Die Compliance-Wand 2026: Was die EU gerade mit Ihren Automatisierungen macht

2026 ist das Jahr, in dem Regulierung zur eigentlichen Automatisierungs-Roadmap wird. Nicht das nächste KI-Feature entscheidet, was Sie in den nächsten zwölf Monaten bauen, sondern eine Reihe von EU-Fristen, die fast unbemerkt zusammenlaufen: EU AI Act, DSGVO, NIS2, Data Act und Cyber Resilience Act. Wer im Mittelstand Workflows mit Make, n8n, Zapier oder KI-Schritten betreibt, ist davon direkt betroffen — auch ohne eigene KI-Entwicklung.

Das ist keine Panikmache und kein Verkaufstrick. Der Artikel erschien im Juni 2026 und ist auf dem Stand vom 22. Oktober 2026. Er sortiert, was gilt, was nur Schlagzeile war, und wo aus der Pflicht ein echter Automatisierungs-Vorteil wird. Mit drei dokumentierten Negativ-Fällen, der Frist, die im August 2026 tatsächlich gegriffen hat, und einer Checkliste für Betriebe mit 10–250 Mitarbeitenden.

Der eigentliche Trend: Compliance ist die neue Roadmap

Drei Jahre lang ging es bei Automatisierung um „Was kann ich noch wegautomatisieren?". 2026 lautet die Frage zunehmend: „Darf ich das so überhaupt noch betreiben?". Das ist eine andere Art von Projekt — und sie kommt mit harten Stichtagen statt mit ROI-Versprechen.

Die wichtigste Verschiebung: Der AI Act bindet ausdrücklich Nutzer von KI, nicht nur Entwickler. Die sogenannte KI-Kompetenz-Pflicht (Art. 4 AI Act) gilt bereits seit dem 2. Februar 2025. Sie verlangt, dass Ihr Personal ein angemessenes Grundverständnis der eingesetzten KI hat. Wer einen Make-Szenario-Schritt mit einem GPT-Modell, einen n8n-Workflow mit einem AI-Agent oder einen Zapier-„AI by Zapier"-Baustein betreibt, ist Deployer im Sinne der Verordnung — auch wenn er nie eine Zeile Modellcode geschrieben hat. Es gibt für diese Pflicht zwar kein eigenes, direktes Bußgeld, aber sie gilt seit über anderthalb Jahren und ist Teil der Sorgfaltspflicht. Mit dem Digital Omnibus (dazu unten mehr) wurde Art. 4 nach Darstellung mehrerer Kanzleien umformuliert: Verlangt werden jetzt Maßnahmen, die KI-Kompetenz fördern, statt ein garantiert „ausreichendes“ Niveau jeder einzelnen Person. Dokumentierte Schulungen bleiben damit der sichere Weg. Den genauen Wortlaut sollten Sie im Zweifel prüfen lassen.

Dazu kommt: Die Pflichten für General-Purpose-AI-Modelle (GPAI, Art. 51–56) gelten seit dem 2. August 2025. Das betrifft primär die Anbieter der großen Modelle — aber es verändert, was über Ihre API-Schnittstellen dokumentiert und durchgereicht wird.

Die Frist, die nicht verschoben wurde: 2. August 2026

Hier ist der Punkt, den viele Mittelständler übersehen haben, weil die Schlagzeilen im Mai 2026 alle von „Verschiebung" sprachen: Die Transparenzpflichten nach Artikel 50 wurden nicht verschoben. Sie gelten seit dem 2. August 2026.

Konkret heißt das für Automatisierungen:

• Chatbots und KI-Assistenten müssen offenlegen, dass die Person mit einer KI spricht — nicht mit einem Menschen.
• KI-generierte Inhalte (Texte, Bilder, Audio, Video) müssen als künstlich erzeugt erkennbar sein.
• Deepfakes und synthetische Medien brauchen eine klare Kennzeichnung.

Wenn Ihr Kundenservice einen automatisierten Chatbot fährt, Ihr Marketing KI-Texte oder -Bilder ausspielt, oder Ihr Vertrieb mit synthetischen Stimmen arbeitet, dann gelten diese Pflichten bereits für Sie. Wer sie noch nicht umgesetzt hat, sollte das jetzt nachholen. Eine Nuance: Für die maschinenlesbare Kennzeichnung synthetischer Inhalte bei generativen Systemen, die schon vor dem 2. August 2026 auf dem Markt waren, läuft nach den Kanzlei-Zusammenfassungen eine Übergangsfrist bis zum 2. Dezember 2026. Die Offenlegungspflicht selbst gilt seit August.

