Digital Omnibus: Die EU verschiebt den AI Act – nur nicht für Sie
Die EU verschiebt die Hochrisiko-Pflichten des AI Act auf Dezember 2027 – und viele lesen das als Entwarnung. Die Pflichten, die kleine Betriebe wirklich treffen, gelten unverändert weiter.
»Die EU verschiebt den AI Act« – diese Schlagzeile macht gerade die Runde, und sie stimmt sogar. Am 29. Juni 2026 hat der Rat der EU den sogenannten Digital Omnibus endgültig bestätigt: Die Pflichten für Hochrisiko-KI-Systeme greifen erst am 2. Dezember 2027 statt am 2. August 2026. Klingt nach Entwarnung? Ist es auch – aber mit Fußnoten. Verschoben wurde vor allem das, was kleine Betriebe ohnehin selten betrifft. Die Pflichten, die Sie wirklich treffen, gelten weiter. Eine davon seit Februar 2025.
Was der Digital Omnibus verschiebt
Der Digital Omnibus ist die erste größere Korrektur der KI-Verordnung (AI Act) seit ihrer Verabschiedung. Das EU-Parlament hat am 16. Juni 2026 zugestimmt, der Rat am 29. Juni – damit ist das Gesetzgebungsverfahren abgeschlossen. Der Kern: Die Auflagen für Hochrisiko-Systeme nach Anhang III verschieben sich vom 2. August 2026 auf den 2. Dezember 2027. Gemeint sind KI-Systeme, die über Menschen entscheiden – Software zur Bewerber-Vorauswahl, zur Kreditwürdigkeitsprüfung oder zur Bewertung von Prüfungen in der Bildung. Für Hochrisiko-KI, die in regulierte Produkte eingebaut ist (etwa Medizingeräte), gilt neu der 2. August 2028.
Der Grund für den Aufschub ist wenig schmeichelhaft: Die EU war selbst nicht fertig. Harmonisierte Normen fehlen, zuständige Aufsichtsbehörden sind vielerorts noch nicht benannt. Wichtig dabei: Die inhaltlichen Anforderungen – Risikomanagement, technische Dokumentation, menschliche Aufsicht – wurden nicht angetastet. Verschoben ist das Datum, nicht die Pflicht.
Was ab dem 2. August 2026 trotzdem gilt
Nicht verschoben wurden die Transparenzpflichten aus Artikel 50. Ab dem 2. August 2026 gilt: Wer Kundschaft mit einem Chatbot antworten lässt, muss offenlegen, dass dort eine Maschine schreibt. Wer KI-generierte Bilder, Audio oder Deepfakes (täuschend echte Fälschungen) veröffentlicht, muss sie als solche kennzeichnen. Die einzige Fußnote betrifft die maschinenlesbare Markierung, also unsichtbare Wasserzeichen in KI-Inhalten: Für Systeme, die vor dem 2. August 2026 schon auf dem Markt waren, gibt es hier eine Schonfrist bis zum 2. Dezember 2026. An der sichtbaren Kennzeichnung im Alltag ändert das nichts.
Und was schon seit Februar 2025 gilt
Die KI-Kompetenzpflicht aus Artikel 4 gilt seit dem 2. Februar 2025 – für jeden Betrieb, der KI einsetzt, unabhängig von der Risikoklasse. ChatGPT im Angebotstext, Copilot in der Tabellenkalkulation: Das reicht, um in den Anwendungsbereich zu fallen. Der Omnibus hat die Formulierung entschärft – aus »sicherstellen« wurde sinngemäß »die Entwicklung von KI-Kompetenz unterstützen«, eine Bemühens- statt einer Erfolgspflicht. Was er nicht getan hat: die Verantwortung zur EU-Kommission oder zu den Mitgliedstaaten verlagert. Sie bleibt bei Ihnen.
Ein Zertifikat schreibt der AI Act nicht vor. Belegen können sollten Sie die Kompetenz trotzdem: wer geschult wurde, wann, zu welchen Inhalten. Was das konkret bedeutet, habe ich im Beitrag zur Schulungspflicht nach Artikel 4 aufgeschrieben.
Betreiben Sie überhaupt Hochrisiko-KI? Vermutlich nicht
Ein Handwerksbetrieb, der mit ChatGPT Angebote formuliert, betreibt kein Hochrisiko-System. Ein Verein, der den Newsletter mit KI baut, auch nicht. Hochrisiko beginnt dort, wo KI über Menschen entscheidet: wer zum Vorstellungsgespräch eingeladen wird, wer einen Kredit bekommt, wer eine Prüfung besteht. Setzen Sie ein solches Werkzeug ein – auch als fertige Software eines Anbieters, etwa zur automatischen Bewerber-Filterung –, dann ist der 2. Dezember 2027 Ihre Frist und kein Freibrief. Für alle anderen ändert der Omnibus im Alltag: fast nichts.
Das Muster kennen Sie vielleicht schon von NIS2: Die Schlagzeile klingt nach großen Konzernen, die tatsächlichen Pflichten landen leise auch bei den Kleinen.
Die eigentliche Baustelle
Wer jetzt aufatmet und nichts tut, spart an der falschen Stelle. Drei Dinge gehören 2026 auf die Liste:
- Inventur. Welche KI-Werkzeuge nutzt Ihr Team – auch die inoffiziellen? Das private ChatGPT-Konto, in das Kundendaten wandern, ist das größere Risiko als jede EU-Frist.
- Kennzeichnung. Wo schreibt oder gestaltet KI bei Ihnen nach außen – Chatbot, Bilder, Texte? Ab dem 2. August 2026 muss das erkennbar sein.
- Schulung mit Beleg. Artikel 4 verlangt kein Zertifikat, aber nachweisbare Kompetenz. Eine dokumentierte Schulung erledigt beides.
Eine Einordnung noch, der Ehrlichkeit halber: Das hier ist eine Orientierung, keine Rechtsberatung. Ob ein konkretes System als Hochrisiko gilt, klärt im Zweifel juristischer Rat.
Den praktischen Teil übernehme ich. In meinen KI-Workshops lernt Ihr Team, ChatGPT, Gemini und Claude sicher und datenschutzbewusst zu nutzen – ab 1.450 € für einen halben Tag mit bis zu zehn Personen, inklusive der Dokumentation, mit der Sie die Kompetenz belegen. Und wenn Sie erst sortieren wollen, was für Ihren Betrieb überhaupt gilt: Das Erstgespräch kostet nichts.
