KI-Verordnung: Was der 2. August 2026 für Ihr Unternehmen wirklich bedeutet
Seit dem 2. August 2026 gilt ein Teil der EU-KI-Verordnung, ein anderer wurde in letzter Minute verschoben. Wer beides vermischt, handelt entweder aus unnötiger Panik oder übersieht ein teures Versäumnis. Hier die sortierte Version für kleine und mittlere Unternehmen.
Mit KI unterstützt · menschlich verantwortet
Wir lassen die KI mitfahren, ans Steuer lässt sich bei uns trotzdem nur der Mensch.
Als Bertha Benz 1888 mit dem Automobil ihres Mannes nach Pforzheim fuhr, war die Maschine für viele „Teufelszeug“, eine „Kutsche ohne Pferd“. Selbst Kaiser Wilhelm II. soll gesagt haben: „Ich glaube an das Pferd. Das Automobil ist eine vorübergehende Erscheinung.“ Ob er das wirklich gesagt hat, ist unter Zitatforschern umstritten, belegt ist der Satz erst gut hundert Jahre später. Die Stimmung der Zeit trifft er trotzdem ziemlich genau. Bertha Benz ist gefahren, quer durchs Land, öffentlich sichtbar, und aus der Skepsis wurde binnen weniger Jahre eine ganze Industrie. Kurz: Wir lassen die KI mitfahren, ans Steuer lässt sich bei uns trotzdem nur der Mensch. Fragen dazu? Sprechen Sie uns gerne an.
Kurz zusammengefasst
Seit dem 2. August 2026 müssen Unternehmen KI-Chatbots kennzeichnen und Deepfakes offenlegen (Art. 50 KI-VO). Die strengeren Pflichten für Hochrisiko-KI, etwa in der Bewerberauswahl, wurden durch den sogenannten Digital Omnibus um 17 Monate auf Dezember 2027 verschoben. Für die meisten KMU heißt das: Handeln bei Chatbots und generativen Tools, aber noch keine Panik bei komplexen KI-Systemen.
Wenn Sie in den letzten Wochen den Eindruck hatten, die KI-Verordnung sei "irgendwie jetzt scharf, aber irgendwie auch nicht", liegen Sie damit nicht falsch. Am 2. August 2026 ist tatsächlich ein Teil der Verordnung in Kraft getreten. Fast zeitgleich hat die EU einen anderen, ursprünglich für denselben Tag geplanten Teil um mehr als ein Jahr verschoben. Beides gleichzeitig, an nahezu demselben Datum, hat für einige Verwirrung gesorgt, gerade bei Geschäftsführern, die keine Zeit haben, Brüsseler Verfahrensdetails zu verfolgen.
Wir sortieren das für Sie, mit Blick auf das, was für ein Unternehmen mit 10 bis 50 Mitarbeitenden tatsächlich relevant ist, nicht auf das, was Konzernjuristen beschäftigt.
Was seit dem 2. August 2026 tatsächlich gilt
Der Teil, der wirklich in Kraft ist, betrifft Transparenzpflichten nach Artikel 50 der KI-Verordnung. Er gilt unabhängig von der Unternehmensgröße, eine Ausnahme für KMU sieht der Gesetzestext hier nicht vor. Konkret geht es um drei Fälle:
- Chatbots und Voicebots: Nutzt Ihre Website einen KI-gestützten Chat oder eine Telefon-Voicebot-Lösung, muss für die Person erkennbar sein, dass sie mit einer KI und nicht mit einem Menschen kommuniziert, sofern das nicht ohnehin offensichtlich ist.
- Deepfakes: Bild-, Video- oder Audioinhalte, die täuschend echt wirken, aber KI-generiert oder -manipuliert sind, müssen als solche offengelegt werden.
- Bestimmte KI-generierte Inhalte: Wer KI-generierte Texte oder Medien zu Zwecken der Information der Öffentlichkeit veröffentlicht, etwa journalistisch anmutende Inhalte, muss dies kenntlich machen. Eine pauschale Kennzeichnungspflicht für jedes mit KI unterstützte Bild oder jeden mit ChatGPT vorformulierten Social-Media-Post besteht dagegen nicht.
