Der Digital Omnibus zur KI: Was sich wirklich geändert hat — und was nicht

Korrekturhinweis. Eine frühere Fassung dieses Artikels, geschrieben vor der Annahme, beschrieb den Digital Omnibus als vorläufige politische Einigung. Das ist er nicht mehr. Die Verordnung (EU) 2026/1744 wurde am 8. Juli 2026 angenommen, am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 in Kraft. [1] Sie ist verbindliches Recht. Diese Fassung wurde anhand des Amtsblatt-Texts neu geschrieben und nicht anhand von Presseberichten; jedes Datum, jede Artikelnummer und jedes Zitat unten stammt aus diesem Text oder aus der konsolidierten KI-Verordnung in geänderter Fassung. Wo wir etwas nicht verifizieren konnten, sagen wir es.

Die Kurzfassung

Drei Dinge sind passiert, und die meisten Berichte nennen nur das erste.

1. Die Hochrisiko-Fristen haben sich verschoben. Eigenständige Hochrisiko-Systeme nach Anhang III rücken vom 2. August 2026 auf den 2. Dezember 2027. Hochrisiko-KI, die in regulierte Produkte nach Anhang I eingebettet ist, rückt vom 2. August 2027 auf den 2. August 2028.
2. Die Daten stehen fest, sie sind nicht an Bedingungen geknüpft. Der ursprüngliche Vorschlag der Kommission koppelte den neuen Zeitplan an die Verfügbarkeit harmonisierter Normen. Dieser Mechanismus wurde vor der Annahme gestrichen. Übrig geblieben ist ein Erwägungsgrund, und Erwägungsgründe begründen keine Pflichten.
3. Es wurden Pflichten hinzugefügt, nicht nur verschoben. Zwei neue verbotene Praktiken kommen mit Wirkung vom 2. Dezember 2026 in Artikel 5, und eine Reihe echter Vereinfachungen für KMU gelangt in die Artikel 11, 17 und 63 — darunter ein vereinfachtes Formular nach Anhang IV, das notifizierte Stellen akzeptieren müssen.

Wenn Sie einen Chatbot, eine generative Funktion oder irgendein KI-nahes Produkt betreiben, hilft Ihnen die Verschiebung wahrscheinlich überhaupt nicht. Lesen Sie Abschnitt 5, bevor Sie sich entspannen.

Der Zeitplan, vorher und nachher

Die ändernde Vorschrift ist Artikel 1 Nummer 40 der Verordnung (EU) 2026/1744, der Buchstabe c des dritten Absatzes des Artikels 113 ersetzt. Sein genauer Wortlaut lohnt die Lektüre, denn er reicht weiter als „Artikel 6 wurde verschoben“:

„Kapitel III Abschnitte 1, 2 und 3 gelten, mit Ausnahme des Artikels 6(5), ab: i) dem 2. Dezember 2027 für KI-Systeme, die gemäß Artikel 6(2) und Anhang III als hochriskant eingestuft werden; und ii) dem 2. August 2028 für KI-Systeme, die gemäß Artikel 6(1) und Anhang I als hochriskant eingestuft werden“. [1]

Zwei Präzisierungen, die die meisten Zusammenfassungen übersehen:

• Verschoben werden Kapitel III Abschnitte 1, 2 und 3 in ihrer Gesamtheit — die Einstufungsregeln, die Anforderungen selbst und die Pflichten von Anbietern und Betreibern. Nicht bloß die Anwendbarkeit des Artikels 6.
• Artikel 6(5) ist ausdrücklich ausgenommen und läuft deshalb weiter nach dem ursprünglichen Zeitplan. Artikel 6(5) ist die Vorschrift, die die Kommission verpflichtet, praktische Leitlinien zur Hochrisiko-Einstufung herauszugeben. Die Leitlinienpflicht wurde nicht zusammen mit der Substanz verschoben.

