EU AI Act nach dem Digital Omnibus: Was sich verschoben hat

Die Verordnung (EU) 2026/1744, der Digital Omnibus zur KI, trat am 27. Juli 2026 in Kraft. Sie änderte die Anwendungsdaten für Kapitel III, Abschnitte 1–3 der KI-Verordnung: 2. Dezember 2027 für nach Art. 6 Abs. 2 und Anhang III als hochriskant eingestufte Systeme sowie 2. August 2028 für Systeme nach Art. 6 Abs. 1 und Anhang I. Art. 6 Abs. 5 ist ausdrücklich von dieser Verschiebung ausgenommen.¹ Das allgemeine Anwendungsdatum der KI-Verordnung, der 2. August 2026, blieb bestehen.

Verschoben wurden bestimmte Vorschriften, nicht die ganze Verordnung. Der Omnibus änderte auch materielle Regelungen an anderer Stelle. Deshalb reicht eine ältere Fassung der KI-Verordnung oder eine noch nicht aktualisierte Übersichtsseite allein nicht aus.²

Welche Frist gilt?

Die zwei Hochrisiko-Termine stehen in Art. 113 Abs. 3 Buchst. c in der durch Art. 1 Nr. 40 Buchst. b des Omnibus geänderten Fassung. Die Übergangsregel für Art. 50 Abs. 2 steht im neuen Art. 111 Abs. 4. Für die zwei neuen Art.-5-Verbote nennt der geänderte Art. 113 Abs. 3 Buchst. a einen eigenen Beginn.¹

Die Ausnahme bei Art. 6 Abs. 5 richtig lesen

Art. 6 Abs. 5 verpflichtet die Kommission zu praktischen Leitlinien für die Hochrisiko-Einstufung. Er gibt Betreibern kein Recht, ein System selbst aus der Hochrisiko-Kategorie herauszunehmen. Die eng begrenzte Ausnahme für Anhang-III-Systeme ohne erhebliches Schadensrisiko steht in Art. 6 Abs. 3. Nach Art. 6 Abs. 4 muss ein Anbieter, der sich darauf beruft, seine Beurteilung vor dem Inverkehrbringen oder der Inbetriebnahme dokumentieren; der Absatz behandelt auch Registrierung und Vorlage der Dokumentation auf Verlangen.³ Für die einschlägigen Vorschriften aus Kapitel III gilt bei Anhang-III-Systemen der verschobene Termin im Dezember 2027. Eine Einstufungsakte schon jetzt vorzubereiten ist sinnvoll. Art. 6 Abs. 3 oder 4 wird dadurch aber nicht allein deshalb zu einer heute neu durchsetzbaren Pflicht, weil Abs. 5 ausgenommen wurde.

Bei Art. 50 entscheiden Rolle und Verwendung

Art. 50 spricht unterschiedliche Akteure an. Nach Abs. 1 müssen Anbieter direkt mit natürlichen Personen interagierende KI-Systeme so gestalten, dass die Betroffenen über die KI-Interaktion informiert werden, sofern diese nicht ohnehin offensichtlich ist. Nach Abs. 2 müssen Anbieter generativer Systeme die maschinenlesbare Kennzeichnung synthetischer Audio-, Bild-, Video- oder Textausgaben sicherstellen; Ausnahmen und der Vorbehalt der technischen Machbarkeit gelten. Nach Abs. 4 müssen Betreiber bestimmte Deepfakes und KI-generierte Texte über Angelegenheiten von öffentlichem Interesse offenlegen; dafür gelten eigene Ausnahmen. Ein Bewerbungs-Screening ohne direkte Interaktion mit Bewerbern fällt nicht schon wegen seines Einsatzes im Personalbereich unter Abs. 1. Andere Regeln können trotzdem greifen.⁴

Der 2. Dezember 2026 ist eine Übergangsfrist für die Kennzeichnung nach Abs. 2 bei Bestandssystemen. Es ist keine allgemeine Frist für Art. 50. Wer lediglich ein Drittanbietermodell nutzt, muss erst feststellen, wer Anbieter des Systems und wer Betreiber ist und welche Inhalte veröffentlicht werden. Allein das Selbsthosting entscheidet die Rolle nicht; dazu der Selbsthosting-Leitfaden.

Marktüberwachung und praktische Vorbereitung

Das KI-Büro und die nationalen Marktüberwachungsbehörden haben Befugnisse nach der KI-Verordnung. Das deutsche KI-MIG bestimmt die Bundesnetzagentur zur grundsätzlich zuständigen Marktüberwachungsbehörde, mit Ausnahmen für bestimmte Sektoren.⁵⁶ Dieser Artikel behauptet keine koordinierte Prüfungswelle im September 2026 und nennt keine Zahl von Auskunftsersuchen: Für die zuvor genannte Liste von Verfahren, Behörden und Anfragen ließ sich keine amtliche Quelle finden. Aus vorhandenen Befugnissen folgt nicht, dass ein bestimmtes Unternehmen oder ein Anwendungsfall bereits geprüft wurde.

Für Betreiber ist folgende Reihenfolge nützlich: KI-Anwendungen und Rollen erfassen, die bereits anwendbaren Art.-4-, Art.-5- und Art.-50-Pflichten prüfen, bei personenbezogenen Daten die DSGVO berücksichtigen und die Hochrisiko-Arbeit auf den jeweils einschlägigen Termin 2027 oder 2028 planen. Konformitätsbewertung und Registrierung stehen an anderer Stelle in Kapitel III, nicht in dessen Abschnitten 1–3. Wie sie mit den verschobenen Hochrisiko-Regeln zusammenspielen, erfordert eine systemspezifische Lektüre des geänderten Gesetzes. Aus der Existenz einer Aufsichtsbehörde allein folgt keine vorgezogene Durchsetzbarkeit verschobener Pflichten.

Rechtsstand geprüft am 29. September 2026. Dies ist eine allgemeine Information, keine individuelle Rechtsberatung.