Die KI-Verordnung der EU, meist AI Act genannt, gilt seit August 2024. Sie wird allerdings nicht auf einen Schlag wirksam, sondern in Stufen. Genau diese Stufen sind im Sommer 2026 noch einmal verschoben worden.

Das zugehörige Änderungspaket trägt den Namen Digital Omnibus. Es wurde am 24. Juli 2026 im Amtsblatt der EU veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Wer sich in den vergangenen Monaten an älteren Fristenplänen orientiert hat, sollte den eigenen Zeitplan daher noch einmal prüfen.

Wichtig vorweg: Verschoben wurden vor allem die Pflichten für Hochrisiko-Systeme. Die Anforderungen, die den typischen Büroeinsatz von Sprachmodellen betreffen, sind davon größtenteils nicht berührt.

Was sich bei den Fristen geändert hat

Die beiden zentralen Verschiebungen betreffen Hochrisiko-Anwendungen:

  • Eigenständige Hochrisiko-Systeme nach Anhang III haben nun bis zum 2. Dezember 2027 Zeit. Ursprünglich war der 2. August 2026 vorgesehen.
  • KI in regulierten Produkten nach Anhang I muss die Anforderungen bis zum 2. August 2028 erfüllen, statt wie geplant bis August 2027.

Zusätzlich wurden die Kennzeichnungspflichten für KI-erzeugte Inhalte nach Artikel 50 auf den 2. Dezember 2026 verschoben. Neu aufgenommen wurde ein ausdrückliches Verbot bestimmter missbräuchlicher KI-Anwendungen, das ebenfalls ab dem 2. Dezember 2026 greift.

Hochrisiko bedeutet dabei nicht „irgendwie heikel", sondern ist in der Verordnung klar umrissen. Dazu zählen unter anderem KI-Systeme in der Personalauswahl, bei Kreditentscheidungen, in der Bildung, in kritischer Infrastruktur oder in sicherheitsrelevanten Produkten. Ein Sprachmodell, mit dem Mitarbeitende E-Mails formulieren oder Dokumente zusammenfassen, fällt in aller Regel nicht darunter.

Die Fristverschiebung betrifft überwiegend Hochrisiko-Anwendungen. Wer KI im Büroalltag einsetzt, gewinnt dadurch weniger Zeit, als die Schlagzeilen vermuten lassen.

Was schon heute gilt

Zwei Punkte sind längst in Kraft und werden in der Diskussion um verschobene Fristen leicht übersehen.

Verbotene Praktiken

Seit dem 2. Februar 2025 sind bestimmte KI-Anwendungen in der EU untersagt, darunter Social Scoring und Systeme, die gezielt Schwächen bestimmter Personengruppen ausnutzen. Für den normalen Unternehmenseinsatz ist das selten relevant, sollte aber bekannt sein, bevor eigene Anwendungen entwickelt werden.

KI-Kompetenz der Mitarbeitenden

Ebenfalls seit dem 2. Februar 2025 verlangt Artikel 4 der Verordnung, dass Unternehmen für ein ausreichendes Maß an KI-Kompetenz bei den Personen sorgen, die KI-Systeme einsetzen. Gemeint ist kein Zertifikatskurs, sondern ein angemessenes Verständnis für Möglichkeiten, Grenzen und Risiken der eingesetzten Werkzeuge.

In der Praxis heißt das: Beschäftigte sollten wissen, dass Ausgaben fehlerhaft sein können, welche Daten sie eingeben dürfen und wann eine fachliche Prüfung nötig bleibt. Eine kurze, dokumentierte Schulung erfüllt diesen Zweck in den meisten Fällen und ist zugleich der Nachweis, dass man sich gekümmert hat.

Zeitliche Staffelung der Pflichten aus der KI-Verordnung
Was bereits gilt, was verschoben wurde und was ab Ende 2026 dazukommt.

Zwei Regelwerke, die oft verwechselt werden

In vielen Beiträgen zum Thema werden KI-Verordnung und DSGVO vermischt, besonders bei den Bußgeldern. Die beiden Regelwerke haben aber unterschiedliche Zwecke und unterschiedliche Rahmen.

  • DSGVO: schützt personenbezogene Daten. Bußgelder bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
  • KI-Verordnung: regelt das Inverkehrbringen und den Einsatz von KI-Systemen nach Risikoklassen. Für verbotene Praktiken drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, für andere Verstöße geringere Beträge.

Wer also liest, ein DSGVO-Verstoß koste bis zu 35 Millionen Euro, hat eine Verwechslung vor sich. Für die Praxis ist die Unterscheidung deshalb wichtig, weil beide Regelwerke nebeneinander gelten: Ein KI-Einsatz kann die KI-Verordnung einhalten und trotzdem datenschutzwidrig sein, und umgekehrt.

Was das für den ChatGPT-Einsatz im Unternehmen bedeutet

Für den betrieblichen Einsatz allgemeiner Sprachmodelle bleiben die entscheidenden Fragen unverändert, und sie kommen überwiegend aus dem Datenschutzrecht.

