Kaum ein Gesetz hat zuletzt für so viel Verwirrung gesorgt wie die KI-Verordnung. Erst hieß es, ab dem 2. August 2026 gelte alles, dann machte die Nachricht von einer Verschiebung die Runde. Beides ist so nicht richtig. Seit dem 2. August 2026 ist die Verordnung in weiten Teilen anwendbar, ein zentraler Teil wurde kurz vorher verschoben und Deutschland hat geklärt, wer kontrolliert. Wir ordnen den Stand nüchtern ein. Denn in vielen Betrieben ist KI längst im Einsatz, oft ohne dass die Geschäftsführung den Überblick hat. Laut Bitkom nutzten 2025 zehn Prozent der Erwerbstätigen generative KI im Beruf ohne Wissen des Arbeitgebers, doppelt so viele wie im Jahr davor.
Was seit dem 2. August 2026 gilt
Zum 2. August 2026 sind vor allem die Transparenzpflichten nach Artikel 50 anwendbar geworden. Sie treffen eine breite Masse von Unternehmen, weil sie schon beim alltäglichen KI-Einsatz greifen. Wer mit einem Chatbot direkt mit Menschen interagiert, muss offenlegen, dass es eine KI ist, sofern das nicht offensichtlich ist. KI-generierte Inhalte wie Texte, Bilder, Audio oder Video müssen als solche erkennbar sein, und Deepfakes müssen gekennzeichnet werden. Für Systeme, die vor dem 2. August 2026 bereits auf dem Markt waren, läuft für die maschinenlesbare Kennzeichnung eine Übergangsfrist bis zum 2. Dezember 2026.
Zwei Stufen gelten schon länger und werden im Mittelstand oft übersehen: Die Verbote bestimmter KI-Praktiken, etwa Social Scoring oder Emotionserkennung am Arbeitsplatz, gelten seit Februar 2025 unter den gesetzlichen Voraussetzungen. Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gelten seit August 2025 und treffen vor allem die großen Modellanbieter, nicht deren Nutzer.
Was der Digital Omnibus verschoben hat
Die Digital-Omnibus-Verordnung zur KI, Verordnung (EU) 2026/1744, ist seit dem 27. Juli 2026 geltendes Recht. Sie verschärft nicht, sondern entlastet in wesentlichen Bereichen:
- Hochrisiko-Fristen verschoben: Die zentralen Pflichten für Hochrisiko-KI gelten später. Für eigenständige Systeme nach Anhang III, etwa Software zur Vorauswahl von Bewerbern oder zur Kreditwürdigkeitsprüfung, ab dem 2. Dezember 2027. Für in Produkte eingebettete Hochrisiko-KI nach Anhang I ab dem 2. August 2028.
- Engerer Hochrisiko-Begriff: KI zur Unterstützung, Automatisierung oder Qualitätskontrolle gilt nur noch dann als hochriskant, wenn ihr Ausfall echte Risiken für Gesundheit oder Sicherheit auslösen kann. Ein Assistenzsystem, das nur Vorschläge macht, fällt seltener darunter als eine KI, die selbst entscheidet. Die eigene Risikobeurteilung wird damit wichtiger.
- KI-Kompetenz abgeschwächt: Anbieter und Betreiber müssen nur noch Maßnahmen zur Förderung von KI-Kompetenz ergreifen. Ein bestimmter Wissensstand einzelner Personen muss nicht garantiert werden. Schulungen und interne Leitlinien, etwa welche Tools erlaubt und welche Daten tabu sind, bleiben praktisch trotzdem sinnvoll.
- Erleichterungen für den Mittelstand: Die neue Kategorie der Small Midcap Companies, also Betriebe oberhalb der KMU-Schwelle, aber unterhalb der Großunternehmen, wird teils den KMU gleichgestellt, etwa mit vereinfachter technischer Dokumentation und Erleichterungen beim Qualitätsmanagement.
