KI-Verordnung: Pflichten für Unternehmen nach dem Digital Omnibus

Welche Vorgaben seit August 2026 gelten, welche Fristen verschoben wurden und welche Verbote im Dezember hinzukommen

Viele Unternehmen haben ihre Planung auf den 2. August 2026 ausgerichtet. Kurz vor diesem Stichtag hat die EU die KI-Verordnung jedoch umfassend geändert. Welche Pflichten der KI-Verordnung für Unternehmen jetzt tatsächlich gelten, ist seitdem für viele Verantwortliche unklar: Einzelne Pflichtenblöcke wurden verschoben, andere abgeschwächt, neue Verbote kommen hinzu. Gleichzeitig hat in Deutschland die Marktüberwachung begonnen. Dieser Beitrag ordnet den aktuellen Stand ein, zeigt die neuen Stichtage und beschreibt, wie Unternehmen die Umsetzung jetzt strukturieren.

Digital Omnibus: Was sich an der KI-Verordnung geändert hat

Die Digital-Omnibus-Verordnung zur KI, die Verordnung (EU) 2026/1744 vom 8. Juli 2026, wurde am 24. Juli 2026 im Amtsblatt der EU veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Sie ändert die KI-Verordnung, also die Verordnung (EU) 2024/1689, an zahlreichen Stellen. Seit diesem Tag gilt die KI-Verordnung nur noch in der geänderten Fassung.

Für die Einordnung ist ein Punkt entscheidend: Eine pauschale Verschiebung hat es nicht gegeben. Der 2. August 2026 bleibt der allgemeine Geltungsbeginn der Verordnung. Der Gesetzgeber hat gezielt einzelne Pflichtenblöcke verschoben, vor allem die Anforderungen an Hochrisiko-KI-Systeme. Zugleich wurde die Pflicht zur KI-Kompetenz entschärft, es gibt Erleichterungen für kleine und mittlere Unternehmen sowie für Unternehmen mit mittlerer Kapitalisierung, und das europäische KI-Büro erhält deutlich erweiterte Befugnisse.

Hinzu kommen zwei neue Verbote in Art. 5 KI-VO. Die Regulierung wurde damit nicht zurückgenommen, sondern zeitlich neu geordnet und stärker auf die Durchsetzung ausgerichtet. Den vollständigen zeitlichen Rahmen zeigt unser Fristen-Fahrplan zur KI-Verordnung.

Lassen Sie prüfen, ob Ihre bisherige Umsetzungsplanung noch auf der alten Fassung beruht, denn mehrere Stichtage und Pflichteninhalte haben sich geändert.

KI-Verordnung Pflichten für Unternehmen: Was seit dem 2. August 2026 gilt

Für die meisten Unternehmen bestimmen nicht die Hochrisiko-Vorschriften den Alltag, sondern Pflichten, die bereits heute greifen. Sie betreffen grundsätzlich jedes Unternehmen, das KI-Systeme entwickelt, vertreibt oder im eigenen Geschäftsbetrieb einsetzt.

Verbotene KI-Praktiken nach Art. 5 KI-VO

Die Verbote gelten schon seit dem 2. Februar 2025. Erfasst sind unter anderem manipulative Techniken, die Ausnutzung von Schutzbedürftigkeit, Social Scoring sowie die Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, sofern keine medizinischen oder sicherheitsbezogenen Gründe vorliegen. Mit dem KI-MIG gibt es in Deutschland nun auch eine benannte Behörde, die die Einhaltung überwacht.

KI-Kompetenz nach Art. 4 KI-VO in neuer Fassung

Bislang mussten Anbieter und Betreiber ein ausreichendes Maß an KI-Kompetenz ihres Personals sicherstellen. Seit dem 27. Juli 2026 verlangt Art. 4 KI-VO nur noch, Maßnahmen zur Förderung der KI-Kompetenz zu ergreifen. Die Vorschrift stellt ausdrücklich klar, dass kein bestimmtes Kompetenzniveau einzelner Personen gefordert ist. Zu berücksichtigen bleiben technische Kenntnisse, Erfahrung, Ausbildung und der konkrete Einsatzkontext.

Die Abschwächung ist kein Freibrief. Wer im Prüfungsfall keine Maßnahmen belegen kann, hat wenig vorzuweisen, und auch im Haftungs- und Arbeitsrecht bleiben geschulte Mitarbeitende ein wichtiges Argument. Wie sich die Pflicht praktisch umsetzen lässt, zeigen unsere Seiten zur KI-Kompetenzpflicht nach Art. 4 KI-VO und zu KI-Schulungen für Unternehmen.

