EU AI Act nach dem Digital Omnibus: Was Unternehmen jetzt wirklich tun müssen

Stellen Sie sich vor, Ihr Unternehmen hat seit einem Jahr ein KI-Tool im Einsatz, das Bewerbungsvideos analysiert und dabei Mimik und Stimmton auswertet. Klingt modern – ist aber seit dem 2. Februar 2025 in der EU verboten. Kein Übergangszeitraum, kein Bestandsschutz.

Genau das ist die Realität des EU AI Act (Verordnung (EU) 2024/1689): Ein erheblicher Teil des Gesetzes gilt bereits. Seit Sommer 2026 hat Deutschland mit dem KI-MIG auch die nationale Aufsicht geregelt. Und mit dem Digital Omnibus hat die EU im Juli 2026 zentrale Fristen verschoben, einzelne Pflichten abgeschwächt und neue Verbote ergänzt.

Dieser Artikel erklärt konkret: Was gilt heute? Was hat der Omnibus tatsächlich geändert – und was nicht? Was sollten Unternehmen bis Ende 2027 erledigt haben? Und was droht bei Verstößen?

Was der EU AI Act überhaupt ist – in drei Minuten

Der EU AI Act ist die weltweit erste umfassende KI-Regulierung mit verbindlichem Charakter. Als EU-Verordnung gilt er unmittelbar in allen 27 Mitgliedstaaten; nationale Gesetze wie das deutsche KI-MIG regeln vor allem Zuständigkeiten und Verfahren. Anders als die DSGVO, die Datenschutz regelt, steuert der AI Act das Risiko von KI-Systemen: Je mehr Schaden ein System anrichten kann, desto strenger die Anforderungen.

Das Gesetz unterscheidet vier Risikostufen: Verbotene Praktiken (Art. 5), die schlicht nicht erlaubt sind; Hochrisiko-Systeme (Anhang I und III), die umfangreiche Dokumentation und Aufsicht erfordern; Systeme mit Transparenzpflichten (Art. 50); und minimale Risikosysteme, die weitgehend unreguliert bleiben. Für Unternehmen ist entscheidend: Sie können in verschiedenen Rollen auftreten – als Anbieter (entwickeln ein KI-System), als Betreiber (setzen ein fremdes System ein), als Importeur oder Händler. Wer ChatGPT, Microsoft Copilot oder ähnliche Tools beruflich im Unternehmen einsetzt, ist Betreiber im Sinne des AI Act.

Das Stufenmodell: Was gilt wann?

Der AI Act trat am 1. August 2024 in Kraft, wird aber schrittweise angewendet. Nach dem Digital Omnibus sind für DACH-Unternehmen diese Daten entscheidend:

Diese KI-Praktiken sind verboten

Art. 5 des EU AI Act listet acht Praktiken auf, die in der EU grundsätzlich nicht erlaubt sind. Die EU-Kommission hat dazu im Februar 2025 ausführliche Leitlinien veröffentlicht. Für Unternehmens-Entscheider sind vor allem diese Verbote praxisrelevant:

1. Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen

KI-Systeme, die aus biometrischen Daten wie Mimik oder Stimme auf Emotionen schließen, sind am Arbeitsplatz und in Bildungseinrichtungen verboten – es sei denn, der Zweck ist medizinisch oder sicherheitsbezogen. Nach den Leitlinien der Kommission umfasst das auch den Bewerbungsprozess. Betroffen sind etwa Video-Interview-Analysen, die „Soft Skills“ aus Gesichtsausdrücken ableiten, und Monitoring-Tools, die Erschöpfung aus Webcam-Bildern erkennen sollen.

2. Social Scoring

Systeme, die Personen anhand ihres sozialen Verhaltens oder persönlicher Merkmale bewerten und daraus benachteiligende Behandlungen in unverbundenen oder unverhältnismäßigen Zusammenhängen ableiten, sind verboten – für öffentliche wie private Akteure. Relevant kann das etwa werden, wenn Verhaltensdaten aus sozialen Netzwerken in Personal- oder Kreditentscheidungen einfließen.

