EU AI Act nach dem Digital Omnibus: Was für KMU jetzt gilt

Der EU AI Act ist in Kraft. Ursprünglich sollte die volle Hochrisiko-Compliance im August 2026 greifen, während die dafür nötige Umsetzungs-Guidance zu Artikel 6 fehlte — die EU-Kommission hatte die gesetzliche Frist vom 2. Februar 2026 verpasst. Update Juli 2026: Der Digital Omnibus, der genau dieses Problem entschärft, wurde am 29. Juni 2026 vom Rat final angenommen (nach Zustimmung des EU-Parlaments am 16. Juni 2026). Die Hochrisiko-Pflichten verschieben sich damit verbindlich auf den 2. Dezember 2027 (Anhang III) bzw. 2. August 2028 (Anhang I). Das Vakuum bekommt dadurch mehr Zeit, sich zu schließen — es verschwindet aber nicht sofort, und die Transparenzpflichten ab August 2026 bleiben unverändert bestehen.

Dieser Post erklärt, was das konkret bedeutet, welche KI-Systeme betroffen sind, und was ein pragmatisches DACH-KMU jetzt tun sollte.

Was der EU AI Act für KMUs bedeutet: Die Zeitlinie

Der EU AI Act trat am 1. August 2024 in Kraft. Die Pflichten rollen seitdem in Phasen aus:

• 2. Februar 2025 (bereits gültig): Verbotene KI-Praktiken — darunter Social Scoring durch staatliche Stellen, manipulative Systeme, bestimmte biometrische Echtzeitüberwachung
• 2. August 2025 (bereits gültig): Pflichten für Anbieter von General-Purpose AI (GPAI) Modellen — also Unternehmen, die eigene große Sprachmodelle entwickeln oder vertreiben
• 2. August 2026: Transparenzpflichten (Art. 50) für Chatbots und KI-Inhalte bleiben in Kraft. 2. Dezember 2027 (verschoben durch Digital Omnibus): Volle Compliance für Hochrisiko-KI-Systeme nach Anhang III — Registrierung, technische Dokumentation, menschliche Aufsicht, Konformitätsbewertung. 2. August 2028: Hochrisiko-KI in regulierten Produkten (Anhang I).

Für die meisten DACH-KMUs war die August-2026-Deadline lange die zentrale Sorge — durch den Digital Omnibus ist der Druck bei Hochrisiko-Systemen jetzt bis Dezember 2027 gestreckt. Wer KI-Systeme im Einsatz hat oder plant, muss trotzdem wissen: Zählt das als "Hochrisiko"?

Genau diese Frage hätte die verpasste Guidance beantworten sollen.

Update Juli 2026 — Digital Omnibus ist beschlossen: Das EU-Parlament hat dem Digital-Omnibus-Paket am 16. Juni 2026 zugestimmt, der Rat hat es am 29. Juni 2026 final angenommen. Die Veröffentlichung im EU-Amtsblatt wird für Juli 2026 erwartet, das Inkrafttreten folgt drei Tage danach. Damit verschieben sich die Hochrisiko-Pflichten verbindlich auf den 2. Dezember 2027 (Standalone-Systeme, Anhang III) bzw. 2. August 2028 (produktintegrierte Systeme, Anhang I). Die GPAI-Pflichten (seit August 2025) und die Verbote verbotener Praktiken (seit Februar 2025) bleiben unverändert in Kraft. Abwarten ist trotzdem keine Strategie — die zusätzliche Zeit ist zum Dokumentieren da, nicht zum Ignorieren.

Was durch den Digital Omnibus geklärt ist — und was noch offen bleibt

Artikel 6 des EU AI Act definiert, wann ein KI-System als hochriskant eingestuft wird. Art. 6(5) verpflichtet die Kommission, bis zum 2. Februar 2026 Guidance zu liefern: eine praktische Liste mit konkreten Beispielen, was als Hochrisiko gilt und was nicht.

Diese Guidance liegt bis heute nicht vor.

Die EU-Kommission hat laut IAPP bestätigt, dass sie Feedback aus monatelangen Konsultationen einarbeitet. Ein finaler Entwurf war für Ende Februar 2026 angekündigt — passiert ist wenig. Gleichzeitig hinken auch die CEN-CENELEC-Standardisierungsausschüsse hinterher: Die harmonisierten technischen Normen, die Unternehmen für die Konformitätsbewertung brauchen, werden voraussichtlich erst Ende 2026 vorliegen — nach der Enforcement-Deadline.