Das Gute daran: Die Umsetzung ist meist überschaubar. Ein Disclaimer im Chat-Widget, ein „KI-generiert"-Label unter automatisierten Inhalten, ein Metadaten-Feld im Workflow. Stunden, keine Wochen. Aber jemand muss es auf dem Schirm haben.

Was die „Omnibus"-Verschiebung wirklich bedeutet — und was nicht

Am 7. Mai 2026 hat sich die EU im Rahmen des sogenannten „Digital Omnibus" vorläufig darauf geeinigt, die Hochrisiko-Pflichten des AI Act nach hinten zu schieben. Inzwischen ist das beschlossen: Die Änderungsverordnung wurde am 24. Juli 2026 im Amtsblatt der EU veröffentlicht und ist am 27. Juli 2026 in Kraft getreten (Verordnung (EU) 2026/1744, so die übereinstimmenden Angaben mehrerer Kanzleien).

Das ist eine Entwarnung auf Zeit. Als dieser Artikel im Juni 2026 erschien, war die Verschiebung nur eine politische Einigung, und der 2. August 2026 galt formal weiter. Seit der Veröffentlichung im Amtsblatt ist sie verbindlich. Planen Sie trotzdem nicht so, als wäre das Thema vom Tisch: Inventar, Dokumentation und menschliche Aufsicht brauchen Vorlauf, und Dezember 2027 ist für ein Hochrisiko-System nicht weit weg.

Wichtiger noch: Die Verschiebung betrifft nur die Hochrisiko-Pflichten. Sie ändert nichts an Art. 4 (KI-Kompetenz, seit 2025), nichts an den GPAI-Regeln (seit 2025) und, wie oben, nichts an Art. 50 (Transparenz, seit August 2026). Die mediale Verkürzung auf „AI Act verschoben" ist schlicht falsch.

Drei Fälle, die zeigen, was schiefgeht

Theorie überzeugt niemanden. Diese drei dokumentierten Fälle schon. Sie zeigen, dass Aufsichtsbehörden durchgreifen, auch ohne dass die Hochrisiko-Pflichten schon gelten.

1. Hamburg: 492.000 € für eine algorithmische Ablehnung

Ende September 2025 verhängte der Hamburgische Beauftragte für Datenschutz (HmbBfDI) ein Bußgeld von 492.000 € gegen ein Finanzunternehmen. Der Vorwurf: Kreditkartenanträge wurden algorithmisch abgelehnt — auch bei nachweislich guter Bonität — ohne dass ein Mensch die Entscheidung prüfte. Und als Betroffene nachfragten, konnte das Unternehmen die tragenden Gründe der Entscheidung nicht verständlich erklären.

Wichtig zur Einordnung, damit der Fall korrekt zitiert wird: Der dokumentierte Verstoß lag vor allem in der verletzten Informations- und Transparenzpflicht — nicht in einer sauberen Feststellung allein zu Art. 22 Abs. 1 DSGVO. Behördenchef Thomas Fuchs brachte es auf den Punkt: „Entscheidet eine Software über Menschen, muss die verarbeitende Stelle die tragenden Gründe verständlich erklären können."

Die Lehre für jede Automatisierung mit Entscheidungs-Logik: Wenn Ihr Workflow Anträge, Bestellungen, Bewerbungen oder Kreditlinien automatisch ablehnt, brauchen Sie (a) einen Menschen, der eingreifen kann, und (b) die Fähigkeit, jede einzelne Ablehnung nachvollziehbar zu erklären. Genau das lässt sich automatisieren — dazu unten mehr.

2. Italien: 5 Mio. € und ein verbotener Chatbot

Im April 2025 bestätigte die italienische Datenschutzbehörde (Garante) ihr Verbot des KI-Chatbots Replika und verhängte ein Bußgeld von 5 Millionen € gegen den Betreiber Luka Inc. Ausgangspunkt war eine bereits 2023 ausgesprochene Eil-Sperre wegen unzureichender Alters­verifikation und Risiken für Minderjährige. Eine KI-Automatisierung wurde damit faktisch vom Markt genommen.