Für Systeme, die bereits vor dem 2. August 2026 im Einsatz waren, gilt eine Übergangsfrist bis zum 2. Dezember 2026. Wer seinen Chatbot also schon seit 2024 nutzt, muss nicht am 3. August die Website umbauen, sollte das Thema aber bis Anfang Dezember erledigt haben.
Was der Digital Omnibus verschoben hat
Der zweite, deutlich komplexere Teil der Verordnung betrifft sogenannte Hochrisiko-KI-Systeme, etwa Software zur automatisierten Bewerberauswahl, zur Kreditwürdigkeitsprüfung oder zu biometrischer Erkennung. Für diese Systeme sollten ab dem 2. August 2026 umfangreiche Pflichten gelten: Risikomanagement, technische Dokumentation, menschliche Aufsicht, CE-Kennzeichnung.
Im Sommer 2026 haben sich EU-Parlament und Rat im Rahmen des "Digital Omnibus" darauf verständigt, diese Frist deutlich nach hinten zu verschieben:
| Systemtyp | Ursprüngliche Frist | Neue Frist |
|---|---|---|
| Eigenständige Hochrisiko-Systeme (z. B. Bewerberauswahl, Bonitätsprüfung) | 2. August 2026 | 2. Dezember 2027 |
| KI als Sicherheitsbauteil in regulierten Produkten (z. B. Medizinprodukte, Maschinen) | 2. August 2027 | 2. August 2028 |
Wichtig dabei: Es handelt sich um eine Fristverschiebung, kein Moratorium. Die inhaltlichen Anforderungen bleiben, nur der Zeitpunkt rückt weiter weg. Wer heute schon plant, ein Bewerbermanagement-Tool mit automatisierter Vorauswahl einzuführen, tut gut daran, die kommenden Pflichten bereits mitzudenken, statt in anderthalb Jahren unter Zeitdruck nachzurüsten.
Zur Einordnung
Die hier genannten Fristen spiegeln den Stand zum Redaktionsschluss wider. Der Digital Omnibus durchlief im Sommer 2026 die letzten Schritte des EU-Gesetzgebungsverfahrens. Bei einer konkreten rechtlichen Einzelfallprüfung empfehlen wir, den aktuellen Umsetzungsstand zusätzlich bei einer auf IT-Recht spezialisierten Kanzlei oder direkt bei der EU-Kommission zu verifizieren.
Was das für Sie als KMU konkret bedeutet
Wenig überraschend lässt sich die Lage in zwei Kategorien aufteilen: Dinge, die diese Woche noch erledigt werden sollten, und Dinge, für die tatsächlich Zeit bleibt.
Jetzt erledigen
- Prüfen, ob Chatbot, Voicebot oder ähnliche KI-Kontaktpunkte auf der eigenen Website oder am Telefon eindeutig als KI erkennbar sind.
- Ein kurzes KI-Inventar erstellen: Welche KI-Werkzeuge sind im Unternehmen im Einsatz, intern wie kundenseitig? Ohne diese Übersicht lässt sich keine der weiteren Fragen sauber beantworten.
- Prüfen, ob im Marketing oder in der Kommunikation Deepfake-nahe Inhalte entstehen, etwa KI-generierte Testimonial-Videos, und diese entsprechend kennzeichnen.
- Mitarbeitende zum Umgang mit den eingesetzten KI-Tools schulen und das kurz dokumentieren. Diese Pflicht (Art. 4 KI-VO, KI-Kompetenz) gilt bereits seit Februar 2025 und wird bei Prüfungen gern übersehen.
Beobachten, aber nicht überstürzen
- Hochrisiko-Anwendungen wie automatisierte Bewerbervorauswahl oder Bonitätsprüfung: rechtlich noch bis Ende 2027 Zeit, aber ein guter Moment, um bei Neueinführungen die künftigen Anforderungen von Anfang an mitzudenken.
