Seit dem 27. Juli 2026 ist der Digital Omnibus zum AI Act in Kraft, veröffentlicht als Verordnung (EU) 2026/1744. In vielen Unternehmen ist die Nachricht als Entwarnung angekommen: Die Pflichten für Hochrisikosysteme, ursprünglich ab dem 2. August 2026 fällig, sind verschoben. Diese Lesart ist verständlich und trotzdem gefährlich. Ein Teil der Pflichten gilt seit Anfang August unverändert, ein anderer wurde abgeschwächt, aber nicht gestrichen, und die gewonnene Zeit ist kürzer, als sie auf dem Papier wirkt. Wer jetzt pausiert, steht Ende 2027 vor denselben Aufgaben mit weniger Vorlauf.
Was der Omnibus verschoben hat
Die zentrale Änderung betrifft die Hochrisikosysteme. Für eigenständige Systeme nach Anhang III, also etwa KI in Personalauswahl, Kreditwürdigkeitsprüfung oder Zugang zu wesentlichen Leistungen, gelten die Anforderungen nun ab dem 2. Dezember 2027. Für KI, die in regulierte Produkte nach Anhang I eingebettet ist, verschiebt sich die Frist auf den 2. August 2028. Auch die Frist, bis zu der die Mitgliedstaaten ihre KI-Reallabore einrichten müssen, wurde auf den 2. August 2027 verlegt.
Der Grund für den Aufschub war nicht, dass die Anforderungen als überzogen galten. Es fehlten die Voraussetzungen, sie zu erfüllen: Harmonisierte Normen lagen nicht rechtzeitig vor, und in mehreren Mitgliedstaaten waren die zuständigen Behörden noch nicht benannt. Inhaltlich sind die Pflichten für Hochrisikosysteme im Kern dieselben geblieben. Risikomanagement, Datenqualität, technische Dokumentation, menschliche Aufsicht und Konformitätsbewertung kommen, nur später.
Was seit dem 2. August gilt
Unverändert in Kraft getreten sind die Transparenzpflichten nach Artikel 50. Wer ein System betreibt, mit dem Menschen interagieren, muss kenntlich machen, dass sie mit einer KI sprechen. Synthetisch erzeugte Inhalte müssen maschinenlesbar gekennzeichnet werden, Deepfakes sind offenzulegen, und der Einsatz von Emotionserkennung und biometrischer Kategorisierung ist den Betroffenen mitzuteilen. Einzig für die maschinenlesbare Kennzeichnung gibt es eine Übergangsfrist bis zum 2. Dezember 2026, und auch die nur für Systeme, die vor dem 2. August bereits am Markt waren.
Diese Pflichten betreffen deutlich mehr Unternehmen als die Hochrisikoregeln, weil sie an alltägliche Anwendungen anknüpfen: den Assistenten auf der Website, den Chatbot im Kundenservice, generierte Bilder und Texte in der Kommunikation. Verstöße sind mit Bußgeldern von bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes bewehrt. Hinzu kommen die Verbote nach Artikel 5, die bereits seit Februar 2025 gelten und durch den Omnibus um ein weiteres Verbot ergänzt wurden, sowie die Pflichten für Anbieter von General Purpose AI, die seit August 2025 greifen.
Die weichere Kompetenzpflicht ist keine geringere
Artikel 4 verlangte ursprünglich, dass Anbieter und Betreiber ein ausreichendes Maß an KI-Kompetenz ihres Personals sicherstellen. Nach dem Omnibus genügt es, Maßnahmen zu ergreifen, die den Aufbau dieser Kompetenz unterstützen. Juristisch ist das eine Absenkung, denn geschuldet ist nun das Bemühen, nicht mehr ein bestimmtes Niveau. Praktisch ändert sich weniger, als die Formulierung vermuten lässt.
Denn die Frage, ob Mitarbeitende mit den eingesetzten Systemen umgehen können, stellt sich unabhängig vom AI Act. Sie stellt sich im Schadensfall, wenn zu klären ist, ob die Geschäftsleitung ihrer Sorgfaltspflicht nachgekommen ist, und sie stellt sich bei jeder Prüfung, die nach der Wirksamkeit von Kontrollen fragt. Wer dokumentieren kann, welche Rollen welche Befähigung erhalten haben, ist auf beide Situationen vorbereitet. Wer die Absenkung als Anlass nimmt, Schulungsbudgets zu streichen, spart an einer Stelle, die sich später schwer begründen lässt.
Wofür die gewonnene Zeit reicht und wofür nicht
Bis Dezember 2027 bleiben rund fünfzehn Monate. Das klingt nach Luft, ist aber knapp, wenn man die Arbeitsschritte rückwärts rechnet. Zuerst muss bekannt sein, welche KI-Systeme im Einsatz sind, und in vielen Organisationen existiert diese Übersicht bis heute nicht vollständig. Dann folgt die Einstufung jedes Systems, die oft juristische und fachliche Abstimmung erfordert. Erst danach beginnt die eigentliche Arbeit an Dokumentation, Risikomanagement und Aufsichtsprozessen, und die ist bei eingekauften Systemen zusätzlich von der Mitwirkung der Anbieter abhängig.
Dazu kommt ein Effekt, der die Zeit weiter verkürzt. Die harmonisierten Normen, auf die sich die Konformität stützen soll, werden voraussichtlich erst kurz vor Fristende vollständig vorliegen. Wer mit der Umsetzung wartet, bis sie verfügbar sind, beginnt zu spät. Belastbar ist ein anderer Weg: Inventar und Einstufung jetzt abschließen, die Anforderungen des Gesetzestextes als Arbeitsgrundlage nehmen und die Normen einarbeiten, sobald sie erscheinen. Die Verschiebung schenkt Zeit für eine saubere Umsetzung, nicht für einen späteren Start.
Fazit und Empfehlung
Der Omnibus hat den Zeitplan verändert, nicht die Richtung. Für die nächsten neunzig Tage empfehlen wir drei Schritte. Erstens alle produktiven Anwendungen mit Nutzerkontakt oder generierten Inhalten gegen Artikel 50 prüfen, denn diese Pflichten gelten bereits, und die Übergangsfrist für die Kennzeichnung endet am 2. Dezember 2026. Zweitens das Inventar aller KI-Systeme mit Risikoeinstufung abschließen und den Umsetzungsplan für Hochrisikosysteme rückwärts vom Dezember 2027 aufsetzen. Drittens die Maßnahmen zur KI-Kompetenz nach Rollen dokumentieren, auch wenn das Gesetz inzwischen weniger verlangt.
ECODYNAMICS begleitet Vorstände und Geschäftsleitungen bei genau dieser Einordnung. Im Rahmen von Strategie und Transformation übersetzen wir die regulatorischen Fristen in einen Umsetzungsplan, der an bestehende Governance anschließt, statt eine Parallelstruktur aufzubauen. In der C-Level & Executives AI Masterclass verschaffen wir Führungskräften das Verständnis, um diese Entscheidungen selbst zu treffen. Wenn bei Ihnen noch offen ist, welche Ihrer Systeme unter welche Frist fallen, sprechen Sie uns an.