Der AI Act ist halbiert: Was der Digital Omnibus am 27. Juli wirklich geändert hat

Wer sich den 2. August 2026 im Kalender markiert hatte, wurde am 27. Juli überholt. An diesem Tag trat eine Änderungsverordnung in Kraft, die den Zeitplan der KI-Verordnung neu sortiert — und zwar so gründlich, dass Beratungsunterlagen vom Frühjahr 2026 seither in wesentlichen Punkten falsch sind. Die Verordnung (EU) 2026/1744, im Amtsblatt veröffentlicht am 24. Juli, gilt unter dem Namen „Digital Omnibus on AI”.

Das Ergebnis ist ein halbierter Stichtag. Die Transparenzpflichten sind scharf gestellt, das Hochrisiko-Regime wartet noch über ein Jahr. Für die meisten Unternehmen bedeutet das: weniger sofortige Last, aber eine deutlich unangenehmere Frage — wie bereitet man sich auf Anforderungen vor, für die es weder fertige Normen noch fertige Leitlinien gibt?

Auf einen Blick

• Was gilt jetzt: Seit dem 2. August 2026 sind die Transparenzpflichten aus Art. 50 anwendbar — Chatbot-Offenlegung, Deepfake-Kennzeichnung, Markierung synthetischer Inhalte.
• Was wartet: Das Hochrisiko-Regime ist verschoben — Anhang III auf den 2. Dezember 2027, Anhang I auf den 2. August 2028. Das umfasst auch die Grundrechte-Folgenabschätzung nach Art. 27.
• Was leichter wurde: Art. 4 zur KI-Kompetenz ist entschärft, viel Industrie-KI fällt aus Anhang I heraus, und die Bußgeld-Deckelung gilt nun auch für mittelgroße Unternehmen.

Der neue Fristenplan

Die Verschiebung betrifft nicht die ganze Verordnung, sondern gezielt die Abschnitte 1 bis 3 des Kapitels III — also die Einstufung, die Anforderungen an Hochrisiko-Systeme und die Betreiberpflichten. Was wann gilt:

Datum	Was anwendbar wird
02.02.2025	Verbote (Art. 5), KI-Kompetenz (Art. 4)
02.08.2025	Universalmodelle (Kap. V), Governance, Sanktionen (Kap. XII)
02.08.2026	Transparenzpflichten (Art. 50), Innovationsförderung, Art. 6 Abs. 5
02.12.2026	Zwei neue Verbote in Art. 5; Markierungspflicht für generative Altsysteme
02.12.2027	Hochrisiko nach Anhang III — inklusive Art. 26 und 27
02.08.2028	Hochrisiko nach Anhang I
02.08.2030	Endtermin für Hochrisiko-Altsysteme bei Behörden

Praktisch heißt das: Ein Mittelständler, der Bewerber-Screening oder Mitarbeiterbewertung einsetzt — Anhang III Nr. 4 — hat für das Hochrisiko-Regime bis Dezember 2027 Zeit. Für Art. 50 hat er keine Zeit, und für die Verbote aus Art. 5 hatte er sie nie. Diese Unterscheidung ist der ganze Kern: Verschoben wurde ein Regime, nicht die Verordnung.

Was tatsächlich leichter wurde

Drei Änderungen entlasten spürbar, und eine davon wird derzeit häufig falsch dargestellt.

Art. 4 zur KI-Kompetenz ist entschärft. Die Pflicht lautet jetzt, Maßnahmen zu ergreifen, die den Aufbau von KI-Kompetenz unterstützen. Und die Verordnung stellt ausdrücklich klar, dass weder Anbieter noch Betreiber ein bestimmtes Kompetenzniveau einzelner Personen garantieren müssen. Wer Ihnen ein nachweispflichtiges Schulungsniveau verkauft, argumentiert mit der alten Fassung. Meinen eigenen Beitrag zur KI-Kompetenz-Pflicht habe ich deshalb überarbeitet — er stammt aus der Zeit davor.

Viel Industrie-KI fällt aus dem Hochrisiko-Bereich heraus. Der neue Art. 6 Abs. 1a stellt klar: KI, die ausschließlich für nicht sicherheitsbezogene Aspekte eingesetzt wird — Nutzerunterstützung, Leistungsoptimierung, Effizienz, Automatisierung, Komfort, Qualitätskontrolle — gilt nicht als Sicherheitsbauteil. Die Rückausnahme greift, wenn ein Ausfall Gesundheit oder Sicherheit gefährdet. Für den produzierenden Mittelstand ist das die wirtschaftlich größte Einzeländerung des Pakets.