3. Griechenland: 20 Mio. € gegen Clearview AI

Die griechische Behörde verhängte ein Bußgeld von 20 Millionen € gegen Clearview AI wegen unrechtmäßiger Verarbeitung personenbezogener Daten — Teil einer ganzen Serie europäischer Strafen gegen das Gesichtserkennungs-Unternehmen. Die Botschaft: „Die Daten waren ja öffentlich im Netz" ist keine Rechtsgrundlage.

DSGVO und AI Act laufen parallel — und summieren sich

Ein verbreiteter Denkfehler: „Wenn ich den AI Act erfülle, bin ich auch beim Datenschutz sauber." Falsch. Der AI Act stellt in Artikel 2 ausdrücklich klar, dass die DSGVO unberührt bleibt. Beide Regelwerke gelten nebeneinander, mit eigenen Zielen und eigenen Bußgeldrahmen.

Das bedeutet im Ernstfall: Ein Hochrisiko-KI-System kann ein AI-Act-Bußgeld (bis 15 Mio. € bzw. 3 % des Umsatzes) und ein separates DSGVO-Bußgeld (bis 20 Mio. € bzw. 4 %) auslösen. Für automatisierte Entscheidungen kommen mehrere Pflichten zusammen:

• Art. 22 DSGVO — das Recht, nicht einer ausschließlich automatisierten Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden. Dieser Artikel gilt größenunabhängig — es gibt keine Mittelstands-Ausnahme. Auch der kleine Betrieb, der Bestellungen automatisch ablehnt, ist im Anwendungsbereich.
• Art. 14 AI Act — menschliche Aufsicht über Hochrisiko-Systeme.
• Art. 86 AI Act — das Recht Betroffener auf eine „klare und aussagekräftige Erklärung" einer mithilfe von Hochrisiko-KI getroffenen Entscheidung. Weil es an Hochrisiko-Systemen hängt, dürfte es praktisch erst mit den verschobenen Hochrisiko-Fristen relevant werden. Wie das im Einzelfall zu lesen ist, klären Sie am besten mit einer Rechtsberatung.

Praktisch heißt das: Automatisierte Entscheidungen brauchen ein Human-in-the-Loop-Gate und eine lückenlose, erklärbare Dokumentation. Wer das ignoriert, baut den Hamburg-Fall im eigenen Haus nach.

Der parallele Regulierungs-Stack: NIS2, Data Act, CRA

Der AI Act ist nicht das einzige Regelwerk, das 2026 auf den Mittelstand trifft. Drei weitere laufen parallel:

• NIS2 (Cybersicherheit): Das deutsche Umsetzungsgesetz (NIS2UmsuCG) ist am 6. Dezember 2025 in Kraft getreten — ohne Übergangsfrist. Betroffene Unternehmen mussten sich binnen drei Monaten (bis ca. 6. März 2026) registrieren. In den Anwendungsbereich fallen rund 29.500 Organisationen aus 18 Sektoren, getriggert ab 50 Mitarbeitenden oder 10 Mio. € Umsatz/Bilanzsumme plus Sektorzugehörigkeit. Das ist sehr viel Mittelstand — und es verlangt Risikomanagement, Meldepflichten und Lieferketten-Sorgfalt, die sich teils automatisieren lassen.
• EU Data Act: Gilt in Teilen seit dem 12. September 2025. Kunden können Cloud-Dienste mit zwei Monaten Frist kündigen, Wechselgebühren werden bis Januar 2027 abgeschafft, Interoperabilität wird Pflicht. Relevant, wenn Sie auf eine Automatisierungs- oder Cloud-Plattform gewettet haben und einen Lock-in fürchten.
• Cyber Resilience Act (CRA): Seit dem 11. September 2026 gilt die Meldepflicht für aktiv ausgenutzte Schwachstellen (24h-Frühwarnung, 72h-Meldung, 14-Tage-Abschlussbericht an BSI/ENISA). Relevant für alle, die selbst Software oder vernetzte Produkte mit digitalen Elementen herstellen.

Positiv: Compliance-as-Automation als echte Chance

Bis hierhin klingt 2026 nach reiner Last. Aber der spannende Teil ist die andere Seite: Die effizienteste Antwort auf Compliance-Pflichten ist — Automatisierung. Genau das, was Sie ohnehin können.