Die Verordnung selbst begründet das in Erwägungsgrund 40: Die Verschiebung reagiert auf „die verzögerte Verfügbarkeit von Normen, gemeinsamen Spezifikationen und alternativen Leitlinien sowie die verzögerte Einrichtung der zuständigen nationalen Behörden“. [1]

Keine Stop-the-Clock-Regel: Warum „abhängig von Normen“ falsch ist

Ein großer Teil der veröffentlichten Kommentare — darunter Texte aus dem Spätjahr 2025, die nie überarbeitet wurden — beschreibt den neuen Zeitplan als bedingt, ausgelöst erst dann, wenn die Kommission bestätigt, dass harmonisierte Normen und Unterstützungsinstrumente verfügbar sind. Das war der Vorschlag der Kommission im Verfahren 2025/0359(COD). Die Akte im Legislative Train des Europäischen Parlaments hält die Absicht fest, „den Zeitplan für die Anwendung der Vorschriften für Hochrisiko-KI-Systeme an die Verfügbarkeit von Normen oder anderen Instrumenten zu knüpfen, die die Einhaltung des AI Act unterstützen“. [4]

In die angenommene Verordnung hat er es nicht geschafft. Der endgültige Text setzt feste Kalenderdaten und sonst nichts. Der einzige Rest ist Erwägungsgrund 40, wonach die Kommission „sicherstellen sollte, dass Maßnahmen zur Unterstützung der Einhaltung ... rechtzeitig vorliegen“. Ein Erwägungsgrund ist Auslegungskontext; er macht die Anwendung des Artikels 113 nicht von Bedingungen abhängig.

Praktisch heißt das: Rechnen Sie nicht mit einer weiteren Verschiebung. Im Text gibt es keinen Rechtsmechanismus, der automatisch eine herbeiführen würde. Eine weitere Verschiebung erforderte eine erneute Änderungsverordnung, mit einem weiteren vollständigen Gesetzgebungsverfahren.

Das ist ein guter Test für jeden Compliance-Text, den Sie lesen. Beschreibt ein Artikel die Frist als abhängig von der Verfügbarkeit der Normen, dann wurde er vor dem 8. Juli 2026 geschrieben und seither nicht aktualisiert.

Was hinzugekommen ist: zwei neue verbotene Praktiken

Das ist der Teil, der in den Schlagzeilen über den „verschobenen AI Act“ fehlt — und es ist eine glatte neue Pflicht.

Artikel 1 Nummer 7 des Omnibus fügt zwei neue Buchstaben in Artikel 5(1) ein. Zusammengefasst — und weil es auf den genauen Gesetzeswortlaut ankommt, zitieren wir ihn:

„(ba) das Inverkehrbringen, die Inbetriebnahme oder die Verwendung eines KI-Systems, das realistische Bilder, Videos, Audioinhalte oder ähnliches Material erzeugt oder manipuliert, die die Intimbereiche einer identifizierbaren natürlichen Person zeigen oder eine identifizierbare natürliche Person bei sexuell eindeutigen Handlungen darstellen, ohne dass diese Person freiwillig, für den bestimmten Fall, in informierter Weise, unmissverständlich und ausdrücklich in diese Erzeugung oder Manipulation eingewilligt hat“ [1]

und Buchstabe (bb), der Material im Sinne des Artikels 2 Buchstaben c und e der Richtlinie 2011/93/EU erfasst — Darstellungen sexuellen Kindesmissbrauchs (CSAM) —, vorbehaltlich einer Einrede des nach nationalem Recht befugten Handelns („without right“).

Erwägungsgrund 11 benennt die Ziele unmissverständlich: nicht einvernehmliche intime Bildaufnahmen, „oft als ‚Nudification‘-Anwendungen bezeichnet“, sowie CSAM.