Transparenzpflichten nach Art. 50 KI-VO

Die Transparenzpflichten wurden nicht verschoben. Seit dem 2. August 2026 müssen Menschen erfahren, dass sie mit einem KI-System interagieren, etwa mit einem Chatbot im Kundenservice (Art. 50 Abs. 1 KI-VO). Betreiber müssen Deepfakes offenlegen und KI-generierte Texte zu Angelegenheiten von öffentlichem Interesse kennzeichnen, sofern niemand die redaktionelle Verantwortung übernimmt (Art. 50 Abs. 4 KI-VO). Anbieter generativer Systeme müssen deren Ausgaben maschinenlesbar markieren (Art. 50 Abs. 2 KI-VO). Für generative Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, gilt dafür eine Übergangsfrist bis zum 2. Dezember 2026.

Pflichten für KI-Modelle mit allgemeinem Verwendungszweck

Anbieter von KI-Modellen mit allgemeinem Verwendungszweck unterliegen bereits seit dem 2. August 2025 den Pflichten der Art. 53 ff. KI-VO, darunter technische Dokumentation, Informationen für nachgelagerte Anbieter und eine Strategie zur Einhaltung des Urheberrechts. Unternehmen, die solche Modelle nur über Schnittstellen nutzen, sind davon nicht unmittelbar betroffen. Sie sollten aber vertraglich sicherstellen, dass sie die Informationen erhalten, die sie für ihre eigenen Pflichten benötigen.

Lassen Sie für jedes eingesetzte System dokumentieren, welche dieser Pflichten es auslöst, bevor eine Behörde danach fragt.

Neue Verbote ab dem 2. Dezember 2026: Nudifier-Apps und Missbrauchsdarstellungen

Mit dem Digital Omnibus erweitert die EU den Katalog verbotener Praktiken. Ab dem 2. Dezember 2026 sind das Inverkehrbringen, die Inbetriebnahme und die Verwendung von KI-Systemen verboten, die nicht einvernehmliches intimes Bildmaterial identifizierbarer Personen erzeugen oder manipulieren. Ebenso verboten sind Systeme, die Darstellungen sexuellen Kindesmissbrauchs erzeugen oder manipulieren.

Für Anbieter greift das Verbot, wenn die Erzeugung solcher Inhalte der Zweckbestimmung des Systems entspricht oder wenn sie ein vernünftigerweise vorhersehbares Ergebnis ist und angemessene technische Schutzmaßnahmen fehlen. Betreiber sind erfasst, wenn sie ein System gezielt zu diesem Zweck verwenden.

Betroffen sind damit nicht nur Anbieter einschlägiger Apps. Auch Softwareunternehmen, Plattformen und Agenturen, die generative Bildsysteme bereitstellen oder in eigene Produkte einbinden, sollten ihre Schutzmechanismen überprüfen. Weil für Verstöße gegen Art. 5 KI-VO der höchste Bußgeldrahmen gilt, sollten die ergriffenen Schutzmaßnahmen sorgfältig dokumentiert werden.

Lassen Sie generative Bild- und Videofunktionen vor dem Stichtag daraufhin prüfen, ob Filter, Schutzmechanismen und Nutzungsbedingungen den neuen Anforderungen genügen.

Hochrisiko-KI: Verschobene Pflichten bis Dezember 2027 und August 2028

Die Pflichten aus Kapitel III Abschnitt 1 bis 3 der KI-Verordnung betreffen die Einstufung als Hochrisiko-System, die Anforderungen an solche Systeme und die Pflichten von Anbietern und Betreibern. Für Systeme nach Art. 6 Abs. 2 in Verbindung mit Anhang III gelten sie nun ab dem 2. Dezember 2027. Dazu gehören etwa KI-Systeme für Bewerberauswahl und Personalentscheidungen oder für die Kreditwürdigkeitsprüfung natürlicher Personen. Für KI in regulierten Produkten nach Art. 6 Abs. 1 in Verbindung mit Anhang I, etwa in Maschinen oder Medizinprodukten, gilt der 2. August 2028.

