Der EU AI Act 2026 erreicht seine größte Anwendungsstufe — aber anders, als viele Berater es noch im April erzählt haben. Am 7. Mai 2026 haben sich Parlament und Rat auf den sogenannten Digital Omnibus geeinigt und einen Teil der Pflichten nach hinten geschoben. Ein anderer Teil bleibt unverändert am 2. August 2026 verbindlich. Wer beides nicht trennt, plant entweder zu viel oder zu wenig.

Was der Digital Omnibus am EU AI Act 2026 verändert

Die Verordnung (EU) 2024/1689 — bekannt als AI Act — ist am 1. August 2024 in Kraft getreten und wird seitdem gestaffelt anwendbar: verbotene Praktiken (Art. 5) und AI-Literacy-Pflicht (Art. 4) seit dem 2. Februar 2025, die GPAI-Pflichten und das allgemeine Sanktionsregime (Kapitel V und Kapitel XII) seit dem 2. August 2025. Der nächste große Stichtag ist der 2. August 2026 — und um den geht es hier.

Dass dieser Hauptteil-Termin in vollem Umfang gehalten wird, war seit Herbst 2025 unrealistisch. Die EU-Kommission legte am 19. November 2025 einen Vereinfachungs-Vorschlag namens „Digital Omnibus“ vor. Parlament und Rat haben sich am 7. Mai 2026 politisch geeinigt. Die formale Verabschiedung und Veröffentlichung im Amtsblatt steht noch aus, wird aber vor dem 2. August 2026 erwartet.

Diese 5 Pflichten des EU AI Act 2026 gelten ab dem 2. August verbindlich

Trotz Omnibus bleibt der 2. August 2026 ein scharfer Stichtag. Diese fünf Pflichten greifen — unabhängig davon, ob Sie ein Hochrisiko-System einsetzen oder nicht:

1. Hinweispflicht bei KI-Interaktion (Art. 50 Abs. 1). Wenn Kunden mit einem Chatbot, Voice-Bot oder Avatar sprechen, müssen sie wissen, dass sie es mit einer Maschine zu tun haben. Ausnahme: Es ist aus dem Kontext offensichtlich.
2. Kennzeichnung von Deepfakes (Art. 50 Abs. 4). Wer ein Bild, Video oder Audio künstlich erzeugt oder so verändert, dass es täuschend echt wirkt, muss die künstliche Herkunft offenlegen. Bei künstlerischen, satirischen oder fiktionalen Werken muss die Offenlegung weiterhin erfolgen — allerdings „in einer geeigneten Weise, die die Darstellung oder den Genuss des Werks nicht beeinträchtigt“.
3. Hinweis bei Emotionserkennung und biometrischer Kategorisierung (Art. 50 Abs. 3). Wer solche Systeme betreibt, muss betroffene Personen darüber informieren.
4. Bußgeldbefugnis der Kommission gegen GPAI-Anbieter (Art. 101). Die GPAI-Compliance-Pflichten (Kapitel V) gelten bereits seit dem 2. August 2025. Ab dem 2. August 2026 kommt aber die Sanktionsbefugnis: Die Europäische Kommission kann gegen Anbieter universeller KI-Modelle (GPT, Claude, Gemini, Mistral und andere) Bußgelder von bis zu 15 Mio. EUR oder 3 Prozent des weltweiten Jahresumsatzes verhängen.
5. Volle Marktüberwachung durch nationale Behörden. Bis zum 2. August 2026 müssen die Mitgliedstaaten ihre zuständigen Behörden benannt und einsatzbereit haben. Erst ab diesem Stichtag können sie die seit August 2025 in Kraft stehenden Sanktionen nach Art. 99 (bis zu 35 Mio. EUR oder 7 Prozent für verbotene Praktiken, 15 Mio. EUR oder 3 Prozent für Hochrisiko-Verstöße, 7,5 Mio. EUR oder 1 Prozent für Falschauskünfte) in der Fläche durchsetzen.

Punkte eins bis drei betreffen jedes Unternehmen, das eine eigene KI-Anwendung nach außen sichtbar einsetzt — und sei es nur ein einfacher Service-Chatbot auf der Webseite oder ein automatisch generiertes Werbevideo. Punkte vier und fünf sind eher Hintergrund-Mechanik: Sie sorgen dafür, dass aus den Pflichten echte Konsequenzen werden können.

Diese 3 Fristen wurden durch den Digital Omnibus verschoben

Die wesentliche Erleichterung im EU AI Act 2026 betrifft die schweren Hochrisiko-Pflichten — und zusätzlich eine sehr spezifische Provider-Pflicht aus Art. 50. Hier hat die politische Einigung vom 7. Mai die Termine nach hinten gelegt:

Pflicht	Alter Termin	Neuer Termin
Hochrisiko Anhang III Stand-alone-Systeme in Biometrie, kritischer Infrastruktur, Bildung, Beschäftigung, wesentlichen Diensten (Kredit/Sozialleistungen/Versicherung), Strafverfolgung, Migration/Grenzkontrolle, Justiz/Demokratie	2. August 2026	2. Dezember 2027
Hochrisiko Anhang I (Art. 6 Abs. 1) KI eingebettet in regulierte Produkte (Aufzüge, Maschinen, Spielzeug, Medizinprodukte)	2. August 2027	2. August 2028
Provider-Markierung synthetischer Inhalte (Art. 50 Abs. 2) Pflicht zur maschinenlesbaren Markierung KI-generierter Audio-, Bild-, Video- oder Textausgaben	2. August 2026	2. Dezember 2026

Zusätzlich verschiebt sich die Frist für nationale Regulatory Sandboxes auf August 2027. Und ab Dezember 2026 kommen zwei neue Verbote hinzu: KI-Systeme zur Erzeugung nicht-einvernehmlicher intimer Inhalte (sogenannte Nudification-Apps) und Systeme zur Erzeugung von Darstellungen sexuellen Kindesmissbrauchs.

