# AI Act nach dem Digital Omnibus: Was KMU jetzt wirklich müssen

> Kompetenzpflicht abgeschwächt, Hochrisiko-Fristen verschoben, und was für den Büroalltag trotzdem bleibt. Stand kennzeichnend, ohne Angstverkauf.

- Veröffentlicht: 2026-09-26
- Aktualisiert: 2026-09-27
- Quelle: https://art-kon-tor-digital.de/wissen/ai-act-nach-dem-digital-omnibus-was-kmu-jetzt-wirklich-muessen/

---

Der Digital Omnibus, die Verordnung (EU) 2026/1744, gilt seit dem 27. Juli 2026 und hat die KI-Verordnung (AI Act) für kleine und mittlere Unternehmen entschärft: Die Pflicht zur KI-Kompetenz nach Artikel 4 verlangt jetzt „Maßnahmen zur Förderung von KI-Kompetenz“ statt eines garantierten Wissensstands einzelner Personen, und die Pflichten für Hochrisiko-Systeme wurden auf Dezember 2027 und August 2028 verschoben. Für ein typisches KMU, das ChatGPT, Copilot oder ein lokales Modell nutzt, bleibt: Mitarbeiter sensibilisieren, Transparenz gegenüber Nutzern wahren, keine verbotenen Anwendungen einsetzen und aufschreiben, was man tut. Dieser Artikel ist eine Einordnung, keine Rechtsberatung.

## Was der AI Act ist: in drei Absätzen

Die KI-Verordnung der EU regelt Künstliche Intelligenz nach Risiko. Ein paar Anwendungen sind verboten, etwa Social Scoring oder manipulative Systeme, die Menschen schaden. Eine zweite Gruppe gilt als Hochrisiko, KI in Medizinprodukten, bei der Personalauswahl, bei der Kreditvergabe, in kritischer Infrastruktur, und unterliegt umfangreichen Pflichten. Für die große dritte Gruppe, die normale Nutzung von KI im Büro, gelten vor allem Transparenzpflichten und die Pflicht, Mitarbeiter für den Umgang mit KI zu befähigen.

Die Verordnung unterscheidet außerdem Rollen. Der **Anbieter** entwickelt ein KI-System oder bringt es unter eigenem Namen auf den Markt. Der **Betreiber** nutzt es in seinem Unternehmen. Fast alle KMU sind Betreiber, und die Pflichten für Betreiber sind deutlich schlanker als die für Anbieter. Wer allerdings ein Modell so anpasst und unter eigener Marke anbietet, dass daraus ein neues System entsteht, kann in die Anbieterrolle rutschen. Das ist der Punkt, an dem eine Kanzlei hinschauen sollte.

Der AI Act gilt seit 2024 mit gestaffelten Fristen. Die Verbote gelten seit Februar 2025, die Kompetenzpflicht ebenfalls, die Regeln für große Basismodelle seit August 2025. Der Rest sollte ab August 2026 folgen, und genau hier hat der Digital Omnibus eingegriffen.

## Was der Digital Omnibus geändert hat

Die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt der EU verkündet und gilt seit dem 27. Juli 2026. Die für KMU wichtigsten Änderungen nach der Zusammenfassung von activeMind.legal (Stand 28. Juli 2026):

- **KI-Kompetenz (Artikel 4) abgeschwächt:** Unternehmen müssen „Maßnahmen zur Förderung von KI-Kompetenz ergreifen“. Ein bestimmter Wissensstand einzelner Personen muss nicht mehr garantiert werden. Die Pflicht ist damit eine Bemühens-, keine Erfolgspflicht.
- **Hochrisiko-Pflichten verschoben:** Für Systeme nach Anhang III (etwa Personalauswahl, Kreditwürdigkeit, Bildung) gelten die Pflichten ab dem 2. Dezember 2027, für Systeme nach Anhang I (KI als Teil regulierter Produkte wie Maschinen oder Medizinprodukte) ab dem 2. August 2028.
- **Erleichterungen für KMU und Small Midcaps:** Vereinfachte Dokumentations- und Nachweispflichten für kleinere Unternehmen.

