Aktualisiert am 3. September 2026: Der Digital-Omnibus-Aufschub ist inzwischen geltendes Recht. Mit der Verordnung (EU) 2026/1744 vom 8. Juli 2026 („Digital Omnibus on AI”, Amtsblatt vom 24. Juli 2026, in Kraft seit dem 27. Juli 2026) wurde der Geltungsbeginn der Hochrisiko-Pflichten für Anhang-III-Systeme vom 2. August 2026 auf den 2. Dezember 2027 und für Anhang-I-Systeme vom 2. August 2027 auf den 2. August 2028 verschoben. Die ursprüngliche Fassung dieses Beitrags (Stand 2. Juni 2026) beschrieb den Aufschub noch als politisch vereinbart, aber nicht verabschiedet. Der Text unten gibt den aktuellen Rechtsstand wieder.
Der EU AI Act gilt nicht auf einen Schlag, sondern in Stufen. Das ist eine gute Nachricht – es bleibt Zeit zur Vorbereitung – und eine gefährliche zugleich, weil die wichtigsten Pflichten für Hochrisiko-Systeme erst später greifen und deshalb gern aufgeschoben werden.
Der Fahrplan im Überblick
Die Verordnung (EU) 2024/1689 ist am 1. August 2024 in Kraft getreten. Seither greifen die Regeln gestaffelt – in der Fassung, die seit dem Digital Omnibus on AI gilt:
- 2. Februar 2025 – Die Verbote bestimmter KI-Praktiken (Art. 5) gelten, ebenso die Pflicht zur KI-Kompetenz nach Art. 4. Deren Wortlaut wurde durch den Digital Omnibus zum 27. Juli 2026 neu gefasst, das Geltungsdatum blieb.
- 2. August 2025 – Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI), die Governance-Strukturen und die Sanktionsvorschriften treten in Kraft; ausgenommen war Art. 101 (Geldbußen der Kommission gegen GPAI-Anbieter), der erst seit dem 2. August 2026 gilt.
- 2. August 2026 – Allgemeiner Geltungsbeginn der Verordnung, unter anderem für die Transparenzpflichten nach Art. 50 und die Marktüberwachung.
- 2. Dezember 2026 – Nachfrist für die Kennzeichnung KI-generierter Inhalte nach Art. 50 Abs. 2: Anbieter generativer Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, müssen bis zu diesem Datum nachziehen (Art. 111 Abs. 4). Zum selben Datum greifen die vom Omnibus neu eingefügten Verbote in Art. 5 Abs. 1 Buchst. ba und bb.
- 2. August 2027 – Die Mitgliedstaaten müssen mindestens ein nationales KI-Reallabor einsatzbereit haben (Art. 57 Abs. 1; zuvor 2. August 2026).
- 2. Dezember 2027 – Stichtag für Hochrisiko-Systeme nach Anhang III: Ab hier gelten die vollen Anbieter- und Betreiberpflichten aus Kapitel III Abschnitte 1 bis 3 (Art. 113 Abs. 3 Buchst. c Ziff. i).
- 2. August 2028 – Hochrisiko-Systeme, die als Sicherheitsbauteil regulierter Produkte gelten (Anhang I), folgen mit einer längeren Frist (Art. 113 Abs. 3 Buchst. c Ziff. ii).
Digital Omnibus: Was sich am AI Act geändert hat
Der „Digital Omnibus on AI” ist die Verordnung (EU) 2026/1744 vom 8. Juli 2026, veröffentlicht im Amtsblatt am 24. Juli 2026 und in Kraft seit dem 27. Juli 2026. Sie ändert nicht nur die Verordnung (EU) 2024/1689, sondern auch die Verordnungen (EU) 2018/1139 und (EU) 2023/1230. Bekannt geworden ist sie durch den Fristenaufschub — geändert hat sie deutlich mehr. Die für Unternehmen wichtigsten Punkte:
| Was | Änderung | Wirkung |
|---|---|---|
| Fristen für Hochrisiko (Art. 113 Abs. 3 Buchst. c) | Anhang III von 2. August 2026 auf 2. Dezember 2027, Anhang I von 2. August 2027 auf 2. August 2028 | mehr Vorlaufzeit, gleicher Pflichtenumfang |
| Neue Verbote (Art. 5 Abs. 1 Buchst. ba und bb, Abs. 1a und 1b) | Verbot von KI, die ohne Zustimmung realistische intime oder eindeutig sexuelle Darstellungen bestimmbarer Personen erzeugt oder manipuliert, sowie von Material im Sinne der Richtlinie 2011/93/EU | gilt ab 2. Dezember 2026 |
| KI-Kompetenz (Art. 4) | vollständig neu gefasst: Maßnahmen zur Unterstützung der Kompetenzentwicklung statt „nach besten Kräften sicherstellen”; keine Garantie eines bestimmten Niveaus | Details zur Art.-4-Pflicht |
| Bias-Korrektur (neuer Art. 4a) | Anbieter dürfen unter engen Bedingungen besondere Kategorien personenbezogener Daten verarbeiten, um Verzerrungen in Hochrisiko-Systemen zu erkennen und zu korrigieren | schließt eine praktische Lücke zur DSGVO |