Beide gelten ab dem 2. Dezember 2026, nach dem geänderten Artikel 113 Absatz 3 Buchstabe a, der nun lautet: „Die Kapitel I und II gelten ab dem 2. Februar 2025, mit Ausnahme des Artikels 5(1) Unterabsatz 1 Buchstaben (ba) und (bb) sowie des Artikels 5(1a) und (1b), die ab dem 2. Dezember 2026 gelten“. [1]

Der Abgrenzungstest in Artikel 5(1a) — lesen Sie das, wenn Sie ein Modell mit allgemeinem Verwendungszweck ausliefern

Ein neuer Artikel 5(1a) engt das Verbot ein, damit es nicht jedes leistungsfähige Bildmodell verschlingt. Es greift, wenn:

„i) diese Erzeugung oder Manipulation die Zweckbestimmung des KI-Systems ist; oder ii) die Konzeption, das Training, die Architektur, die Fähigkeiten oder die nutzerseitigen Funktionen des Systems diese Erzeugung oder Manipulation zu einem vernünftigerweise vorhersehbaren und reproduzierbaren Ergebnis machen, ohne dass eine erhebliche technische Veränderung erforderlich ist, und das System nicht über angemessene und geeignete technische [Schutzvorkehrungen] verfügt“. [1]

Dieser zweite Teil ist für die meisten Entwickler der maßgebliche. Ein Bildmodell mit allgemeinem Verwendungszweck und wirksamen Schutzvorkehrungen steht außerhalb des Verbots. Ein Modell, dessen Schutzvorkehrungen fehlen oder trivial zu umgehen sind und bei dem sich die Ausgabe ohne erhebliche technische Veränderung reproduzieren lässt, steht darin — unabhängig davon, wofür die Marketingseite das Produkt bestimmt sein lässt.

Wenn Sie Bild- oder Videoerzeugung betreiben oder feinabstimmen, ist das die Vorschrift, an der Sie sich vor Dezember 2026 messen müssen — und es ist ein Verbot, was den Bußgeldrahmen des Artikels 99(3) bedeutet: bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes.

Was vereinfacht wurde — und das ist der Teil, der für ein KMU am meisten zählt

Der Omnibus ist als Vereinfachungsinstrument betitelt, und für kleinere Unternehmen liefert er. Er führt außerdem eine neue Rechtskategorie ein: das kleine Midcap-Unternehmen (SMC), angesiedelt zwischen der KMU-Definition und dem allgemeinen Regime.

Technische Dokumentation nach Anhang IV — ein vereinfachtes Formular, und notifizierte Stellen müssen es akzeptieren. Der geänderte Artikel 11(1) sieht nun vor, dass KMU, einschließlich Start-ups, und kleine Midcap-Unternehmen „die in Anhang IV genannten Elemente der technischen Dokumentation in vereinfachter Form bereitstellen können“, dass die Kommission ein vereinfachtes Formular für die technische Dokumentation erstellt und — der entscheidende Satz — dass „notifizierte Stellen das Formular akzeptieren für die Zwecke der Konformitätsbewertung.“ [1]

Dieser letzte Halbsatz ist der, den Sie sich merken sollten. Ein vereinfachtes Formular, das eine notifizierte Stelle ablehnen dürfte, wäre wertlos. Dieses hier müssen sie nehmen.

Qualitätsmanagementsystem — ausgeweitet von Kleinstunternehmen auf alle KMU. Artikel 63(1) erlaubte bislang nur Kleinstunternehmen, bestimmte Elemente des Artikels 17 in vereinfachter Form zu erfüllen. In der geänderten Fassung lautet er: „KMU, einschließlich Start-ups, können bestimmte Elemente des nach Artikel 17 vorgeschriebenen Qualitätsmanagementsystems in vereinfachter Form erfüllen, sofern sie keine Partnerunternehmen oder verbundenen Unternehmen im Sinne der Empfehlung 2003/361/EC haben.“ [2]

Der Vorbehalt ist keine Verzierung. Wenn Sie Wagniskapital aufgenommen haben, prüfen Sie, ob Ihre Investoren Sie zu einem „verbundenen Unternehmen“ im Sinne der Empfehlung 2003/361/EC machen, bevor Sie annehmen, dass Sie qualifiziert sind.