Der Aufschub erfasst auch die Betreiberpflichten, etwa zur menschlichen Aufsicht und zur Grundrechte-Folgenabschätzung nach Art. 27 KI-VO. Letztere wurde zugleich vereinfacht: Betreiber können auf eine bereits vorhandene Datenschutz-Folgenabschätzung nach Art. 35 DSGVO verweisen. Außerdem werden unterstützende KI-Komponenten, etwa zur Effizienzsteigerung oder Qualitätskontrolle, nur noch als hochriskant eingestuft, wenn ihr Ausfall tatsächlich Risiken für Gesundheit oder Sicherheit verursachen kann.

Kleine und mittlere Unternehmen sowie Unternehmen mit mittlerer Kapitalisierung dürfen die technische Dokumentation künftig in vereinfachter Form bereitstellen und das Qualitätsmanagementsystem verhältnismäßig zur Unternehmensgröße umsetzen. Diese Erleichterungen betreffen allerdings fast ausschließlich die Anbieterrolle.

Die gewonnene Zeit ist ein Planungsvorteil, aber kein Grund zum Abwarten. Risikomanagement, Datenqualität, Konformitätsbewertung und technische Dokumentation lassen sich nicht in wenigen Wochen aufbauen. Zudem kann ein Unternehmen nach Art. 25 KI-VO selbst zum Anbieter werden, etwa wenn es ein Hochrisiko-System unter eigenem Namen vertreibt oder wesentlich verändert. Wie eine belastbare Nachweisstruktur aussieht, zeigt unsere Seite zur KI-Dokumentationspflicht.

Lassen Sie Systeme in Personalwesen, Kreditvergabe oder Scoring frühzeitig einstufen, damit Vertragsanpassungen und Dokumentation rechtzeitig vor Dezember 2027 abgeschlossen sind.

Aufsicht und Bußgelder: Bundesnetzagentur, KI-MIG und KI-Büro

Mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), das am 29. Juli 2026 in Kraft getreten ist, hat Deutschland die nationale Aufsicht geregelt. Die Bundesnetzagentur ist zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle. Sie überwacht unter anderem verbotene Praktiken, Hochrisiko-Systeme und Transparenzpflichten. Bei ihr ist zudem eine unabhängige KI-Marktüberwachungskammer eingerichtet. Für einzelne Bereiche bleiben sektorale Behörden zuständig, für KI-Systeme öffentlicher Stellen der Länder die Landesbehörden. Das KI-MIG regelt außerdem das nationale Bußgeldverfahren.

Auf europäischer Ebene hat der Digital Omnibus das KI-Büro der Kommission gestärkt. Es ist unter anderem für KI-Systeme zuständig, die auf Modellen mit allgemeinem Verwendungszweck desselben Anbieters beruhen, und erhält weitreichende Ermittlungsbefugnisse bis hin zu Prüfungen vor Ort.

Der Bußgeldrahmen des Art. 99 KI-VO ist dreistufig. Verstöße gegen die Verbote des Art. 5 KI-VO können mit bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden. Für Verstöße gegen weitere Pflichten, etwa aus Art. 50 KI-VO, sind bis zu 15 Millionen Euro oder 3 Prozent vorgesehen. Falsche, unvollständige oder irreführende Angaben gegenüber Behörden können bis zu 7,5 Millionen Euro oder 1 Prozent kosten. Maßgeblich ist grundsätzlich der höhere Betrag, für kleine und mittlere Unternehmen der niedrigere.

Gerade die dritte Stufe zeigt, wie wichtig der richtige Umgang mit behördlichen Anfragen ist. Wer im Aufsichtsverfahren unüberlegt oder unvollständig antwortet, schafft unter Umständen ein zusätzliches Bußgeldrisiko.

Lassen Sie ein Schreiben der Bundesnetzagentur anwaltlich prüfen, bevor Sie Unterlagen herausgeben oder inhaltlich Stellung nehmen.

