EU AI Act 2026: Das musst du jetzt prüfen, wenn du Copilot nutzt

Lange war die KI-Verordnung ein Gesetz ohne überwachende Behörde. Auf dem Papier galt sie, aber in Deutschland fehlte die Behörde, die sie durchsetzt. Genau das hat sich mit dem KI-MIG geändert. Ab dem 2. August 2026 hat der EU AI Act hierzulande eine Adresse: die Bundesnetzagentur. Wenn bei euch Wissensarbeit läuft und Copilot oder ähnliche Werkzeuge im Alltag mitarbeiten, lohnt sich jetzt ein nüchterner Blick auf das, was ihr wirklich geprüft haben solltet.

Was der EU AI Act grundsätzlich ist und wie die vier Risikoklassen funktionieren, haben wir an anderer Stelle erklärt [1]. Dieser Beitrag setzt darauf auf und bringt den Stand nach dem Stichtag. Kurz gesagt: Die Panik vor 35-Millionen-Bußgeldern, durch die Schlagzeilen geistert, trifft die wenigsten Mittelständler. Die eigentliche Aufgabe ist kleiner, aber konkreter.

Deutschland hat eine KI-Aufsicht, und die neuen Fristen sind Gesetz

Zwei Dinge sind zusammengekommen. Das KI-MIG (Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz) ist seit dem 29. Juli 2026 in Kraft. Es macht die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde, zur Anlaufstelle und zur Beschwerdestelle für die KI-Verordnung in Deutschland [2]. Sektorbehörden behalten ihre Zuständigkeiten: Die BaFin bleibt für KI im Finanzbereich zuständig, die Landesmedienanstalten für den Medienbereich.

Die Bundesnetzagentur baut dafür ein Koordinierungszentrum auf, eine eigene KI-Marktüberwachungskammer und einen niedrigschwelligen KI-Service-Desk, gedacht vor allem für kleinere Unternehmen. Dazu kommt ein Reallabor, in dem sich KI-Anwendungen in einem rechtssicheren Rahmen testen lassen, bevor sie in den Markt gehen.

Zum anderen ist der sogenannte Digital Omnibus inzwischen geltendes Recht. Das ist wichtig, weil viele Texte im Netz ihn noch als bloßen Vorschlag behandeln. Das Europäische Parlament hat ihn am 16. Juni angenommen, der Rat am 29. Juni, unterzeichnet wurde er am 8. Juli 2026 [5]. Am 24. Juli wurde er im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 als Verordnung (EU) 2026/1744 in Kraft [6][7]. Er verschiebt einige Fristen und vereinfacht Teile der Verordnung. Damit sind die neuen Termine keine Ankündigung mehr, sondern gelten.

Warum heißt das eigentlich Omnibus?

Ein Omnibus ist im EU-Recht ein Rechtsakt, der mehrere bestehende Gesetze auf einmal ändert, statt für jedes ein eigenes Verfahren zu führen, meist innerhalb desselben Politikfelds. Die Europäische Kommission nutzt dieses Format, um Verfahren zu bündeln und Regeln kohärenter zu machen [8]. Das Wort stammt aus dem Lateinischen und bedeutet "für alle".

Vorgeschlagen wurde er am 19. November 2025 als "Omnibus VII", zusammen mit Vereinfachungen bei Daten und Cybersicherheit. Der KI-Teil wurde herausgelöst und zuerst verabschiedet, kaum acht Monate später ist er als Verordnung (EU) 2026/1744 in Kraft. Die übrigen Teile des Pakets verhandelt Brüssel noch.

Die vier Fristen, sauber sortiert

Viele Beiträge im Netz nennen noch die alten Fristen von vor dem Omnibus. Hier der aktuelle Stand [4]:

‍

Für ein typisches Wissensarbeit-Unternehmen ist der einzige Termin, der jetzt zählt, der 2. August 2026. Der Rest betrifft Hochrisiko-Anwendungen, und ob ihr überhaupt eine davon betreibt, ist genau die Frage, um die es weiter unten geht.

Drei Pflichten treffen dich unabhängig von der Risikoklasse.

KI-Kompetenz (Artikel 4).

Diese Pflicht gilt seit Februar 2025 und wurde zum 27. Juli 2026 neu gefasst. Die ältere Fassung verlangte, dass ihr ein ausreichendes Niveau an KI-Kompetenz bei euren Mitarbeitenden sicherstellt. Die neue Fassung streicht das Wort "ausreichend" ganz: Ihr müsst jetzt Maßnahmen ergreifen, die den Aufbau von KI-Kompetenz fördern, und der Text stellt ausdrücklich klar, dass ihr für keine einzelne Person ein bestimmtes Niveau garantieren müsst. Mit anderen Worten, aus einer Pflicht zum Ergebnis ist eine Pflicht zur Bemühung geworden: Bewertet werdet ihr nicht am Wissen in eurem Unternehmen, sondern an euren Anstrengungen, dieses Wissen aufzubauen.