Was der Omnibus nicht geändert hat: die Verbote, die Grundidee der Risikoklassen und die Verantwortung dafür, zu wissen, welche KI im eigenen Haus läuft.

## Was veraltet ist

Viele Anbieter von Schulungen und Beratung werben noch mit „Schulungspflicht ab August 2026 plus Bußgeld“. Das ist überholt. Eine Pflicht, alle Mitarbeiter nachweislich auf ein bestimmtes Niveau zu schulen, gibt es in dieser Form nicht mehr; die Bußgeld-Drohung als Verkaufsargument für KI-Schulungen war schon vorher fragwürdig, weil Artikel 4 keinen eigenen Bußgeldtatbestand hatte. Wer heute mit Angst verkauft, hat die Änderung nicht gelesen. Das heißt nicht, dass Schulungen sinnlos sind, sie sind ein Qualitäts- und Haftungsthema. Nur ist der Grund ein anderer als die Strafe.

## Was für ein KMU als Betreiber konkret bleibt

| Pflicht | Gilt für | Status 09/2026 |
| --- | --- | --- |
| Keine verbotenen Praktiken einsetzen | Alle | Gilt seit Februar 2025 |
| Maßnahmen zur Förderung von KI-Kompetenz | Alle, die KI einsetzen | Gilt, seit dem Omnibus als Bemühenspflicht |
| Transparenz: Nutzer erfahren, dass sie mit KI interagieren; KI-erzeugte Inhalte kennzeichnen, wo vorgeschrieben | Betreiber von Chatbots, Generatoren, Deepfake-Werkzeugen | Nach ursprünglichem Zeitplan ab August 2026; Übergangsdetails nach dem Omnibus mit Kanzlei klären |
| Hochrisiko-Pflichten (Risikomanagement, Aufsicht, Dokumentation, Protokollierung) | Nur bei Hochrisiko-Anwendungen | Verschoben auf 12/2027 (Anhang III) bzw. 08/2028 (Anhang I) |
| Anbieterpflichten | Wer KI-Systeme entwickelt oder unter eigener Marke anbietet | Je nach Risikoklasse; Rolle prüfen lassen |

Stand: 09/2026. Vereinfachte Darstellung, keine Rechtsberatung.

## KI-Kompetenz praktisch umsetzen

Die abgeschwächte Pflicht ist eine Chance, das Thema ohne Panik richtig zu machen. Was in unserer Erfahrung reicht und gleichzeitig nützt:

- **Eine KI-Richtlinie auf zwei Seiten:** Welche Werkzeuge sind freigegeben, welche Daten dürfen wohin, wer ist Ansprechpartner, was ist tabu. Sie ist der wichtigste Baustein, und sie schützt vor dem eigentlichen Risiko, das nicht im AI Act steht, sondern in der DSGVO: vertrauliche Daten in fremden Chats.
- **Eine kurze Schulung für alle:** Wie funktionieren Sprachmodelle, warum erfinden sie Fakten, was darf man eingeben, wie prüft man Ergebnisse. Eine Stunde, dokumentiert mit Datum und Teilnehmern.
- **Vertiefung für die, die es brauchen:** Wer KI in Personalprozessen, im Kundenkontakt oder in der Produktentwicklung einsetzt, braucht mehr als eine Stunde.
- **Ein Verzeichnis der eingesetzten KI:** Welche Werkzeuge, wofür, mit welchen Daten. Das ist die Grundlage, um überhaupt zu erkennen, ob irgendwo eine Hochrisiko-Anwendung entsteht.

Alles zusammen ist eine Sache von Tagen, nicht Monaten. Und es ist derselbe Aufwand, den du ohnehin brauchst, um die Frage [lokale KI, EU-Cloud oder ChatGPT](/wissen/lokale-ki-eu-cloud-oder-chatgpt-eine-entscheidungshilfe/) sauber zu beantworten.

