EU AI Act Fristen 2026: Was für Steuerkanzleien gilt

Kurz zum Verfahren: Die EU-Kommission hat am 19. November 2025 das Digital-Omnibus-Paket vorgeschlagen, um Fristen und Pflichten des AI Act zu entschärfen. Parlament und Rat einigten sich im Trilog am 7. Mai 2026, das Parlament stimmte am 16. Juni zu, der Rat gab am 29. Juni 2026 die finale Zustimmung. Unterzeichnet wurde die Verordnung (EU) 2026/1744 am 8. Juli 2026, im EU-Amtsblatt veröffentlicht am 24. Juli 2026. Wegen der Dringlichkeit trat sie bereits am dritten Tag danach in Kraft, am 27. Juli 2026, und damit vor dem 2. August 2026.

Inhaltlich hat der Omnibus drei für Kanzleien relevante Punkte:

1. Hochrisiko-Pflichten verschoben, auf feste Daten. Eigenständige Hochrisiko-Systeme nach Anhang III (z. B. KI in Personalauswahl oder Kreditwürdigkeitsprüfung) müssen die Pflichten erst ab dem 2. Dezember 2027 erfüllen statt ab dem 2. August 2026. Für KI in regulierten Produkten (Anhang I) gilt der 2. August 2028. Der Kommissionsvorschlag wollte diese Daten noch an die Verfügbarkeit von Standards knüpfen; beschlossen wurden feste Termine.
2. Transparenzpflichten bleiben. Art. 50 (Kennzeichnung von KI-Interaktion und KI-generierten Inhalten) hat der Omnibus nicht geändert; er gilt seit dem 2. August 2026. Neu ist nur eine Übergangsfrist in Art. 111 Abs. 4: Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und vor dem 2. August 2026 in Verkehr gebracht wurden, müssen die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 bis zum 2. Dezember 2026 umsetzen. Diese Pflicht trifft die Anbieter der Systeme.
3. KI-Kompetenz wird Bemühenspflicht. Die seit dem 2. Februar 2025 geltende Kompetenzpflicht aus Art. 4 wollte die Kommission als Pflicht der Unternehmen ganz streichen. Beschlossen wurde stattdessen eine Abschwächung: Anbieter und Betreiber ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals zu unterstützen, ein bestimmtes Kompetenzniveau müssen sie ausdrücklich nicht garantieren. Diese Fassung gilt seit dem 27. Juli 2026.

Drei Verwechslungen erklären fast alle abweichenden Angaben, die in Fachmedien und Anbieter-Blogs stehen:

• Kommissionsvorschlag statt Beschluss. Der Vorschlag vom November 2025 sah andere Daten vor (z. B. Watermarking-Übergang bis Februar 2027 und eine Kopplung der Hochrisiko-Fristen an Standards). Wer daraus zitiert, beschreibt einen Stand, der so nie beschlossen wurde.
• Übergangsfrist statt Verschiebung. Der 2. Dezember 2026 taucht in der Omnibus-Verordnung zweimal auf: als Übergangsfrist für die maschinenlesbare Kennzeichnung bei Bestandssystemen und als Startdatum zweier neuer Verbote in Art. 5. Daraus wird in manchen Darstellungen eine generelle Verschiebung der Kennzeichnungspflicht. Das gibt der Text nicht her: Die Grundpflichten aus Art. 50 gelten seit dem 2. August 2026.
• Freiwilliger Kodex statt Rechtspflicht. Die EU-Kommission hat am 10. Juni 2026 einen freiwilligen Verhaltenskodex zur Kennzeichnung KI-generierter Inhalte veröffentlicht und ihn am 8. Juli 2026 als angemessen bewertet, um die Pflichten aus Art. 50 Abs. 2, 4 und 5 abzudecken. Wer ihn unterzeichnet, kann sich zum Nachweis darauf stützen; einen abschließenden Beweis der Rechtskonformität liefert er nach Aussage der Kommission nicht. Er ist selbst keine Rechtsgrundlage und ändert keine Fristen.

Die ehrliche Antwort: weniger, als die Schlagzeilen vermuten lassen. Für eine typische Steuerkanzlei sind vier Punkte relevant.

