Wenn ihr in den letzten Wochen Schlagzeilen zum Thema AI Omnibus Startups gelesen habt, kennt ihr vermutlich beide Extreme: „Alles verschoben“ oder „Europa reguliert sich kaputt“. Beides trifft es nicht. Für Startups ist der AI Omnibus vor allem eine Präzisierung des Zeitplans, und genau das macht ihn planbar.
Seit dem 27.07.2026 ist das Paket in Kraft. Die typischen Fragen im Gründungsalltag klingen meist so: Müssen wir jetzt unsere KI-Produkt-Roadmap umbauen? Ist AI Literacy entfallen? Betrifft die Verlängerung der High-Risk AI Fristen auch ein ganz gewöhnliches SaaS-Feature? Die kurze Antwort: Die AI Act Änderungen 2026 bringen punktuell mehr Zeit und mehr behördliche Unterstützung, aber keinen Aufschub für jede Pflicht und schon gar keinen pauschalen Freifahrtschein.
In diesem Beitrag klären wir vier Dinge: die neuen Termine, die weiterhin geltenden Pflichten, den Unterschied zwischen Provider und Deployer sowie eure konkreten Prioritäten für die nächsten 30 Tage. Das Ganze dient der Orientierung und ersetzt keine Rechtsberatung im Einzelfall.
Inhaltsverzeichnis
- Was der Omnibus tatsächlich verändert
- Die Fristen: Wo mehr Zeit gilt und wo nicht
- Kompetenz und verantwortlicher Einsatz im Team
- Testen mit Behördenbegleitung
- Die Rollenfrage vor jeder Compliance-Entscheidung
- Vier typische Situationen im Startup-Alltag
- 30-Tage-Plan für Gründer:innen
- Drei Fehlinterpretationen, die teure Lücken schaffen
- FAQ
- Fazit
Was der EU AI Act Omnibus tatsächlich verändert
Ein Omnibus-Paket ist kein neues Gesetz, sondern eine Sammeländerung: Es passt einzelne Bestimmungen und Zeitpläne eines bestehenden Regelwerks an. Der EU AI Act bleibt also bestehen, inklusive Risikologik, Rollenverteilung und Kernpflichten. Verändert wurden gezielte Stellschrauben.
| Änderung | Für wen relevant | Praktische Konsequenz |
|---|---|---|
| Spätere Anwendungstermine für High-Risk-Systeme | Teams mit High-Risk-nahen Use Cases | Mehr Planungszeit, aber keine Erlaubnis, Grundlagen zu ignorieren |
| Stärkung von KI-Reallaboren und Innovationsförderung | Frühphasen-Teams mit neuen KI-Produkten | Strukturierte Erprobung unter Behördenbegleitung wird realistischer |
| Anpassung der AI-Literacy-Regelung | Alle Provider und Deployer | Pflicht zu Maßnahmen bleibt, Umsetzung wird weniger schematisch |
| Punktuelle Erleichterungen, z. B. für Small Mid-Caps und bei der Datenbankregistrierung | Größere Scale-ups, je nach Unternehmensgröße und Anwendungsfall | Nur relevant, wenn ihr tatsächlich unter die jeweiligen Kriterien fallt |
Für die KI-Regulierung von Startups gilt deshalb: Entscheidend sind nicht die Überschriften, sondern euer konkreter Use Case, eure Rolle in der Wertschöpfungskette und die Risikokategorie eures Systems. Ein Team mit einem internen GenAI-Setup steht vor völlig anderen Aufgaben als ein Team, das KI in Medizintechnik integriert.
Quelle: Europäische Kommission
Die Fristen: Wo mehr Zeit gilt und wo nicht
Die offizielle Timeline ist präziser, als es die meisten Zusammenfassungen vermuten lassen:
- 02.02.2025: Verbote bestimmter KI-Praktiken und die Regeln zu AI Literacy gelten bereits.
- 02.08.2025: Regeln für General-Purpose-AI-Modelle und die Governance-Struktur greifen.
- 02.08.2026: Transparenzpflichten gelten.
- 02.12.2027: Anwendung für High-Risk-Systeme nach Anhang III.
- 02.08.2028: Anwendung für KI-Systeme nach Anhang I, also KI als Sicherheitskomponente oder als eigenständiges Produkt in regulierten Produktbereichen.
