EU: Digital-Omnibus für KI in Kraft, verschiebt Hochrisiko-Regeln

Am 27. Juli 2026 ist die Verordnung (EU) 2026/1744 des Europäischen Parlaments und des Rates, der Digital-Omnibus für KI, in Kraft getreten, drei Tage nach ihrer Veröffentlichung im Amtsblatt am 24. Juli 2026 (EUR-Lex, ABl. L 2026/1744). Das am 8. Juli 2026 angenommene Gesetz ändert den EU-KI-Gesetz (AI Act, Verordnung (EU) 2024/1689) und gleicht ihn mit der EASA-Verordnung (Verordnung (EU) 2018/1139) und der Maschinenverordnung (Verordnung (EU) 2023/1230) ab. Seine zentrale Wirkung besteht darin, die eigenständigen Pflichten für Hochrisiko-KI-Systeme, die am 2. August 2026 hätten gelten sollen, aufzuschieben, während die Transparenzfrist aus Artikel 50 am selben Datum unangetastet bleibt.

Für KI-Anbieter, -Anwender und Anbieter von Modellen allgemeiner Zweckbestimmung, die in der EU vertreiben, schreibt der Omnibus den Compliance-Kalender neu, statt ihn aufzuweichen. Die seit 2025 geltenden Verbote und GPAI-Regeln bleiben in Kraft, und im Dezember 2026 tritt eine neue Stufe von Artikel-5-Verboten in Kraft. Die Entlastung konzentriert sich auf die Hochrisikoklasse des Anhangs III, die um 16 Monate verschoben wird.

Welche AI-Act-Fristen haben sich verschoben, und auf welches Datum?

Der Omnibus verschiebt zwei Hochrisiko-Anwendungsspuren. Eigenständige Hochrisiko-KI-Systeme in Anhang III (Personalbeschaffung, Kreditwürdigkeitsprüfung, biometrische Identifizierung, Emotionserkennung in kritischer Infrastruktur und Ähnliches) werden vom 2. August 2026 auf den 2. Dezember 2027 verschoben. Hochrisiko-KI-Systeme, die in Produkte des Abschnitts A von Anhang I eingebettet sind und einer Konformitätsbewertung durch Dritte unterliegen, werden auf den 2. August 2028 verschoben. Der konsolidierte Text ist über seinen Permalink des Europäischen Rechtsaktenkennzeichens erreichbar (http://data.europa.eu/eli/reg/2026/1744/oj).

Die Verschiebung setzt die zugrunde liegende Klassifizierungslogik nicht aus: Ein System, das heute als Hochrisiko eingestuft wird, bleibt weiterhin Hochrisiko. Anbieter, die bereits Konformitätsbewertungs-Workflows aufgebaut haben, sollten die zusätzliche Zeit als Vorlauf nutzen, um sie abzuschließen, und nicht als Grund, sie zu pausieren.

Was gilt am 2. August 2026 weiterhin, in sechs Tagen?

Die Transparenzpflichten aus Artikel 50 werden nicht verschoben. Ab dem 2. August 2026 müssen Anbieter und Anwender von KI-Systemen, die mit Menschen interagieren, Deepfake- oder synthetische Audio-, Bild- oder Videoinhalte erzeugen oder biometrische Daten klassifizieren, die Beteiligung von KI gegenüber den betroffenen Personen offenlegen. Chatbot-Betreiber müssen darauf hinweisen, dass der Nutzer mit einer KI interagiert, und Herausgeber synthetischer Medien müssen maschinell erzeugte Inhalte kennzeichnen. Die Durchsetzung liegt bei nationalen Marktüberwachungsbehörden und dem EU-KI-Büro, und der Omnibus lässt dieses Datum unangetastet.

Die Pflicht zur KI-Kompetenz in Artikel 4 bleibt erhalten, wird aber abgemildert: Anbieter und Anwender müssen nun "Maßnahmen ergreifen, um" die Entwicklung der KI-Kompetenz bei Mitarbeitern und Anwendern zu unterstützen, anstelle der strengeren Formulierung "einen ausreichenden Grad sicherstellen". Diese Änderung ist für die Compliance-Dokumentation von KMU relevant, hebt die Pflicht jedoch nicht auf.

Welche neuen Verbote treten am 2. Dezember 2026 in Kraft?

Der Omnibus fügt zwei neue Artikel-5-Verbote ein, die ab dem 2. Dezember 2026 gelten: die Erstellung nicht-einvernehmlicher intimer Bilder mit KI (sogenannte Nudifier) und von KI erzeugtes sexuell missbrauchliches Material von Kindern (CSAM). Diese ergänzen die bestehende Verbotsliste des Artikels 5 (manipulative Praktiken, Social Scoring und biometrische Identifizierung aus der Ferne in Echtzeit, seit dem 2. Februar 2025 in Kraft) und sind bedingungslos: keine Konformitätsbewertung, keine Übergangsfrist, keine Ausnahme für KMU. Anbieter, deren Modelle synthetische Bilder von Menschen erzeugen können, müssen vor diesem Datum technische Schutzmaßnahmen implementiert haben.

Wer profitiert von den KMU- und Anwendungsbereichs-Klärungen?

Drei inhaltliche Vereinfachungen begleiten die Verschiebung. Erstens wird die Definition der "Sicherheitskomponente" in Artikel 3 Absatz 14 eingeengt: Ein KI-System ist nur dann eine Sicherheitskomponente, wenn sein beabsichtigter Zweck darin besteht, Risiken für Gesundheit und Sicherheit zu verhindern oder zu mindern, und nicht bereits deshalb, weil es sich in einem regulierten Produkt befindet. Dadurch werden Grenzfälle aus der Hochrisikoklasse entfernt. Zweitens führt der Omnibus formale Definitionen für KMU und kleine Mid-Cap-Unternehmen (SMC) ein und erstreckt ausgewählte KMU-Entlastungsmaßnahmen auf SMC. Drittens kann die Kommission durch delegierte Rechtsakte die Anwendung einzelner AI-Act-Anforderungen einschränken, wenn die Unionsharmonisierungsgesetzgebung in Anhang I Abschnitt A bereits ein gleichwertiges Schutzniveau erreicht, um Doppelungen zu vermeiden.

Kontinuierliches, nach Rechtsgebiet differenziertes Echtzeit-Monitoring macht eine ändernde Verordnung wie diese in dem Moment sichtbar, in dem sie im Amtsblatt veröffentlicht wird, sodass Compliance-Teams die Fristen noch am selben Tag neu anpassen können statt erst bei der nächsten quartalsweisen Überprüfung.

Nutzen Sie diese Echtzeit-Überwachung

Prüfen Sie, welche Ihrer KI-Systeme unter Anhang III versus Anhang I Abschnitt A fallen, bestätigen Sie Ihre Bereitschaft zur Artikel-50-Offenlegung und zur Kennzeichnung synthetischer Medien für den 2. August 2026, informieren Sie Produkt- und KI-Governance-Teams über den eingeengten Test der "Sicherheitskomponente", und blocken Sie den 2. Dezember 2026 in Ihrer Roadmap für die neuen Nudifier- und CSAM-Verbote. Obsidian verfolgt diese gestaffelten AI-Act-Meilensteine, während sie sich bewegen, sodass der Kalender, nach dem Ihr Team arbeitet, stets der aktuelle bleibt.