Verhältnismäßigkeit im Wortlaut des Artikels 17. Neuer Artikel 17(2): Die Umsetzung „muss der Größe der Organisation des Anbieters angemessen sein, insbesondere wenn der Anbieter ein KMU, einschließlich eines Start-ups, oder ein kleines Midcap-Unternehmen ist.“ [1]

Sanktionen. Artikel 99(1) verpflichtet die Mitgliedstaaten nun, „bei der Verhängung von Sanktionen die Interessen von KMU, einschließlich Start-ups, und kleinen Midcap-Unternehmen sowie deren wirtschaftliche Überlebensfähigkeit zu berücksichtigen.“ [1]

Leitlinien. Ein neuer Artikel 96(1)(g) verlangt Leitlinien der Kommission zu Komplementarität und Verhältnismäßigkeit, „bis zum 1. August 2027 veröffentlicht“, erarbeitet mit besonderem Augenmerk auf die Bedürfnisse von KMU, Start-ups und kleinen Midcap-Unternehmen. [1]

Eine Asymmetrie im Wortlaut, bei der Sie wissen sollten, auf welcher Seite Sie stehen

Artikel 99(6), unverändert, deckelt die Geldbußen für KMU und Start-ups auf den Prozentsatz oder den festen Betrag, „je nachdem, welcher davon niedriger ist“ — während es für alle anderen der jeweils *höhere* ist. [3]

Der Omnibus fügt Artikel 99(6a) hinzu, der eine ähnliche Deckelung auf kleine Midcap-Unternehmen ausdehnt — aber nur für die Absätze 4 und 5:

„Im Fall von kleinen Midcap-Unternehmen beläuft sich jede in den Absätzen 4 und 5 genannte Geldbuße auf höchstens die dort genannten Prozentsätze oder Beträge, je nachdem, welcher Wert niedriger ist.“ [1]

Absatz 3 — der Rahmen für verbotene Praktiken, 35 Mio. EUR oder 7 % — steht nicht auf der SMC-Liste. Ein KMU erhält die Deckelung auf den jeweils niedrigeren Betrag über die Absätze 3, 4 und 5 hinweg. Ein SMC erhält sie für Verstöße gegen Artikel 5 nicht. Wenn Sie nahe an der Grenze zwischen KMU und SMC liegen, ist dieser Unterschied mehrere Millionen Euro wert.

Was sich nicht verschoben hat — und warum die Verschiebung Ihnen womöglich nichts nützt

Die Transparenzpflichten des Artikels 50 gelten seit dem 2. August 2026. Sie stehen in Kapitel IV, das vom allgemeinen Geltungsbeginn des Artikels 113 nicht ausgenommen wurde. Wenn Sie einen Chatbot betreiben, synthetische Inhalte erzeugen oder Emotionserkennung oder biometrische Kategorisierung einsetzen, fallen Sie jetzt in den Anwendungsbereich.

Das einzige Element mit einer Übergangsfrist ist Artikel 50(2) — die anbieterseitige maschinenlesbare Kennzeichnung synthetischer Ausgaben —, und der neue Artikel 111(4), eingefügt durch Artikel 1 Nummer 39 Buchstabe b, fasst sie eng:

„Anbieter von KI-Systemen, einschließlich KI-Systemen mit allgemeinem Verwendungszweck, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und die vor dem 2. August 2026 in Verkehr gebracht wurden, ergreifen die erforderlichen Schritte, um Artikel 50(2) bis zum 2. Dezember 2026 zu erfüllen.“ [1]

Erwägungsgrund 38 bestätigt den Zweck: „eine Übergangsfrist von vier Monaten für Anbieter, die ihre Systeme bereits vor dem 2. August 2026 in Verkehr gebracht haben“. [1]

*Daraus folgen drei Dinge, die häufig falsch verstanden werden:*

1. Auslöser ist das System, nicht der Inhalt. Nichts hängt davon ab, wann eine bestimmte Ausgabe erzeugt wurde. Maßgeblich ist, ob das System vor dem 2. August 2026 auf dem Markt war. Ein im September 2026 eingeführtes System hat keine Übergangsfrist — Artikel 50(2) gilt für es vom ersten Tag an.
2. Sie erfasst nur Artikel 50(2). Die Offenlegung der Interaktion nach Artikel 50(1), die Emotionserkennung und biometrische Kategorisierung nach Artikel 50(3) und die Offenlegung von Deepfakes durch Betreiber nach Artikel 50(4) greifen seit dem 2. August 2026 vollständig, ohne Schonfrist.
3. Sie bindet Anbieter, nicht Betreiber. Wenn Sie ein fremdes generatives System betreiben, ist Artikel 111(4) nicht Ihre Übergangsfrist.

