EU AI Act: Digital Omnibus verschiebt Hochrisiko-Pflichten

Wer sich in den vergangenen Monaten auf den 2. August 2026 als Stichtag für die Hochrisiko-Pflichten des EU AI Act vorbereitet hat, kann einen Teil dieser Vorbereitung neu einordnen. Die EU hat die Fristen verschoben – nicht als Ankündigung oder Vorschlag, sondern als in Kraft getretenes Recht. Das ändert aber nichts daran, dass an anderer Stelle des AI Act bereits seit Monaten Pflichten gelten, die viele Unternehmen noch nicht erfüllt haben.

Dieser Beitrag ordnet ein, was sich mit der sogenannten „Digital-Omnibus-Verordnung zur KI" konkret geändert hat, was weiterhin unverändert gilt und wo auch nach der Verschiebung noch Handlungsbedarf besteht. Ein Hinweis vorweg, weil er zur Ehrlichkeit gehört: Wir haben zu diesem Thema bereits früher berichtet – unter anderem zu den allgemeinen AI-Act-Pflichten und zur Kompetenzpflicht nach Art. 4. Diese Beiträge stammen aus der Zeit vor dieser Verordnung und bilden die neue Rechtslage an einzelnen Stellen nicht mehr ab. Dieser Beitrag ist die aktuelle Fassung.

Was sich rechtlich geändert hat

Am 8. Juli 2026 hat das Europäische Parlament die Verordnung (EU) 2026/1744 (öffnet in neuem Tab) beschlossen – offiziell „zur Änderung der Verordnungen (EU) 2024/1689, (EU) 2018/1139 und (EU) 2023/1230 im Hinblick auf die Vereinfachung der Umsetzung harmonisierter Vorschriften für künstliche Intelligenz", kurz Digital Omnibus on AI. Sie wurde am 24. Juli 2026 im Amtsblatt der EU veröffentlicht und ist laut KPMG (öffnet in neuem Tab) am 27. Juli 2026 in Kraft getreten. Das ist keine politische Absichtserklärung mehr, sondern geltendes EU-Recht – ein Punkt, der in früheren Einschätzungen noch offen war (öffnet in neuem Tab), als die Einigung zwischen Rat und Parlament erst politisch, aber noch nicht formal verabschiedet war.

Die Verordnung ändert drei Dinge, die für Unternehmen im Mittelstand relevant sind.

1. Hochrisiko-Pflichten verschieben sich deutlich

Der AI Act unterscheidet zwei Rechtsgrundlagen, nach denen ein KI-System als „hochriskant" gilt – und für beide wurde der Geltungsbeginn nach hinten geschoben.

Für eigenständige Hochrisiko-KI-Systeme nach Art. 6 Abs. 2 i. V. m. Anhang III – dazu zählen laut KPMG etwa Systeme in kritischer Infrastruktur, Bildung und Beschäftigung (HR) – verschiebt sich der Geltungsbeginn um 16 Monate: statt am 2. August 2026 gelten die entsprechenden Pflichten nun ab 2. Dezember 2027.

Für Hochrisiko-KI-Systeme nach Art. 6 Abs. 1 i. V. m. Anhang I – etwa Sicherheitsbauteile in Maschinen, Medizinprodukten oder Kraftfahrzeugen – verschiebt sich der Termin um ein Jahr: statt 2. August 2027 nun 2. August 2028.

Der von KPMG genannte Grund ist nüchtern: Die harmonisierten technischen Normen, ohne die eine Konformitätsbewertung nach Art. 43 AI Act praktisch nicht durchführbar ist, waren nicht rechtzeitig fertig, ebenso wenig die Benennung der dafür zuständigen notifizierten Stellen.

2. Die KI-Kompetenzpflicht wird abgeschwächt – nicht abgeschafft

Seit dem 2. Februar 2025 verlangt Art. 4 AI Act, dass Anbieter und Betreiber von KI-Systemen die KI-Kompetenz ihres Personals „nach besten Kräften sicherstellen". Diese Formulierung ändert sich. Laut KPMG besteht jetzt „nur noch eine gesetzliche Verpflichtung, die KI-Kompetenz des Personals zu fördern" – und der neue Wortlaut stellt ausdrücklich klar, dass Unternehmen nicht verpflichtet sind, „für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren".

Wichtig ist hier die Nuance, die auch KPMG hervorhebt: Die Pflicht existiert weiterhin, sie ist nur schwächer formuliert. Und KPMG weist selbst darauf hin, dass betriebsinterner KI-Einsatz ohne ausreichende Kompetenz weiterhin zu realen Risiken führen kann – etwa fehlerhaften Entscheidungen durch „Overreliance on AI". Ein Unternehmen, das die Schulungspflicht nur noch als Kann-Option liest, verkennt diesen Unterschied zwischen rechtlichem Minimum und betrieblicher Klugheit.

3. Eine Sonderregel für Kennzeichnungspflichten synthetischer Inhalte

Die Transparenzpflichten nach Art. 50 AI Act gelten grundsätzlich weiterhin ab dem 2. August 2026. Eine Ausnahme betrifft laut KPMG konkret Art. 50 Abs. 2 – die Pflicht, von KI erzeugte synthetische Audio-, Bild-, Video- oder Textinhalte maschinenlesbar als künstlich zu kennzeichnen. Für Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, gilt diese spezifische Pflicht erst ab dem 2. Dezember 2026. Wird ein solches System erst nach dem Stichtag neu in Verkehr gebracht, greift die Pflicht sofort.

