Seit 2. August 2026: Die KI-Betreiber-Checkliste — was trotz Digital Omnibus verbindlich gilt

Es kursiert ein gefährliches Missverständnis: Der Digital Omnibus habe die KI-Verordnung „entschärft", man habe nun Zeit. Das stimmt für die Hochrisiko-Pflichten – aber nicht für die Transparenzpflichten. Diese gelten seit dem 2. August 2026, und sie treffen nicht nur Anbieter, sondern auch Betreiber: jedes Unternehmen, das KI einsetzt.

Der Stichtag ist verstrichen; die Pflichten gelten. Dieser Beitrag trennt sauber, was verschoben wurde und was gilt, klärt den oft verwechselten Unterschied zwischen Anbieter und Betreiber und liefert eine prüfbare Checkliste. Vorweg, in aller Deutlichkeit: Das ist eine fachliche Einordnung, keine Rechtsberatung.

Was der Digital Omnibus verschoben hat — und was nicht

Der Digital Omnibus – politisch geeinigt am 7. Mai 2026, seit dem 27. Juli 2026 als Verordnung (EU) 2026/1744 in Kraft – ist die erste große Änderung der KI-Verordnung. Er verschiebt die Hochrisiko-Pflichten; die Transparenzpflichten nach Artikel 50 gelten dagegen unverändert seit dem 2. August 2026. Wer „verschoben" mit „erledigt" gleichsetzt, übersieht genau die Pflichten, die als Erstes greifen.

Zum Verfahren: Das Europäische Parlament hat den Text am 16. Juni 2026 angenommen, nach der Annahme durch den Rat wurde er am 24. Juli 2026 im Amtsblatt veröffentlicht. Eine Detailregel betrifft Artikel 50 doch: Die maschinenlesbare Kennzeichnung synthetischer Inhalte durch Anbieter (Art. 50(2)) gilt grundsätzlich seit dem 2. August 2026; nur für bereits vorher in Verkehr gebrachte generative KI-Systeme gilt eine Schonfrist bis zum 2. Dezember 2026. Die übrigen Transparenzpflichten sind unverändert.

Anbieter oder Betreiber? Der Unterschied entscheidet

Betreiber ist nach Artikel 3 Nummer 4 der KI-Verordnung jede natürliche oder juristische Person, die ein KI-System beruflich unter eigener Verantwortung einsetzt. Anbieter ist, wer es entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt. Die meisten Unternehmen, die ein fremdes KI-Tool nutzen, sind also Betreiber – und tragen eigene Pflichten, unabhängig vom Anbieter.

Artikel 50 verteilt die Pflichten entlang dieser Linie:

Bild vergrößern

Wichtig: Wer ein KI-System erheblich verändert, anpasst oder unter eigenem Namen anbietet, kann zusätzlich zum Anbieter werden – und dann beide Pflichtenkreise tragen.

Die Betreiberpflichten nach Artikel 50 — die Checkliste

Für Betreiber sind vor allem zwei Absätze relevant – plus die Regel, wie offengelegt werden muss:

Die Pflichten der Anbieter – Hinweis auf die KI-Interaktion (50(1)) und maschinenlesbare Kennzeichnung synthetischer Inhalte (50(2)) – kommen hinzu, wenn Sie selbst Systeme bereitstellen. Für die Umsetzung der Kennzeichnung hat die EU-Kommission am 10. Juni 2026 einen (freiwilligen) Verhaltenskodex zur Kennzeichnung KI-generierter Inhalte veröffentlicht. Freiwillig ist der Kodex – die zugrunde liegenden Pflichten aus Artikel 50 sind es nicht.

Was passiert bei Verstößen — und wer prüft das?

Verstöße gegen die Transparenzpflichten können nach Artikel 99 der KI-Verordnung mit Geldbußen von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Für KMU einschließlich Start-ups gilt jeweils der niedrigere der beiden Beträge (Art. 99 Abs. 6). In Deutschland ist die Bundesnetzagentur zentrale Marktüberwachungsbehörde: Das Durchführungsgesetz KI-MIG hat der Bundestag am 11. Juni 2026 beschlossen, der Bundesrat am 10. Juli 2026 gebilligt; in Kraft ist es seit dem 29. Juli 2026. Die nationale Aufsicht stand damit rechtzeitig zum Stichtag. Mehr dazu in unserem Beitrag KI-MIG: Wer beaufsichtigt künstliche Intelligenz in Deutschland?

Wie ein lokaler, auditierbarer Stack die Erfüllung erleichtert

Transparenz, Kennzeichnung und Nachvollziehbarkeit sind kein Zufall der Architektur – sie sind eine Eigenschaft. Ein KI-Stack, der belegte Antworten liefert (jede Aussage mit Quelle) und jeden Abruf in einem Audit-Trail dokumentiert, macht die Offenlegungs- und Dokumentationspflichten praktisch erfüllbar, statt sie nachträglich rekonstruieren zu müssen. Genau so ist Lokalaise gebaut: eine grounded, berechtigungsbewusste Wissensebene auf Ihrer eigenen Hardware, ohne externe APIs – mit nachvollziehbaren Datenflüssen, die Sie gegenüber einer Aufsicht auch belegen können (siehe Sicherheit & Datenhoheit).

Das passt zur größeren Linie der Souveränität, die wir am Beispiel der Cloud-Kriterien beschrieben haben: BSI C3A: Wann ist eine Cloud wirklich souverän? – und warum unkontrollierte KI-Nutzung obendrein teuer wird, zeigt unser Beitrag zu Schatten-KI. Bei aller Klarheit: Lokalaise ist ein Enabler, kein Rechtsbeistand. Welche Ihrer Einsatzfälle unter Artikel 50 fallen, bewerten Sie mit Ihrer Rechtsabteilung – die technische Grundlage liefern wir.

Ihre nächsten Schritte

Drei Fragen schaffen schnell Klarheit – beantworten Sie sie für jeden KI-Einsatz im Haus:

1. Rolle: Sind Sie bei diesem System Betreiber, Anbieter – oder beides?
2. Auslöser: Erzeugen Sie Deepfakes oder veröffentlichen Sie KI-Texte zu Themen öffentlichen Interesses? Greift die Ausnahme der menschlichen Prüfung?
3. Nachweis: Können Sie Offenlegung, Kennzeichnung und Datenflüsse im Zweifel belegen?

Wo Sie ins Stocken geraten, lohnt der genauere Blick. In einer kurzen Demo zeigen wir Ihnen, wie ein lokaler, auditierbarer KI-Stack die Erfüllung der Transparenzpflichten praktisch unterstützt.