefasst, der für viele Unternehmen wichtiger ist. Die Verordnung (EU) 2026/1744, bekannt als Digital Omnibus on AI, ist am 27. Juli 2026 in Kraft getreten, drei Tage nach ihrer Veröffentlichung im Amtsblatt. Der Digital Omnibus ändert die KI-Verordnung an mehreren Stellen.

Der zentrale Punkt sind die Fristen für Hochrisiko-Systeme. Nach den ursprünglichen Plänen hätten die zentralen Pflichten am 2. August 2026 greifen sollen. Nach der Einigung von Rat, Parlament und Kommission gilt nun:

• KI-Systeme in sensiblen Bereichen nach Anhang III, also etwa Bewerbung und Personalauswahl, Bildung, Migration sowie kritische Infrastruktur, müssen die Pflichten spätestens ab dem 2. Dezember 2027 erfüllen.
• KI-Systeme, die in regulierte Produkte eingebettet sind, zum Beispiel in Maschinen, Medizinprodukte oder Spielzeug, fallen unter die Pflichten spätestens ab dem 2. August 2028.

Wichtig ist die Formulierung spätestens. Die EU-Kommission kann die Anwendung früher auslösen, sobald die nötigen Leitlinien und harmonisierten Standards vorliegen. Nach Einschätzung von Datenschutzjuristen greifen die Regeln dann sechs beziehungsweise zwölf Monate nach einem entsprechenden Kommissionsbeschluss. Ein Betrieb, der für 2027 plant, kann also durchaus schon 2027 in der Pflicht sein.

Der Digital Omnibus enthält daneben zwei Punkte, die häufig untergehen. Erstens bekommt das AI Office zusätzliche Befugnisse gegenüber Anbietern von General-Purpose-Modellen und kann diese stärker an das Aufsichtsregime der Digital Services Act anlehnen. Zweitens wird das Verbot von KI-Anwendungen, mit denen nicht einvernehmliche sexuelle oder intime Inhalte erzeugt werden können, sogenannte Nudifier, im Dezember 2026 wirksam. Das Verbot richtet sich gegen die Anbieter solcher Werkzeuge, nicht gegen die einzelnen Nutzer.

Verschieben heißt nicht aufheben

Der häufigste Fehler in Gesprächen mit Betrieben ist die Schlussfolgerung, das Thema sei damit vom Tisch. Das ist es nicht. Die KI-Verordnung ist seit dem 2. August 2026 in Anwendung, mit allen Pflichten, die nicht ausdrücklich verschoben wurden. Verbote unzulässiger Praktiken, KI-Kompetenz der Beschäftigten, Transparenzpflichten und die Governance-Regeln gelten unverändert.

Was tatsächlich aufgeschoben wurde, ist die besonders aufwendige Dokumentations- und Konformitätsbewertung für Hochrisiko-Systeme. Und genau diese Systeme finden sich im Mittelstand häufig dort, wo niemand sie vermutet: im Bewerbermanagement, in der Bonitätsprüfung oder in der Wartungsplanung kritischer Anlagen. Wer ein Bewerber-Screening einsetzt und dort automatisiert sortiert, arbeitet an einem Anhang-III-Fall. Solche Systeme müssen sich Anbieter und Betreiber in der EU-Datenbank registrieren lassen. Der Digital Omnibus hat diese Registrierungspflicht für Systeme, die der Anbieter selbst nicht als Hochrisiko einstuft, sogar wieder eingeführt und damit verschärft.

Wer die Systemlandschaft nicht kennt, kann keine Frist planen. Wie schnell Datenqualität und fehlende Zuständigkeiten solche Projekte ausbremsen, zeigt der Beitrag warum KI-Projekte an Datenqualität und Governance scheitern.

Was du jetzt konkret prüfen solltest

• Inventar anlegen. Schreib jede KI-Anwendung auf, die im Haus läuft, unabhängig davon, ob sie offiziell freigegeben wurde. Erfasse je System den Zweck, die Nutzer, die verarbeiteten Daten und den Anbieter.
• Transparenz prüfen. Chatbots müssen sich als KI erkennbar machen. Alle KI-erzeugten Bilder, Videos und Texte, die nach außen gehen, brauchen eine Kennzeichnung. Das gilt jetzt, nicht 2027.
• Hochrisiko-Fälle früh einordnen. Bewerbung, Personalbeurteilung, Bonität, Zugang zu Bildung oder kritischer Infrastruktur sind die typischen Kandidaten. Einordnung jetzt kostet Stunden, eine Einordnung im Jahr 2027 kostet Projektwochen.
• Rollen benennen. Eine Person verantwortet den KI-Einsatz, eine Vertretung ist benannt, und Meldungen über Fehlverhalten haben einen Weg. Ohne Namen bleibt jede Richtlinie wirkungslos.
• Kompetenz dokumentieren. Die Pflicht zur KI-Kompetenz der Beschäftigten gilt bereits. Schulungen, die vor zwei Jahren stattgefunden haben, sind dafür kein Nachweis.

Warum die 57 Prozent das eigentliche Risiko sind

Dass die Regulierung das Problem wäre, lässt sich mit den Zahlen nicht belegen. Nach einer repräsentativen Befragung des Bitkom vom 14. September 2026, für die 603 Unternehmen ab 20 Beschäftigten befragt wurden, nutzen 57 Prozent der deutschen Unternehmen KI. Vor einem Jahr waren es 36 Prozent, vor zwei Jahren 20 Prozent. Weitere 38 Prozent planen oder diskutieren den Einsatz. Nur noch 4 Prozent sagen, KI sei für sie kein Thema.

Das Risiko liegt an einer anderen Stelle. Kein einziges Unternehmen mit KI-Einsatz gibt an, das Potenzial vollständig zu nutzen, lediglich 3 Prozent nutzen es nach eigener Einschätzung eher stark. 59 Prozent schöpfen die Möglichkeiten überhaupt nicht aus. Gleichzeitig sagen 34 Prozent, KI gefährde die Existenz ihres Unternehmens. Unter den Unternehmen, die KI einsetzen, räumt ein Drittel offen ein, dies vor allem aus Angst zu tun, andernfalls den Anschluss zu verlieren.

Es ist dieselbe Lücke, die sich in der Aufsichtsfrage zeigt. Hunderte Werkzeuge sind im Einsatz, aber niemand hat eine belastbare Liste. Wenn dein Betrieb zu den 57 Prozent gehört, ist das Inventar aus dem Abschnitt oben die Grundlage. Für alles andere fehlt sonst die Basis. Wenn Transparenz dazukommt, greifen zusätzlich die Pflichten aus der Kennzeichnungspflicht für KI-Inhalte.

Fazit: Ein Kredit, kein Freifahrtschein

Der Digital Omnibus verschafft dem Mittelstand Zeit, und zwar reichlich. Zwanzig Monate für Anhang III, zweiundzwanzig für eingebettete Systeme. Das ist kein Geschenk, sondern ein aufgeschobener Aufwand mit klarem Verfallsdatum. Die Aufsicht existiert seit dem 2. August 2026, die Bundesnetzagentur ist erreichbar, und die Transparenzpflichten gelten heute.

Wer die Zeit nutzt, um die Systemlandschaft zu sortieren und die Hochrisiko-Fälle zu identifizieren, hat im Jahr 2027 ein Projekt. Wer sie verstreichen lässt, hat 2027 ein Problem mit einer Frist, die er nicht selbst bestimmt.