3. Biometrische Kategorisierung und Echtzeit-Fernidentifizierung

Verboten ist die biometrische Kategorisierung, um etwa auf ethnische Herkunft, politische Meinungen, Religion oder sexuelle Orientierung zu schließen. Die biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen ist nach Art. 5 für Zwecke der Strafverfolgung verboten, mit engen Ausnahmen. Für Unternehmen gilt biometrische Fernidentifizierung als Hochrisiko-Anwendung und ist zusätzlich durch Art. 9 DSGVO stark eingeschränkt.

4. Ungezieltes Scraping von Gesichtsbildern

KI-Systeme, die Gesichtserkennungsdatenbanken durch ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Überwachungsaufnahmen erstellen oder erweitern, sind verboten. Dienste, deren Datenbasis auf diese Weise entstanden ist, sollten Unternehmen nicht einsetzen.

5.–8. Weitere Verbote – und neue durch den Omnibus

Ebenfalls verboten sind unterschwellige oder manipulative Techniken, die Menschen erheblich schaden können, die Ausnutzung von Schutzbedürftigkeit (etwa wegen Alter oder Behinderung) und Risikobewertungen zur Vorhersage von Straftaten, die ausschließlich auf Profiling beruhen. Der Digital Omnibus ergänzt Verbote für KI-Systeme, die nicht einvernehmliche intime Bilder realer Personen oder Darstellungen sexuellen Kindesmissbrauchs erzeugen; Anbieter müssen entsprechende Schutzmaßnahmen bis 2. Dezember 2026 umsetzen.

Was heute schon verpflichtend ist

Mit dem KI-MIG ist in Deutschland geregelt, wer den AI Act durchsetzt: Die Bundesnetzagentur ist zentrale Marktüberwachungsbehörde und bietet mit dem KI-Service-Desk eine Anlaufstelle, insbesondere für KMU und Start-ups. Für KI in regulierten Finanztätigkeiten bleibt die BaFin zuständig. Unabhängig von den verschobenen Hochrisiko-Fristen sollten Unternehmen diese Pflichten heute erfüllen:

KI-Kompetenz (Art. 4) – abgeschwächt, aber nicht abgeschafft

Ursprünglich mussten Anbieter und Betreiber sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Seit dem Omnibus müssen sie Maßnahmen ergreifen, die den Aufbau von KI-Kompetenz unterstützen; Kommission und Mitgliedstaaten sollen dabei vor allem KMU helfen. Der Nachweisdruck sinkt – die Pflicht zu handeln bleibt. Dokumentieren Sie deshalb weiterhin, welche Schulungen, Leitfäden und Nutzungsregeln es gibt und wer sie erhalten hat.

Zur Finanzierung: Kurze Basisschulungen erfüllen die Voraussetzungen der Weiterbildungsförderung der Bundesagentur für Arbeit in der Regel nicht, weil diese unter anderem eine Mindestdauer voraussetzt. Längere, zertifizierte Qualifizierungen können dagegen förderfähig sein – das sollten Sie im Einzelfall mit dem Arbeitgeber-Service der Arbeitsagentur klären.

Transparenzpflichten (Art. 50) – seit August 2026

Seit dem 2. August 2026 gilt: Anbieter müssen KI-Systeme, die direkt mit Menschen interagieren (etwa Chatbots), so gestalten, dass Nutzer erkennen, dass sie mit einer KI kommunizieren. Anbieter generativer KI müssen synthetische Inhalte maschinenlesbar kennzeichnen – für Systeme, die vor dem 2. August 2026 auf den Markt kamen, gilt eine Übergangsfrist bis 2. Dezember 2026. Betreiber müssen Deepfakes offenlegen sowie KI-generierte Texte, die zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden, sofern sie nicht redaktionell geprüft und verantwortet werden. Wer Emotionserkennung oder biometrische Kategorisierung einsetzt, muss die Betroffenen informieren.

KI-Inventar und Risikoklassifizierung

Ohne Überblick über die eingesetzten KI-Systeme lässt sich keine dieser Pflichten erfüllen. Eine KI-Inventur ist deshalb die Grundlage jeder Compliance. Für Anbieter gilt zusätzlich: Wer ein in Anhang III genanntes System nach Art. 6 Abs. 3 als nicht hochriskant einstuft, muss diese Bewertung dokumentieren und das System – nach dem Omnibus in vereinfachter Form – in der EU-Datenbank registrieren. Für Betreiber empfiehlt sich die Dokumentation der Einstufung als Nachweis gegenüber Aufsicht, Betriebsrat und Kunden.