Die Bußgeld-Deckelung gilt nun auch für mittelgroße Unternehmen. Bisher profitierten nur kleine und mittlere Unternehmen davon, dass bei Bußgeldern der jeweils niedrigere der beiden Werte gilt — Prozentsatz oder Absolutbetrag. Der neue Art. 99 Abs. 6a erstreckt das auf die Kategorie der small mid-caps. Eine Freistellung ist das nicht, eine Entlastung schon.

Ein Stichtag, zwei Geschwindigkeiten: Die Transparenzpflichten laufen durch, das Hochrisiko-Regime setzt erst Ende 2027 wieder an. Die Markierung sitzt an der Bruchkante — dort, wo Beratungsunterlagen vom Frühjahr 2026 stillschweigend falsch werden.

Warum verschoben wurde — die EU sagt es selbst

Der bemerkenswerteste Satz des Pakets steht in den Erwägungsgründen. Als Ursache nennt der Verordnungsgeber die verzögerte Verfügbarkeit von Normen, gemeinsamen Spezifikationen und Orientierungshilfen — und die verzögerte Einrichtung der nationalen zuständigen Behörden. Anders gesagt: Verschoben wurde nicht, weil die Unternehmen zu langsam waren, sondern weil die Regulierung selbst nicht lieferfähig war.

Zwei Belege dafür, wie ernst das gemeint ist:

Es gibt keine finalen Einstufungsleitlinien. Art. 6 Abs. 5 verpflichtete die Kommission, bis zum 2. Februar 2026 Leitlinien zur Hochrisiko-Einstufung vorzulegen. Vorhanden ist ein Entwurf vom 19. Mai 2026, rund 148 Seiten, Status unverändert „draft for stakeholder feedback”. Pikant: Genau dieser Art. 6 Abs. 5 ist von der Verschiebung ausdrücklich ausgenommen und gilt seit dem 2. August 2026. Die Pflicht der Kommission läuft, die Erfüllung fehlt.

Es gibt keine zitierten harmonisierten Normen. Das zuständige Normungsgremium arbeitet an Entwürfen zu Risikomanagement und Datenqualität, aber kein Deliverable ist bislang im Amtsblatt zitiert. Ohne Zitierung gibt es keine Konformitätsvermutung nach Art. 40 — und damit keinen sicheren Weg, Konformität zu belegen. Der geänderte Normungsauftrag läuft bis Februar 2027.

Was das für Ihr Unternehmen heißt

Prüfen Sie zuerst, ob Sie überhaupt betroffen sind — und zwar neu. Wenn Ihre Einschätzung aus dem Frühjahr 2026 stammt, beruht sie auf dem alten Fristenplan und möglicherweise auf einer Sicherheitsbauteil-Bewertung, die der neue Art. 6 Abs. 1a erledigt hat. Das ist kein Formalismus: Zwischen „Hochrisiko ab August 2026” und „nicht Hochrisiko” liegen Jahresbudgets.

Nutzen Sie die gewonnene Zeit für das Machbare, nicht für Zertifikate. Was heute schon trägt, ist unabhängig von den fehlenden Normen: ein Verzeichnis der eingesetzten KI-Systeme, eine KI-Richtlinie, geklärte Verantwortlichkeiten, dokumentierte menschliche Kontrolle und — wo personenbezogene Daten im Spiel sind — die Datenschutz-Folgenabschätzung, die ohnehin aus der DSGVO folgt und von der Verschiebung unberührt bleibt.

Behandeln Sie den 2. Dezember 2026 als echten Termin. Er wird übersehen, weil er zwischen den großen Daten liegt. Wenn Sie generative KI in einem Produkt einsetzen, das schon vor dem 2. August 2026 auf dem Markt war, läuft Ihre Schonfrist für die maschinenlesbare Markierung an diesem Tag ab.

Fazit

Der Digital Omnibus ist eine gute Nachricht mit einem unangenehmen Beigeschmack. Gut, weil er reale Last von Unternehmen nimmt, die sonst auf unfertige Anforderungen hin hätten zertifizieren müssen. Unangenehm, weil der Grund die Unfertigkeit der Regulierung selbst ist — und weil Verschiebungen Vorbereitung erfahrungsgemäß nicht befördern.

