Wer die KI-Verordnung seit 2024 verfolgt hat, kennt den 2. August 2026 als das große Datum: Ab hier sollte der Hauptteil gelten, einschließlich der Pflichten für Hochrisiko-Anwendungen. Wenige Tage vor diesem Termin, am 27. Juli 2026, ist das Vereinfachungspaket der EU in Kraft getreten und hat den Zeitplan neu sortiert.
Für Unternehmen bedeutet das zweierlei. Erstens: Ein Teil des Aufwands, den viele für dieses Jahr eingeplant hatten, hat Aufschub bekommen. Zweitens, und das geht in der Erleichterung gerne unter: Ein anderer Teil greift am 2. August wirklich, und der betrifft deutlich mehr Betriebe als die Hochrisiko-Regeln.
Der Stichtag: was ab 2. August zuständig ist
Ab dem 2. August 2026 sind das KI-Büro der EU und die Behörden der Mitgliedstaaten für Durchführung, Aufsicht und Durchsetzung der Verordnung zuständig. Das ist der Punkt, an dem aus einem Rechtstext ein Vollzugsapparat wird. Das KI-Büro hat dabei ausdrücklich Durchsetzungsbefugnisse gegenüber Anbietern von KI-Modellen mit allgemeinem Verwendungszweck, kann Unterlagen anfordern und Sanktionen verhängen.
Für ein mittelständisches Unternehmen, das KI einsetzt statt sie zu bauen, ist die praktisch wichtigere Änderung eine andere: die Transparenzpflichten werden wirksam. Sie richten sich nicht an Modellhersteller, sondern an jeden, der KI-Ausgaben gegenüber Menschen sichtbar macht. Dazu weiter unten mehr.
Was bereits vorher galt und unverändert weiterläuft: die verbotenen Praktiken seit Februar 2025, die Pflichten für Anbieter allgemeiner KI-Modelle seit August 2025 und die Sanktionsvorschriften ebenfalls seit August 2025. Wer diese Punkte bisher übersehen hat, hat kein Fristproblem, sondern ein bestehendes Compliance-Problem. Die Grundlagen dazu haben wir im Überblicksartikel zum EU AI Act aufbereitet.
Was der Omnibus verschoben hat
Das Vereinfachungspaket wurde am 19. November 2025 vorgeschlagen und am 7. Mai 2026 politisch geeinigt. Der beschlossene Rechtsakt ist die Verordnung (EU) 2026/1744 vom 8. Juli 2026, veröffentlicht im Amtsblatt am 24. Juli 2026 und in Kraft getreten am dritten Tag danach, also am 27. Juli 2026. Der Kern der Änderung: Die Fristen für Hochrisiko-Systeme wurden an die tatsächliche Verfügbarkeit der Hilfsmittel gekoppelt, allen voran der harmonisierten Normen, an denen die europäischen Normungsgremien noch arbeiten. Als Begründung nennt die Verordnung ausdrücklich die verzögerte Verfügbarkeit von Normen und gemeinsamen Spezifikationen sowie den verzögerten Aufbau der zuständigen nationalen Behörden.
| Pflichtenkreis | Gilt seit / ab | Wen es betrifft |
|---|---|---|
| Verbotene Praktiken | 2. Februar 2025 | Alle, unabhängig von Größe und Rolle |
| KI-Kompetenz der Beschäftigten | 2. Februar 2025 | Jeder Betrieb, der KI-Systeme einsetzt |
| Allgemeine KI-Modelle, Sanktionsregeln | 2. August 2025 | Modellanbieter, Behörden |
| Aufsicht und Durchsetzung, Transparenzpflichten | 2. August 2026 | Anbieter und Betreiber von KI-Systemen mit Publikumskontakt |
| Hochrisiko nach Anhang III | 2. Dezember 2027 | Etwa Personalauswahl, Kreditwürdigkeit, kritische Infrastruktur |
| Hochrisiko in regulierten Produkten | 2. August 2028 | KI eingebettet in Maschinen, Aufzüge, Spielzeug und Ähnliches |
Kein Grund zum Zurücklehnen: Verschoben ist der Stichtag, nicht der Aufwand. Wer eine Anwendung betreibt, die 2027 unter Anhang III fällt, braucht bis dahin Risikomanagement, Datenqualitätsnachweise, technische Dokumentation, Protokollierung und menschliche Aufsicht. Der realistische Vorlauf dafür liegt bei zwölf Monaten, nicht bei zwei. Rechnen Sie rückwärts vom 2. Dezember 2027, nicht vorwärts von heute.
Transparenzpflichten in der Praxis
Die Transparenzregeln sind der Teil, der ab dem Stichtag die meisten Unternehmen im DACH-Raum betrifft, weil er nicht an Risikoklassen hängt, sondern an der Sichtbarkeit gegenüber Menschen. Die Kommission hat dazu am 20. Juli 2026 eigene Leitlinien veröffentlicht. Drei Fälle sind für die Praxis relevant.
1. Interaktion mit einem KI-System
Wer mit einem Chatbot, einem Sprachassistenten oder einem automatisierten Antwortsystem spricht, muss das erkennen können, sofern es nicht ohnehin offensichtlich ist. Praktisch heißt das: ein deutlicher Hinweis beim Start der Unterhaltung, nicht ein Satz in den Nutzungsbedingungen. Der Zweck der Vorschrift ist Information im Moment der Interaktion, und den erfüllt ein Verweis im Impressum nicht.
2. Künstlich erzeugte oder veränderte Inhalte
Bild-, Ton- und Videoinhalte, die mit KI erzeugt oder verändert wurden, sind kenntlich zu machen. Für täuschend echte Darstellungen realer Personen und Ereignisse gilt das ausdrücklich. Für Unternehmen mit aktivem Marketing ist das der Punkt mit dem meisten unmittelbaren Handlungsbedarf, denn KI-generierte Bildwelten sind in der Werbeproduktion längst Alltag.