Ebenfalls unverändert: verbotene Praktiken aus der ursprünglichen Liste (2. Februar 2025), KI-Kompetenz (2. Februar 2025), die Pflichten für GPAI-Modelle (2. August 2025), die Sanktionen (2. August 2025, außer Artikel 101 ab dem 2. August 2026) sowie das Governance- und Marktüberwachungsgefüge (2. August 2026).

KI-Kompetenz nach Artikel 4: gelockert, nicht gestrichen

Artikel 1 Nummer 5 ersetzt Artikel 4 vollständig. Die Pflicht wanderte von „ein ausreichendes Maß an KI-Kompetenz sicherstellen“ zu:

„Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen zur Förderung der Entwicklung der KI-Kompetenz ihres Personals ... Diese Pflicht verlangt von Anbietern oder Betreibern nicht, ein bestimmtes Niveau der KI-Kompetenz einer einzelnen Person zu gewährleisten.“ [1]

Erwägungsgrund 8 bestätigt, dass die Änderung gewollt war: Eine Lösung, die strenge Pflichten auferlegt, „ein ausreichendes Maß an KI-Kompetenz sicherzustellen“, wurde als für sämtliche Arten von Anbietern und Betreibern ungeeignet beurteilt.

Der neue Artikel 4(2) verpflichtet die Kommission, praktische Beispiele für die Einhaltung auf der zentralen Informationsplattform nach Artikel 62(3)(b) zu veröffentlichen, und Artikel 4(3) beauftragt das Gremium mit Empfehlungen, die sich an europäischen Kompetenzrahmen orientieren.

Lesen Sie das in beide Richtungen richtig. Die Pflicht besteht weiterhin und gilt seit dem 2. Februar 2025. Gestrichen wurde jede Andeutung, Sie müssten Ihr Personal prüfen und ein Niveau bescheinigen. Ein Anbieter, der Ihnen ein verpflichtendes Zertifizierungs- und Prüfungsprogramm als den Weg zur Erfüllung des Artikels 4 verkauft, verkauft Ihnen mehr, als der Artikel verlangt.

Ein ehrlicher Vorbehalt zum Datum der Durchsetzung. Sie werden für den Beginn der Aufsicht über Artikel 4 sowohl „2. August 2026“ als auch „3. August 2026“ zitiert finden — die KI-Kompetenz-FAQ der Europäischen Kommission nennt beide, auf derselben Seite. [5] Keines der beiden Daten steht in der Verordnung. Der rechtliche Anknüpfungspunkt ist der allgemeine Geltungsbeginn des Artikels 113, der 2. August 2026, an dem die Marktüberwachungsvorschriften des Kapitels IX wirksam wurden. Wir nennen den 2. August 2026 und weisen auf die Abweichung hin, statt so zu tun, als sei die Frage geklärt.

Fünf Änderungen, über die kaum berichtet wurde

Sicherheitskomponenten wurden eingeengt (Artikel 6(1a) und (1b)). Neuer Artikel 6(1a): KI-Systeme, die „ausschließlich für nicht sicherheitsbezogene Aspekte der Nutzerunterstützung, der Leistungsoptimierung, der Diensteffizienz, der Automatisierung oder des Komforts oder der Qualitätskontrolle verwendet werden, gelten nicht als Sicherheitskomponenten.“ Artikel 6(1b) stellt die Einordnung dort wieder her, wo „ein Ausfall oder eine Fehlfunktion ... die Gesundheit und Sicherheit gefährden würde.“ [1] Erwägungsgrund 20 ergänzt, dass Artikel 6(1) nicht so zu lesen ist, dass Produkte, in die ein Hochrisiko-KI-System eingebettet ist, automatisch einer Konformitätsbewertung durch Dritte über eine notifizierte Stelle unterzogen werden müssen. Für alle, die KI in ein physisches Produkt einbetten, ist das der nützlichste Absatz im Omnibus.