Pflichten der KI-Verordnung umsetzen: Fahrplan für Unternehmen

Die Umsetzung gelingt am besten in einer festen Reihenfolge. Jeder Schritt baut auf dem vorherigen auf und schafft zugleich die Nachweise, die im Prüfungsfall gefragt sind:

• KI-Inventar erstellen: alle eingesetzten Systeme mit Zweck, Anbieter, Version, Datenflüssen und verantwortlicher Person erfassen, einschließlich KI-Funktionen in Standardsoftware.
• Rollen klären: für jedes System festhalten, ob das Unternehmen Anbieter, Betreiber, Einführer oder Händler ist, und einen möglichen Rollenwechsel nach Art. 25 KI-VO prüfen.
• Risikoklasse bestimmen: verbotene Praktiken ausschließen, Hochrisiko-Anwendungen nach Anhang I und III identifizieren und transparenzpflichtige Systeme markieren.
• Geltende Pflichten umsetzen: Kennzeichnung nach Art. 50 KI-VO, Kompetenzmaßnahmen nach Art. 4 KI-VO und die Prüfung der ab dem 2. Dezember 2026 geltenden Verbote.
• Verträge anpassen: Informationsrechte, Zusicherungen zur KI-Verordnung, Nutzung von Trainingsdaten, Haftung und Freistellung regeln, etwa im Rahmen einer KI-Vertragsprüfung.
• Zuständigkeiten festlegen: eine interne Verantwortung oder einen externen KI-Beauftragten benennen und einen Ablauf für Behördenanfragen und Sicherheitsvorfälle definieren.
• Hochrisiko-Vorbereitung planen: Risikomanagement, Dokumentation und Anbieterabstimmung mit Blick auf Dezember 2027 und August 2028 terminieren.

Neben der Behörde können auch Mitbewerber aktiv werden. Ob Verstöße gegen die KI-Verordnung wettbewerbsrechtlich abgemahnt werden können, ist noch nicht abschließend geklärt. Wer eine Abmahnung wegen eines Verstoßes gegen die KI-Verordnung erhält, sollte keine Unterlassungserklärung ungeprüft unterzeichnen. Wie Sicherheitsvorfälle mit KI-Systemen rechtlich einzuordnen sind, zeigt unser Beitrag zum KI-Hackerangriff.

Wann lohnt sich anwaltliche Beratung zu den Pflichten der KI-Verordnung?

Anwaltliche Unterstützung ist vor allem dann sinnvoll, wenn die Einstufung eines Systems nicht eindeutig ist, wenn ein Unternehmen KI-Funktionen in eigene Produkte integriert oder wenn Verträge mit Anbietern und Kunden die Pflichten sauber verteilen sollen. Gerade die Abgrenzung zwischen Anbieter und Betreiber sowie die Reichweite der neuen Verbote werfen in der Praxis viele Fragen auf.

Spätestens mit dem ersten Kontakt einer Aufsichtsbehörde, einem Bußgeldverfahren oder einer Abmahnung verändert sich die Lage. Dann zählen Fristen, eine abgestimmte Kommunikation und eine Dokumentation, die die eigenen Maßnahmen nachvollziehbar belegt.

Rogert & Ulbrich begleitet Unternehmen von der Risikoeinstufung über Schulung, Verträge und Dokumentation bis zur Vertretung im Aufsichts- und Bußgeldverfahren, ergänzt um Fragen der Haftung und des Urheberrechts. Die Kanzlei mit Sitz in Düsseldorf berät bundesweit auf Deutsch, Englisch und Niederländisch, was insbesondere bei internationalen Anbietern und Konzernstrukturen hilfreich ist.

Lassen Sie Ihre konkrete Situation einordnen, bevor Stichtage verstreichen oder eine Behörde Fragen stellt, und vereinbaren Sie eine Ersteinschätzung.

Fazit: Die KI-Verordnung gilt, nur der Zeitplan ist neu

Der Digital Omnibus hat die KI-Verordnung nicht entschärft, sondern neu sortiert. Verbote, Transparenzpflichten und Maßnahmen zur KI-Kompetenz gelten bereits, zwei neue Verbote folgen am 2. Dezember 2026, und die Hochrisiko-Pflichten greifen ab dem 2. Dezember 2027 beziehungsweise dem 2. August 2028. Mit der Bundesnetzagentur und einem gestärkten KI-Büro stehen die Aufsichtsstrukturen inzwischen bereit.

Unternehmen sollten die gewonnene Zeit deshalb nutzen: mit einem vollständigen KI-Inventar, klaren Rollen, angepassten Verträgen und einer Dokumentation, die im Ernstfall trägt. Wer diese Grundlagen jetzt schafft, reagiert auf Behörden, Mitbewerber und Vertragspartner aus einer gesicherten Position.

Rechtsstand: 15. September 2026. Berücksichtigt sind die Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744 sowie das KI-MIG.

FAQs: Häufig gestellte Fragen zu den Pflichten der KI-Verordnung