| Sicherheitsbauteil (Art. 6 Abs. 1a bis 1c) | KI, die ausschließlich für nicht sicherheitsrelevante Zwecke wie Nutzerunterstützung, Leistungsoptimierung oder Qualitätskontrolle dient, gilt nicht als Sicherheitsbauteil | weniger Systeme rutschen über Anhang I in die Hochrisiko-Klasse |
| Maschinen (Art. 2 Abs. 2, Anhang I) | Verweis auf das Maschinenrecht von Anhang I Abschnitt A nach Abschnitt B verschoben und auf die Maschinenverordnung (EU) 2023/1230 aktualisiert | für diese Systeme gelten nur einzelne Vorschriften des AI Act |
| Qualitätsmanagementsystem (Art. 17 Abs. 2) | Umsetzung ausdrücklich im Verhältnis zur Organisationsgröße, insbesondere bei KMU, Start-ups und kleinen Midcap-Unternehmen | Schutzniveau bleibt gleich, Aufwand wird skalierbar |
| Grundrechte-Folgenabschätzung (Art. 27 Abs. 4 und 5) | Verweis auf Abschnitte einer bereits erstellten Datenschutz-Folgenabschätzung ausdrücklich zulässig; das KI-Büro erstellt ein Fragebogen-Muster | weniger Doppelarbeit |
| Bestandssysteme (Art. 111 Abs. 2) | Hochrisiko-Pflichten greifen nur, wenn das System nach dem Geltungsbeginn von Kapitel III in seiner Konzeption erheblich verändert wurde; für behördlich genutzte Systeme gilt in jedem Fall der 2. August 2030 | echter Bestandsschutz |
| Kennzeichnung generativer Inhalte (Art. 111 Abs. 4) | Anbieter generativer Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, müssen Art. 50 Abs. 2 bis zum 2. Dezember 2026 nachkommen | Nachfrist statt Sofortpflicht |
| Sanktionen (Art. 99 Abs. 1 und 6a) | Mitgliedstaaten sehen Sanktionen und andere Durchsetzungsmaßnahmen für jeglichen Verstoß vor und berücksichtigen KMU und kleine Midcap-Unternehmen; Bußgelddeckelung nach Art. 99 Abs. 4 und 5 auch für kleine Midcaps | Bußgeldrahmen selbst unverändert |
Als Begründung für den Fristenaufschub nennt der Gesetzgeber ausdrücklich die verzögerte Verfügbarkeit von Normen, gemeinsamen Spezifikationen und Leitlinien sowie die verzögerte Einrichtung der zuständigen nationalen Behörden — der ursprüngliche Termin 2. August 2026 sei unter diesen Umständen nicht zu rechtfertigen gewesen.
Wichtig: Verschoben ist der Geltungsbeginn, nicht der Inhalt. Anhang III selbst wurde nicht geändert; die Anforderungen an Risikomanagement, Daten-Governance, Dokumentation und Konformitätsbewertung bleiben unverändert.
Wer jetzt anfängt, sollte den geänderten Rechtsstand auch in seinen internen Unterlagen nachziehen: Schulungsfolien, KI-Richtlinie und Fristenplan aus dem Jahr 2025 stimmen an mehreren Stellen nicht mehr. Wie man das strukturiert aufhängt, steht im Beitrag zur KI-Governance im Unternehmen.
Warum frühes Handeln trotzdem klug ist
Ob August 2026 oder Dezember 2027 – die eigentliche Arbeit ändert sich dadurch nicht. Ein Risikomanagementsystem aufzusetzen, die Datenqualität zu prüfen, die technische Dokumentation zu erstellen und die Konformitätsbewertung zu durchlaufen, dauert Monate, nicht Tage. Diese Pflichten nach Art. 9–15 lassen sich nicht kurz vor Fristende nachholen. Hinzu kommt, dass externe Prüfstellen und Konformitätsbewertungskapazitäten erfahrungsgemäß knapp werden, je näher ein Stichtag rückt.
Hinzu kommt: Bevor Sie überhaupt wissen, ob die Fristen Sie betreffen, müssen Sie wissen, ob Ihr System Hochrisiko ist. Wer das früh klärt, gewinnt Planungssicherheit. Welche Anwendungsbereiche das betrifft, lesen Sie im Beitrag zu den acht Bereichen aus Anhang III; den Gesamtrahmen der Verordnung erklärt der Überblick EU AI Act einfach erklärt.
Ihr erster Schritt
Klären Sie zuerst die Einstufung, dann die Frist. Unser kostenloser Hochrisiko-Check sagt Ihnen in zwei Minuten, ob Ihr System betroffen ist – und damit, ob die hier genannten Fristen überhaupt für Sie relevant sind.
Übrigens greift der AI Act selten allein: Viele digital aufgestellte Unternehmen fallen zugleich unter die NIS-2-Richtlinie (Cybersicherheit). Ob das auf Sie zutrifft, zeigt der NIS-2-Betroffenheits-Check.
Quellen
- Verordnung (EU) 2024/1689 (AI Act), konsolidierte Fassung mit Stand 27. Juli 2026, EUR-Lex
- Verordnung (EU) 2026/1744 („Digital Omnibus on AI”) vom 8. Juli 2026, EUR-Lex
- Bundesnetzagentur, Ziele, Zielgruppen und Zeitplan der KI-Verordnung