Entscheidend ist, dass ihr die Maßnahmen tatsächlich durchführt und dokumentiert, denn unter der neuen Formulierung ist genau das die Erfüllung der Pflicht. Artikel 4 taucht im Bußgeldkatalog der Verordnung nicht auf, und der Omnibus hat das nicht geändert. Es gibt also kein direktes Bußgeld dafür, wenn ihr die KI-Kompetenz vernachlässigt. Trotzdem ist die Pflicht verbindlich, sie wird seit dem 2. August von der Bundesnetzagentur durchgesetzt, und sie ist die Grundlage, auf der die anderen Pflichten aufbauen. Der Anreiz kommt aus der Pflicht selbst, nicht aus einer Strafe. Haltet ihr eure aktuellen Anstrengungen zur KI-Kompetenz für ausreichend?

Transparenz (Artikel 50).

Das ist der eigentlich neue Punkt zum 2. August. Wo bei euch KI mit Menschen interagiert oder Inhalte erzeugt, muss das erkennbar sein. Ein Chatbot muss sich als KI zu erkennen geben. KI-generierte Medien müssen als solche gekennzeichnet sein. Für die meisten Wissensarbeit-Betriebe ist das ein kleiner, konkreter Schritt, aber es ist der eine Punkt, der an diesem Datum tatsächlich dazukommt.

Keine verbotene Praktik betreiben (Artikel 5).

Diese Verbote gelten schon seit Februar 2025, neu ist nur, dass sie ab dem 2. August auch durchgesetzt werden können. Für normale Büroarbeit sind die meisten davon kein Thema, etwa Social Scoring oder biometrische Massenüberwachung. Zwei Fälle lohnen aber einen genauen Blick: Emotionserkennung am Arbeitsplatz ist verboten, ebenso manipulative Systeme, die Menschen gezielt täuschen. Wer Tools einsetzt, die Stimmung oder Stresspegel von Mitarbeitenden messen, sollte hier besonders aufpassen.

Der Punkt, den fast alle überspringen: die Risikoeinordnung

Die verbreitete Annahme lautet: "Wir nutzen doch nur Copilot, wir sind Limited Risk." Das kann stimmen. Nachgesehen hat es nur selten jemand.

Der Grund ist eine Feinheit in der Verordnung: Die Einstufung richtet sich nach dem Zweck einer Anwendung und nach ihrem vorhersehbaren Missbrauch, nicht danach, wie ihr sie gerade benutzt. Ein Beispiel, das mehr Unternehmen betrifft, als man denkt: Ein Werkzeug zur Vorauswahl von Bewerbungen fällt unter Anhang III, Beschäftigung. Es bleibt hochriskant, selbst wenn ihr es momentan nur für eine einzige interne Stelle einsetzt. Wer also Copilot nutzt, um Lebensläufe zu sortieren oder Mitarbeiterbeurteilungen vorzubereiten, ist womöglich näher an einer Hochrisiko-Anwendung, als das Bauchgefühl sagt [3].

Es gibt Ausnahmen. Eine Anwendung aus einem Anhang-III-Feld gilt nicht als hochriskant, wenn sie nur eine eng umrissene Aufgabe erledigt, ein menschliches Ergebnis lediglich verbessert oder eine reine Vorarbeit leistet. Aber, und das ist der Haken: Wer sich auf diese Ausnahme beruft, muss die Einschätzung dokumentieren können. Sie ist kein Automatismus, sondern eine begründete Entscheidung, die ihr im Zweifel belegen müsst. Und die Bundesnetzagentur kann eine solche Einordnung anfechten, wenn sie den Eindruck macht, sie sei nur dazu da, Pflichten zu vermeiden.

Für ein Wissensarbeit-Unternehmen schrumpft die To-do-Liste vor dem 2. August damit auf einen ehrlichen Satz zusammen: Verschafft euch einen Überblick über eure KI-Anwendungen, ordnet jede einzelne begründet gegen die verbotenen Praktiken und gegen Anhang III ein, und haltet fest, warum die grenzwertigen Fälle (Personalauswahl, Zugang zu Leistungen, Steuerung von Beschäftigten) die Schwelle nicht überschreiten. Dieser Inventar-und-Einordnungs-Schritt ist der Teil, den die 40-Minuten-Compliance-Kurse auslassen.

Ein sauberer erster Schritt ist ein einfaches Inventar: Jede KI-Anwendung, ihr Zweck, ihre Datengrundlage und die Frage, wer von ihren Ergebnissen betroffen ist. Damit habt ihr die Grundlage, um jede Anwendung begründet einzuordnen.

Was das für euch heißt

Für die meisten Mittelständler, die Copilot einsetzen, ist die Liste kurz: KI-Kompetenz dokumentieren, KI-Inhalte kennzeichnen, keine verbotene Praktik betreiben. Der einzige Teil, der wirklich Denkarbeit verlangt, ist die Einordnung, weil sie sich nach dem Zweck richtet und nicht nach dem guten Gefühl.

Wenn du dir bei einer eurer Anwendungen nicht sicher bist, ob sie noch Limited Risk ist oder schon in Anhang III rutscht, ist das genau die Stelle, an der sich ein zweiter Blick lohnt. Lass uns 20 Minuten sprechen, wir schauen gemeinsam auf die Einordnung eurer konkreten Fälle.