KI-Compliance nach dem AI Omnibus: Drei Prioritäten für die verlängerte Frist
Welche EU-AI-Act-Fristen gelten nach dem Digital Omnibus? Hochrisiko-Pflichten ab 2. Dezember 2027 (Anhang III) bzw. 2. August 2028 (Anhang I) - Transparenzpflichten, GPAI-Regeln und Verbote gelten unverändert.
Der 2. August 2026 sollte der große Stichtag des EU AI Act werden - das Datum, ab dem die Pflichten für Hochrisiko-KI-Systeme nach Anhang III gelten. Stattdessen ist am 27. Juli der Digital Omnibus on AI (Verordnung (EU) 2026/1744) in Kraft getreten und hat die Fristen neu sortiert: Die Hochrisiko-Pflichten für eigenständige Systeme nach Anhang III greifen nun zum 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I zum 2. August 2028.
Verschoben ist allerdings nicht aufgehoben - und es ist auch längst nicht alles verschoben. Für Unternehmen stellt sich damit eine neue Frage: Was gilt eigentlich noch, und was macht man mit 16 Monaten Aufschub?
Die Fristenlage im Überblick:
| Pflichtenblock | Gilt seit / ab |
|---|---|
| Verbotene Praktiken (Art. 5) | seit Februar 2025 |
| GPAI-Pflichten | seit August 2025 |
| Transparenz- und Kennzeichnungspflichten (Art. 50) | seit 2. August 2026 (Bestandssysteme: 2. Dezember 2026) |
| Hochrisiko-Pflichten Anhang III | ab 2. Dezember 2027 |
| Hochrisiko-Pflichten Anhang I (regulierte Produkte) | ab 2. August 2028 |
Was trotz Omnibus seit August 2026 gilt
Drei Pflichtenblöcke bleiben vom Aufschub unberührt:
- Transparenz- und Kennzeichnungspflichten (Art. 50): Seit dem 2. August 2026 müssen neu auf den Markt kommende KI-Systeme, die mit Menschen interagieren, als solche erkennbar sein - und KI-generierte Inhalte müssen gekennzeichnet werden. Für Bestandssysteme gilt eine Übergangsfrist bis zum 2. Dezember 2026. Details dazu im Artikel zu den Transparenzpflichten.
- GPAI-Pflichten: Die Anforderungen an Anbieter von General-Purpose-AI-Modellen gelten bereits seit August 2025.
- Verbotene Praktiken: Social Scoring, Emotionserkennung am Arbeitsplatz und weitere verbotene Anwendungen sind seit Februar 2025 untersagt. Der Omnibus ergänzt sogar neue Verbote, etwa für sogenannte Nudifier-Anwendungen, und verlangt ab Dezember 2026 Missbrauchsfilter für Bild- und Videogeneratoren.
Auch die Bußgeldrahmen bleiben unverändert im Gesetz - bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes bei Verstößen gegen die Hochrisiko-Pflichten, bei verbotenen Praktiken deutlich mehr. Nur der Zeitpunkt, ab dem die Hochrisiko-Pflichten durchgesetzt werden, hat sich verschoben.
Priorität 1: Transparenzpflichten umsetzen
Die Hochrisiko-Regeln dominieren die Diskussion, aber die Transparenzpflichten betreffen deutlich mehr Systeme - und sie gelten jetzt. Jedes KI-System, das mit Menschen interagiert, muss als solches gekennzeichnet werden: Chatbots, automatisierte E-Mail-Systeme und KI-generierte Inhalte gleichermaßen.
Die gute Nachricht: Die Umsetzung ist in den meisten Fällen technisch überschaubar. Ein Hinweis in der Benutzeroberfläche oder eine Kennzeichnung in der Kommunikation reicht oft aus. Die schlechte Nachricht: Viele Unternehmen haben diese Systeme noch gar nicht identifiziert.
Priorität 2: KI-Inventar vervollständigen
Wer nicht weiß, welche KI-Systeme im Einsatz sind, kann weder die Transparenzpflichten umsetzen noch die Risikoklasse bestimmen. Das klingt trivial, ist aber in der Praxis die häufigste Lücke. Fachabteilungen nutzen KI-Tools, die nie durch eine zentrale Bewertung gelaufen sind - vom KI-gestützten Recruiting-Tool bis zum automatisierten Scoring im Kundenservice.
Der erste Schritt bleibt deshalb kein Compliance-Framework, sondern eine Bestandsaufnahme: Welche Systeme treffen oder unterstützen Entscheidungen, die Menschen betreffen? Welche fallen potenziell unter Anhang III? Diese Einstufung hat sich durch den Omnibus inhaltlich nicht verändert - nur der Termin, zu dem sie belastbar vorliegen muss.
Priorität 3: Dokumentation als Vorsprung statt als Pflicht
16 Monate Aufschub verleiten dazu, das Thema wieder in den Themenspeicher zu verschieben. Das wäre die teuerste Variante - dann beginnt Ende 2027 derselbe Endspurt, den viele Unternehmen gerade hinter sich haben.
Die produktivere Lesart: Die technische Dokumentation nach Artikel 11 - Zweckbeschreibung, Leistungskennzahlen, Trainingsdaten-Beschreibung, Risikobewertung, menschliche Aufsicht - lässt sich jetzt schrittweise und ohne Zeitdruck aufbauen. Und sie zahlt sich schon vor dem Stichtag aus: In Ausschreibungen und Lieferantenprüfungen wird systematische KI-Governance zunehmend abgefragt, oft mit Verweis auf Standards wie ISO 42001. Wer liefern kann, hat einen Vorsprung - unabhängig davon, wann Brüssel durchsetzt.
Aufschub ist keine Entwarnung
Der EU AI Act ist kein Projekt mit einem festen Enddatum - er verändert dauerhaft, wie Unternehmen KI einsetzen und dokumentieren. Der Omnibus hat den Zeitplan entzerrt, nicht die Anforderungen gesenkt. Wer die drei Grundlagen jetzt schafft - Transparenz, Inventar, Dokumentation -, nutzt die seltene Gelegenheit, Compliance einmal ohne Deadline-Druck aufzubauen.
Sie möchten wissen, welche Ihrer Pflichten verschoben wurden - und welche jetzt gelten? Ein strukturiertes Assessment zeigt in wenigen Wochen, welche Systeme betroffen sind und welche Maßnahmen Vorrang haben.