Neue KI-Regeln aus Brüssel: Was am 2. August auch für Dich gilt

Falls der Begriff „EU AI Act" bei Dir bisher als vage Regulierungsdrohung durchgegangen ist, irgendwo zwischen DSGVO und Lieferkettengesetz einsortiert, dann bist Du in guter Gesellschaft. Die meisten Unternehmen halten das Thema bislang auf Distanz. Genau deshalb ist wichtig, was in den vergangenen Wochen im Hintergrund passiert ist.

Kurz zur Einordnung: Die EU-Verordnung über künstliche Intelligenz, üblicherweise KI-Verordnung genannt, regelt seit 2024, wie Unternehmen KI einsetzen dürfen. Sie ist in mehrere Stufen aufgeteilt, die zeitlich versetzt in Kraft treten. Der bislang größte Stichtag stand am 2. August 2026 im Kalender, mit umfangreichen Pflichten für sogenannte Hochrisiko-KI.

Das hat sich in den letzten Wochen deutlich verändert. Am 16. Juni hat das Europäische Parlament dem sogenannten Digital Omnibus zugestimmt, am 29. Juni der Rat der EU. Ein wesentlicher Teil der Hochrisiko-Pflichten rutscht damit um ein bis zwei Jahre nach hinten. Das ist die entlastende Nachricht. Die andere lautet: Ein anderer Teil der Regeln greift trotzdem am 2. August. Und der trifft genau die Werkzeuge, mit denen viele Betriebe schon heute selbstverständlich arbeiten.

Damit starten wir in Teil 1 der Serie: „Der Aufschub, den kaum jemand verstanden hat".

Der Aha-Effekt: Der Aufschub gilt nur der Hälfte

Wer monatelang auf einen Stichtag hin gearbeitet hat, atmet auf, wenn er verschoben wird. Verständlicher Reflex. Nur ist der Digital Omnibus keine flächendeckende Entwarnung. Verschoben werden die Pflichten mit dem größten Aufwand, also alles rund um Hochrisiko-KI. Was am 2. August trotzdem greift, sind die Regeln, die den Alltag deutlich näher berühren. Chatbots auf der eigenen Website. KI-generierte Produktbilder im Online-Shop. Automatisierte Antworten aus dem Kundenservice.

Was verschoben wird und was unangetastet bleibt

Der Entwurf, den der Rat am 29. Juni beschlossen hat, ist über hundert Seiten lang und in weiten Teilen trocken. Für den Geschäftsalltag lässt er sich auf drei Punkte reduzieren.

Der große Aufschub bei Hochrisiko-Systemen: Wer Hochrisiko-KI im Sinne von Anhang III der KI-Verordnung einsetzt, hatte bisher bis zum 2. August 2026 Zeit, die vollen Pflichten zu erfüllen. Der neue Termin liegt beim 2. Dezember 2027. Für KI, die als Sicherheitskomponente in ein Produkt eingebaut ist (Anhang I), verlängert sich die Frist sogar bis zum 2. August 2028. Für die meisten Unternehmen sind das die aufwendigsten Pflichten überhaupt, und sie verschaffen Dir jetzt eineinhalb bis zwei Jahre zusätzliche Luft.

Was am 2. August trotzdem scharfgestellt wird: Artikel 50 der KI-Verordnung, die Transparenzpflicht gegenüber Nutzern, greift wie geplant. Konkret: Wo in Deinem Betrieb ein Chatbot antwortet, wo Marketingbilder mit KI erzeugt werden oder wo ein System automatisch Kundenantworten formuliert, muss der Nutzer erkennen können, dass KI im Spiel ist. Zusätzlich bekommt die EU-Kommission ab diesem Datum die volle Durchsetzungsbefugnis gegenüber den Anbietern der großen Universal-Modelle wie GPT, Claude oder Gemini. Die Bußgeldstufe bleibt unverändert bei bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher liegt.

Was speziell für den Mittelstand neu ist: Der Digital Omnibus führt eine neue Kategorie ein, die sogenannten Small Mid-Caps mit bis zu 750 Mitarbeitenden oder 150 Millionen Euro Jahresumsatz. Sie bekommen die gleichen Erleichterungen wie kleine und mittlere Unternehmen: Schlankere Konformitätsbewertungen, weniger Dokumentation in klar umrissenen Anwendungsfällen und im Ernstfall geringere Bußgelder. Für einen typischen deutschen Familienbetrieb ist das die eigentliche gute Nachricht in dem Paket, weil hier real Zehntausende Euro dranhängen können.

Auch wer nur ChatGPT nutzt, ist plötzlich betroffen

Ein Punkt, der in den öffentlichen Debatten oft untergeht: Die Bezeichnung „Anbieter allgemein einsetzbarer KI-Modelle" trifft in erster Linie die Konzerne hinter den Modellen, also OpenAI, Google, Anthropic und andere. Wer diese Modelle aber im Alltag verwendet, ChatGPT im Vertrieb, Copilot in der Sachbearbeitung, einen Gemini-Assistenten im Kundenservice, gilt selbst als „Betreiber" im Sinne der Verordnung. Und Betreiber müssen ab dem 2. August in bestimmten Anwendungsfällen erkennbar machen, wenn ein Kunde tatsächlich mit oder über KI kommuniziert. Der richtige Zeitpunkt, die eigenen Kundenkommunikations-Wege einmal genau daraufhin durchzugehen, ist deshalb jetzt und nicht in der letzten Juli-Woche.

Warum jetzt aufatmen der teuerste Reflex wäre

Die Versuchung ist groß. Zwei Jahre mehr Zeit für die aufwendigsten Pflichten, das ist viel Luft. Nur weiß jeder, der schon einmal eine Compliance-Anforderung binnen weniger Wochen zusammenschustern musste, dass diese Rechnung selten aufgeht. Wer den Aufschub jetzt als Erlaubnis liest, das Thema wieder zur Seite zu legen und irgendwann im nächsten Jahr mit frischem Elan zu starten, wird spätestens im Herbst 2027 dieselbe Anspannung erleben, die er im Sommer 2026 gerade losgeworden ist. Klüger ist, das Tempo herauszunehmen, aber die Richtung beizubehalten. Weiterarbeiten, ohne dabei die Sommerpause aufzugeben.