Digital Omnibus: Die EU verschiebt zentrale AI-Act-Fristen. Was jetzt wirklich gilt

Ende Juni 2026 hat die EU mit dem sogenannten Digital Omnibus zentrale Fristen des AI Act verschoben. Das Europäische Parlament stimmte Mitte Juni zu, der Rat Ende Juni. Die Verordnung (EU) 2026/1744 ist am 24. Juli 2026 im Amtsblatt erschienen und seit dem 27. Juli in Kraft. Die wichtigste Änderung betrifft die Hochrisiko-Systeme. Deren Pflichten sollten ursprünglich am 2. August 2026 greifen und gelten nun erst ab dem 2. Dezember 2027. Für KI in regulierten Produkten wird es sogar August 2028. Wer gerade mitten in der Compliance-Vorbereitung steckt, fragt sich zu Recht, was jetzt eigentlich noch gilt.

Was sich verschiebt

Verschoben wurden die umfangreichen Anforderungen an Hochrisiko-KI, also Risikomanagement, Datenqualität, technische Dokumentation, menschliche Aufsicht und Konformitätsbewertung. Für Systeme etwa in der Personalauswahl, der Kreditvergabe oder in kritischer Infrastruktur greifen diese Pflichten erst im Dezember 2027. Unternehmen, die solche Systeme entwickeln oder einsetzen, haben damit deutlich mehr Zeit gewonnen.

Was bestehen bleibt

Die Verbote, die seit Februar 2025 gelten, bleiben bestehen. Social Scoring und manipulative Systeme sind weiterhin verboten, und ab dem 2. Dezember 2026 kommen zwei neue Verbote hinzu. Sie betreffen KI-Systeme, die ohne Einwilligung der Betroffenen realistische intime oder sexuelle Darstellungen erkennbarer Personen erzeugen, und solche, die Darstellungen sexuellen Kindesmissbrauchs erzeugen. Auch die Pflicht zur KI-Kompetenz besteht fort, sie ist aber weicher gefasst als bisher. Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern, ein bestimmtes Niveau bei jeder einzelnen Person müssen sie aber nicht garantieren. Weiterhin gelten auch die Pflichten, die seit August 2025 für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck bestehen.

Auch die Transparenzpflichten, also die Kennzeichnung von KI-Chatbots, KI-generierten Inhalten und Deepfakes, hat der Digital Omnibus nicht verschoben. Sie gelten seit dem 2. August 2026. Mehr Zeit bekommen nur Anbieter generativer KI-Systeme, die schon vor diesem Tag auf dem Markt waren. Sie müssen die maschinenlesbare Kennzeichnung der erzeugten Inhalte erst bis zum 2. Dezember 2026 umsetzen. Wer die Kennzeichnung bereits umgesetzt hat, hat diesen Teil erledigt. Wer noch nicht so weit ist, sollte sie jetzt nachholen. Was die Pflichten im Einzelnen verlangen, beschreibe ich in meinem Beitrag zu den Transparenzpflichten des EU AI Act.

Warum die EU verschoben hat

Der offizielle Grund ist schlicht, dass die technischen Standards, gegen die Hochrisiko-Systeme geprüft werden sollen, noch nicht fertig sind. Ohne harmonisierte Normen gibt es keine praktikable Konformitätsbewertung. Dazu kam erheblicher Druck aus der Wirtschaft, die Bürokratielasten und Rechtsunsicherheit kritisierte. Der Digital Omnibus ist Teil eines größeren Pakets, mit dem die EU ihre Digitalregulierung vereinfachen will.

Warum Abwarten trotzdem die falsche Strategie ist

So verständlich der Reflex ist, die Sache erst einmal liegenzulassen, halte ich ihn für einen Fehler. Die Verschiebung betrifft die Pflichten, nicht die Einstufung. Wer ein Hochrisiko-System betreibt, wird es auch 2027 noch tun. Und die Anforderungen an sauberes Datenmanagement, Dokumentation und Nachvollziehbarkeit lassen sich nicht in drei Monaten nachrüsten, wenn die Frist dann tatsächlich näher rückt.

Dazu kommt, dass Kunden und Geschäftspartner heute schon nach KI-Governance fragen, völlig unabhängig von gesetzlichen Fristen. Wer in Ausschreibungen belastbare Antworten geben kann, hat einen Vorteil. Und vieles von dem, was der AI Act verlangt, ist ohnehin gute Ingenieurspraxis. Die Versionierung von Modellen und Prompts, das Logging von KI-Entscheidungen und definierte Punkte, an denen ein Mensch eingreifen kann, zahlen sich in jedem KI-Projekt aus, ganz gleich, was in Brüssel entschieden wird.

Mein Rat für die Praxis

Verschaffen Sie sich zuerst einen Überblick, welche KI-Systeme bei Ihnen im Einsatz sind, ob selbst entwickelt oder eingekauft. Prüfen Sie dann, ob etwas davon in die Hochrisiko-Kategorien fällt. Für die meisten kleinen und mittleren Unternehmen lautet die Antwort nein. Dann bleiben vor allem die Transparenz- und Kompetenzpflichten, und die sind überschaubar. Falls doch ein Hochrisiko-System dabei ist, nutzen Sie die gewonnene Zeit bis Ende 2027 für ein strukturiertes Projekt statt für eine hektische Nachrüstung kurz vor knapp. Die Grundlagen wie Kennzeichnung, Schulung und Dokumentation würde ich in jedem Fall jetzt sauber umsetzen.

Ich habe diesen Beitrag im Oktober 2026 mit dem im Amtsblatt veröffentlichten Text der Verordnung abgeglichen und aktualisiert. In der ersten Fassung stand, der Digital Omnibus habe auch den Zeitplan der Transparenzpflichten verschoben. Das war falsch, sie gelten seit dem 2. August 2026. Ergänzt habe ich die neuen Verbote und die geänderte Pflicht zur KI-Kompetenz. Mein Artikel vom 5. Juli zum EU AI Act nennt inzwischen dieselben Fristen.