Wer in Deutschland kontrolliert und was Verstöße kosten
Parallel hat Deutschland seine Aufsicht festgezurrt. Das KI-Durchführungsgesetz ist Ende Juli 2026 in Kraft getreten. Zentrale Marktüberwachungsbehörde wird die Bundesnetzagentur, mit einem Koordinierungs- und Kompetenzzentrum, einem Service-Desk als Anlaufstelle und einer Beschwerdestelle, an die sich auch Wettbewerber und Betroffene wenden können. Die Aufsicht ist damit keine abstrakte EU-Angelegenheit mehr, sondern eine deutsche Behörde mit Zuständigkeit und Beschwerdeweg.
Der Bußgeldrahmen des AI Act ist gestuft. Bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken nach Artikel 5. Bis zu 15 Millionen Euro oder drei Prozent bei Verstößen gegen die meisten anderen Pflichten. Bis zu 7,5 Millionen Euro oder ein Prozent bei falschen Angaben gegenüber Behörden. Maßgeblich ist jeweils der höhere Betrag, für kleine und mittlere Unternehmen dagegen der niedrigere. Die Zahlen sind bewusst hoch angesetzt, in der Praxis bemisst sich das Bußgeld am Einzelfall.
Wen es betrifft und wie wir Sie unterstützen
Ein verbreiteter Kurzschluss lautet: Sobald irgendwo KI genutzt wird, gelten sofort alle Pflichten. So ist es nicht. Der AI Act knüpft an Rollen und konkrete Systeme an. Wer fremde KI einsetzt, ist meist Betreiber mit überschaubaren Pflichten. Wer selbst entwickelt oder unter eigenem Namen vermarktet, kann zum Anbieter werden. Was gilt, hängt von Rolle, Verwendungszweck und Risikoklasse ab. Den ersten Schritt aber hat jeder Betrieb: wissen, welche KI überhaupt im Haus läuft.
Genau hier setzen wir an. Bei ankerkern bauen wir KI als Methodik auf einer sicheren Plattform, auf der der digitale Organisations-Zwilling Use Case für Use Case entsteht. Wir nehmen zuerst Prozesse, Systeme und Datenflüsse auf, gemeinsam mit den Menschen, die sie täglich ausführen. Daraus entsteht ein klares Bild der eingesetzten KI, die Grundlage für ein KI-Inventar. Jeder KI-Agent läuft zunächst im Parallelbetrieb, sein Ergebnis geht zur Kontrolle an den Menschen, jede Aktion wird protokolliert. Live geht nur, was die vereinbarten Qualitätskriterien erfüllt und Sie entscheiden, welcher Use Case live geht.
Menschliche Aufsicht, Protokollierung und Dokumentation, in der EU gehostet, unterstützen zentrale Anforderungen der Verordnung. Ob der konkrete Einsatz konform ist, hängt immer von Konfiguration, Daten, Zweck und Prozessen ab und gehört in eine fachliche Prüfung. Wir liefern die Struktur, auf der diese Prüfung leicht statt schwer wird. Und ein sicheres Werkzeug ist der wirksamste Hebel gegen Schatten-KI, ergänzt um klare Regeln und Schulung.
Unsere Empfehlung: Verschaffen Sie sich zuerst einen ehrlichen Überblick, welche KI in Ihrem Betrieb läuft, auch inoffiziell. Prüfen Sie alle Berührungspunkte, an denen KI mit Kunden interagiert oder Inhalte erzeugt und klären Sie die Kennzeichnung. Dieser Text ist eine Einordnung und ersetzt keine Rechtsberatung. Die Bewertung Ihrer konkreten Systeme gehört in eine Einzelfallprüfung, gern gemeinsam mit uns.
Sie wollen wissen, welche KI in Ihrem Betrieb läuft und wie Sie sie sauber aufsetzen? 45 Minuten Erstgespräch, ehrlich und unverbindlich.