2. August 2026: Die KI-Betreiber-Checkliste — was trotz Digital Omnibus verbindlich wird

Es kursiert ein gefährliches Missverständnis: Der Digital Omnibus habe die KI-Verordnung „entschärft", man habe nun Zeit. Das stimmt für die Hochrisiko-Pflichten – aber nicht für die Transparenzpflichten. Diese gelten ab dem 2. August 2026, und sie treffen nicht nur Anbieter, sondern auch Betreiber: jedes Unternehmen, das KI einsetzt.

Der Stichtag ist nur noch wenige Wochen entfernt. Dieser Beitrag trennt sauber, was verschoben wurde und was bleibt, klärt den oft verwechselten Unterschied zwischen Anbieter und Betreiber und liefert eine prüfbare Checkliste. Vorweg, in aller Deutlichkeit: Das ist eine fachliche Einordnung, keine Rechtsberatung.

Was der Digital Omnibus verschoben hat — und was nicht

Am 7. Mai 2026 erzielten Rat und Parlament eine vorläufige Einigung zum Digital Omnibus, der ersten großen Änderung der KI-Verordnung. Sie verschiebt die Hochrisiko-Pflichten – die Transparenzpflichten nach Artikel 50 bleiben jedoch auf dem 2. August 2026. Wer „verschoben" mit „erledigt" gleichsetzt, übersieht genau die Pflichten, die als Erstes greifen.

Zwei Einschränkungen gehören zur Ehrlichkeit: Der Omnibus geht auf eine vorläufige politische Einigung (7. Mai 2026) zurück; das Europäische Parlament hat den Text am 16. Juni 2026 angenommen, sodass nur noch die förmliche Annahme durch den Rat und die Veröffentlichung im Amtsblatt ausstehen (erwartet vor dem 2. August 2026). Und eine Detailregel betrifft Artikel 50 doch: Die maschinenlesbare Kennzeichnung synthetischer Inhalte durch Anbieter (Art. 50(2)) gilt grundsätzlich ab dem 2. August 2026; nur für bereits vorher in Verkehr gebrachte generative KI-Systeme gilt eine viermonatige Schonfrist bis zum 2. Dezember 2026. Die übrigen Transparenzpflichten bleiben unverändert.

Anbieter oder Betreiber? Der Unterschied entscheidet

Betreiber ist nach Artikel 3 Nummer 4 der KI-Verordnung jede natürliche oder juristische Person, die ein KI-System beruflich unter eigener Verantwortung einsetzt. Anbieter ist, wer es entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt. Die meisten Unternehmen, die ein fremdes KI-Tool nutzen, sind also Betreiber – und tragen eigene Pflichten, unabhängig vom Anbieter.

Artikel 50 verteilt die Pflichten entlang dieser Linie:

Wichtig: Wer ein KI-System erheblich verändert, anpasst oder unter eigenem Namen anbietet, kann zusätzlich zum Anbieter werden – und dann beide Pflichtenkreise tragen.

Die Betreiberpflichten nach Artikel 50 — die Checkliste

Für Betreiber sind vor allem zwei Absätze relevant – plus die Regel, wie offengelegt werden muss:

Die Pflichten der Anbieter – Hinweis auf die KI-Interaktion (50(1)) und maschinenlesbare Kennzeichnung synthetischer Inhalte (50(2)) – kommen hinzu, wenn Sie selbst Systeme bereitstellen. Für die Umsetzung der Kennzeichnung hat die EU-Kommission am 10. Juni 2026 einen (freiwilligen) Verhaltenskodex zur Kennzeichnung KI-generierter Inhalte veröffentlicht. Freiwillig ist der Kodex – die zugrunde liegenden Pflichten aus Artikel 50 sind es nicht.

Was passiert bei Verstößen — und wer prüft das?

Verstöße gegen die Transparenzpflichten können nach Artikel 99 der KI-Verordnung mit Geldbußen von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. In Deutschland wird die Bundesnetzagentur zentrale Marktüberwachungsbehörde: Das Durchführungsgesetz KI-MIG hat der Bundestag am 11. Juni 2026 beschlossen; die abschließende Zustimmung im Verfahren steht noch aus. Die Aufsicht bekommt also gerade ihre nationalen Zähne – rechtzeitig zum Stichtag.

Wie ein lokaler, auditierbarer Stack die Erfüllung erleichtert

Transparenz, Kennzeichnung und Nachvollziehbarkeit sind kein Zufall der Architektur – sie sind eine Eigenschaft. Ein KI-Stack, der belegte Antworten liefert (jede Aussage mit Quelle) und jeden Abruf in einem Audit-Trail dokumentiert, macht die Offenlegungs- und Dokumentationspflichten praktisch erfüllbar, statt sie nachträglich rekonstruieren zu müssen. Genau so ist Lokalaise gebaut: eine grounded, berechtigungsbewusste Wissensebene auf Ihrer eigenen Hardware, ohne externe APIs – mit nachvollziehbaren Datenflüssen, die Sie gegenüber einer Aufsicht auch belegen können (siehe Sicherheit & Datenhoheit).

Das passt zur größeren Linie der Souveränität, die wir am Beispiel der Cloud-Kriterien beschrieben haben: BSI C3A: Wann ist eine Cloud wirklich souverän? – und warum unkontrollierte KI-Nutzung obendrein teuer wird, zeigt unser Beitrag zu Schatten-KI. Bei aller Klarheit: Lokalaise ist ein Enabler, kein Rechtsbeistand. Welche Ihrer Einsatzfälle unter Artikel 50 fallen, bewerten Sie mit Ihrer Rechtsabteilung – die technische Grundlage liefern wir.

Ihre nächsten Schritte

Drei Fragen schaffen schnell Klarheit – beantworten Sie sie für jeden KI-Einsatz im Haus:

1. Rolle: Sind Sie bei diesem System Betreiber, Anbieter – oder beides?
2. Auslöser: Erzeugen Sie Deepfakes oder veröffentlichen Sie KI-Texte zu Themen öffentlichen Interesses? Greift die Ausnahme der menschlichen Prüfung?
3. Nachweis: Können Sie Offenlegung, Kennzeichnung und Datenflüsse im Zweifel belegen?

Wo Sie ins Stocken geraten, lohnt der genauere Blick. In einer kurzen Demo zeigen wir Ihnen, wie ein lokaler, auditierbarer KI-Stack die Erfüllung der Transparenzpflichten praktisch unterstützt.