Diese Woche werden Ihnen einige Dinge angeboten, die die Verordnung nicht verlangt. Das ist kein Vorwurf an die Anbieter, es ist die übliche Begleitmusik eines Stichtags. Nützlicher als eine weitere Aufzählung von Pflichten ist deshalb die Gegenrichtung: was Sie streichen können.
Jeder Punkt unten hat einen Artikel. Wenn Ihnen jemand das Gegenteil verkauft, fragen Sie nach der Fundstelle.
Eine AI-Act-Zertifizierung, die man kaufen kann
Gibt es nicht. Für Betreiber, also für alle, die KI im eigenen Betrieb einsetzen, sieht die Verordnung überhaupt keine Zertifizierung vor.
Was existiert, ist die Konformitätsbewertung nach Art. 43 für Hochrisiko-Systeme. Das ist ein Verfahren, das der Anbieter durchläuft, teilweise unter Beteiligung einer notifizierten Stelle, und es betrifft das Produkt, nicht das Unternehmen, das es benutzt. Ein Siegel, das man für den eigenen Betrieb erwirbt und an die Wand hängt, kennt die Verordnung nicht.
Wer Ihnen eines verkauft, verkauft ein Papier ohne Rechtsgrundlage. Das ist nicht verboten, es ist nur wertlos.
Ein Bußgeld für fehlende Schulung
Art. 99 Abs. 4 zählt abschließend auf, welche Pflichtverstöße mit bis zu 15 Mio. Euro oder 3 Prozent des weltweiten Jahresumsatzes belegt werden: die Anbieterpflichten aus Art. 16, die Pflichten der Bevollmächtigten, Einführer und Händler, die Betreiberpflichten aus Art. 26, die Anforderungen an notifizierte Stellen und die Transparenzpflichten aus Art. 50.
Art. 4, die KI-Kompetenz, steht in dieser Liste nicht. Auch nicht vor dem Omnibus.
Das heißt nicht, dass Art. 4 folgenlos ist, und es ist kein Argument, nichts zu tun. Es heißt, dass die Zahl 15 Millionen in einem Schulungsangebot falsch zitiert ist. Wo das Risiko tatsächlich sitzt, nämlich in Art. 26 Abs. 2 und der dort verlangten Kompetenz, Ausbildung und Befugnis der aufsichtführenden Personen, haben wir getrennt aufgeschrieben.
Hochrisiko-Pflichten, die Sie vermutlich nicht treffen
Anhang III zählt acht Bereiche auf, und die Aufzählung ist abschließend: Biometrie, kritische Infrastruktur, Bildung, Beschäftigung und Personalmanagement, Zugang zu grundlegenden Diensten einschließlich Kreditwürdigkeit, Strafverfolgung, Migration und Grenzkontrolle, Rechtspflege und demokratische Prozesse.
Interne Dokumentensuche steht dort nicht. Besprechungsprotokolle stehen dort nicht. Textentwürfe, Übersetzungen, Codevervollständigung stehen dort nicht.
Wer nichts aus diesen acht Bereichen betreibt, für den ist der Dezember 2027 schlicht kein Datum. Und wer etwas betreibt, das nah dran ist, sollte den Filter des Art. 6 Abs. 3 lesen, mit einer harten Grenze: Ein Anhang-III-System, das ein Profiling natürlicher Personen vornimmt, gilt immer als hochriskant, ohne Ausnahme.
Die GPAI-Pflichten, weil Sie ChatGPT benutzen
Die Pflichten aus Kapitel V treffen die Anbieter von Modellen mit allgemeinem Verwendungszweck. Das sind die Häuser, die die Modelle entwickeln und in Verkehr bringen.
Wer ein solches Modell im eigenen Betrieb einsetzt, ist Betreiber. Sie haben Betreiberpflichten, und die sind für den Normalfall überschaubar. Die Dokumentations- und Transparenzpflichten für das Modell selbst liegen nicht bei Ihnen.
Ein praktischer Nebeneffekt: Wenn Sie ein offenes Modell auf eigener Hardware betreiben, verschieben sich diese Pflichten nicht auf Sie, sie bleiben beim ursprünglichen Entwickler des Modells.
Ein Abschalttermin
Es gibt keine Pflicht in der Verordnung, die verlangt, am 2. August ein System abzuschalten. Was hinzukommt, sind Hinweis- und Kennzeichnungspflichten nach Art. 50: Ein Chatbot muss erkennbar machen, dass man mit einer Maschine spricht, erzeugte Bilder und Videos mit Außenwirkung müssen als künstlich erzeugt offengelegt werden.
Das ist Arbeit an der Oberfläche, nicht am Betrieb.
Was bleibt, und es ist wenig
Drei Dinge, für die meisten Betriebe:
Ein Verzeichnis der KI-Systeme, die im Haus benutzt werden, eigene wie eingekaufte. Eine Tabelle und ein Termin genügen.
Eine dokumentierte Grundschulung für die Leute, die damit arbeiten. Art. 4 verlangt Maßnahmen, keine garantierten Ergebnisse; entscheidend ist, dass Sie zeigen können, was Sie getan haben.
Ab dem 2. August die Hinweise nach Art. 50, wo Sie mit Kunden sprechen oder erzeugte Inhalte veröffentlichen.
Was davon auf Ihren Betrieb zutrifft, klärt unsere Checkliste in sechs Fragen, mit Artikel, Frist und dem, was Sie im Zweifel vorzeigen müssten. Wenn Sie zuerst wissen wollen, in welche Kategorie ein bestimmtes System fällt, führt der Entscheidungsbaum in fünf Schritten dorthin.
Der Satz, der diese Woche am häufigsten falsch steht
Zum Schluss der Punkt, an dem sich auch die ruhigen Beiträge irren: Aufsicht und Sanktionen beginnen nicht am 2. August 2026. Kapitel VII mit den nationalen Behörden und Kapitel XII mit den Bußgeldern gelten seit dem 2. August 2025, und Art. 113 Abs. 3 lit. b hat der Omnibus nicht angefasst. Die einzige Ausnahme ist Art. 101, die Geldbußen der Kommission für GPAI-Anbieter, und die beginnen tatsächlich jetzt.
Wer das Datum um zwölf Monate verschiebt, macht aus einem Zustand ein Ereignis. Genau daraus entsteht die Dringlichkeit, die diese Woche verkauft wird.
Häufige Fragen
Brauche ich eine AI-Act-Zertifizierung?
Nein. Für Betreiber sieht die Verordnung keine Zertifizierung vor. Was es gibt, ist die Konformitätsbewertung für Hochrisiko-Systeme nach Art. 43, und die ist ein Verfahren für Anbieter, kein Zertifikat, das man kauft.
Drohen 15 Millionen Euro, wenn ich nicht schule?
Nein. Art. 99 Abs. 4 zählt von lit. a bis lit. g abschließend auf, welche Verstöße mit bis zu 15 Mio. Euro oder 3 Prozent belegt werden. Art. 4 steht dort nicht, weder vor noch nach dem Omnibus.
Muss ich am 2. August etwas abschalten?
Nein. Keine Pflicht der Verordnung verlangt, ein System abzuschalten. Was hinzukommt, sind Kennzeichnungs- und Hinweispflichten nach Art. 50.
Bin ich für die GPAI-Pflichten verantwortlich, wenn ich ChatGPT nutze?
Nein. Die Pflichten aus Kapitel V treffen den Anbieter des Modells. Wer ein fremdes Modell im Betrieb einsetzt, ist Betreiber und hat die Betreiberpflichten, nicht die des Modellanbieters.