Für die Praxis empfehle ich die nüchterne Lesart: Die Verschiebung ist kein Freibrief, sondern eine Verlängerung der Vorbereitungszeit für Pflichten, die kommen. Was heute schon gilt — Transparenz, Verbote, Sanktionen — gilt vollständig und wird von einer Behörde überwacht, die es seit Ende Juli gibt.

Wenn Sie wissen wollen, ob Ihre Einstufung aus dem Frühjahr noch trägt und was die Verschiebung für Ihren konkreten Fall bedeutet, sprechen wir darüber. Ich lese solche Fragen als Wirtschaftsjurist und baue die Systeme, um die es geht, selbst.

FAQ

Gilt der EU AI Act seit dem 2. August 2026 vollständig?

Nein. An diesem Tag wurden vor allem die Transparenzpflichten aus Art. 50 anwendbar. Das Hochrisiko-Regime, das ursprünglich ebenfalls für den 2. August 2026 vorgesehen war, hat die Verordnung (EU) 2026/1744 verschoben: für Systeme nach Anhang III auf den 2. Dezember 2027, für Systeme nach Anhang I auf den 2. August 2028. Die Verbote aus Art. 5 und die Regeln für Universalmodelle gelten unverändert seit 2025.

Muss ich meine Mitarbeiter jetzt zu KI schulen oder nicht?

Die Pflicht besteht weiter, ist aber schwächer formuliert als bisher. Art. 4 verlangt nach der Änderung nur noch Maßnahmen, die den Aufbau von KI-Kompetenz unterstützen, und stellt ausdrücklich klar, dass kein bestimmtes Kompetenzniveau einzelner Personen garantiert werden muss. Ein Zertifizierungszwang lässt sich daraus nicht ableiten. Schulung bleibt betrieblich sinnvoll — als Haftungsvorsorge und weil ungeschulte Nutzung das eigentliche Risiko ist.

Wie werde ich denn nun AI-Act-konform?

Für Hochrisiko-Systeme lautet die ehrliche Antwort derzeit: strukturiert vorbereiten, nicht zertifizieren. Die harmonisierten Normen sind noch nicht im Amtsblatt zitiert, es gibt also keine Konformitätsvermutung nach Art. 40. Auch die Leitlinien zur Einstufung liegen bis heute nur als Entwurf vor. Wer heute eine Einstufung beurteilt, arbeitet mit unfertigen Grundlagen — und sollte das dokumentieren.

Was passiert am 2. Dezember 2026?

Zwei Dinge. Erstens treten zwei neue Verbote in Art. 5 in Kraft, die sich gegen KI-Systeme zur Erzeugung intimer Darstellungen ohne Einwilligung und gegen Darstellungen sexuellen Kindesmissbrauchs richten. Zweitens endet die Schonfrist für Altsysteme: Wer generative Systeme schon vor dem 2. August 2026 auf dem Markt hatte, muss die maschinenlesbare Markierung nach Art. 50 Abs. 2 bis dahin umgesetzt haben.

---

Quellen — Stand 05.08.2026

• Verordnung (EU) 2026/1744 (Digital Omnibus on AI), Volltext — https://publications.europa.eu/resource/celex/32026R1744
• ELI-Kennung der Verordnung — http://data.europa.eu/eli/reg/2026/1744/oj
• Fristenplan Art. 113 KI-VO, konsolidierte Darstellung — https://ai-act-law.eu/de/artikel/113/
• Umsetzungs-Zeitachse zum AI Act — https://artificialintelligenceact.eu/implementation-timeline/
• Entwurf der Kommissions-Leitlinien zur Hochrisiko-Einstufung (19.05.2026, Status Entwurf) — https://digital-strategy.ec.europa.eu/en/library/draft-commission-guidelines-classification-high-risk-ai-systems
• Kommission: Leitlinien zu den Transparenzpflichten — https://digital-strategy.ec.europa.eu/en/policies/guidelines-transparency-ai-generated-content
• CEN/CENELEC zur KI-Normung — https://www.cencenelec.eu/areas-of-work/cen-cenelec-topics/artificial-intelligence/
• Gibson Dunn zur politischen Einigung im Mai 2026 — https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/

Dieser Beitrag ist allgemeine Information und keine Rechtsberatung im Einzelfall. Stand 5. August 2026; die Rechtslage zum AI Act bewegt sich weiterhin, bitte prüfen Sie vor Entscheidungen den aktuellen Stand.