FRIA und DPIA wurden interoperabel (Artikel 27(4)). Der alte Wortlaut sagte, eine FRIA „ergänzt“ eine bestehende Datenschutz-Folgenabschätzung. Der neue Wortlaut erlaubt dem Betreiber, „Querverweise auf die einschlägigen Abschnitte dieser Datenschutz-Folgenabschätzung aufzunehmen oder relevante Teile davon zu übernehmen“. [1] Keine Verschmelzung, keine Ersetzung — Sie führen weiterhin eine FRIA durch —, aber Sie dürfen sie nun durch Verweis befüllen. Der neue Artikel 27(5) verpflichtet das AI Office, eine Fragebogen-Vorlage zu entwickeln, „auch mithilfe eines automatisierten Instruments“, um das zu vereinfachen.

Eine Rechtsgrundlage für die Verarbeitung besonderer Datenkategorien zur Erkennung von Verzerrungen (neuer Artikel 4a). Anbieter „dürfen ausnahmsweise besondere Kategorien personenbezogener Daten verarbeiten“, um Verzerrungen zu erkennen und zu korrigieren, vorbehaltlich der Erforderlichkeit, geeigneter Garantien, einer dokumentierten Begründung und der Löschung, „sobald die Verzerrung korrigiert wurde oder die personenbezogenen Daten das Ende ihrer Speicherfrist erreicht haben, je nachdem, was zuerst eintritt“. [1] Artikel 4a(2) erstreckt das auf Anbieter und Betreiber anderer KI-Systeme und -Modelle. Wenn Ihre Fairness-Tests bislang an Artikel 9 DSGVO scheiterten, ist das die Vorschrift, die sie freigibt — unter Bedingungen.

Das AI Office erhielt die ausschließliche Zuständigkeit für integrierte GPAI-Systeme (Artikel 75). Stammen ein Modell mit allgemeinem Verwendungszweck und das darauf aufbauende System vom selben Anbieter oder aus demselben Unternehmen, wandert die Aufsicht zum AI Office statt zur nationalen Marktüberwachung — ebenso wie bei Systemen, die in eine nach dem DSA benannte VLOP oder VLOSE integriert sind. Die Meldung schwerwiegender Vorfälle folgt der Zuständigkeit: Der neue Artikel 75(1a) sieht vor, dass diese Anbieter abweichend von Artikel 73 an das AI Office melden, wobei Artikel 73(2)–(9) *entsprechend* gilt. Die Zwei- und Zehn-Tages-Fristen des Artikels 73 selbst bleiben unverändert; nur der Empfänger ändert sich. [1]

Maschinen wanderten aus Anhang I Abschnitt A des AI Act heraus. Artikel 1 Nummer 41 streicht Nummer 1 des Anhangs I Abschnitt A und fügt die Verordnung (EU) 2023/1230 über Maschinen in Abschnitt B ein. Artikel 2 des Omnibus verlangt entsprechende delegierte Rechtsakte nach der Maschinenverordnung; Erwägungsgrund 42 sagt, sie sollten bis zum 2. August 2028 gelten. [1] Hersteller von KI-gestützten Maschinen sollten erneut prüfen, welches Instrument nun ihren Konformitätsweg trägt.