Was bei Nichteinhaltung droht: Die Bußgelder im Detail

Art. 99 des EU AI Act sieht ein dreistufiges Sanktionssystem vor – die Obergrenzen liegen in der Spitze deutlich über denen der DSGVO (20 Mio. € bzw. 4 % des Umsatzes):

Für große Unternehmen gilt jeweils der höhere Wert, für KMU der niedrigere – und seit dem Omnibus gilt diese Erleichterung auch für kleine Mid-Caps. Ein Start-up mit 2 Mio. € Umsatz riskiert bei einem Verstoß gegen Betreiberpflichten also theoretisch bis zu 60.000 € statt 15 Mio. €. Eine Befreiung ist das nicht – die Grundpflichten gelten für alle gleich. In Deutschland sind für gerichtliche Verfahren über Bußgeldbescheide nach dem KI-MIG die Amtsgerichte zuständig.

Der Realitätscheck: Wie vorbereitet sind Unternehmen?

Laut einer Bitkom-Befragung von 604 Unternehmen ab 20 Beschäftigten (Sommer 2025) sehen 56 % im AI Act mehr Nach- als Vorteile. Von den Unternehmen, die sich als betroffen einstufen, erwarten 93 % einen hohen Umsetzungsaufwand.

Das bedeutet: Wer die Compliance jetzt strukturiert angeht, kann das als Qualitätsmerkmal im B2B-Vertrieb und in Ausschreibungen nutzen. Die Verschiebung der Hochrisiko-Fristen verschafft Zeit – aber nur denen, die sie auch nutzen.

DSGVO und AI Act: Keine Wahl zwischen beiden

Ein häufiger Irrtum: Der EU AI Act ersetzt die DSGVO nicht. Beide Regelwerke gelten parallel. Jedes KI-System, das personenbezogene Daten verarbeitet – also praktisch jeder Kunden-Chatbot, jedes HR-Tool, jede Analyse-Plattform – unterliegt beiden Regimes gleichzeitig.

Das erzeugt eine institutionelle Doppelzuständigkeit: Datenschutzaufsichtsbehörden prüfen DSGVO-Verstöße, die Bundesnetzagentur oder die jeweilige Fachaufsicht AI-Act-Verstöße. Ein einziges KI-System kann parallel zwei Verfahren auslösen. Für bestimmte Betreiber von Hochrisiko-Systemen – öffentliche Stellen, private Anbieter öffentlicher Dienstleistungen sowie Betreiber von Systemen zur Kreditwürdigkeitsprüfung oder Preisgestaltung bei Lebens- und Krankenversicherungen – ist ab Dezember 2027 eine Grundrechte-Folgenabschätzung (Art. 27) Pflicht. Liegt bereits eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) vor, ergänzt die Grundrechte-Folgenabschätzung diese. Wer beides von Anfang an integriert plant, spart Aufwand.

Der deutsche Sonderfall: BetrVG § 87 als heimlicher Zeitdruck

Für deutsche Unternehmen mit Betriebsrat gibt es einen weiteren, oft unterschätzten Compliance-Hebel: das Betriebsverfassungsgesetz. § 87 Abs. 1 Nr. 6 BetrVG sieht erzwingbare Mitbestimmung vor, wenn technische Einrichtungen eingesetzt werden, die objektiv geeignet sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen.

Das trifft viele KI-Einsätze: Copilot im Unternehmenseinsatz, KI-gestützte Leistungs-Dashboards, automatisierte Qualitätskontrolle in der Produktion, KI-Recruiting. Wer den Betriebsrat nicht einbezieht, riskiert Unterlassungsansprüche und einen Stopp des Systems. Hinzu kommen: § 90 BetrVG (Unterrichtung in der Planungsphase), § 80 Abs. 3 BetrVG (Hinzuziehung von Sachverständigen bei KI gilt als erforderlich) und § 95 Abs. 2a BetrVG (Mitbestimmung bei Auswahlrichtlinien, auch wenn KI zum Einsatz kommt).

Empfehlung: Den Betriebsrat vor der KI-Inventur einbinden, nicht danach. Eine frühzeitig ausgehandelte Rahmen-Betriebsvereinbarung KI schafft Rechtssicherheit, verhindert Einzelverhandlungen für jedes neue Tool und erhöht die Akzeptanz im Unternehmen.