- Umfangreiche Dokumentations- und Risikomanagementsysteme: erst relevant, wenn tatsächlich Hochrisiko-Systeme im Einsatz sind, nicht für den Einsatz von ChatGPT, Copilot oder ähnlichen Alltagswerkzeugen.
Was ein Verstoß kosten kann
Die KI-Verordnung staffelt Bußgelder nach Schwere des Verstoßes. Für Verstöße gegen die Transparenzpflichten aus Artikel 50, also den Teil, der Sie aktuell betrifft, drohen Bußgelder bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Für kleine und mittlere Unternehmen sowie Start-ups gilt dabei jeweils der niedrigere der beiden Werte als Obergrenze, in der Praxis für die meisten KMU also der Prozentsatz vom Umsatz, nicht die absolute Millionensumme.
Die deutlich höheren Sätze von bis zu 35 Millionen Euro oder 7 Prozent Jahresumsatz betreffen ausschließlich verbotene KI-Praktiken wie Social Scoring oder bestimmte biometrische Echtzeit-Überwachung, Bereiche, in denen sich die allermeisten KMU ohnehin nicht bewegen.
Ein Punkt, der in den bisherigen Diskussionen oft untergeht: Auch ohne behördliche Kontrolle können Wettbewerber oder Verbraucherschutzverbände einen fehlenden Chatbot-Hinweis wettbewerbsrechtlich abmahnen. Das kann schneller passieren als ein Bußgeldverfahren.
Beispiel aus der Praxis
Eine Steuerberatungskanzlei mit 22 Mitarbeitenden hat auf ihrer Website seit 2025 einen KI-Chat für die Terminvereinbarung im Einsatz und nutzt für LinkedIn-Beiträge gelegentlich KI-generierte Grafiken. Der Chatbot lief bislang ohne jeden Hinweis auf KI. Nach unserer Einschätzung braucht es hier keine Rechtsabteilung, sondern zwei kleine, schnell umsetzbare Änderungen: einen sichtbaren Hinweis im Chat-Fenster ("Sie sprechen mit unserem KI-Assistenten") und, falls die LinkedIn-Grafiken als Werbung erkennbar bleiben und nicht als redaktioneller Inhalt zur Information der Öffentlichkeit auftreten, in aller Regel keinen weiteren Handlungsbedarf. Genau diese Einordnung, was wirklich zu tun ist und was nicht, ist in der Praxis oft der eigentliche Aufwand, nicht die Umsetzung selbst.
Unsere Einschätzung
Wir haben die eigene KI-Nutzung bei DynaGroup vor einiger Zeit in einer internen KI-Richtlinie festgehalten, unter anderem, weil uns genau diese Frage beschäftigt hat: Wo ziehen wir die Grenze zwischen "muss dokumentiert werden" und "ist einfach ein Werkzeug wie jedes andere"? Diese Erfahrung fließt in die Beratung ein, die wir Kunden anbieten: kein pauschales Abarbeiten von Prüflisten, sondern eine Einordnung, die zur tatsächlichen Größe und zum tatsächlichen KI-Einsatz des jeweiligen Unternehmens passt.
Wenn Sie sich unsicher sind, wo Ihr Unternehmen aktuell steht, welche der oben genannten Punkte für Sie überhaupt relevant sind und was davon wirklich Priorität hat, ist das genau die Art von Frage, die sich in einem kurzen, unverbindlichen Gespräch meist schneller klären lässt als am eigenen Schreibtisch.
Weiterführende, seriöse Quellen:
- Europäische Kommission: Regulatory framework on AI (offizielle Übersicht)
- IHK Schleswig-Holstein: Transparenz- und Kennzeichnungspflichten für KI-Systeme
Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall. Er dient der allgemeinen Orientierung auf Basis des Rechtsstands vom 20. August 2026.
Passt das zu einer Frage, die Sie gerade beschäftigt?
In einem unverbindlichen Erstgespräch klären wir in 30 Minuten, was für Ihr Unternehmen sinnvoll ist.