Der AI Act wurde verschoben. Nur nicht der Teil, der Ihre Website betrifft.
Martin Schubert9 Min. LesezeitDer AI Act wurde verschoben. Nur nicht der Teil, der Ihre Website betrifft.
Im Sommer lief die Meldung durch die Fachpresse: Brüssel habe die KI-Verordnung entschärft und Fristen nach hinten geschoben. Wer das gelesen und innerlich einen Haken gesetzt hat, lag damit nicht falsch – nur eben unvollständig richtig.
Verschoben wurden die Hochrisiko-Kapitel, also jene Regeln, die für KI in Medizinprodukten, in der Personalauswahl oder in kritischer Infrastruktur gelten. Sie greifen jetzt Ende 2027 und Mitte 2028. Für viele Unternehmen sind das Regeln, die sie nie betreffen werden – für alle gilt das allerdings nicht: Wer KI in der Personalauswahl einsetzt, etwa zum Vorsortieren von Bewerbungen, fällt unter Anhang III und hat ab Dezember 2027 Pflichten.
Nicht verschoben wurden die Transparenzpflichten. Die gelten seit dem 2. August 2026, und sie betreffen etwas, das fast jede Firma hat: eine Website.
Was auf einer ganz normalen Firmenwebsite schon reicht
Es braucht kein KI-Produkt, um in den Anwendungsbereich zu geraten. Es reicht, was viele Marketing- und IT-Abteilungen in den letzten zwei Jahren ohnehin eingeführt haben.
Da wäre zunächst der Chatbot oder Assistent auf der Website. Wer mit einem KI-System interagiert, muss das erfahren, und zwar klar, unterscheidbar und bevor das Gespräch beginnt. Ein Satz in den AGB genügt ausdrücklich nicht.
Dann die mit KI erzeugten oder bearbeiteten Bilder: Produktvisualisierungen, Stockfoto-Ersatz, aufgehübschte Teamfotos. Hier lohnt eine Unterscheidung, an der viele vorbeilesen. Die maschinenlesbare Kennzeichnung nach Art. 50(2) hängt am Anbieter des erzeugenden Systems, während die sichtbare Offenlegung nach Art. 50(4) denjenigen trifft, der veröffentlicht, und im Kern auf Deepfakes und Texte zu Themen von öffentlichem Interesse zielt. Welche der beiden Sie trifft, hängt also an Ihrer Rolle und nicht am Bild. Für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, läuft für die maschinenlesbare Kennzeichnung noch eine Übergangsfrist bis zum 2. Dezember 2026. Welches Datum bei Ihnen gilt, lässt sich nur pro Produkt feststellen und nicht pauschal annehmen.
Bleiben die mit KI geschriebenen Texte zu Themen von öffentlichem Interesse, also der Blogbeitrag zur Gesetzesänderung oder der Ratgeber zur Fördermittellage. Dafür gibt es eine Ausnahme, und sie ist großzügiger, als viele denken: Sie greift, wenn der Text einer menschlichen Prüfung oder redaktionellen Kontrolle unterlag und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt. Einen namentlich genannten Menschen verlangt das Gesetz dabei nicht. Unsere Empfehlung tut es trotzdem, denn belegen müssen im Zweifel Sie, dass die Ausnahme greift – nicht die Behörde das Gegenteil.
Dramatisch ist keine dieser Pflichten, und jede einzelne lässt sich mit überschaubarem Aufwand erfüllen. Unangenehm wird es nur, wenn man von ihnen erfährt, weil jemand anders gefragt hat.
Die Pflicht, über die kaum jemand spricht
Und dann ist da noch eine, die es in keine Panik-Schlagzeile schafft, weil sie kein eigenes Bußgeld trägt.
Artikel 4 verlangt seit dem 2. Februar 2025, dass Anbieter und Betreiber etwas für die KI-Kompetenz ihrer Leute tun. Nicht seit August – seit anderthalb Jahren.
Wie weit das geht, hat der Digital Omnibus allerdings geändert, und zwar zu Ihren Gunsten. Bis zum 27. Juli 2026 mussten Sie die KI-Kompetenz Ihres Personals sicherstellen. Seither müssen Sie „Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz […] zu unterstützen“, und der neue Artikel 4 stellt ausdrücklich klar, diese Pflicht „verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren“. Wer Ihnen also erzählt, Sie müssten ein Kompetenzniveau nachweisen, zitiert eine Fassung, die seit Juli nicht mehr gilt.
Geblieben ist die Pflicht, überhaupt etwas zu tun – und die Frage, womit Sie das belegen. Eine vorgeschriebene Form gibt es nicht, keine Mindeststundenzahl, keine Pflichtzertifizierung. Praktisch heißt das: Eine datierte Schulung ist die einfachste Maßnahme, die man vorzeigen kann, und sie ist erfahrungsgemäß das Erste, wonach gefragt wird, wenn überhaupt jemand fragt. Diese Zeile ist die billigste auf der ganzen Liste und gleichzeitig die, die am häufigsten offen steht.