Was Sie von jetzt bis Dezember 2027 tatsächlich tun sollten

Die Verschiebung hat Kalenderzeit für die Hochrisiko-Dokumentation gebracht. Für Transparenz, Verbote oder KI-Kompetenz hat sie nichts gebracht, und sie hat zwei Pflichten hinzugefügt. Eine sinnvolle Reihenfolge:

*Vor dem 2. Dezember 2026 — harte Fristen.*

• Wenn eines der Systeme, die Sie als Anbieter bereitstellen, synthetische Inhalte erzeugt und vor dem 2. August 2026 auf dem Markt war, setzen Sie die maschinenlesbare Kennzeichnung nach Artikel 50(2) um. Das ist das viermonatige Fenster, und es schließt sich.
• Wenn Sie Bild-, Video- oder Audioerzeugung entwickeln oder feinabstimmen, prüfen Sie anhand des neuen Artikels 5(1)(ba) und (bb) mit dem Test des Artikels 5(1a) — Zweckbestimmung, oder vernünftigerweise vorhersehbare und reproduzierbare Ausgabe ohne erhebliche technische Veränderung, bei fehlenden angemessenen Schutzvorkehrungen.

*Jetzt, und bereits überfällig.*

• Die Offenlegungen nach Artikel 50(1), (3) und (4). In Kraft seit dem 2. August 2026, ohne Übergangsfrist.
• Maßnahmen nach Artikel 4 zur Förderung der KI-Kompetenz. In Kraft seit Februar 2025. Maßnahmen, dokumentiert — keine Zertifikate.

*Bis 2027 — nutzen Sie die Startbahn, statt sie zu verbrauchen.*

• Führen Sie ein Verzeichnis der KI-Systeme, die Sie bereitstellen und betreiben, mit einer dokumentierten Einstufung nach Artikel 6 für jedes einzelne. Beachten Sie: Wenn Sie sich auf Artikel 6(3) stützen, um ein System als nicht hochriskant einzuordnen, bleibt die Pflicht des Artikels 6(4), diese Bewertung vor dem Inverkehrbringen zu dokumentieren, unverändert, und Erwägungsgrund 22 wiederholt sie.
• Beginnen Sie die Anhang-IV-Dokumentation unter der Annahme, dass Sie das vereinfachte KMU-Formular nutzen werden, und verfolgen Sie dessen Veröffentlichung durch die Kommission.
• Prüfen Sie, ob Artikel 6(1a) eines Ihrer eingebetteten Systeme aus der Kategorie der Sicherheitskomponenten herausnimmt. Wenn ja, dokumentieren Sie, warum.
• Bestimmen Sie, ob Sie ein KMU, ein kleines Midcap-Unternehmen oder keines von beidem sind. Das ändert Ihre Anhang-IV-Last, Ihre Pflichten nach Artikel 17 und Ihre Bußgeld-Deckelung.
• Prüfen Sie im Februar 2027 erneut. Die Kommission schuldet Leitlinien nach Artikel 6(5) und, bis zum 1. August 2027, nach Artikel 96(1)(g).

Fragen, die uns gestellt werden

Wurde der EU AI Act verschoben? Nur das Hochrisiko-Kapitel, und nur für die beiden Kategorien aus Abschnitt 1. Verbote, GPAI-Pflichten, Sanktionen, Transparenz und KI-Kompetenz bleiben allesamt bei ihren ursprünglichen Daten — und zwei neue Verbote kommen am 2. Dezember 2026 hinzu.

Unser Produkt ist ein Chatbot. Gilt die Verschiebung für uns? Nein. Die Pflicht eines Chatbots ist die Transparenz nach Artikel 50(1), die seit dem 2. August 2026 gilt und nicht verschoben wurde. Die Hochrisiko-Verschiebung ist für Sie ohne Bedeutung, es sei denn, Ihr Chatbot fällt zusätzlich unter Anhang III.

Wir haben im September 2026 eine generative Funktion eingeführt. Haben wir bis zum 2. Dezember Zeit, unsere Ausgaben zu kennzeichnen? Nein. Artikel 111(4) gilt für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden. Ein danach eingeführtes System unterliegt Artikel 50(2) unmittelbar.

Können sich diese Daten erneut verschieben? Nicht automatisch. Der angenommene Text enthält keinen bedingten Auslöser — der wurde aus dem Vorschlag der Kommission gestrichen. Eine weitere Verschiebung erforderte eine erneute Änderungsverordnung.