Der Grund für die Anpassung bei den Hochrisiko-Terminen ist nüchtern: Die harmonisierten Standards standen nicht rechtzeitig in ausreichendem Umfang zur Verfügung. Ohne belastbare Normen hätten Unternehmen gegen ein bewegliches Ziel entwickelt. Das Risiko der betroffenen Systeme ist dadurch aber nicht kleiner geworden.
Wichtig ist auch die Frage, was überhaupt hochriskant ist. Systeme können als High Risk gelten, wenn sie in sensiblen Bereichen wie Beschäftigung, Bildung oder Migration eingesetzt werden oder Teil bestimmter regulierter physischer Produkte sind. Nicht jedes Chat-, Such-, Zusammenfassungs- oder Empfehlungsfeature fällt automatisch darunter.
Wenn euer Produkt in die Nähe dieser Kategorien rückt, lohnt sich der frühe Einstieg: Klassifizierung, Datenflüsse, Testverfahren, menschliche Aufsicht und technische Nachweise gehören jetzt in die Produktplanung. Ein späterer Geltungsbeginn macht spätere Umbauten nicht günstiger, sondern nur teurer, weil sie dann an ein gewachsenes System andocken müssen.
Quellen: Europäische Kommission, AI Act FAQ und Leitlinien zu High-Risk-Systemen
Kompetenz und verantwortlicher Einsatz im Team
AI Literacy bedeutet schlicht: Die Menschen, die KI bedienen oder beaufsichtigen, können sie passend, sicher und verantwortungsvoll in ihrem Arbeitskontext einsetzen. Die verbreitete Lesart „AI Literacy ist weg“ ist falsch. Provider und Deployer müssen weiterhin Maßnahmen treffen, damit ihre Teams befähigt sind.
Was der AI Act dagegen nicht vorschreibt: kein einheitliches Mindestniveau, kein externes Training, keine externe Zertifizierung. Maßgeblich sind das jeweilige System, der Einsatzkontext, das Risiko und die vorhandenen Kenntnisse der Mitarbeitenden. Das ist gute Nachricht und Verantwortung zugleich, denn ihr müsst selbst begründen können, warum eure Maßnahmen angemessen sind.
Eine praktikable Mindeststruktur für ein Startup sieht so aus:
- Rollenliste erstellen: Wer entwickelt, konfiguriert, genehmigt oder nutzt KI im Alltag?
- Kurze rollenbezogene Einweisung dokumentieren: erlaubte Tools, verbotene Eingaben, Umgang mit personenbezogenen und vertraulichen Daten, Qualitätsprüfung und Eskalation bei Fehlern.
- Nach Team differenzieren: Das Marketingteam braucht Leitplanken für generierte Inhalte. Produkt- und Supportteams brauchen zusätzlich Regeln für Tests, Kundenkommunikation und menschliche Kontrolle.
- Aktuell halten: Bei neuen Modellen, Features oder Risiken wird die Einweisung angepasst.
Laut Kommissions-FAQ startet die Aufsicht über Artikel 4 ab dem 03.08.2026. Ein zweiseitiges internes Dokument plus eine dokumentierte Einweisung pro Rolle ist für die meisten Frühphasen-Teams ein realistischer Startpunkt.
Quellen: Europäische Kommission, AI Literacy Q&A und AI Act Service Desk
Testen mit Behördenbegleitung, aber kein Freibrief
KI-Reallabore, offiziell AI Regulatory Sandboxes, sind kontrollierte und zeitlich begrenzte Umgebungen, in denen innovative KI unter Aufsicht entwickelt, trainiert, getestet und erprobt werden kann.
Der Nutzen für ein Startup ist konkret: Ihr könnt früh Fragen zur Risikoeinordnung, zu Grundrechten, Sicherheit, Testmethoden und Minderungsmaßnahmen strukturieren. Die zuständigen Behörden können dabei auch zu anderen einschlägigen EU- oder nationalen Regeln Orientierung geben, was bei überlappenden Anforderungen viel Zeit spart.
Die Grenze ist ebenso klar: Eine Sandbox ersetzt keine Compliance, keine Datenschutzprüfung, keine Produktsicherheitsanforderungen und keine reguläre Marktzulassung. Die Teilnahme ist kein automatischer Freibrief für den Launch.
