Der digitale Omnibus zur KI ist die Verordnung (EU) 2026/1744, die die KI-Verordnung (AI Act) ändert. Ihre wichtigste Änderung ist die Verschiebung der Pflichten für Hochrisiko-KI-Systeme: Die Pflichten nach Anhang III gelten ab dem 2. Dezember 2027, die für KI in regulierten Produkten nach Anhang I ab dem 2. August 2028. Sie wurde am 24. Juli 2026 im Amtsblatt der EU veröffentlicht und ist seit dem 27. Juli in Kraft.
Was sich nicht verschoben hat, ist genauso wichtig. Verbotene Praktiken, KI-Kompetenz, die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck und die Transparenzpflichten aus Artikel 50 behalten ihre Termine, und einige davon gelten bereits.
Welche Termine sich verschieben
Die Verschiebung betrifft die Abschnitte 1 bis 3 von Kapitel III der Verordnung (EU) 2024/1689: die Einstufung, die Anforderungen an Hochrisiko-KI-Systeme und die Pflichten von Anbietern und Betreibern. Dazu gehören Risikomanagement, technische Dokumentation, menschliche Aufsicht und die Grundrechte-Folgenabschätzung.
Anhang III listet Verwendungen auf, die für sich genommen hochriskant sind: unter anderem Personalauswahl, Kreditwürdigkeitsprüfung, Lebens- und Krankenversicherungen, Bildung, Zugang zu grundlegenden öffentlichen Diensten oder Biometrie. Anhang I erfasst KI, die als Sicherheitsbauteil von Produkten dient, für die es bereits eigene EU-Vorschriften gibt, etwa Maschinen oder Medizinprodukte.
Der vollständige Zeitplan nach dem Omnibus
| Datum | Was gilt | Mit dem Omnibus |
|---|---|---|
| 2. Feb. 2025 | Verbotene Praktiken (Art. 5) und KI-Kompetenz (Art. 4) | Unverändert. Artikel 4 wird neu gefasst |
| 2. Aug. 2025 | KI-Modelle mit allgemeinem Verwendungszweck, Governance und Sanktionen | Unverändert |
| 2. Aug. 2026 | Transparenz nach Artikel 50 und der Rest der Verordnung außer Hochrisiko | Unverändert |
| 2. Dez. 2026 | Zwei neue Verbote und Ende der Kennzeichnungsfrist für generative Systeme, die schon auf dem Markt waren | Neu |
| 2. Aug. 2027 | Jeder Mitgliedstaat muss mindestens ein nationales KI-Reallabor (Sandbox) eingerichtet haben | Neue Frist |
| 2. Dez. 2027 | Hochrisiko-KI-Systeme nach Anhang III | Verschoben |
| 2. Aug. 2028 | Hochrisiko-KI-Systeme nach Anhang I | Verschoben |
Maßgeblich ist der im Amtsblatt veröffentlichte Text. EUR-Lex führt eine konsolidierte Fassung des AI Act zum 27. Juli 2026, die die Änderungen bereits enthält und sich am bequemsten zum Arbeiten eignet.
Was sich neben den Terminen ändert
Zwei neue Verbote. Artikel 5 erfasst nun auch das Erzeugen oder Manipulieren intimer Bilder von Personen ohne deren Einwilligung sowie von Darstellungen sexuellen Kindesmissbrauchs. Die Verbote gelten ab dem 2. Dezember 2026 und fallen in die höchste Bußgeldstufe: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes.
Eine Übergangsfrist für die Kennzeichnung synthetischer Inhalte. Systeme, die Bild, Audio, Video oder Text erzeugen und vor dem 2. August 2026 bereits auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit, ihre Inhalte als KI-generiert zu kennzeichnen, wie es Artikel 50 Absatz 2 verlangt. Neue Systeme müssen das vom ersten Tag an erfüllen.
KI-Kompetenz wird neu gefasst. Sie bleibt seit Februar 2025 Pflicht, aber der neue Text stellt klar, dass Anbieter und Betreiber fördern sollen, dass ihr Personal je nach Rolle ausreichende Kenntnisse hat, ohne jeder einzelnen Person ein bestimmtes Niveau garantieren zu müssen.
Sensible Daten zur Korrektur von Verzerrungen. Ein neuer Artikel 4a erlaubt die Verarbeitung besonderer Kategorien personenbezogener Daten, um Verzerrungen (Bias) zu erkennen und zu korrigieren, unter Bedingungen: synthetische oder anonymisierte Daten reichen nicht aus, die Daten werden pseudonymisiert, nicht weitergegeben und nach Abschluss gelöscht.
Weniger Aufwand für KMU. Das vereinfachte Qualitätsmanagementsystem und die vereinfachte technische Dokumentation gelten nun für KMU und für kleine Midcap-Unternehmen, für die außerdem eine Obergrenze bei den Bußgeldern eingeführt wird.
FRIA und DSFA zusammen. Artikel 27 erlaubt jetzt, dass die Grundrechte-Folgenabschätzung auf die Datenschutz-Folgenabschätzung (DSFA) nach DSGVO verweist oder Teile davon übernimmt. Mehr dazu im Beitrag Was die FRIA ist und wer sie durchführen muss.
Was wir mit der zusätzlichen Zeit machen würden
Wir lesen den Omnibus so: Er verschafft Zeit, um die Arbeit gründlich zu erledigen, nicht um später damit anzufangen. Der größte Aufwand bei Hochrisiko-KI liegt nicht im Schreiben der technischen Dokumentation. Er liegt darin, zu wissen, welche KI-Systeme das Unternehmen nutzt, wer sie gekauft hat, mit welchen Daten sie arbeiten und welche Entscheidungen sie treffen. Dieses Inventar ist die Grundlage für alles andere und hängt an keinem Termin.
Müssten wir die nächsten Monate ordnen, würden wir so vorgehen:
- Vor dem 2. Dezember 2026 die generativen Systeme prüfen, die bereits in Produktion sind (Assistenten, Bildgeneratoren, Chatbots), und kontrollieren, dass ihre Inhalte gekennzeichnet ausgegeben werden.
- Im Laufe von 2026 Inventar und Einstufung abschließen: welche Systeme hochriskant sind, welche ein begrenztes Risiko haben und welche Rolle das Unternehmen bei jedem hat, Anbieter oder Betreiber.
- 2027 die Anforderungen an jedes Hochrisiko-KI-System umsetzen: Risikomanagement, Daten, Protokollierung, menschliche Aufsicht und, wo nötig, die FRIA.
In GlobalSuite® AI Governance ist die Verordnung bereits hinterlegt, mit dem 2. Dezember 2027 als Termin für jede Hochrisiko-Anforderung, und das Inventar stuft jedes System nach seiner Risikostufe im AI Act ein. So sieht man pro System, was noch fehlt und wie viel Zeit bleibt.
Details zu Rollen, Risikostufen und Bußgeldern finden Sie in unserem Praxisleitfaden zur KI-Verordnung, der bereits um den Omnibus ergänzt ist, und im Beitrag zur europäischen KI-Verordnung.
