KI-Regeln 2026: Was für dein Unternehmen jetzt wirklich gilt

Der 2. August 2026 steht seit Monaten in jedem Compliance-Kalender. Viele Betriebe haben ihre Planung daran ausgerichtet, Budget für Beratung reserviert und intern angekündigt, dass bis zu diesem Stichtag alles stehen muss, was mit künstlicher Intelligenz zu tun hat. Dann kam der 29. Juni.

An dem Tag wurde das Digital-Omnibus-Paket beschlossen. Es schiebt einen großen Teil der Pflichten aus der KI-Verordnung nach hinten. Wer sich vorbereitet hat, hat nicht umsonst gearbeitet. Der Zeitdruck sieht jetzt nur anders aus.

Was im August tatsächlich greift

Ab dem 2. August gelten die Transparenzpflichten aus Artikel 50. Menschen müssen erkennen können, dass sie mit einem KI-System sprechen. Künstlich erzeugte Bilder, Videos und Tonaufnahmen brauchen eine Kennzeichnung, die auch maschinell lesbar ist.

Für Systeme, die vorher schon im Markt waren, läuft die Frist bis zum 2. Dezember 2026.

Betroffen bist du, wenn ein Chatbot auf deiner Website läuft. Oder wenn generierte Bilder in der Werbung auftauchen. Für die meisten kleineren Betriebe ist das der komplette Umfang.

Was nach hinten gerutscht ist

Die strengen Auflagen für Hochrisiko-Systeme kommen später. Systeme nach Anhang III, also etwa Software für Bewerberauswahl oder Kreditentscheidungen, müssen erst am 2. Dezember 2027 fertig sein. Für Hochrisiko-KI, die in Produkte eingebaut ist, bleibt Zeit bis zum 2. August 2028.

Ein Jahr mehr, in einem Fall sogar zwei. Klingt entspannt. Ist es auch, solange die Zeit nicht einfach verstreicht.

Die Pflicht, die fast alle übersehen

Hier wird es unangenehm. Seit Februar 2025 gilt Artikel 4. Unternehmen müssen dafür sorgen, dass Mitarbeitende, die mit KI arbeiten, genug davon verstehen.

Keine Übergangsfrist. Keine Verschiebung. Das läuft seit anderthalb Jahren.

In der Praxis heißt das nicht, dass jeder ein Zertifikat braucht. Es heißt, dass jemand, der ein Sprachmodell für Kundenkorrespondenz einsetzt, ungefähr verstehen muss, wie das Ding funktioniert, an welchen Stellen es zuverlässig arbeitet und wo es anfängt, plausibel klingende Dinge zu erfinden, die niemand geprüft hat. Eine dokumentierte Einweisung deckt für viele Betriebe den Kern ab.

Ebenfalls seit Februar 2025 verboten sind bestimmte Anwendungen, etwa Emotionserkennung am Arbeitsplatz. Auch ohne Gnadenfrist.

Datenschutz ist die größere Baustelle

Über der KI-Verordnung geht gerade die DSGVO unter. Dabei ist sie im Tagesgeschäft wichtiger.

Sobald personenbezogene Daten in ein KI-Werkzeug fließen, gelten die bekannten Regeln. Rechtsgrundlage, Zweckbindung, ein Vertrag zur Auftragsverarbeitung mit dem Anbieter, Information der Betroffenen. Wer Bewerbungsunterlagen durch ein Sprachmodell schickt, ohne das geklärt zu haben, hat ein DSGVO-Problem, lange bevor die KI-Verordnung überhaupt greift.

Immerhin lässt sich die Frage klären. Die großen Anbieter haben Geschäftskonten mit Auftragsverarbeitungsvertrag und der Zusage, dass Eingaben nicht ins Training wandern. Das muss man aktiv einrichten. Im Privatkonto gilt es nicht, auch nicht im bezahlten.

Womit du diese Woche anfangen kannst

Schreib auf, welche KI-Werkzeuge im Haus benutzt werden. Nicht welche freigegeben sind, sondern welche tatsächlich laufen. Die Liste wird länger als erwartet.

Prüf danach für jedes Werkzeug, ob personenbezogene Daten hineingehen und ob ein Vertrag mit dem Anbieter existiert.

Setz dann eine Stunde für eine Einweisung an und halt fest, wer dabei war. Damit ist Artikel 4 für den Anfang abgedeckt.

Wo mein Rat aufhört

Das hier ist keine Rechtsberatung, ich bin kein Anwalt. Sobald ihr KI-Systeme selbst entwickelt und vertreibt oder in einem der Hochrisiko-Bereiche unterwegs seid, wird es deutlich komplizierter, als es hier steht. Dann führt am Fachanwalt kein Weg vorbei.

Für den Normalfall, ein Betrieb nutzt fertige Werkzeuge, reicht der Überblick oben, um nicht blind ins Risiko zu laufen.