Praktisch heißt das: Beobachtet die nationalen Angebote und bereitet vor einer Bewerbung einen kompakten Testplan vor. Hinein gehören Produktzweck, Datenarten, Nutzergruppen, Risikoannahmen, menschliche Aufsicht, Erfolgskriterien und geplante Schutzmaßnahmen. Jeder Mitgliedstaat sollte spätestens ab dem 02.08.2026 mindestens eine Sandbox bereitstellen.
Quellen: AI Act Service Desk zu Sandboxes und Artikel 57
Die Rollenfrage vor jeder Compliance-Entscheidung
Bevor ihr über einzelne Pflichten diskutiert, klärt eure Rolle. Provider ist, wer ein KI-System oder ein GPAI-Modell entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke auf den Markt bringt oder in Betrieb nimmt. Deployer ist, wer ein KI-System unter eigener Verantwortung beruflich nutzt. Private, nichtberufliche Nutzung ist ausgenommen.
Ein SaaS-Startup ist häufig beides gleichzeitig: Provider des eigenen KI-Features und Deployer eines extern eingekauften Modells. Genau diese Doppelrolle sorgt für die meiste Verwirrung in Teams.
Wichtig: Rollen sind nicht statisch. Wer ein System rebrandet, wesentlich verändert oder den vorgesehenen Zweck so anpasst, dass es hochriskant wird, kann insbesondere bei High-Risk-KI selbst zum Provider werden. Das trifft Startups, die externe Modelle stark anpassen, häufiger als gedacht.
Dokumentiert deshalb pro Use Case fünf Punkte: Welches Modell nutzen wir, wer verantwortet den Einsatz, unter welcher Marke läuft das Feature, welche Daten fließen ein und wer gibt Änderungen frei?
Quellen: AI Act Service Desk, Artikel 3 und Artikel 25
Vier typische Situationen im Startup-Alltag
Fall 1: KI-Feature im SaaS-Produkt, etwa Zusammenfassungen, semantische Suche oder Empfehlungen. Priorität jetzt: Zweck, Nutzergruppe, Datenarten und mögliche Fehlfolgen sauber beschreiben, Transparenzhinweis prüfen sowie Test- und Änderungsprotokoll aufsetzen. Bei direkter Interaktion mit einem KI-System kann eine Information für Nutzer:innen erforderlich sein.
Fall 2: Internes GenAI-Setup in Vertrieb, Marketing, Support oder HR. Priorität jetzt: AI-Literacy-Setup, Liste zugelassener Tools, klare Datenregeln, Freigabe kritischer Ergebnisse und dokumentierte Qualitätskontrolle.
Fall 3: High-Risk-naher Use Case, etwa Bewerbervorauswahl, Kreditwürdigkeitsbewertung oder Priorisierung in regulierten Bereichen. Priorität jetzt: früh fachlich prüfen lassen, Risikobewertung und Compliance-Roadmap anlegen. Die verschobenen Fristen sind keine Wartefrist.
Fall 4: KI in Hardware oder einem regulierten Produkt, etwa Robotik, Industrie-Sensorik oder Medizintechnik. Priorität jetzt: die Schnittstelle zwischen AI Act, Produktsicherheit, technischen Nachweisen und sektoralen Vorgaben von Beginn an mitplanen.
Zur Transparenz konkret: Bei direkter KI-Interaktion müssen Menschen grundsätzlich informiert werden. Anbieter generierter oder manipulierter Inhalte müssen diese maschinenlesbar markieren und erkennbar machen. Für Deployer gelten insbesondere Offenlegungspflichten bei Deepfakes und bei bestimmten KI-generierten Texten zu Themen von öffentlichem Interesse.
Quellen: AI Act Service Desk, Pflichten nach Risikokategorie und Artikel 50
30-Tage-Plan für Gründer:innen
Woche 1 – Inventar erstellen. Erfasst alle internen und kundenbezogenen KI-Use-Cases. Notiert pro Fall Zweck, Modell- oder Toolanbieter, Datenarten, betroffene Personen, Zielmarkt, verantwortliche Person und Status.
Woche 2 – Rolle und Risiko vorsortieren. Markiert je Use Case Provider oder Deployer und kennzeichnet High-Risk-Nähe, Transparenzrisiken und besondere Datenrisiken. Unklare oder potenziell kritische Fälle priorisiert ihr, statt sie vorschnell selbst abschließend zu klassifizieren.