Ist die Pflicht zur KI-Kompetenz weggefallen? Nein. Sie wurde von „ein ausreichendes Maß sicherstellen“ zu „Maßnahmen zur Förderung der Entwicklung ergreifen“ umformuliert, und der neue Text sagt ausdrücklich, dass Sie das Niveau keiner einzelnen Person gewährleisten müssen. Die Pflicht selbst besteht fort und gilt seit dem 2. Februar 2025.

Wir sind Betreiber, nicht Anbieter. Hilft uns die Verschiebung? Ja für die Betreiberpflichten aus Kapitel III Abschnitt 3, die sich mit dem Rest verschieben. Nein für die Deepfake-Offenlegung nach Artikel 50(4), die KI-Kompetenz nach Artikel 4 oder die Pflichten nach Artikel 26, die außerhalb der verschobenen Abschnitte liegen. Und beachten Sie Artikel 25: Ein Betreiber, der seinen Namen auf ein Hochrisiko-System setzt, dessen Zweckbestimmung ändert oder es wesentlich verändert, wird zum Anbieter.

Macht uns eine ISO-42001-Zertifizierung konform? Nein. ISO/IEC 42001 ist eine Managementsystem-Norm für KI. Sie ist ein starkes Fundament und wird Konformitätsargumente wahrscheinlich stützen, aber sie erledigt weder die Einstufung nach Anhang III noch die Dokumentation nach Anhang IV, die Grundrechte-Folgenabschätzung nach Artikel 27 oder die Transparenz nach Artikel 50.

Quellen

*Primär*

[1] Verordnung (EU) 2026/1744 (Digital Omnibus on AI) — authentischer Text des Amtsblatts: https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=OJ:L_202601744 · ELI: https://eur-lex.europa.eu/eli/reg/2026/1744/oj [2] Konsolidierte Verordnung (EU) 2024/1689 in geänderter Fassung, Stand 27. Juli 2026 — https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX%3A02024R1689-20260727 *(Konsolidierte Fassungen von EUR-Lex sind redaktionell und rechtlich nicht verbindlich; hier verwendet, um zu bestimmen, welche Vorschriften Änderungsvermerke tragen)* [3] Verordnung (EU) 2024/1689 (EU AI Act), Originalfassung — https://eur-lex.europa.eu/eli/reg/2024/1689/oj [4] Europäisches Parlament, Legislative Train — Digital Omnibus on AI, Verfahren 2025/0359(COD) — https://www.europarl.europa.eu/legislative-train/package-digital-package/file-digital-omnibus-on-ai [5] Europäische Kommission — Fragen und Antworten zur KI-Kompetenz — https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers

*Sekundär, für eine zweite Lektüre*

[6] White & Case — EU AI Omnibus enters into force, amending the AI Act — https://www.whitecase.com/insight-alert/eu-ai-omnibus-enters-force-amending-ai-act [7] Gibson Dunn — EU AI Act Omnibus agreement: postponed high-risk deadlines and other key changes — https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/ [8] Rat der EU, Pressemitteilung vom 7. Mai 2026 (Stadium der vorläufigen Einigung) — https://www.consilium.europa.eu/en/press/press-releases/2026/05/07/artificial-intelligence-council-and-parliament-agree-to-simplify-and-streamline-rules/

Gesetzgebungsgeschichte, fürs Protokoll: Standpunkt des EP vom 16. Juni 2026; Beschluss des Rates vom 29. Juni 2026; gemeinsame Stellungnahme von EDSB/EDSA vom 20. Januar 2026; Stellungnahme des EWSA vom 18. März 2026; Stellungnahme der EZB, ABl. C/2026/2285 vom 15. April 2026. Alles im Amtsblatt-Text unter [1] verzeichnet.

Dieser Artikel gibt das Recht so wieder, wie es veröffentlicht wurde. Er ist keine Rechtsberatung. Wenn eine Aussage hier unzutreffend ist, sagen Sie es uns, und wir korrigieren sie mit einem datierten Hinweis.