Das Ergebnis ist ein strukturelles Dilemma:

Das war die Lage vor dem Digital Omnibus: DigitalEurope sprach von einem "regulatorischen Vakuum", BITKOM forderte eine Soft-Enforcement-Phase. Mit der Verschiebung der Hochrisiko-Pflichten auf Dezember 2027 hat die EU-Kommission mehr Zeit gewonnen, die Guidance nachzuliefern — bis dahin bleiben Unternehmen bei Detailfragen auf konservative Eigeninterpretation angewiesen.

Was das für DACH-KMUs konkret bedeutet

Welche KI-Systeme gelten als Hochrisiko?

Annex III des EU AI Act listet die Kategorien auf, in denen KI-Systeme automatisch als hochriskant gelten. Für DACH-KMUs besonders relevant:

Personalentscheidungen (HR): Systeme zur automatisierten Bewerberbewertung, CV-Screening, Ranglisten von Kandidaten — hochriskant. Wenn ihr einen KI-Assistenten nutzt, der Bewerber filtert oder bewertet: betroffen.

Kreditwürdigkeit und Finanzdienstleistungen: KI-Systeme, die Kreditrisiken bewerten oder Finanzentscheidungen für Privatpersonen beeinflussen — hochriskant. Relevant für alle, die im Finanzbereich mit automatisierten Scoring-Systemen arbeiten.

Bildung und Weiterbildung: Systeme, die Prüfungsergebnisse bewerten oder Zulassungsentscheidungen treffen — hochriskant.

Sicherheitskritische Infrastruktur: KI in Energie-, Wasser- oder Transportnetzen — hochriskant.

Was typischerweise NICHT hochriskant ist: Ein KI-Chatbot für den Kundensupport. Ein KI-Schreibassistent für Marketing-Texte. Ein Automatisierungs-Tool, das Rechnungen verarbeitet oder Termine plant. Diese Systeme fallen in die Niedrigrisikozone — mit deutlich weniger Pflichten.

Die ehrliche Einschätzung: Die überwiegende Mehrheit der DACH-KMUs mit 20 bis 200 Mitarbeitern, die KI für Texterstellung, Zusammenfassungen, interne Recherche oder einfache Prozessautomatisierung nutzen, ist von den Hochrisiko-Anforderungen nicht direkt betroffen. Die kritische Frage ist immer: Trifft das System Entscheidungen, die Menschen wesentlich beeinflussen — Jobchancen, Kredite, Bildungswege, Sicherheit?

Was droht bei Non-Compliance?

Artikel 99 des EU AI Act sieht ein dreistufiges Bußgeldsystem vor:

• Bis zu 35 Millionen Euro oder 7% des weltweiten Jahresumsatzes (höherer Wert gilt): Verstöße gegen die Verbote verbotener KI-Praktiken
• Bis zu 15 Millionen Euro oder 3% des weltweiten Jahresumsatzes: Non-Compliance bei Hochrisiko-Anforderungen
• Bis zu 7,5 Millionen Euro oder 1% des weltweiten Jahresumsatzes: Falsche oder irreführende Angaben gegenüber Behörden

Das Gesetz hält fest, dass die Strafen "wirksam, verhältnismäßig und abschreckend" sein müssen — und explizit die Interessen von KMUs berücksichtigen. Für ein Unternehmen mit 5 Millionen Euro Jahresumsatz bedeutet Tier-2-Non-Compliance theoretisch bis zu 150.000 Euro — nicht existenzbedrohend, aber auch kein Kavaliersdelikt.

3 Schritte, die jetzt sinnvoll sind

Kein Alarmismus. Aber auch kein Abwarten. Das hier können alle DACH-KMUs unabhängig vom genauen Zeitpunkt der Art.-6-Guidance tun:

Schritt 1: KI-Inventar anlegen — in 2 Stunden

Listet alle KI-Tools auf, die ihr aktuell nutzt oder plant. Für jedes System: eine Entscheidung ob es Entscheidungen über Menschen trifft, die wesentliche Folgen haben. Wenn die Antwort "nein" ist: Niedrigrisiko, weitermachen.