Der 10-Punkte-Aktionsplan: Was Unternehmen jetzt tun sollten

Häufige Fragen (FAQ)

Gilt der EU AI Act auch für Schweizer Unternehmen?

Ja, extraterritorial: Wenn ein Schweizer Unternehmen KI-Systeme in der EU in Verkehr bringt oder deren Output in der EU verwendet wird, greift der AI Act. Anbieter von Hochrisiko-Systemen mit Sitz außerhalb der EU müssen einen Bevollmächtigten in der EU benennen (Art. 22).

Wir sind ein kleines KMU mit 20 Mitarbeitenden. Müssen wir wirklich alle Pflichten erfüllen?

Die Grundpflichten – Verbote einhalten, Transparenz, Maßnahmen zur KI-Kompetenz – gelten für alle Unternehmen. Bei Bußgeldern gilt für KMU (und seit dem Omnibus auch für kleine Mid-Caps) der jeweils niedrigere Wert aus Festbetrag und Prozentsatz. Erste Anlaufstelle in Deutschland ist der KI-Service-Desk der Bundesnetzagentur.

Was hat der „Digital Omnibus“ konkret verschoben?

Die Hochrisiko-Pflichten nach Anhang III gelten ab 2. Dezember 2027, nach Anhang I ab 2. August 2028. Für die maschinenlesbare Kennzeichnung bereits vermarkteter generativer Systeme gibt es eine Übergangsfrist bis 2. Dezember 2026. Nicht verschoben wurden die Verbote nach Art. 5 und die GPAI-Pflichten. Die KI-Kompetenzpflicht gilt weiter, allerdings in abgeschwächter Form.

Gibt es bereits Bußgelder nach dem AI Act?

Bis zum Redaktionsschluss sind uns keine öffentlich bekannten Bußgeldbescheide nach dem AI Act in Deutschland bekannt. DSGVO-Verfahren gegen KI-Anbieter zeigen aber, wie Aufsichtsbehörden vorgehen: Die italienische Datenschutzbehörde verhängte gegen OpenAI 15 Mio. € und ging auch gegen DeepSeek und Replika vor. Mit dem KI-MIG hat die Bundesnetzagentur nun die Befugnisse zur Durchsetzung des AI Act.

Fazit: Mehr Zeit – aber kein Aufschub für alles

Der Digital Omnibus hat den AI Act nicht entschärft, sondern neu getaktet. Verbote, GPAI-Pflichten und Transparenzpflichten gelten bereits, die nationale Aufsicht steht, und für die Kennzeichnung synthetischer Inhalte läuft die Übergangsfrist im Dezember 2026 aus.

Die gewonnene Zeit bis Dezember 2027 ist vor allem für eines da: Hochrisiko-Anwendungen sauber zu identifizieren und die nötige Dokumentation, Aufsicht und Vertragsgestaltung aufzubauen. Ein KI-Inventar, eine Art.-5-Prüfung, dokumentierte Kompetenzmaßnahmen und – in Deutschland – eine Rahmen-Betriebsvereinbarung sind die Grundlage dafür.

Wer den Omnibus als Entwarnung versteht, übersieht: Die Verbote gelten. Die Bußgeldregeln gelten. Und die Bundesnetzagentur hat jetzt die Befugnisse, sie durchzusetzen.

Quellen

• EUR-Lex: Verordnung (EU) 2026/1744 (Digital Omnibus on AI)
• Rat der EU: Finale Zustimmung zum Digital Omnibus on AI (29. Juni 2026)
• EU-Kommission: AI Act – Shaping Europe's Digital Future
• EU AI Act Service Desk: Artikel 99 – Sanktionen (Originaltext)
• Bundesnetzagentur: Zentrale Rolle bei der Umsetzung der KI-Verordnung
• Bundesnetzagentur: Verbotene KI-Praktiken nach Art. 5
• LTO: KI-Aufsicht – das Gesetz hinter dem AI Act tritt in Kraft (Juli 2026)
• Bitkom: Durchbruch bei Künstlicher Intelligenz (Befragung 2025)
• Mayer Brown: GPAI-Pflichten ab August 2025 (August 2025)
• Datenschutzticker: 15-Mio.-€-Bußgeld gegen OpenAI (Januar 2025)