Die Kompetenzpflicht läuft bereits. Seit Februar 2025 gilt Art. 4. Auch in der abgeschwächten Form bleibt dokumentierte Schulung der sinnvolle Weg, zumal die DStV-Muster-KI-Anwendungsrichtlinie sie ohnehin vorsieht. Wer sein Team geschult und die Teilnahme dokumentiert hat, muss hier nichts nachjustieren.

Die Hochrisiko-Verschiebung ändert im Kanzleialltag wenig. Typische Kanzlei-Anwendungen wie E-Mail-Klassifikation, Antwortentwürfe, Belegverarbeitung oder Recherche fallen nicht unter die Hochrisiko-Kategorien von Anhang III. Relevant würde das Thema etwa bei KI-gestützter Personalauswahl in der eigenen Kanzlei. Dafür ist jetzt bis Dezember 2027 Zeit.

Die Aufsicht hat eine Adresse. Seit dem 29. Juli 2026 ist das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG) in Kraft. Es macht die Bundesnetzagentur zur Marktüberwachungsbehörde für die KI-Verordnung, soweit nicht eine Fachbehörde wie die BaFin zuständig ist (§ 2 Abs. 1 KI-MIG). Die Bundesnetzagentur betreibt außerdem einen KI-Service-Desk, der sich vor allem an kleine und mittlere Unternehmen richtet, unter anderem mit Informationen zum Aufbau von KI-Kompetenz.

Die Transparenzpflichten gelten seit August 2026 und verdienen einen genauen Blick. Hier herrscht die meiste Unsicherheit, deshalb im Detail:

Die Sorge liegt nahe: Seit dem 2. August 2026 gilt die Kennzeichnungspflicht, die Kanzlei nutzt KI für Antwortentwürfe, also muss unter jeder Mandanten-Mail „KI-generiert" stehen? Nach dem Verordnungswortlaut und den Leitlinien der EU-Kommission zu Art. 50: nein, solange ein Mensch prüft und versendet. Die Begründung lohnt sich im Detail, weil sie zeigt, wie Art. 50 aufgebaut ist:

• Abs. 1 (Interaktions-Transparenz) verpflichtet die Anbieter von KI-Systemen, die für die direkte Interaktion mit Menschen bestimmt sind, etwa Chatbots. Prüft ein Kanzleimitarbeiter den Entwurf und versendet ihn selbst, interagiert der Mandant mit dem Menschen, nicht mit dem KI-System.
• Abs. 2 (maschinenlesbare Kennzeichnung) verpflichtet ebenfalls die Anbieter: Deren Systeme müssen Ausgaben in maschinenlesbarem Format als künstlich erzeugt erkennbar machen. Das ist eine Frage an den Tool-Anbieter, nicht an die Kanzlei.
• Abs. 4 (Offenlegung bei Texten) ist die einzige Pflicht, die die Kanzlei als Betreiber treffen könnte. Sie gilt aber nur für Texte, die veröffentlicht werden, „um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren". Eine individuelle E-Mail an einen Mandanten ist keine Veröffentlichung. Die Leitlinien der Kommission nennen private Korrespondenz zwischen Personen, ausdrücklich auch zu beruflichen Zwecken, sowie organisationsinterne Kommunikation als Beispiele für nicht veröffentlichten Text. Und selbst wo die Pflicht greift, nimmt die Verordnung Inhalte aus, die menschlich überprüft wurden und für die eine Person die redaktionelle Verantwortung trägt.

Anders kann es bei Veröffentlichungen der Kanzlei aussehen. Ein Blogbeitrag oder ein öffentlich abrufbares Mandantenrundschreiben auf der Kanzlei-Website, das über Gesetzesänderungen informiert, ist für jeden lesbar und kann eine Angelegenheit von öffentlichem Interesse betreffen. Ist ein solcher Text mit KI erstellt, ist das nach Abs. 4 offenzulegen, es sei denn, ein Mensch hat ihn inhaltlich geprüft und eine Person trägt die redaktionelle Verantwortung. Die Leitlinien verlangen dafür eine echte inhaltliche Prüfung einschließlich Faktencheck: Rechtschreibkorrektur oder ein flüchtiges Abnicken genügen nicht, und wer den Text nach der Freigabe noch einmal substanziell mit KI überarbeitet, verliert die Ausnahme. Wer die redaktionelle Verantwortung trägt, soll leicht auffindbar angegeben sein, etwa im Impressum.

