Dieser Beitrag ist eine Einordnung aus IT-Sicht und keine Rechtsberatung.
Stand: November 2026. Um den EU AI Act gibt es viel Unsicherheit. Erst hieß es, ab August 2026 gelten umfangreiche Pflichten. Dann kam der Digital Omnibus und hat Fristen verschoben. Viele Geschäftsführer haben daraus geschlossen, dass das Thema erst einmal warten kann. Das ist leider nur halb richtig.
Was der Digital Omnibus verschoben hat
Der Digital Omnibus (Verordnung (EU) 2026/1744, veröffentlicht im Amtsblatt der EU am 24. Juli 2026) ist am 27. Juli 2026 in Kraft getreten. Er verschiebt vor allem die Pflichten für sogenannte Hochrisiko-KI. Dazu zählen eigenständige Systeme etwa in der Personalauswahl, bei der Kreditvergabe oder in kritischer Infrastruktur. Diese Pflichten gelten jetzt ab dem 2. Dezember 2027. Für KI, die in regulierten Produkten verbaut ist, gilt der 2. August 2028.
Was trotzdem schon gilt
Andere Teile des AI Act laufen unverändert weiter:
- KI-Kompetenz: Seit Februar 2025 gilt die Pflicht zur KI-Kompetenz. Der Omnibus hat sie gelockert: Unternehmen müssen Maßnahmen ergreifen, damit Mitarbeitende, die mit KI arbeiten, die nötige Kompetenz aufbauen. Ein bestimmtes Niveau ist nicht mehr vorgeschrieben, eine dokumentierte Schulung bleibt der einfachste Nachweis.
- Transparenzpflichten nach Artikel 50: Seit dem 2. August 2026 müssen Menschen erkennen können, wenn sie mit einem KI-System sprechen oder wenn Inhalte künstlich erzeugt wurden. Das betrifft zum Beispiel Chatbots auf der Website oder KI-generierte Bilder. Anbieter von KI-Generatoren, die schon vor dem 2. August 2026 auf dem Markt waren, haben für die technische Kennzeichnung bis zum 2. Dezember 2026 Zeit.
- Neues Verbot ab 2. Dezember 2026: Der Omnibus ergänzt ein Verbot von KI-Systemen zur Erzeugung nicht einvernehmlicher intimer Bilder und von Missbrauchsdarstellungen.
Kennzeichnung wird technisch einfacher
Passend dazu hat Google am 7. Oktober sein Prüfportal SynthID Detector für alle geöffnet. Damit lässt sich prüfen, ob eine Datei ein unsichtbares KI-Wasserzeichen enthält. Laut Bericht erkennt das Portal auch Inhalte von Partnern wie OpenAI, die dieselbe Technik übernommen haben. Für Unternehmen zeigt das: Die Kennzeichnung von KI-Inhalten wird zum Standard, auch technisch.
Standpunkt von MintCode Solutions
Einordnung von MintCode
MintCode Solutions sieht die Verschiebung der Hochrisiko-Pflichten im EU AI Act als gewonnene Vorbereitungszeit für KMU, nicht als Entwarnung. Vernünftig ist sie trotzdem, weil viele technische Normen schlicht noch nicht fertig waren.
Unsere Erfahrung aus KI-Projekten ist: Die meisten Pflichten des AI Act decken sich mit dem, was ohnehin gute Praxis ist. Wissen, welche KI im Unternehmen läuft. Mitarbeitende so schulen, dass sie Ergebnisse prüfen können. Kennzeichnen, wenn ein Kunde mit einem Bot spricht. Und dokumentieren, wer was entscheidet. Wer seine KI so einführt, muss 2027 nicht hektisch nacharbeiten.
Wichtig ist uns auch ein Punkt, der in der Diskussion oft untergeht: Für die meisten KMU wird es gar nicht um Hochrisiko-KI gehen. Ein Agent, der Lieferscheine ausliest oder Wissen durchsuchbar macht, fällt in der Regel nicht darunter. Anders sieht es aus, wenn KI etwa Bewerbungen vorsortiert. Dann lohnt sich eine genaue Prüfung.
Was KMU jetzt tun sollten
Wir bei MintCode AI empfehlen KMU fünf Schritte, um sich trotz der Verschiebung auf den EU AI Act vorzubereiten:
- KI-Inventar anlegen. Welche KI-Werkzeuge nutzen Ihre Mitarbeitenden heute, offiziell und inoffiziell?
- Schulung dokumentieren. Eine kurze, regelmäßige Schulung mit Nachweis reicht als Einstieg.
- Kennzeichnung prüfen. Chatbots auf der Website und KI-generierte Inhalte sichtbar als solche markieren.
- Hochrisiko prüfen. Setzen Sie KI in Personalthemen, Kreditentscheidungen oder kritischen Bereichen ein? Dann rechtzeitig beraten lassen.
- Dokumentation mitdenken. Neue KI-Projekte gleich so aufsetzen, dass Entscheidungen und Ergebnisse nachvollziehbar sind.
