KI-Omnibus, Cloud Act und der AI Act 2026: Was sich für Mittelständler wirklich ändert

Inhalt in Kürze

• AI Act gilt teilweise schon: KI-Kompetenzpflicht (Art. 4) und verbotene KI-Praktiken (Art. 5) sind seit 2. Februar 2025 in Kraft, die Kennzeichnungspflicht (Art. 50) seit dem 2. August 2026 — unabhängig vom KI-Omnibus.
• Der KI-Omnibus verschiebt, statt abzuschaffen: Als Verordnung (EU) 2026/1744 ist er seit dem 27. Juli 2026 in Kraft. Die Hochrisiko-Pflichten nach Anhang III greifen dadurch erst am 2. Dezember 2027 statt am 2. August 2026, die nach Anhang I erst am 2. August 2028. Die Grundpflichten bleiben.
• Der Cloud Act hebelt die DSGVO aus: US-Anbieter müssen Daten an US-Behörden herausgeben, auch wenn die Server in der EU stehen — das EU-Rechenzentrum allein schützt nicht.
• Bußgeldrahmen: Bis zu 35 Mio. Euro oder 7 % Jahresumsatz bei verbotenen KI-Praktiken (Art. 99 KI-VO), parallel bis zu 20 Mio. Euro oder 4 % nach DSGVO.

Die EU schraubt schon wieder am AI Act, während die USA über den Cloud Act mitlesen — und im Mittelstand fragt sich der Geschäftsführer: Muss ich jetzt überhaupt etwas tun? Die Antwort ist unbequem: Manches ja, sofort. Anderes können Sie tatsächlich aussitzen. Wer hier falsch entscheidet, zahlt entweder umsonst oder zu spät.

AI Act 2026: Was schon gilt — und was der KI-Omnibus daran ändert

Der AI Act (offiziell KI-Verordnung, EU 2024/1689) ist seit August 2024 in Kraft, gilt aber gestaffelt. Zwei Bausteine sind längst scharf: Seit dem 2. Februar 2025 verlangt Art. 4 von jedem Unternehmen, dass Mitarbeitende mit ausreichender KI-Kompetenz ausgestattet sind, und Art. 5 verbietet bestimmte Praktiken wie Emotionserkennung am Arbeitsplatz (IHK Schleswig-Holstein).

Seit dem 2. August 2026 gilt die nächste Stufe: Art. 50 verlangt, dass KI-generierte Inhalte und Deepfakes als künstlich erzeugt gekennzeichnet werden (ai-act-law.eu, Art. 50). Für Systeme, die schon vor diesem Tag im Markt waren, läuft die Frist für die maschinenlesbare Markierung nach Art. 50 Abs. 2 noch bis zum 2. Dezember 2026.

Und jetzt der KI-Omnibus, korrekt: Digital Omnibus on AI. Ein KI-Omnibus ist kein neues Gesetz, sondern ein Sammeländerungsgesetz, das bestehende AI-Act-Pflichten verschiebt und vereinfacht. Die EU-Kommission legte den Vorschlag am 19. November 2025 vor (EU-Kommission, Digital Strategy). Kern: Die Pflichten für Hochrisiko-KI nach Anhang III greifen erst zum 2. Dezember 2027 statt zum 2. August 2026, die für eingebettete KI nach Anhang I erst zum 2. August 2028 statt zum 2. August 2027. Rat und Parlament erzielten am 7. Mai 2026 eine vorläufige Einigung (Rat der EU); unterzeichnet wurde der Text am 8. Juli 2026, veröffentlicht im Amtsblatt am 24. Juli 2026.

Cloud Act vs. DSGVO: Warum das EU-Rechenzentrum nicht reicht

Der zweite große Hebel hat mit Brüssel nichts zu tun, sondern mit Washington. Der US Cloud Act verpflichtet US-Unternehmen, Daten an US-Behörden herauszugeben — auch dann, wenn die Server in der EU stehen (Landesbeauftragte für den Datenschutz Niedersachsen).

Das ist der Punkt, der bei vielen Mandanten für Stirnrunzeln sorgt. Sie haben extra einen Anbieter mit Rechenzentrum in Frankfurt gewählt — und sind trotzdem nicht aus dem Schneider. Entscheidend ist nicht, wo die Daten liegen, sondern wer sie kontrolliert. Unterliegt der Anbieter US-Recht, kann eine US-Behörde Herausgabe verlangen, ohne dass ein EU-Gericht zustimmen muss. Das kollidiert mit Art. 48 DSGVO.

Genau diese Kombination — US-KI-Tool plus EU-Hosting — ist 2026 der häufigste Fehlschluss bei der Tool-Auswahl. Welcher Dienst rechtlich tragfähig ist und welcher nur souverän aussieht, klären wir im Erstgespräch konkret an Ihren eingesetzten Werkzeugen.