Zwei Einschränkungen gehören zur ehrlichen Darstellung. Erstens: Rechtsprechung und Behördenpraxis zu Art. 50 gibt es noch nicht. Die Leitlinien der Kommission sind nicht verbindlich; die Kommission hat ihren Inhalt am 20. Juli 2026 gebilligt und will sie förmlich annehmen, sobald alle Sprachfassungen vorliegen. Die Prüfung der Entwürfe sollte deshalb echt sein und dokumentiert werden, ein flüchtiges Überfliegen genügt nicht. Zweitens: Vollautomatischer Versand ohne menschliche Freigabe ist ein anderer Fall. Wer Mandanten direkt mit einem KI-System interagieren lässt, auch per E-Mail, landet bei den Transparenzpflichten aus Abs. 1.

Der Digital Omnibus hat die Fristen des EU AI Act neu sortiert, aber für Steuerkanzleien weniger verändert, als die widersprüchlichen Meldungen suggerieren. Was zählt: Die Kompetenzpflicht läuft seit Februar 2025 und ist seit Juli 2026 milder gefasst. Die Kennzeichnungspflichten gelten wie geplant seit dem 2. August 2026, treffen aber in erster Linie die Anbieter von KI-Systemen. Und die große Hochrisiko-Welle ist auf Ende 2027 verschoben und betrifft typische Kanzlei-Anwendungen ohnehin kaum.

Die wichtigste organisatorische Antwort auf Art. 50 hat eine gut aufgestellte Kanzlei bereits: das Freigabe-Prinzip. Wenn jeder KI-Entwurf durch menschliche Prüfung geht, bevor er die Kanzlei verlässt, ist die Kennzeichnungsfrage für die Mandantenkommunikation nach heutigem Stand gelöst, und die Qualitätssicherung gibt es gratis dazu. Wer diesen Prüfschritt in seiner KI-Richtlinie verankert und dokumentiert, hat aus der Regulatorik eine Routine gemacht.

Dieser Artikel dient der strukturellen Information und stellt keine Rechtsberatung im Einzelfall dar. Stand: 21. Oktober 2026.

Ab wann gilt die Kennzeichnungspflicht für KI-Inhalte?

Die Transparenz- und Kennzeichnungspflichten aus Art. 50 der KI-Verordnung gelten seit dem 2. August 2026. Der Digital Omnibus hat Art. 50 selbst nicht geändert. Der 2. Dezember 2026 ist lediglich eine Übergangsfrist für die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 bei KI-Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden, und diese Pflicht trifft den Anbieter des Systems, nicht die Kanzlei.

Was hat der Digital Omnibus am AI Act geändert?

Der Digital Omnibus ist als Verordnung (EU) 2026/1744 am 24. Juli 2026 im Amtsblatt veröffentlicht worden und seit dem 27. Juli 2026 in Kraft. Verschoben wurden vor allem die Hochrisiko-Pflichten: für eigenständige Hochrisiko-Systeme (Anhang III) vom 2. August 2026 auf den 2. Dezember 2027, für produktintegrierte Systeme (Anhang I) auf den 2. August 2028. Die KI-Kompetenzpflicht aus Art. 4 ist zur Bemühenspflicht abgeschwächt, aber nicht gestrichen. Die Transparenzpflichten aus Art. 50 gelten unverändert seit dem 2. August 2026.

Müssen KI-generierte Mandanten-E-Mails gekennzeichnet werden?