Die Pflichten erzeugen wiederkehrende, dokumentationsintensive, regelbasierte Aufgaben. Das ist das Lehrbuch-Profil für einen guten Workflow:

• KI-Inventar/Registry: Ein zentrales, automatisch gepflegtes Verzeichnis aller eingesetzten KI-Bausteine — welcher Workflow nutzt welches Modell, mit welchem Datenfluss, in welcher Risikoklasse. Statt einer Excel-Liste, die niemand pflegt.
• Audit-Trail by Design: Jeder KI-Schritt schreibt automatisch ein unveränderliches Protokoll — Input, Modell, Output, Zeitstempel, Mensch-Override. Damit ist die „Erklärbarkeit", an der das Hamburger Unternehmen scheiterte, kein Drama mehr, sondern ein Datenbankeintrag.
• Human-in-the-Loop-Gates: Automatisierte Entscheidungen mit erheblicher Wirkung laufen nicht durch, sondern in eine Freigabe-Queue. Der Mensch entscheidet, der Workflow dokumentiert.
• Automatisierte Transparenz-Hinweise: Der Art.-50-Disclaimer wird nicht von Hand gepflegt, sondern vom Workflow injiziert.
• DSFA + FRIA als Vorlage: Die Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO) und die Grundrechte-Folgenabschätzung (FRIA, Art. 27 AI Act) ergänzen einander — die FRIA ersetzt die DSFA nicht. Für betroffene Deployer kann also beides nötig sein. Überlappende Inhalte lassen sich aber wiederverwenden und templatisieren — eine konkrete Nische für Automatisierung statt Copy-Paste.

Aus dieser Logik habe ich einen Demo-Ablauf gebaut, ein EU AI Act Compliance Cockpit, das genau diese Bausteine in einem n8n-Workflow bündelt. Es ist eine Demo, kein Kundenprojekt und keine Rechtsprüfung. Wer Datensouveränität ernst nimmt, hostet das selbst; der Vergleich n8n vs. Make.com zeigt, warum self-hosted hier oft die richtige Wahl ist.

Mittelstands-Checkliste

1. KI-Schritte inventarisieren. Wo läuft in Ihren Workflows ein Modell-Aufruf? (Make, n8n, Zapier, eingebettete Tools.) Ohne Liste keine Compliance.
2. Art.-50-Transparenz prüfen. Chatbot-Hinweis, KI-Content-Label, Deepfake-Kennzeichnung. Gilt seit dem 2. August 2026; die maschinenlesbare Kennzeichnung älterer generativer Systeme bis zum 2. Dezember 2026.
3. Automatisierte Entscheidungen prüfen. Lehnt irgendein Workflow automatisch ab? Dann Human-in-the-Loop-Gate plus erklärbares Protokoll — siehe Hamburg.
4. KI-Kompetenz dokumentieren. Eine kurze interne Schulung plus Nachweis. Gilt seit 2025.
5. NIS2-Betroffenheit klären. 50+ Mitarbeitende oder 10 Mio. € Umsatz in einem der 18 Sektoren? Dann Registrierung und Risikomanagement prüfen.
6. Hochrisiko-Fristen einplanen. 2. Dezember 2027 für eigenständige Systeme nach Annex III, 2. August 2028 für eingebettete nach Annex I. Die Zeit bis dahin für Inventar und Dokumentation nutzen.

Fazit

Der eigentliche Automatisierungs-Trend des Jahres 2026 heißt nicht „Agentic AI" oder „noch ein KI-Tool". Er heißt: Regulierung formt, was Sie bauen dürfen — und macht aus der Pflicht selbst das nächste lohnende Automatisierungsprojekt. Die Betriebe, die das verstehen, behandeln Compliance nicht als Bremse, sondern als gut dokumentierten, regelbasierten Prozess — also genau als das, was sich automatisieren lässt.

Die Transparenzpflicht gilt seit dem 2. August 2026, die nächste Frist ist der 2. Dezember 2026 für die maschinenlesbare Kennzeichnung. Der teuerste Fehler ist eine automatisierte Ablehnung, die niemand erklären kann. Und die größte verpasste Chance wäre, die Compliance-Last weiter von Hand zu tragen, statt sie in einen Workflow zu gießen. Wer tiefer einsteigen will: Unser Leitfaden zur Rechnungsprüfung mit GoBD-konformer Freigabe zeigt dasselbe Prinzip — Pflicht als sauber automatisierter Prozess — am Beispiel der E-Rechnung.

Stand: 22. Oktober 2026. Dieser Artikel ist eine praxisorientierte Einordnung, keine Rechtsberatung. Für die verbindliche Bewertung Ihres konkreten Falls sprechen Sie mit einem Datenschutz- oder Rechtsexperten.