3. Texte zu Fragen von öffentlichem Interesse
Für veröffentlichte Texte, die Angelegenheiten von öffentlichem Interesse betreffen und ohne inhaltliche menschliche Prüfung erzeugt wurden, gelten eigene Offenlegungsvorgaben. Wer redaktionelle Inhalte mit KI-Unterstützung produziert, sollte den eigenen Prozess daraufhin ansehen, insbesondere die Frage, wer den Text vor Veröffentlichung inhaltlich verantwortet.
Praxistipp: Legen Sie eine einfache Liste an: Welche Ihrer Kundenkontaktpunkte laufen ganz oder teilweise über KI? Chatbot, automatische E-Mail-Antworten, Terminvereinbarung, Bildmaterial auf Website und in Kampagnen. Jede Zeile bekommt eine Spalte "Hinweis vorhanden, ja oder nein". Diese Liste ist in einer Stunde erstellt und deckt den größten Teil des akuten Handlungsbedarfs ab. Dieser Hinweis ist eine fachliche Einschätzung und ersetzt keine Rechtsberatung.
Zuständigkeiten in Österreich
Als zentrale Anlauf- und Informationsstelle dient die KI-Servicestelle bei der RTR, eingerichtet auf Grundlage von Paragraf 20c KOG und Paragraf 194a TKG. Sie ist Ansprechpartner für Fragen zur KI-Verordnung, bündelt Leitlinien und Materialien und richtet sich ausdrücklich auch an Unternehmen ohne eigene Rechtsabteilung.
Für die Marktüberwachung im engeren Sinn kommt die sektorale Zuständigkeit der jeweiligen Fachbehörde hinzu, etwa im Finanz-, Medizinprodukte- oder Maschinenbereich. Für die meisten Betriebe ist das zunächst zweitrangig: Die erste Adresse bei einer offenen Frage ist die Servicestelle, nicht die Fachbehörde.
Eine Beobachtung aus Projekten: Die häufigste Fehleinschätzung im Mittelstand ist nicht das Übersehen einer Frist, sondern die falsche Rolleneinordnung. Viele Unternehmen halten sich für reine Anwender, obwohl sie ein zugekauftes Modell erheblich angepasst oder unter eigenem Namen in ein Produkt eingebaut haben. In dem Fall kann man rechtlich zum Anbieter werden, mit deutlich weitergehenden Pflichten. Wie sich diese Frage strukturiert klären lässt, beschreibt der Artikel zur KI-Governance im Unternehmen.
Was jetzt konkret zu tun ist
Sechs Schritte, absteigend nach Dringlichkeit. Die ersten drei sind Tagesaufwand, die letzten drei gehören in die Planung für das kommende Jahr.
- Bestandsaufnahme erstellen. Welche KI-Systeme sind im Einsatz, inklusive der Werkzeuge, die einzelne Abteilungen ohne Freigabe eingeführt haben? Ohne diese Liste ist jede weitere Einschätzung Raten.
- Rolle je System festlegen. Anbieter oder Betreiber? Diese Einordnung entscheidet über den gesamten Pflichtenumfang und gehört schriftlich festgehalten.
- Transparenzhinweise ergänzen. Chatbot, automatische Antworten, KI-generiertes Bildmaterial. Der technische Aufwand ist gering, das Versäumnis dagegen von außen sichtbar.
- KI-Kompetenz nachweisbar machen. Die Pflicht, dass mit KI befasste Personen über ausreichende Kompetenz verfügen, gilt bereits seit Februar 2025. Eine dokumentierte Schulung, etwa in Form eines KI-Workshops, ist der einfachste Nachweis.
- Hochrisiko-Kandidaten identifizieren. Prüfen Sie, ob eine Ihrer Anwendungen unter Anhang III fällt, typischerweise bei Personalauswahl, Bonitätsbewertung oder Zugang zu wesentlichen Leistungen. Wenn ja, beginnt die Vorbereitung jetzt und nicht 2027.
- Verträge mit Anbietern prüfen. Wer liefert Ihnen welche Nachweise, wenn eine Behörde fragt? Diese Zusicherung fehlt in den meisten Standardverträgen und lässt sich nachträglich schwer verhandeln.
Punkt eins und zwei sind der eigentliche Hebel. In der Praxis stellt sich bei der Bestandsaufnahme regelmäßig heraus, dass mehr KI im Haus ist als der Geschäftsführung bekannt war, und dass die riskanteste Anwendung selten die ist, über die am meisten gesprochen wurde. Wie sich das mit einer bestehenden Datenschutzorganisation zusammenführen lässt, behandelt der Artikel zu DSGVO und KI-Act-Compliance.
Fazit: mehr Zeit, aber nicht für alles
Der Omnibus hat den Druck von den Hochrisiko-Pflichten genommen und ihn auf Dezember 2027 verlegt. Was er nicht verschoben hat, ist der Teil, der die meisten Unternehmen tatsächlich betrifft: Aufsicht und Durchsetzung starten am 2. August, die Transparenzpflichten werden wirksam, und die Kompetenzpflicht besteht bereits seit anderthalb Jahren.
Der sinnvolle nächste Schritt ist unspektakulär und dauert einen Vormittag: eine Liste aller eingesetzten KI-Systeme, je Eintrag die Rolle und die Frage, ob ein Transparenzhinweis nötig ist. Damit ist der akute Handlungsbedarf abgedeckt, und Sie haben die Grundlage, auf der die Vorbereitung auf 2027 überhaupt planbar wird.