Was Sie in zwei Minuten selbst herausfinden können
Wir haben ein Werkzeug gebaut, das genau diese Fragen für eine Website durchgeht: den EU-AI-Act-Check. Kostenlos, ohne Anmeldung, ohne dass vorher jemand eine E-Mail-Adresse sehen will.
Sie geben eine Adresse ein. Der Check sieht sich an, was Ihre Seite öffentlich ausliefert, und stellt Ihnen zu allem, was er von außen nicht sehen kann, ein paar Fragen – höchstens zehn.
Danach haben Sie fünfzehn Zeilen vor sich, jede mit ihrem Artikel, und bei zwölf davon auch das Datum, ab dem die Pflicht greift. Keine Ampel, kein Punktestand, keine Prozentzahl, sondern die schlichte Auskunft: Das hier gilt für Sie, das hier gilt ab einem Datum, das hier trifft auf Sie nicht zu.
Dazu kommen drei Dinge, die uns wichtiger waren als eine hübsche Gesamtnote:
- Sagt der Report, auf Ihrer Seite fehle ein Hinweis oder sei einer vorhanden, dann steht daneben, wo er das gesehen hat, mit Quelle und wörtlichem Zitat. Sie können jeden Punkt selbst nachschlagen, statt uns glauben zu müssen.
- Was offen bleibt, steht ebenfalls im Report. Das ist der Teil, den die meisten Werkzeuge weglassen, und aus unserer Sicht der wertvollste: Jeder offene Punkt benennt, was fehlt und wer es beantworten kann.
- Und Sie erfahren, ob Sie Anbieter, Betreiber oder beides sind. Davon hängt ab, welche der Pflichten überhaupt Ihre sind, und an dieser Stelle gehen die meisten Selbsteinschätzungen schief.
Der ganze Report steht auf dem Bildschirm, bevor irgendwo nach einer Adresse gefragt wird. Wenn Sie ihn behalten wollen, können Sie ihn sich anschließend zuschicken lassen. Müssen Sie aber nicht.
Was der Check nicht kann
Ein Werkzeug, das seine Grenzen verschweigt, ist gefährlicher als gar keines. Deshalb stehen sie hier genauso deutlich wie im Report selbst.
Sechs der fünfzehn Zeilen kann er von außen nicht messen: Ihre Rolle als Anbieter oder Betreiber, was Ihre Verträge mit Modellanbietern regeln, welche Vorkette hinter einem eingekauften System steht, ob und wann Ihre Leute geschult wurden. Davon steht nichts auf einer Website. Der Check fragt Sie danach, und Ihre Antwort ist dann die einzige Quelle.
Er sieht auch nicht Ihr System, er sieht Ihre Website. Was in Ihren Prozessen, Ihren Verträgen und Ihren Werkzeugen tatsächlich passiert, kann er nicht beurteilen.
Und er ist keine Rechtsberatung. Er ordnet ein, was gilt und ab wann; ob Sie rechtlich richtig liegen, sagt Ihnen das nicht. Dafür braucht es jemanden, der hineinschauen darf.
Wir schreiben das nicht aus Vorsicht hin. Ein grüner Haken, der auf nichts beruht, wäre der eigentliche Schaden.
Denselben Maßstab haben wir an uns selbst angelegt
Am 2. August 2026, dem Tag, an dem die Transparenzpflichten wirksam wurden, haben wir DATENMASSIV selbst geprüft, und zwar nicht bloß die Website: 29 Dimensionen, das ganze Haus, dieselbe Systematik.
Makellos war das Ergebnis nicht. Vier Lücken, vier nur teilweise abgedeckte Punkte, zwei ohne abschließendes Urteil, dreizehn, die für uns nicht gelten, und sechs abgedeckte. Daraus wurden sechs Aufgaben, und die sind erledigt: Unsere Blogbilder tragen ihre Herkunft inzwischen sichtbar und maschinenlesbar, und kein Beitrag geht ohne menschliche Freigabe online.
Wir schreiben das hier hin, weil wir es von Ihnen auch erwarten würden.
Wo der kostenlose Check endet
Der Check ist ehrlich gesagt ein Anfang und kein Abschluss. Je nachdem, was er bei Ihnen ausspuckt, gibt es drei sinnvolle nächste Schritte. Sie schließen einander nicht aus, aber Sie brauchen selten alle drei.
Wenn die Zeile zur KI-Kompetenz offen bleibt
Der wahrscheinlichste Fall, und der mit dem besten Aufwand-Nutzen-Verhältnis: Die Pflicht läuft seit anderthalb Jahren, und eine datierte Schulung ist die einfachste Maßnahme, mit der Sie sie belegen.