Der Stolperstein, den viele Beratungstexte übersehen

Die meisten deutschsprachigen Kurzfassungen zum EU AI Act 2026 schreiben: „Die Transparenzpflichten bleiben am 2. August 2026 unverändert.“ Das stimmt nur zur Hälfte.

Richtig ist: Artikel 50 des EU AI Act 2026 wird gesplittet. Die einzelnen Absätze haben durch den Omnibus unterschiedliche Termine bekommen:

• Art. 50 Abs. 1, 3 und 4 (Hinweis bei KI-Interaktion, Hinweis bei Emotionserkennung, Deepfake-Kennzeichnung) — bleiben am 2. August 2026.
• Art. 50 Abs. 2 (technische Provider-Markierung synthetischer Inhalte mit Wasserzeichen oder Metadaten) — verschiebt sich auf 2. Dezember 2026.

Was Mittelständler jetzt konkret tun sollten

Wer den EU AI Act 2026 strukturiert umsetzen will, kann sich aus heutiger Sicht (26. Mai 2026) an drei klaren Schritten für die nächsten drei Monate orientieren:

1. KI-Bestandsaufnahme. Welche KI-Systeme sind im Unternehmen im Einsatz? Auch solche, die in zugekauften Tools (CRM, Office-Suite, Marketing-Automation) eingebettet sind. Dazu jeweils die Rolle festhalten: Sind Sie Anbieter, Betreiber oder beides? Ohne diese Inventur sind alle weiteren Schritte ungezielt.
2. Transparenz-Check für externe KI-Anwendungen. Jeder Chatbot, jedes Voice-System, jedes KI-generierte Bild und jedes KI-Video, das nach außen sichtbar wird, braucht nach dem EU AI Act 2026 ab dem 2. August eine klare Kennzeichnung. Das ist kein Hochrisiko-Thema, sondern ganz normaler Compliance-Stoff. Faustregel: Wenn ein Mensch nicht eindeutig erkennen kann, dass KI im Spiel ist, muss es hinkommen.
3. Roadmap für Hochrisiko separat planen. Wer Stand-alone-Hochrisiko-Systeme nach Anhang III betreibt oder plant, hat durch den Omnibus 16 Monate mehr Zeit (bis Dezember 2027). Für KI in regulierten Produkten nach Anhang I verschiebt sich der Termin um 12 Monate (von August 2027 auf August 2028). Diese Zeit sollte strukturiert genutzt werden — nicht als „Pause“, sondern als planbare Vorbereitung. Der TÜV weist zurecht darauf hin, dass harmonisierte Normen frühestens nach August 2026 vollständig verfügbar sein werden.

Wer hier strukturiert vorgeht, vermeidet zwei typische Fehler: hektisches Last-Minute-Compliance kurz vor Dezember 2027 — und gleichzeitig blinde Flecken bei den Transparenzpflichten, die schon im Sommer 2026 verbindlich sind. Der frühere Beitrag zu den AI-Act-Pflichten bleibt in den Grundzügen gültig, ist aber durch den Omnibus an drei Stellen überholt — die hier dargestellten Termine sind der aktuelle Stand.

Der EU AI Act 2026 ist keine Pause — er ist eine Phasenverschiebung

Der wichtigste Lesefehler, den der Digital Omnibus erzeugt, ist die Annahme, am EU AI Act 2026 sei jetzt alles „erstmal vom Tisch“. Das ist falsch. Die Pflichten mit der größten praktischen Relevanz für das Tagesgeschäft — Chatbot-Hinweis, Deepfake-Kennzeichnung, Emotionserkennung-Info und die durchsetzungsreife Sanktionsmechanik — greifen am 2. August 2026 wie geplant.

Verschoben sind ausschließlich die schweren Pflichten für Hochrisiko-Systeme und die rein technische Watermarking-Pflicht für Modellanbieter. Der Mittelstand profitiert also vor allem dann vom Omnibus, wenn er Hochrisiko-Systeme nach Anhang III betreibt — etwa im Bewerbermanagement, in der Bonitätsprüfung oder in der biometrischen Zugangskontrolle.

Für alle anderen ändert sich am Stichtag 2. August 2026 fast nichts. Die fünf eingangs genannten Pflichten gelten verbindlich. Wer sein Tagesgeschäft bis dahin nicht in Ordnung bringt, bewegt sich im Bußgeldrahmen von Art. 99 Abs. 4 — bis 15 Mio. EUR oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.