Das Inventar ist nützlich unabhängig von der EU — weil ihr dann wisst, was ihr habt, was es kostet, und wo Abhängigkeiten liegen.

Schritt 2: Konservative Risikoeinstufung — Annex III als Filter

Geht Annex III durch. Für jedes System im Inventar: passt die Kategorie? HR-Systeme, Kreditbewertung, Bildungsentscheidungen — wenn ja, konservativ als Hochrisiko einzustufen ist die sichere Wahl. Wer in dieser Kategorie operiert, braucht in den nächsten Monaten: technische Dokumentation, Risikomanagementsystem, Log-Keeping für Audit-Trails, menschliche Aufsicht im Prozess.

Diese Anforderungen sind auch unabhängig vom EU AI Act vernünftige Praxis bei KI-gestützten Entscheidungen.

Schritt 3: Monitoring einrichten — monatlich 30 Minuten

Niemand weiß genau, wann die Art.-6-Guidance kommt — mit dem Digital Omnibus ist der Zeitdruck aber gesunken. Jemanden benennen, der die Updates der EU-Kommission und des EU AI Act Service Desk verfolgt. Kein Vollzeitjob. Ein monatlicher Check reicht, um vorbereitet zu sein, wenn die finalen Regeln landen.

Wie OptimusFlow Consulting das angeht

KI-Implementierung ohne Compliance-Gedanken ist wie Bauen ohne Statik. Wir integrieren EU AI Act-Anforderungen von Anfang an in KI-Projekte — nicht als nachträgliches Audit, sondern als Teil der Architektur. Das bedeutet: klare Dokumentation von Entscheidungsprozessen, nachvollziehbare Logs, definierte menschliche Kontrollpunkte wo nötig.

Wenn ihr aktuell KI-Systeme implementiert oder plant und wissen wollt, ob und wo ihr im Hochrisiko-Bereich operiert: Das ist eine Frage, die sich in einem ersten Gespräch gut klären lässt.

Vor jedem konkreten KI-Projekt lohnt sich der Selbst-Check: Der EU-AI-Act-Risk-Check gibt euch in 8 Minuten eine erste Tier-Einordnung — Minimal, Limited, High oder Unacceptable Risk.

Häufige Fragen

Bin ich als KMU mit 30 Mitarbeitern überhaupt vom EU AI Act betroffen?

Kommt auf den Einsatz an. Nutzt ihr KI für Texte, Zusammenfassungen, einfache Automatisierungen? Dann sind die Hochrisiko-Anforderungen mit hoher Wahrscheinlichkeit nicht relevant. Setzt ihr KI für HR-Entscheidungen, Kreditbewertungen oder sicherheitskritische Prozesse ein? Dann ja — unabhängig von der Unternehmensgröße. Der EU AI Act kennt keine Mitarbeiterzahl-Schwelle; er fragt nach der Art des KI-Einsatzes.

Was sind Hochrisiko-KI-Systeme konkret?

Systeme, die in Annex III des EU AI Acts gelistete Bereiche abdecken: automatisiertes Recruiting und Bewerberbewertung, Kreditwürdigkeitsprüfung für Privatpersonen, KI in Bildungszugang und Prüfungsbewertung, biometrische Identifikation, KI in kritischer Infrastruktur (Energie, Wasser, Transport), Systeme in der Strafverfolgung oder Migrationskontrolle. Ein KI-Chatbot für den Kundensupport oder ein Texterstellungstool ist kein Hochrisikosystem.

Was sind die Bußgelder bei Non-Compliance?

Drei Stufen: Verstöße gegen verbotene Praktiken bis zu 35 Millionen Euro oder 7% des Jahresumsatzes. Non-Compliance bei Hochrisiko-Anforderungen bis zu 15 Millionen Euro oder 3% des Jahresumsatzes. Falsche Angaben gegenüber Behörden bis zu 7,5 Millionen Euro oder 1% des Jahresumsatzes. Die Strafrahmen werden "verhältnismäßig" angewendet — KMUs werden nicht auf demselben Niveau wie Großkonzerne bestraft. Aber: Ignorieren ist kein Plan.

Was bedeutet das "Compliance-Vakuum" praktisch — muss ich trotzdem handeln?

