EU AI Act: Was hat sich am 27. Juli 2026 wirklich geändert?

Am 27. Juli 2026 ist die Digital-Omnibus-VO (EU) 2026/1744 wirksam geworden und hat die KI-Verordnung (EU) 2024/1689 an zwei Stellen wirklich verändert: Aus der Schulungspflicht wurde eine Maßnahmen-Pflicht, und die Hochrisiko-Fristen sind auf 2027 und 2028 gerutscht. Den dritten Baustein hat der Omnibus bewusst nicht angefasst: Die Kennzeichnungspflichten aus Art. 50 gelten unverändert weiter, seit dem 2. August 2026. Wer Ihnen sagt, die Schulungspflicht sei komplett weg, oder jetzt sei erstmal alles verschoben, erzählt Ihnen die halbe Wahrheit.

Wir haben die Änderungen sortiert und jede Aussage mit ihrer Fundstelle versehen — damit Sie es nicht selbst tun müssen. Hier ist, was sich wirklich geändert hat, und was nur so klingt, als hätte es sich geändert.

Die Schulungspflicht-Panik trifft auf eine Maßnahmen-Pflicht

Bis zum 27. Juli 2026 verlangte Art. 4 KI-VO, „sicherzustellen“, dass Personal über ein ausreichendes Maß an KI-Kompetenz verfügt — eine Ergebnispflicht mit messbarem Ziel. Der Digital Omnibus hat daraus eine Pflicht gemacht, Maßnahmen zu ergreifen, die die Entwicklung dieser Kompetenz unterstützen (Art. 4 KI-VO i.d.F. VO (EU) 2026/1744). Ein Kompetenzniveau müssen Sie seither nicht mehr garantieren.

Klingt nach Entlastung — ist aber nur die halbe Geschichte. Die Pflicht selbst bleibt, und ohne dokumentierte Maßnahme, die zu Ihrem konkreten KI-Einsatz passt, fehlt weiterhin die Belegkette gegenüber Behörden, Kunden oder im Streitfall. Wer jetzt gar nichts mehr tut, verwechselt eine mildere Pflicht mit keiner Pflicht.

Der Vorteil für Sie: Sie können das Schulungsniveau an den tatsächlichen Einsatz anpassen, statt pauschal zu überschulen. Ein Vertriebsteam, das Angebote mit einem Textassistenten formuliert, braucht typischerweise andere Maßnahmen als eine Entwicklungsabteilung mit Code-Assistenten — Sie entscheiden risikobasiert, dokumentieren es, und sind fertig.

„Hochrisiko läuft schon“ — nein, aber die Vorbereitungszeit läuft

Die zweite Änderung betrifft Hochrisiko-Systeme wie Bewerber-Screening oder Kreditwürdigkeitsprüfung (Anhang III KI-VO): Ihre Pflichten greifen jetzt erst ab dem 2. Dezember 2027. Für KI, die in Produkte eingebettet ist — etwa Medizingeräte oder Maschinen (Anhang I KI-VO) —, verschiebt sich der Termin auf den 2. August 2028. Der Bestandsschutz für bereits laufende Systeme knüpft an dieselben Daten (Art. 111, 113 KI-VO).

Verschoben ist nicht aufgehoben. Wer heute ein Hochrisiko-System plant oder betreibt, hat mehr Zeit — nicht weniger Pflicht. Die Termine 2027 und 2028 kommen so sicher, wie der 2. August 2026 kam.

Der Nutzen der Verschiebung ist real, wenn Sie ihn nutzen: Sie können ein Hochrisiko-System von Anfang an sauber aufbauen, statt es kurz vor knapp nachzurüsten. Das ist in aller Regel günstiger und deutlich weniger stressig als jede Last-Minute-Aktion.

Der Entwarnungs-Irrtum: Art. 50 gilt längst

Von der Verschiebung nicht betroffen sind die Transparenzpflichten aus Art. 50 Abs. 1 bis 6 KI-VO: Kennzeichnung von Chatbots, von KI-generierten Inhalten, von Deepfakes. Sie gelten unverändert seit dem 2. August 2026. Einzige Übergangsfrist: Wer ein KI-System vor diesem Datum bereits im Einsatz hatte, muss die maschinenlesbare Kennzeichnung erst bis zum 2. Dezember 2026 nachrüsten (Art. 111 Abs. 4 KI-VO).

Diese Übergangsfrist wird im Markt regelmäßig zu weit dargestellt, deshalb hier genau: Sie gilt nur für Anbieter, nur für die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 — und nur für Systeme, die vorher schon in Verkehr waren. Wenn Sie als Betreiber einen Deepfake oder einen KI-erzeugten Text zu einer Angelegenheit von öffentlichem Interesse veröffentlichen, gilt die Offenlegungspflicht aus Art. 50 Abs. 4 KI-VO ohne jede Schonfrist.

Zur Einordnung, nicht zur Drohung: Verstöße gegen Art. 50 können mit bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden (Art. 99 Abs. 4 lit. g KI-VO), verbotene Praktiken mit bis zu 35 Millionen Euro oder 7 % (Art. 99 Abs. 3 KI-VO). Fast überall werden diese Zahlen ohne den Satz zitiert, der für kleinere Unternehmen den Unterschied macht: Bei KMU und Start-ups gilt jeweils der niedrigere der beiden Werte, nicht der höhere (Art. 99 Abs. 6 KI-VO) — seit dem Digital Omnibus gilt dasselbe für kleine Midcap-Unternehmen (Art. 99 Abs. 6a KI-VO). Es bleiben Rahmenwerte für den Ernstfall, keine Prognose für Ihr Unternehmen.

Wir sehen gerade beides im Markt: Anbieter, die noch mit der alten, schärferen Fassung von Art. 4 werben („Sie MÜSSEN sicherstellen!“), und Anbieter, die pauschal Entwarnung geben, weil „ja alles verschoben“ sei. Beides stimmt nicht — und wer sich danach richtet, tut entweder zu viel oder zu wenig. Nachlesen, was tatsächlich gilt, spart in beide Richtungen bares Geld.

Was das für Ihr Unternehmen praktisch bedeutet

Vier To-dos, die sich aus dem 27. Juli ergeben: Erstens, KI-Inventar prüfen oder anlegen — welche Tools sind bei Ihnen tatsächlich im Einsatz. Zweitens, für jeden Einsatz eine passende, dokumentierte Kompetenz-Maßnahme festlegen (Art. 4 n.F.). Drittens, prüfen, ob eigene Chatbots oder KI-Inhalte die Kennzeichnung nach Art. 50 tragen — bei Altsystemen bis zum 2. Dezember 2026 nachrüsten. Viertens, falls Hochrisiko-Pläne bestehen: die Termine 2027 und 2028 im Blick behalten, nicht abhaken.

Der Rechtsstand vom 27. Juli 2026 ist an keiner Stelle ein Grund zum Durchatmen und keiner zur Panik — er ist ein Grund, genau nachzusehen, was für Ihren konkreten Fall gilt. Wo Sie heute stehen, zeigt Ihnen unser 30-Sekunden-Check, mit dem Rechtsstand von heute — nicht von vor der Omnibus-Novelle.