## Wann du genauer hinschauen musst

Die Entwarnung gilt für den Büroalltag. Sie gilt nicht, wenn KI Entscheidungen über Menschen trifft oder vorbereitet. Wer Bewerbungen per KI vorsortiert, Kreditwürdigkeit bewertet, Mitarbeiter überwacht oder KI in ein Medizinprodukt oder eine Maschine einbaut, bewegt sich Richtung Hochrisiko, und sollte die verschobenen Fristen nicht als Aufschub, sondern als Vorbereitungszeit sehen. Auch ein [KI-Chatbot auf der Website](/ki/ki-chatbot-website/) muss sich als KI zu erkennen geben; das ist einfach umzusetzen, aber man muss es tun. Und wer KI-erzeugte Bilder oder Stimmen veröffentlicht, die echt wirken sollen, muss sie kennzeichnen.

## Die DSGVO läuft weiter

Der AI Act ist nicht das einzige Gesetz, und für die meisten KMU nicht einmal das wichtigste. Die Datenschutz-Grundverordnung gilt unverändert: Wer Kundendaten in ein Cloud-Modell eingibt, braucht einen Auftragsverarbeitungsvertrag und eine Antwort auf die Drittland-Frage. Wer Mandanten- oder Patientendaten verarbeitet, hat mit § 203 StGB eine weitere Grenze. Der Omnibus hat daran nichts geändert. Ein [lokaler KI-Server](/ki/lokaler-ki-server/) löst viele dieser Fragen technisch, ohne dass ein Jurist über Standardvertragsklauseln nachdenken muss.

## Fazit

Nach dem Digital Omnibus muss ein typisches KMU als KI-Betreiber vor allem drei Dinge: wissen, welche KI es einsetzt, die Mitarbeiter nachweisbar befähigen und bei Chatbots und generierten Inhalten transparent sein. Die Hochrisiko-Pflichten betreffen die wenigsten und kommen später. Unsere Empfehlung: eine kurze Richtlinie, eine dokumentierte Schulung, ein Verzeichnis, und die Energie in die DSGVO-Fragen stecken, die im Alltag wirklich zu Problemen führen. Für die rechtliche Bewertung deines konkreten Einsatzes bleibt eine Kanzlei zuständig.

## Häufige Fragen

Muss ich meine Mitarbeiter nach dem AI Act schulen?
Du musst Maßnahmen zur Förderung von KI-Kompetenz ergreifen; seit dem Digital Omnibus ist das eine Bemühens-, keine Erfolgspflicht. Für ein typisches KMU reichen in der Praxis eine kurze KI-Richtlinie und eine dokumentierte Schulung für alle, die KI nutzen. Wer KI in Personalprozessen oder im Kundenkontakt einsetzt, braucht mehr.

Darf ich ChatGPT nach dem AI Act im Unternehmen nutzen?
Ja. Als Betreiber hast du vor allem Pflichten zur KI-Kompetenz und zur Transparenz, und verbotene Praktiken sind tabu. Die größeren Einschränkungen im Alltag kommen aus der DSGVO: welche Daten überhaupt in einen Cloud-Dienst dürfen.

Muss ein KI-Chatbot auf meiner Website gekennzeichnet werden?
Ja, Nutzer müssen erkennen können, dass sie mit einer KI sprechen. Technisch ist das einfach, etwa mit einem Hinweis im Chatfenster. Die genauen Übergangsfristen nach dem Omnibus solltest du mit einer Kanzlei klären.

Bin ich Anbieter oder Betreiber im Sinne des AI Act?
Fast alle KMU sind Betreiber: Sie nutzen KI-Systeme, die andere entwickelt haben. Anbieter ist, wer ein KI-System entwickelt oder unter eigenem Namen auf den Markt bringt, das kann auch passieren, wenn du ein Modell stark anpasst und unter eigener Marke anbietest. Im Zweifel sollte eine Kanzlei die Rolle prüfen.

Ab wann gelten die Hochrisiko-Pflichten?
Nach dem Digital Omnibus für Systeme nach Anhang III, etwa in der Personalauswahl, ab dem 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I ab dem 2. August 2028. Betroffen sind nur Unternehmen, die solche Anwendungen einsetzen oder anbieten. Die Zeit bis dahin ist Vorbereitungszeit, kein Aufschub.

*Stand: September 2026, wir aktualisieren diesen Artikel, wenn sich Rechtslage oder Technik ändern.*