Dafür haben wir den EU-AI-Act-Kompaktkurs gebaut. Er läuft online und dauert etwa 60 Minuten. Ein Videokurs ist es nicht: Sie prüfen echte KI-Ausgaben, ordnen Risiken ein und formulieren Kennzeichnungen selbst. Pausieren geht, der Fortschritt bleibt erhalten.
Am Ende steht das, worauf es bei Artikel 4 praktisch ankommt – ein verifizierbares Zertifikat mit Credential-ID und QR-Code, also ein öffentlicher Prüf-Link statt einer PDF-Datei, die jeder selbst gebaut haben könnte. Damit wird aus der Schulung ein Nachweis, den man auch vorlegen kann.
Bis zum 15. August 2026 kostet der Kurs 29 € statt 49 €, ab zehn Plätzen 19 € pro Person. Vierzehn Tage Geld zurück, ohne Bedingungen. Für eine Pflicht, die seit Februar 2025 läuft, ist das ein überschaubarer Weg, sie vom Tisch zu bekommen.
Wenn die Website nur die Spitze ist
Sehr oft ist der Website-Befund gar nicht das eigentliche Thema, sondern das Sichtbare an etwas Größerem: KI wird längst benutzt, in der Angebotserstellung, im Support, in der Übersetzung, im Marketing – nur weiß niemand genau, wo, womit und mit welchen Daten.
Dafür gibt es den KI-First Audit. Sein Ausgangssatz beschreibt die Lage besser, als wir es könnten: „Ihre KI arbeitet längst. Nur sieht ihr niemand zu.“
Er geht in drei Schritten vor – Kurzcheck, Vertiefung mit Interviews und Begleitung im Arbeitsalltag, dann Roadmap und Umsetzung – und deckt vier Bereiche ab: Strategie und Governance, Daten und Technologie, Mitarbeitende und Kultur, Anwendungen und Prozesse. Herzstück ist eine Einteilung Ihrer Daten in Klassen von öffentlich bis reguliert. Daraus ergibt sich eine sehr praktische Regel dafür, welche Daten in welches Werkzeug dürfen und in welchem Betriebsmodell – anstelle eines Verbots, das ohnehin umgangen wird.
Was am Ende bleibt, ist kein Gutachten im Ordner, sondern ein lebendes Register samt Richtlinien, Freigabeliste und priorisierten Piloten. Oder in den Worten des Angebots: „Am Ende gehört die KI-Fähigkeit Ihnen.“
Einsteigen können Sie mit dem Self-Check für 99 €. Der vollständige Audit kostet im Einführungspreis 499 € pro Jahr, bis zum 30. September 2026, danach 799 €.
Wenn Sie erst einmal jemanden fragen wollen
Manchmal ist die sinnvollste nächste Handlung ein Gespräch von zwanzig Minuten, in dem jemand Ihren Report mit Ihnen durchgeht und sagt, was davon wirklich dringend ist. Keine Buchung, kein Angebot.
Das kostet nichts und verpflichtet zu nichts. Die Einschätzung gehört Ihnen, auch wenn daraus kein Projekt wird.
→ Kostenloses Erstgespräch vereinbaren
Kurz gefasst
Verschoben wurden die Hochrisiko-Kapitel. An den Transparenzpflichten des Artikels 50 hat der Omnibus inhaltlich nichts geändert – sie gelten seit dem 2. August 2026.
Wer die eine Verschiebung für die andere hält, rechnet mit anderthalb Jahren, die er nicht hat. Und der 2. Dezember 2026, an dem die Übergangsfrist für bestehende Systeme ausläuft, ist keine ferne Zukunft mehr.
Zwei Minuten dauert der Check, und danach wissen Sie, ob Sie betroffen sind. Das ist deutlich angenehmer, als sich die Frage irgendwann von jemand anderem stellen zu lassen.
→ EU-AI-Act-Check starten – kostenlos, ohne Anmeldung, der Report steht da, bevor nach einer Adresse gefragt wird.
Alle Datums- und Artikelangaben in diesem Beitrag stammen aus einem datierten Rechtsstand vom 2. August 2026: Verordnung (EU) 2024/1689 in der Fassung von Verordnung (EU) 2026/1744. Dieser Beitrag ist eine Einordnung, keine Rechtsberatung.
Dieser Beitrag wurde mit KI-Unterstützung erstellt und vor der Veröffentlichung von Martin Schubert redaktionell geprüft und freigegeben. Nach Art. 50(4) müssten wir das nicht offenlegen – für redaktionell verantwortete Inhalte gilt die Ausnahme, und genau darauf berufen wir uns. Wir schreiben es trotzdem hin, weil ein Hinweis, den man weglassen dürfte, mehr über eine Redaktion sagt als einer, zu dem man gezwungen wird.
Fragen? Kontakt · info@datenmassiv.com