Was trotz der Verschiebung unverändert gilt

Der größte Denkfehler, den KPMG in der eigenen Einschätzung selbst benennt: zu glauben, vor 2027 sei nichts zu tun. Das Gegenteil ist der Fall. Mehrere Pflichten sind von der Verschiebung überhaupt nicht betroffen:

• Verbotene KI-Praktiken (Art. 5) – etwa unterschwellige Manipulation oder bestimmte Formen des Social Scoring – gelten unverändert bereits seit dem 2. Februar 2025.
• Die Kompetenzpflicht nach Art. 4 existiert weiterhin, nur eben in der abgeschwächten Fassung – und sie gilt praktisch für jedes Unternehmen, das ein Sprachmodell im Arbeitsalltag einsetzt.
• Pflichten für Anbieter von General-Purpose-AI-Modellen (GPAI) gelten unverändert seit August 2025.
• Die Transparenzpflichten nach Art. 50 – etwa die Pflicht, Nutzer bei der Interaktion mit einem KI-System wie einem Chatbot darüber zu informieren – greifen weiterhin ab dem 2. August 2026, mit der oben genannten engen Ausnahme für bereits im Markt befindliche Systeme.

Für die tägliche Praxis heißt das: Ein Kundenservice-Chatbot muss weiterhin offenlegen, dass am anderen Ende eine KI antwortet. Eine interne Weiterbildung zur sinnvollen und sicheren KI-Nutzung bleibt sinnvoll, auch wenn die Formulierung im Gesetz weicher geworden ist. Nur die aufwendigen Konformitätsbewertungen für explizit als „hochriskant" eingestufte Systeme haben mehr Zeit bekommen.

Was das für die Praxis im Mittelstand bedeutet

Die Verschiebung ist in erster Linie für Unternehmen relevant, die tatsächlich Hochrisiko-Systeme im Sinne von Anhang I oder Anhang III betreiben oder anbieten – etwa in den Bereichen Bildung, Personalauswahl, kritische Infrastruktur oder sicherheitsrelevante Produktkomponenten. Für die meisten übrigen Anwendungsfälle – ein internes Chatbot-Tool, ein Textgenerator im Marketing, ein Recherche-Assistent – ändert sich rechtlich wenig, weil diese Systeme ohnehin selten in den Hochrisikobereich fallen.

Drei praktische Schlüsse:

1. Prüfen Sie zuerst die Einstufung, nicht die Frist. Die Verschiebung nützt nur, wenn Ihr System überhaupt als Hochrisiko-KI nach Anhang I oder III gilt. Viele im Mittelstand eingesetzte Werkzeuge fallen darunter gar nicht erst.
2. Verwechseln Sie die Fristverschiebung nicht mit einer Streichung der Pflicht. Die zusätzliche Zeit soll laut KPMG dazu dienen, sich auf inhaltlich unveränderte Anforderungen vorzubereiten – nicht dazu, das Thema aufzuschieben.
3. Behandeln Sie Kompetenzaufbau als betriebliche Notwendigkeit, nicht nur als Pflichtübung. Die abgeschwächte Formulierung in Art. 4 ändert nichts daran, dass unqualifizierter KI-Einsatz reale operative Risiken birgt.

Woher die Verordnung kommt – und warum das für die Verlässlichkeit zählt

Ein Punkt ist für die Einordnung wichtig: Der Digital Omnibus on AI ist kein Kommissionsvorschlag mehr, über den noch verhandelt wird, sondern eine im Amtsblatt veröffentlichte, in Kraft befindliche EU-Verordnung. Das unterscheidet die aktuelle Lage von vielen Einschätzungen, die noch im Frühjahr 2026 kursierten, als die politische Einigung zwischen Rat und Parlament vom 7. Mai 2026 zwar feststand, die formale Verabschiedung aber noch ausstand. Wer sich damals auf eine „wahrscheinliche" Verschiebung verlassen hat, hatte tatsächlich ein Risiko: Wäre das Verfahren gescheitert oder verzögert worden, hätten die ursprünglichen Fristen zum 2. August 2026 gegolten. Dieses Risiko ist mit dem Inkrafttreten am 27. Juli 2026 entfallen – die neuen Fristen sind jetzt geltendes Recht, keine Prognose mehr.

Das ändert auch etwas an der Bewertung älterer Beiträge und Einschätzungen zum Thema, einschließlich unserer eigenen früheren Artikel zum AI Act: Was vor Juli 2026 als Stichtag oder Pflicht beschrieben wurde, muss an den oben genannten Stellen als überholt gelten. Eine Rechtslage, die sich per Verordnung ändert, macht frühere, damals korrekte Aussagen nicht falsch – sie macht sie veraltet. Der Unterschied ist für die Praxis wichtig: Es lohnt sich, bei Compliance-Themen mit hoher regulatorischer Dynamik regelmäßig zu prüfen, ob eine frühere Einschätzung noch dem aktuellen Stand entspricht, statt sich auf eine einmal gelesene Quelle zu verlassen.

Fazit

Der Digital Omnibus on AI ist eine handfeste Entlastung für Unternehmen, die tatsächlich Hochrisiko-Systeme betreiben – bis zu 16 zusätzliche Monate für Anhang-III-Systeme, ein weiteres Jahr für Anhang-I-Systeme. Er ist aber keine Entwarnung für den AI Act insgesamt. Verbotene Praktiken, die Kompetenzpflicht und die Transparenzpflichten für die direkte Interaktion mit KI-Systemen bleiben unverändert in Kraft oder treten wie geplant zum 2. August 2026 in Kraft. Wer sein Compliance-Programm jetzt pausiert, verwechselt eine Fristverschiebung im Detail mit einer Entlastung im Ganzen. Wenn Sie unsicher sind, ob und welche Ihrer KI-Anwendungen betroffen sind, unterstützen wir Sie gern bei einer nüchternen Einstufung – ohne Alarmismus, aber auch ohne falsche Entwarnung.