  1. Vertragliche Grundlage: Für eine Verarbeitung personenbezogener Daten braucht es einen Auftragsverarbeitungsvertrag mit dem Anbieter. Bei kostenlosen Privatzugängen existiert diese Grundlage nicht.
  2. Verwendung der Eingaben: Es muss geklärt und dokumentiert sein, ob Eingaben zur Modellverbesserung genutzt werden. In Geschäftskundenverträgen lässt sich das ausschließen.
  3. Verarbeitungsort: Werden Daten außerhalb der EU verarbeitet, braucht es eine belastbare Grundlage für den Drittlandtransfer und eine Bewertung zusätzlicher Schutzmaßnahmen.
  4. Interne Regeln: Beschäftigte müssen wissen, welche Inhalte sie eingeben dürfen. Ohne Richtlinie entscheidet das jeder selbst, meist zugunsten der Bequemlichkeit.
  5. Nachweise: Verarbeitungsverzeichnis, Schulungsnachweis und, je nach Anwendungsfall, eine Datenschutz-Folgenabschätzung gehören zur Dokumentation.

Der praktisch wirksamste Hebel ist meist die Frage, worüber die Verarbeitung überhaupt läuft. Ein privater Zugang auf dem Arbeitsrechner ist arbeitsrechtlich und datenschutzrechtlich kaum zu kontrollieren. Ein zentral bereitgestellter Zugang mit Anmeldung über das Firmenkonto, geregelten Rechten und definierten Modellen ist es sehr wohl.

Vorsicht bei Zahlen aus zweiter Hand

Rund um das Thema kursieren viele konkret klingende Angaben: Prozentsätze zur Verbreitung lokaler Modelle, Investitionssummen für eigene Systeme, Preise einzelner Anbieterprodukte. Solche Zahlen stammen häufig aus Sekundärquellen und lassen sich selten überprüfen.

Für eine Entscheidung im eigenen Haus taugen sie wenig. Belastbar wird es erst mit den eigenen Rahmenbedingungen: Zahl der Nutzenden, Art der Dokumente, vorhandene Infrastruktur, Anforderungen an Verfügbarkeit und die Frage, welche Daten das Unternehmen wirklich nicht nach außen geben will. Diese Größen bestimmen den Aufwand deutlich stärker als jede Durchschnittsangabe aus einem Marktbericht.

Eine sinnvolle Reihenfolge

Wer den Einsatz jetzt ordnen möchte, arbeitet am besten von hinten nach vorn, also vom Risiko zur Technik:

  1. Erfassen, welche KI-Werkzeuge im Unternehmen tatsächlich genutzt werden, auch die inoffiziellen.
  2. Prüfen, ob eine Anwendung in den Hochrisiko-Bereich fällt. Für den Büroeinsatz ist das meist zu verneinen, sollte aber dokumentiert sein.
  3. Eine schriftliche Nutzungsrichtlinie erstellen, die klar sagt, was erlaubt ist und was nicht.
  4. Die Belegschaft kurz und nachweisbar schulen, damit Artikel 4 erfüllt ist.
  5. Einen offiziellen Zugang bereitstellen, der die vertraglichen und technischen Anforderungen erfüllt. Ohne Alternative bleibt die Schatten-KI bestehen.
  6. Datenschutzunterlagen aktualisieren und die Entscheidungen nachvollziehbar festhalten.

Dieser Weg hat einen angenehmen Nebeneffekt: Er verbessert die Rechtslage und die Arbeitsqualität gleichzeitig, weil aus vielen unkontrollierten Einzelnutzungen eine gemeinsame, gepflegte Umgebung wird.

Fazit

Der Digital Omnibus verschafft Unternehmen mit Hochrisiko-Anwendungen mehr Zeit. Für den alltäglichen Einsatz von Sprachmodellen ändert er wenig, denn dort waren und sind die entscheidenden Anforderungen datenschutzrechtlicher Natur, ergänzt um die seit Anfang 2025 geltende Pflicht zur KI-Kompetenz.

Wer jetzt handelt, sollte deshalb nicht auf die nächste Frist schauen, sondern auf die eigene Praxis: Welche Werkzeuge werden genutzt, auf welcher Grundlage, mit welchen Daten und mit welchen Regeln. Diese Fragen sind unabhängig von jeder Verschiebung zu beantworten.

Wir unterstützen bei der Einführung einer zentralen KI-Plattform, die sich an diesen Anforderungen ausrichtet, wahlweise auf eigenen Servern oder in Deutschland gehostet. Sprich mit uns über deine Situation.

Dieser Beitrag gibt einen allgemeinen Überblick zum Stand August 2026 und ersetzt keine Rechtsberatung. Für die Bewertung des eigenen Einsatzes empfiehlt sich die Abstimmung mit dem Datenschutzbeauftragten oder einer fachkundigen Kanzlei.