Ja, in reduziertem Tempo. Die fehlende Art.-6-Guidance bedeutet weiterhin, dass ihr noch keine vollständige Zertifizierung abschließen könnt. Die Hochrisiko-Deadline ist durch den Digital Omnibus aber auf Dezember 2027 verschoben — bindend bleibt ab August 2026 nur noch die Transparenzpflicht (Art. 50), nicht mehr die volle Hochrisiko-Compliance. Die Empfehlung der Verbände (BITKOM, DigitalEurope) bleibt unverändert: konservativ einstufen, jetzt dokumentieren, auf die Guidance reagieren, sobald sie kommt.

Ist der Digital Omnibus inzwischen verabschiedet?

Ja. Parlament (16. Juni 2026) und Rat (29. Juni 2026) haben final zugestimmt, die Veröffentlichung im EU-Amtsblatt wird für Juli 2026 erwartet. Die Hochrisiko-Anforderungen sind damit verbindlich auf Dezember 2027 (Standalone, Anhang III) bzw. August 2028 (produktintegriert, Anhang I) verschoben. Das gibt mehr Zeit — aber nicht Null Verpflichtungen: GPAI-Pflichten (seit August 2025) und die Verbote verbotener Praktiken (seit Februar 2025) bleiben bestehen, ebenso die Transparenzpflichten ab August 2026. Wer die Zeit für Inventar, Dokumentation und interne Awareness nutzt, hat einen strukturellen Vorteil.

Quellen & Weiterführende Links

Stand: 11. Juli 2026 — der Digital Omnibus ist final angenommen (Rat 29. Juni 2026, Parlament 16. Juni 2026); die offizielle Veröffentlichung im EU-Amtsblatt steht noch aus.

• EU-Kommission verpasst Art.-6-Deadline — IAPP
• Artikel 6: Klassifikationsregeln Hochrisiko-KI
• Annex III: Hochrisiko-KI-Systeme im Überblick
• EU AI Act Artikel 99: Bußgelder
• Implementierungs-Timeline EU AI Act
• Digital Omnibus: Vorschlag zur Verschiebung der Hochrisiko-Pflichten — OneTrust
• EU AI Act Service Desk der Kommission

Weiterführende Posts: Die KI-Proof-of-Concept-Falle — und der EU AI Act
Prompt Injection: Das unterschätzte KI-Sicherheitsrisiko
KI-Automatisierung für KMUs: Leitfaden 2025

EU AI Act Schulung für KMU — pragmatisch, audit-fest, branchen-spezifisch

EU AI Act pragmatisch umsetzen statt Bußgeld-Risiko tragen: OptimusFlow Consulting bietet drei Schulungs-Tiers nach Branchen-Komplexität — Basis (ab € 5.000, 1 Tag), Standard (ab € 7.500, 1–2 Tage) und Deep-Risk (ab € 12.000, 2–3 Tage). Artikel-4-konforme Mitarbeiter-Schulung mit Teilnahme-Nachweisen, AI-Policy-Vorlage und Risikoklassen-Mapping Ihrer KI-Tools. Onsite oder Remote.

→ Volle Tier-Details: EU AI Act Schulung ansehen

Mehr zum Thema "EU AI Act & DSGVO-Compliance"

• EU AI Act und DSGVO für KMU: Der Compliance-Leitfaden 2026 — Pillar-Übersicht
• Digitalisierung fördern lassen in Wien: Welche Programme KMU 2026 beantragen können — Digitalisierung und KI in Wien fördern lassen: Wirtschaftsagentur Wien, waff und go-international 2026 — Förderquoten, Fristen und die häuf…
• KI-Förderung Österreich 2026: Was aktuell wirklich offen ist — Aktuelle KI-Förderungen in Österreich: Bund, Bundesländer und Förderschecks nach Standort, Vorhaben, Förderhöhe und Einreichstatus.
• Anthropics neue KI-Verfassung: Was das für DACH-Unternehmen und EU AI Act Compliance bedeutet — KI-Governance für DACH: Anthropics neue Verfassung unter CC0 — kostenlos als Template. Was für EU AI Act Compliance relevant ist und was si…

Den vollständigen Überblick zu Geltung, Fristen und den vier Risikoklassen in Österreich bietet unser Leitfaden: EU AI Act Österreich — Fristen, Pflichten & Risikoklassen für KMU.