Diese DSGVO-Mythen rund um KI tragen juristisch nicht

Rund um KI hält sich eine Reihe von Halbwahrheiten, die im Beratungsalltag immer wieder auftauchen. Drei davon sollten Sie aus dem Kopf streichen:

• "Mit EU-Server bin ich DSGVO-konform." Falsch — entscheidend ist die Kontrolle über die Daten, nicht der Serverstandort. Der Cloud Act sticht den Standort.
• "Der AI Act gilt erst 2027, ich habe Zeit." Falsch — Schulungspflicht und verbotene Praktiken gelten seit Februar 2025. Verschoben werden nur Teile der Hochrisiko-Pflichten.
• "Wenn ich keine Klarnamen eingebe, ist es kein Datenschutz-Thema." Falsch — auch Kontextinformationen, Projektdaten oder Kundendetails können personenbezogen sein, sobald sie zuordenbar werden.

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „KI sicher einsetzen — Der Leitfaden für Geschäftsführer” (93 Seiten) ausführlich behandelt. Jetzt herunterladen →

Aus der Praxis

Viele Geschäftsführer reagieren auf die Regulierungswelle entweder mit Aktionismus oder mit Schulterzucken. Beides ist teuer. Der pragmatische Weg liegt dazwischen: erst wissen, was man einsetzt, dann priorisieren.

Für jeden ist Datenschutz wichtig. Und für uns ist es wichtig, eine pragmatische Lösung zu finden, wie Unternehmen ihren Datenschutz umsetzen – ohne dabei den Geschäftsbetrieb einzustellen.

Nils OehmichenDatenschutzberater bei frag.hugo

Was Sie jetzt tun müssen — und wo Abwarten vertretbar ist

Trennen Sie die Pflichten nach Dringlichkeit. Was seit Februar 2025 gilt, duldet keinen Aufschub. Was der KI-Omnibus verschiebt, verschafft Ihnen Luft — aber kein Recht auf Nichtstun.

1. Schritt 1 — Inventur: Listen Sie jedes KI-Tool, das im Haus genutzt wird, inklusive der unbeobachteten "Schatten-KI" in den Abteilungen.
2. Schritt 2 — Schulung: Erfüllen Sie die KI-Kompetenzpflicht aus Art. 4 nachweisbar — das ist die einfachste und überfälligste Maßnahme.
3. Schritt 3 — Tool-Check: Prüfen Sie bei jedem US-Dienst das Cloud-Act-Risiko und ob eine europäische Alternative tragfähiger ist.
4. Schritt 4 — Roadmap: Planen Sie die Hochrisiko-Dokumentation auf die verschobene Frist hin — vorbereiten ja, übereilt umsetzen nein.

Fazit: Ihr nächster Schritt

Die Rechtslage ist in Bewegung — das ist genau der Grund, sie nicht selbst zu beobachten, sondern beobachten zu lassen. Sie müssen nicht jeden Brüsseler Entwurf lesen. Sie müssen wissen, welche Pflicht für Ihr Unternehmen heute gilt und welche warten kann. Genau diese Übersetzung von Regulierung in konkrete To-dos ist Aufgabe eines externen Datenschutzbeauftragten. Für die KI-spezifischen Pflichten begleitet Sie unsere AI-Act-Beratung, und die rechtssichere Tool-Nutzung klären wir bei ChatGPT & Co. DSGVO-konform.

Häufige Fragen (FAQ)

Was ist der KI-Omnibus (Digital Omnibus on AI)?

Der KI-Omnibus ist ein Sammeländerungsgesetz, das die EU-Kommission am 19. November 2025 vorschlug. Es schafft keine neue KI-Verordnung, sondern verschiebt und vereinfacht bestehende AI-Act-Pflichten, vor allem die Fristen für Hochrisiko-KI. Seit dem 27. Juli 2026 ist es als Verordnung (EU) 2026/1744 in Kraft.

Welche AI-Act-Pflichten gelten 2026 schon?

Seit dem 2. Februar 2025 gelten die KI-Kompetenzpflicht (Art. 4) und das Verbot bestimmter KI-Praktiken (Art. 5). Seit dem 2. August 2026 gilt zusätzlich die Transparenz- und Kennzeichnungspflicht nach Art. 50, etwa für Deepfakes und KI-generierte Inhalte. Der KI-Omnibus hat an keiner dieser Pflichten etwas geändert.

Was bedeutet der US Cloud Act für deutsche Unternehmen?

Der US Cloud Act verpflichtet US-Anbieter, Daten an US-Behörden herauszugeben, selbst wenn die Server in der EU stehen. Das steht im Konflikt mit der DSGVO. Ein EU-Rechenzentrum allein schützt also nicht vor behördlichem Zugriff, wenn der Anbieter dem US-Recht unterliegt.

Muss mein Unternehmen den AI Act jetzt umsetzen oder kann es warten?

Die seit Februar 2025 geltenden Pflichten (Schulung, verbotene Praktiken) und die Kennzeichnung nach Art. 50 sind sofort umzusetzen. Bei den Hochrisiko-Pflichten verschafft der KI-Omnibus Zeit bis zum 2. Dezember 2027. Eine Bestandsaufnahme der eingesetzten KI-Tools ist aber in jedem Fall der richtige erste Schritt, unabhängig von verschobenen Fristen.

Wie hoch sind die Bußgelder bei AI-Act-Verstößen?

Bei Verstößen gegen das Verbot bestimmter KI-Praktiken (Art. 5) drohen Geldbußen von bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes (Art. 99 KI-VO). Parallel greift bei Datenschutzverstößen die DSGVO mit bis zu 20 Mio. Euro oder 4 % des Umsatzes.