Nein, wenn ein Mensch den Entwurf prüft und versendet. Die Kennzeichnungspflichten aus Art. 50 Abs. 1 und 2 treffen den Anbieter des KI-Systems. Die Betreiberpflicht aus Abs. 4 gilt nur für veröffentlichte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren. Die Leitlinien der EU-Kommission zu Art. 50 vom Juli 2026 nennen berufliche Korrespondenz zwischen Personen ausdrücklich als Beispiel für nicht veröffentlichten Text. Rechtsprechung dazu gibt es noch nicht; die Prüfung sollte echt sein und dokumentiert werden.

Gilt die KI-Kompetenzpflicht aus Art. 4 EU AI Act noch?

Ja. Sie gilt seit dem 2. Februar 2025, seit dem 27. Juli 2026 in der Fassung des Digital Omnibus: Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu unterstützen, schulden aber kein bestimmtes Kompetenzniveau. Für Kanzleien bleibt dokumentierte Schulung ohnehin sinnvoll: Die DStV-Muster-KI-Anwendungsrichtlinie sieht sie vor, und sie ist die Grundlage für einen kontrollierten KI-Einsatz.

Welche Bußgelder drohen bei Verstößen gegen die Transparenzpflichten?

Art. 99 Abs. 4 der KI-Verordnung sieht für Verstöße gegen Art. 50 Geldbußen bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für kleine und mittlere Unternehmen, also die meisten Steuerkanzleien, gilt ein Privileg: Es greift der jeweils niedrigere Betrag. Der Digital Omnibus hat dieses Privileg auf kleine Midcap-Unternehmen erweitert. Zuständige Marktüberwachungsbehörde ist in Deutschland seit dem 29. Juli 2026 grundsätzlich die Bundesnetzagentur.

Mehr dazu: Pillar: KI-Agenten in der Steuerkanzlei · KI-Richtlinie für die Steuerkanzlei: DStV-Muster umsetzen · Schatten-KI in der Steuerkanzlei: erkennen und kanalisieren · §203 StGB bei DATEV-Drittanbietern: Der rechtliche Rahmen

• Verordnung (EU) 2024/1689 (KI-Verordnung), insbesondere Art. 4, 5, 50, 99, 111, 113 und Erwägungsgründe 133, 134: https://eur-lex.europa.eu/eli/reg/2024/1689/oj
• Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI), ABl. L, 2026/1744, 24.7.2026: https://eur-lex.europa.eu/eli/reg/2026/1744/oj (geprüft 2026-10-21)
• Gesetzgebungsverfahren 2025/0359(COD): Kommissionsvorschlag COM(2025) 836 (19.11.2025), Trilog-Einigung (07.05.2026), EP-Plenum (16.06.2026), Annahme durch den Rat (29.06.2026); Pressemitteilungen von EU-Parlament (16.06.2026) und Rat (07.05. und 29.06.2026)
• EU-Kommission, Leitlinien zu den Transparenzpflichten nach Art. 50 KI-Verordnung, Billigung des Inhalts C(2026) 5054 final vom 20.07.2026 (Entwurf vom 08.05.2026): https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems (geprüft 2026-10-21)
• EU-Kommission, Verhaltenskodex zur Kennzeichnung KI-generierter Inhalte (10.06.2026): https://digital-strategy.ec.europa.eu/en/news/commission-publishes-code-practice-marking-and-labelling-ai-generated-content
• EU-Kommission, Stellungnahme zur Angemessenheit des Verhaltenskodex (08.07.2026): https://digital-strategy.ec.europa.eu/en/library/commission-opinion-assessment-code-practice-transparency-ai-generated-content
• Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG) vom 22.07.2026, BGBl. 2026 I Nr. 223, in Kraft seit 29.07.2026: https://www.gesetze-im-internet.de/ki-mig/ (geprüft 2026-10-21)
• Bundesnetzagentur, Pressemitteilung „Bundesnetzagentur übernimmt zentrale Rolle bei der Umsetzung der KI-Verordnung" (29.07.2026): https://www.bundesnetzagentur.de/SharedDocs/Pressemitteilungen/DE/2026/20260729_KI_VO.html
• Fachanalysen zum Stand vor Inkrafttreten von Gibson Dunn (27.05.2026), Noerr (18.06.2026), Heuking (Juli 2026), activeMind.legal (Stand 29.05.2026), Härting, Beyer Legal