EU AI Act verschoben: Entspannung für den Mittelstand?

Der ursprüngliche Stichtag 2. August 2026 ist Geschichte. Die EU-Kommission hatte im November 2025 mit dem „Digital Omnibus" vorgeschlagen, zentrale Teile des EU AI Act zu verschieben. Im Mai 2026 haben sich Parlament und Rat politisch geeinigt, seit 27. Juli 2026 ist die Änderung als Verordnung (EU) 2026/1744 in Kraft.

Für den Mittelstand bedeutet diese Verschiebung allerdings nicht das, was die Überschriften vermuten lassen. Sie bedeutet vor allem eine Rebalancierung. Und sie macht eine andere Verordnung wichtiger, die längst gilt: die DSGVO.

Was tatsächlich verschoben wurde, und was nicht

Verschoben wurden ausschließlich Pflichten für sogenannte Hochrisiko-KI-Systeme. Konkret:

System-Kategorie Alter Stichtag Neuer Stichtag
Anhang III (Standalone-Hochrisiko-KI: HR-Software, Biometrie, Kreditbewertung, Justiz) 2. August 2026 2. Dezember 2027
Anhang I (Hochrisiko-KI in regulierten Produkten: Medizinprodukte, Maschinen, Aufzüge) 2. August 2027 2. August 2028

Das Muster: Diese Verschiebungen helfen den Anbietern von Hochrisiko-KI, Großkonzernen, spezialisierten Anbietern in regulierten Branchen, internationalen Tech-Herstellern.

Sie helfen kaum dem klassischen Mittelständler, der schlicht KI-Tools wie ChatGPT, Microsoft Copilot oder eine EU-gehostete Chat-Plattform einsetzt.

Denn was für den Mittelstand wirklich gilt, wurde nicht verschoben. Artikel 4 wurde allerdings abgeschwächt.

Was für den Mittelstand bleibt

Drei Pflichten betreffen jedes Unternehmen, das KI nutzt, auch das Architekturbüro mit 20 Mitarbeitenden.

Artikel 4: KI-Kompetenzpflicht, gilt seit 2. Februar 2025 Unternehmen müssen Maßnahmen ergreifen, um die KI-Kompetenz ihrer Mitarbeitenden zu fördern. Bis Juli 2026 lautete die Pflicht, ein ausreichendes Maß an Kompetenz sicherzustellen. Der Omnibus hat daraus eine Bemühenspflicht gemacht, ein bestimmtes Niveau pro Person ist nicht mehr geschuldet. In der Praxis bleibt es bei Schulung und Dokumentation: Grundprinzipien, Grenzen und interne Regeln.

Artikel 5: Verbotene Praktiken, gilt seit 2. Februar 2025 Social Scoring, manipulative KI, unzulässige biometrische Echtzeit-Identifikation. Das ist für die meisten Mittelständler natürlich nicht relevant. Ausnahme vielleicht: KI in der Bewerber-Auswahl und in Personalentscheidungen.

Artikel 50: Transparenzpflicht, gilt seit 2. August 2026 Chatbots müssen sich als solche zu erkennen geben, Deepfakes müssen klar als künstlich erkennbar sein. Die maschinenlesbare Kennzeichnung KI-generierter Inhalte nach Artikel 50 Absatz 2, die vor allem die Anbieter der Systeme trifft, gilt ab 2. Dezember 2026. Für Mittelständler ist das die Pflicht, die am ehesten im Alltag auffällt, etwa beim Chatbot auf der Website.

Diese drei Punkte sind nicht spektakulär. Sie sind aber durchsetzbar.

Die Einordnung eines Datenschutz-Experten

Wer Datenschutz-Juristen zuhört, vernimmt zunehmend eine kritische Bewertung des EU AI Act. Dr. Sebastian Kraska, einer der profiliertesten deutschen Datenschutzanwälte (IITR Datenschutz), formulierte in einem kürzlich geführten Interview sinngemäß:

  • Die DSGVO regelt seit Jahren die wirklich kritischen Punkte: Personenbezug, Auftragsverarbeitung, Transparenz, automatisierte Einzelentscheidung. Wer dort sauber aufgestellt ist, hat das Meiste, was für KI relevant ist, bereits abgedeckt.
  • EU-AI-Act-Großprojekte sind aktuell ein Thema für Konzerne, nicht für den Mittelstand.
  • Der zusätzliche EU-AI-Act-Bedarf für KMU lässt sich auf wenige praktische Schritte reduzieren: KI-Kompetenzschulung mit Nachweis, Transparenz-Mechanik, klare interne Regeln.

Kraska weist auf einen oft übersehenen Punkt hin: Wer ohne menschliche Letztentscheidung Bewerbungen aussortiert, Kreditanfragen ablehnt oder Versicherungsleistungen prüft, fällt unter eine Vorschrift, die schon heute scharf ist und durch den AI Act nicht entschärft wird.

EU AI Act vs DSGVO

Der häufigste Fehler in der aktuellen Diskussion: AI Act und DSGVO werden in einen Topf geworfen. Die DSGVO trägt die Hauptlast und wird durch den AI Act nicht ersetzt, sondern ergänzt. Wer auf den AI Act wartet, verliert Zeit, ohne Risiko zu reduzieren.

Was die Verschiebung für den Hochrhein-Mittelstand bedeutet

Drei Schlussfolgerungen:

1. Stoppen Sie keine Initiative wegen der Verschiebung. Wer wegen Unsicherheit über den AI Act seine KI-Einführung gestoppt hat: Das war ein Vorwand. Die Verschiebung nimmt diesen Vorwand weg.

2. Investieren Sie in DSGVO-Solidität, nicht in AI-Act-Großprojekte. Saubere Auftragsverarbeitungsverträge mit Ihren KI-Anbietern. Geklärte Datenflüsse. Eine einseitige KI-Richtlinie. Eine 60-minütige Mitarbeiterschulung mit Nachweis. Damit erfüllen Sie die für Sie relevanten Pflichten beider Verordnungen.

3. Warten Sie nicht auf „Klarheit". Die wird es nicht geben. Der AI Act wird in den nächsten 18 Monaten weiter verhandelt, präzisiert, ergänzt. Wer auf den finalen Wortlaut wartet, wartet bis 2028, und verliert in der Zwischenzeit jede strategische Initiative an Wettbewerber, die jetzt handeln.

Über den Autor: Thomas Schröpfer arbeitet hauptberuflich als Principal Enterprise AI Field Strategy Lead bei einem internationalen Technologieunternehmen für KI-Infrastruktur. Nebenberuflich berät er Mittelständler am Hochrhein zu strategischen KI-Fragen. Er ist kein Anwalt und gibt keine Rechtsberatung, für rechtsverbindliche Bewertungen wenden Sie sich an Ihren Datenschutzbeauftragten oder einen Anwalt für IT-Recht.

Aktualisiert am 1. Oktober 2026: Verfahrensstand des Digital Omnibus, Neufassung von Artikel 4 und Fristen nach Artikel 50 korrigiert.

Quellen: