Digital Omnibus verabschiedet: KI-Hochrisikopflichten ab Dezember 2027

Ja. Der Digital Omnibus zur KI wurde als Verordnung (EU) 2026/1744 verabschiedet, am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 in Kraft. Für Unternehmen, die dem KI-Gesetz (Verordnung EU 2024/1689) unterliegen, gelten die Pflichten für KI-Hochrisikosysteme des Anhangs III nun ab dem 2. Dezember 2027 statt ab dem 2. August 2026, und jene für Systeme in Produkten nach Anhang I ab dem 2. August 2028. Die Transparenzpflichten nach Artikel 50 gelten dagegen wie geplant seit dem 2. August 2026.

Der Text geht auf den Vorschlag der Kommission vom 19. November 2025 zurück, Teil eines Vereinfachungspakets, das auch die DSGVO, den Data Act und andere digitale Texte betraf. Es handelt sich nicht mehr um einen Vorschlag: Diese Fristen sind nun geltendes Recht.

Warum die Kommission diese Verschiebung vorgeschlagen hat

Die Begründung der Kommission war pragmatisch: Das Compliance-Ökosystem war nicht bereit. Die harmonisierten Normen, die Unternehmen als Leitlinie benötigen — entwickelt vom Technischen Gemeinschaftsausschuss CEN-CENELEC JTC 21 — wurden nicht vor Ende 2026 erwartet. Ohne diese Normen können Unternehmen nicht mit Sicherheit wissen, ob ihre technische Dokumentation konform ist. Eine Pflicht aufzuerlegen, deren Umsetzungsinstrumente noch nicht existieren, schafft Rechtsunsicherheit.

Die Kommission hat auch strukturelle Verzögerungen bei der Benennung nationaler zuständiger Behörden und Konformitätsbewertungsstellen in den Mitgliedstaaten festgestellt. Die Verschiebung ist daher kein regulatorischer Rückzug, sondern das, was die Kommission selbst eine „strukturelle Neuausrichtung" nannte.

Was der Digital Omnibus konkret ändert

Neue Geltungstermine für Hochrisikosysteme

Der ursprüngliche Vorschlag der Kommission knüpfte die Anwendung der Hochrisikopflichten an eine Entscheidung der Kommission, die die Verfügbarkeit von Compliance-Werkzeugen (Normen, Leitlinien, gemeinsame Spezifikationen) bestätigt, ergänzt um Endfristen. Seit der Verabschiedung der Verordnung (EU) 2026/1744 sind folgende Termine maßgeblich:

• 2. Dezember 2027 für Systeme des Anhangs III (z. B. KI im Personalwesen, Bildung, wesentliche Dienste) — statt 2. August 2026
• 2. August 2028 für Systeme des Anhangs I (in geregelte Produkte eingebettet: Medizinprodukte, Maschinen, Fahrzeuge) — statt 2. August 2027

Im geänderten Zeitplan müssen die nationalen KI-Reallabore (Artikel 57) bis zum 2. August 2027 einsatzbereit sein.

Erleichterungen für KMU und kleine Midcaps

Der Vorschlag der Kommission führte eine neue Kategorie ein: „kleine Midcaps", definiert als Unternehmen mit weniger als 750 Mitarbeitenden und weniger als 150 Millionen Euro Jahresumsatz, die von denselben Erleichterungen wie klassische KMU profitieren sollten. Den genauen Umfang dieser Erleichterungen entnehmen Sie dem im Amtsblatt veröffentlichten Text; sie betrafen insbesondere:

• Vereinfachte technische Dokumentation für Hochrisikosysteme
• Leichtere Anforderungen an das Qualitätsmanagementsystem (QMS)
• Angepasste Bußgeldberechnung entsprechend der Unternehmensgröße

Artikel 50: Übergangsfrist für die Kennzeichnung bis 2. Dezember 2026

Artikel 50 gilt seit dem 2. August 2026. Lediglich die maschinenlesbare Kennzeichnung KI-generierter Inhalte (Artikel 50(2) — Wasserzeichen, Metadaten) profitiert von einer Übergangsfrist bis zum 2. Dezember 2026, und zwar nur für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden. Systeme, die ab dem 2. August 2026 in Verkehr gebracht werden, müssen sie sofort erfüllen. Zur Umsetzung hat die Kommission am 20. Juli 2026 ihre endgültigen Leitlinien zu Artikel 50 veröffentlicht, sowie am 10. Juni 2026 einen freiwilligen Verhaltenskodex zur Kennzeichnung KI-generierter Inhalte.

KI-Kompetenz gelockert, neue Verbote

Der Omnibus formuliert Artikel 4 neu: Die KI-Kompetenz wird zur Pflicht, Maßnahmen für die KI-Kompetenz des Personals zu ergreifen — eine flexiblere Formulierung als im ursprünglichen Text. Zudem fügt er neue verbotene Praktiken hinzu, die ab dem 2. Dezember 2026 gelten: Systeme, die darauf ausgelegt sind, nicht einvernehmliche intime Bilder oder Darstellungen sexuellen Kindesmissbrauchs zu erzeugen.

Was sich nicht ändert

Der Digital Omnibus ändert nicht die Grundstruktur des KI-Gesetzes. Folgendes bleibt unverändert:

• Verbotene Praktiken (Artikel 5): seit dem 2. Februar 2025 durchsetzbar — die bestehenden Verbote sind nicht betroffen
• GPAI-Pflichten (Artikel 51–56): seit dem 2. August 2025 in Kraft
• Risikoklassifizierung: Anhang III, Risikoniveaus, Kriterien — nichts ändert sich
• Transparenzpflichten nach Artikel 50: seit dem 2. August 2026 anwendbar
• Sanktionsniveau: bis zu 35 Mio. € oder 7 % des weltweiten Umsatzes für verbotene Praktiken, 15 Mio. € oder 3 % für andere Pflichten

Für Hochrisikosysteme streicht der Digital Omnibus die Anforderungen nicht — er verschiebt ihre Durchsetzung. Die technische Dokumentation des Anhangs IV, das Risikomanagement (Art. 9), die Datenverwaltung (Art. 10): Diese Pflichten bestehen weiterhin. Nur ihr Durchsetzbarkeitsdatum ändert sich.

Vom Vorschlag zur Verordnung (EU) 2026/1744: der Ablauf

Der Digital Omnibus zur KI folgte dem ordentlichen Gesetzgebungsverfahren, in gut acht Monaten:

• 19. November 2025: Vorschlag der Kommission (COM(2025) 836)
• 7. Mai 2026: vorläufige Einigung im Trilog; 16. Juni 2026: Schlussabstimmung im Europäischen Parlament; 29. Juni 2026: Annahme durch den Rat
• 24. Juli 2026: Veröffentlichung im Amtsblatt, dann Inkrafttreten am 27. Juli 2026

Der Text wurde damit vor der ursprünglichen Hochrisikofrist vom 2. August 2026 verabschiedet, die für Systeme des Anhangs III nicht mehr gilt. Die Gesetzgebungsdebatte ist abgeschlossen: Die obigen Termine sind nun für Unternehmen verbindlich.

Was sollten Sie jetzt tun?

Nachdem die Frist verschoben wurde, ist die Versuchung, die Compliance-Bemühungen zu verlangsamen, verständlich. Sie wäre jedoch aus drei Gründen ein strategischer Fehler:

1. Die neuen Fristen sind geltendes Recht. Der 2. Dezember 2027 (Anhang III) und der 2. August 2028 (Anhang I) sind in der Verordnung (EU) 2026/1744 festgelegt. Es gibt kein Gesetzgebungsergebnis mehr abzuwarten.
2. Die Verschiebung gibt Monate, keine Jahre. Technische Dokumentation, Risikomanagement und Qualitätsmanagement für ein Hochrisikosystem erfordern viele Monate Arbeit. Unternehmen, die jetzt mit der Compliance beginnen, sind deutlich besser aufgestellt als jene, die warten.
3. Die Risikoklassifizierung ändert sich nicht. Zu wissen, ob Ihr System ein Hochrisikosystem ist, ist eine Voraussetzung für jede Compliance-Maßnahme — und hängt von keiner harmonisierten Norm ab.

Die sicherste Strategie: Artikel 50 jetzt erfüllen und die Hochrisiko-Compliance rückwärts ab dem 2. Dezember 2027 planen. Die kostenlose AiActo-Diagnose ermöglicht es Ihnen, Ihre KI-Systeme jetzt zu klassifizieren und Ihre Pflichten zu identifizieren — unabhängig von ihrer Risikokategorie.

Häufig gestellte Fragen

Wurde der Digital Omnibus verabschiedet?

Ja. Der Digital Omnibus zur KI wurde als Verordnung (EU) 2026/1744 verabschiedet, nach einer vorläufigen Einigung im Trilog am 7. Mai 2026, einer Abstimmung im Europäischen Parlament am 16. Juni 2026 und der Annahme durch den Rat am 29. Juni 2026. Er wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 in Kraft.

Gelten die KI-Gesetz-Pflichten von August 2026 noch?

Teilweise. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026, durch den Omnibus unverändert (mit einer Übergangsfrist bis zum 2. Dezember 2026 für die Kennzeichnung von Inhalten aus Systemen, die vor diesem Datum in Verkehr gebracht wurden). Die Hochrisikopflichten nach Anhang III gelten dagegen nun ab dem 2. Dezember 2027.

Welche Unternehmen profitieren von den neuen KMU-Ausnahmen?

Der Vorschlag der Kommission erweiterte die Erleichterungen auf klassische KMU (weniger als 250 Mitarbeitende, weniger als 50 Mio. € Umsatz) und auf eine neue Kategorie „kleiner Midcaps" (weniger als 750 Mitarbeitende und weniger als 150 Mio. € Jahresumsatz), mit vereinfachten Anforderungen an technische Dokumentation und Qualitätsmanagement. Prüfen Sie den genauen Umfang dieser Maßnahmen in der veröffentlichten Verordnung (EU) 2026/1744.

Sind GPAI-Pflichten von der Verschiebung betroffen?

Nein. Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (Artikel 51 bis 56) sind seit dem 2. August 2025 in Kraft und werden durch den Digital Omnibus nicht verschoben.

Was ändert sich bei der KI-Kompetenz (Artikel 4)?

Die Pflicht zur KI-Kompetenz gilt seit dem 2. Februar 2025. Der Omnibus formuliert sie neu: Es handelt sich nun um die Pflicht, Maßnahmen für die KI-Kompetenz des Personals zu ergreifen, eine flexiblere Formulierung als im ursprünglichen Text. Solche Maßnahmen umzusetzen bleibt daher notwendig.

Der Digital Omnibus ändert nicht die Substanz des KI-Gesetzes — er hat seinen Durchsetzungszeitplan an eine konkrete Realität angepasst: Die Compliance-Werkzeuge waren nicht bereit. Aber die Verschiebung ändert nichts an der Richtung. Die Klassifizierung Ihrer KI-Systeme, die Bestandsaufnahme Ihrer Pflichten und die Strukturierung Ihrer Dokumentation bleiben unumgängliche Schritte, unabhängig von ihrer Risikokategorie. Verfolgen Sie den KI-Gesetz-Zeitplan auf AiActo, um regulatorische Kalenderaktualisierungen in Echtzeit zu verfolgen.