Woche 3 – Produkt und Team absichern. Aktualisiert die Roadmap anhand der AI Act Änderungen 2026. Organisiert rollenbezogene AI Literacy und legt Regeln für Daten, Freigaben und menschliche Reviews fest.
Woche 4 – Nachweise arbeitsfähig machen. Dokumentiert Transparenzhinweise, Testresultate sowie Änderungen an Modellen, Prompts, Datenquellen und Features nachvollziehbar. Benennt eine verantwortliche Person oder ein kleines Governance-Team und beobachtet passende KI-Reallabore.
Drei Fehlinterpretationen, die teure Lücken schaffen
Mythos 1: „AI Literacy ist abgeschafft.“ Falsch. Die Pflicht zu angemessenen Maßnahmen besteht fort, es gibt lediglich keine Einheitszertifizierung für alle.
Mythos 2: „Der EU AI Act Omnibus hat alles verschoben.“ Verschoben wurden bestimmte High-Risk-Termine. Transparenzpflichten gelten seit dem 02.08.2026, andere Regeln bereits deutlich länger.
Mythos 3: „Eine Sandbox ersetzt Compliance.“ Sie unterstützt beaufsichtigtes Testen, entbindet aber nicht von den anwendbaren Pflichten.
Und ein Punkt, der oft untergeht: Die Nutzung eines externen Modells macht euch nicht automatisch verantwortungsfrei. Die Deployer-Rolle bleibt bestehen, und ein Rollenwechsel ist bei starker Anpassung schnell erreicht.
FAQ zum AI Omnibus
Ab wann gilt der AI Omnibus?
Der AI Omnibus ist seit dem 27.07.2026 in Kraft. Er ändert einzelne Bestimmungen und Fristen des EU AI Act, ersetzt ihn aber nicht.
Müssen Startups jetzt nichts mehr tun?
Doch. Verbote und AI-Literacy-Regeln gelten seit 02.02.2025, GPAI- und Governance-Regeln seit 02.08.2025, Transparenzpflichten seit 02.08.2026. Verschoben wurden nur bestimmte High-Risk-Termine.
Ist unser KI-Feature automatisch High Risk?
Nein. High Risk sind vor allem Systeme in sensiblen Bereichen wie Beschäftigung, Bildung oder Migration sowie KI in bestimmten regulierten Produkten. Ein Zusammenfassungs- oder Suchfeature fällt in der Regel nicht darunter.
Brauchen wir ein zertifiziertes KI-Training für alle Mitarbeitenden?
Nein. Es gibt keine Pflicht zu externen Trainings oder externer Zertifizierung. Entscheidend sind System, Einsatzkontext, Risiko und die vorhandenen Kenntnisse eurer Teams.
Was ist der Unterschied zwischen Provider und Deployer?
Provider bringt ein KI-System unter eigenem Namen oder eigener Marke auf den Markt. Deployer nutzt ein KI-System unter eigener Verantwortung beruflich. Viele Startups sind beides zugleich.
Fazit: Mehr Planbarkeit ist kein Grund zum Abwarten
Der AI Omnibus gibt Startups eine realistischere Roadmap, keine Erlaubnis zum Nichtstun. Wer jetzt Use Cases inventarisiert, Rollen klärt, AI Literacy praktisch organisiert sowie Transparenz und Dokumentation produktnah verankert, senkt spätere Umbaukosten und stärkt gleichzeitig das Vertrauen von Kund:innen, Investor:innen und Partnern.
Pro-Tipp: Führt euer KI-Inventar in derselben Tabelle wie euer Produkt-Backlog. So taucht jede Compliance-Frage automatisch dort auf, wo ohnehin priorisiert wird, statt in einem separaten Dokument zu verstauben.
Setzt euch also ein klares Ziel: In den nächsten 30 Tagen stehen Inventar, Verantwortlichkeiten und die priorisierten Compliance-Workstreams.
Transparenzhinweis: Dieser Beitrag wurde unter Zuhilfenahme künstlicher Intelligenz erstellt und vor der Veröffentlichung redaktionell geprüft. Alle Zahlen und Angaben wurden gegen die im Text verlinkten Primärquellen abgeglichen. Die Bilder wurden mit Hilfe künstlicher Intelligenz erstellt.
