Blog
•
8 Min. Lesezeit
Was sich geändert hat
Der Digital Omnibus der EU zur KI ist kein Entwurf mehr. Die Verordnung (EU) 2026/1744 zur Änderung des EU AI Act wurde am 8. Juli 2026 vom Europäischen Parlament und dem Rat angenommen, am 24. Juli im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft, drei Tage vor dem ursprünglichen allgemeinen Anwendungsdatum der KI-Verordnung am 2. August 2026. Die Europäische Kommission bestätigte das Inkrafttreten noch in derselben Woche. Die geschäftsführende Vizepräsidentin Henna Virkkunen beschrieb das Paket als ein Regelwerk, das Unternehmen „einfachere und innovationsfreundlichere Vorschriften“ biete, während gleichzeitig „die Messlatte für die Sicherheit nicht gesenkt“ werde.
Für KI-Governance-Teams in Unternehmen ist dies von Bedeutung, da es die Unsicherheit beseitigt, die die Planung seit dem ersten Vorschlag für den Omnibus im November 2025 geprägt hat. Bis zur vergangenen Woche war es ratsam, die Verzögerung als Puffer zu betrachten und die Vorbereitungen auf die ursprüngliche Frist im August 2026 unvermindert fortzusetzen. Diese Empfehlung hat sich nun geändert, da die Verzögerung ein bestätigtes Gesetz mit festen Stichtagen ist.
Neue Fristen für Hochrisiko-KI-Systeme
Die wesentliche Änderung betrifft den Zeitplan. Hochrisiko-KI-Systeme fallen nach der KI-Verordnung in zwei Gruppen, für die nun jeweils eine andere, spätere Frist gilt:
Eigenständige Hochrisiko-Systeme gemäß Anhang III (die Bereiche wie Personalrekrutierung und Mitarbeitermanagement, Kreditwürdigkeitsprüfung und Bonitätsbewertung, biometrische Identifizierung und Kategorisierung, allgemeine und berufliche Bildung, Zugang zu wesentlichen Dienstleistungen sowie Strafverfolgung abdecken) haben nun bis zum 2. Dezember 2027 Zeit, um alle Anforderungen für Hochrisiko-Systeme zu erfüllen. Dies entspricht einem Aufschub von rund 16 Monaten gegenüber dem ursprünglichen Datum.
KI-Systeme, die in regulierte Produkte eingebettet sind gemäß Anhang I (beispielsweise Sicherheitsbauteile in Maschinen, Medizinprodukten oder Systemen der Luftfahrt), haben nun bis zum 2. August 2028 Zeit, was einem Aufschub von 12 Monaten entspricht.
Beide Daten sind als feste Fristen definiert: Sie gelten unabhängig davon, ob die harmonisierten technischen Normen, auf die sich KI-Anbieter ursprünglich stützen sollten, bereits finalisiert wurden. Diese Entkopplung vom Zeitplan der Normierung war eine der eher technischen, aber folgenschwersten Korrekturen im Omnibus, da sie eine Abhängigkeit beseitigt, die von vielen Anbietern und Betreibern als undurchführbar kritisiert worden war.
Ein neues Verbot von KI-generierten intimen Bildern
Der Omnibus verschiebt nicht nur Fristen nach hinten. Er fügt Artikel 5 der KI-Verordnung zwei neue verbotene Praktiken hinzu: das Inverkehrbringen oder die Verwendung von KI-Systemen, die für die Erstellung von Material über sexuellen Kindesmissbrauch konzipiert sind oder bei denen die Erstellung eines solchen Materials vernünftigerweise vorhersehbar ist, sowie von KI-Systemen, die nicht einvernehmliche intime Bilder identifizierbarer Personen erzeugen, einschließlich sogenannter „Nudifier“-Tools. Dieses Verbot gilt ab dem 2. Dezember 2026.
Der Geltungsbereich geht über speziell entwickelte Nudifier-Apps hinaus. Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (General-Purpose AI) können ebenfalls darunter fallen, wenn solche Ergebnisse ohne wirksame Schutzmaßnahmen vernünftigerweise vorhersehbar sind. Es gibt eine Safe-Harbor-Regelung für Anbieter, die angemessene, verhältnismäßige und wirksame Präventivmaßnahmen ergreifen. Dies ist somit für jede Organisation, die Bild- oder Videogenerierungstools einsetzt oder beschafft, eine hochrelevante Gestaltungs- und Dokumentationsfrage und nicht nur eine rechtliche. Die Strafen bei Verstößen gegen dieses Verbot liegen im Höchstbereich: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist.
Weitere bemerkenswerte Vereinfachungen
Eine Reihe kleinerer Änderungen rundet das Paket ab. Die Kommission hat die Verpflichtung für Anbieter gestrichen, eine obligatorische Vorlage für Pläne zur Überwachung nach dem Inverkehrbringen zu verwenden. Die Regelung für Reallabore (Regulatory Sandboxes) wurde erweitert, einschließlich neuer Reallabore auf EU-Ebene und der Einbeziehung bestimmter Hochrisiko-Systeme gemäß Anhang I. Vereinfachungen, die zuvor auf kleine und mittlere Unternehmen beschränkt waren, gelten nun auch für kleine Midcap-Unternehmen. Zudem wurde der Aufsichtsbereich des KI-Büros ausgeweitet, sodass er nun auch KI-Systeme erfasst, die auf KI-Modellen mit allgemeinem Verwendungszweck innerhalb derselben Unternehmensgruppe wie der Modellanbieter basieren, sowie KI-Systeme, die in sehr große Online-Plattformen oder Suchmaschinen im Sinne des Gesetzes über digitale Dienste (Digital Services Act) eingebettet sind oder diese darstellen.
Was sich nicht geändert hat
Das häufigste Missverständnis im Zusammenhang mit dieser Nachricht ist die Annahme, „die KI-Verordnung wurde verschoben“, ohne Wenn und Aber. Das ist nicht der Fall. Mehrere Verpflichtungen bleiben unberührt und treten weiterhin zu den ursprünglichen Terminen in Kraft.
Die Transparenzregeln gemäß Artikel 50 gelten weiterhin ab dem 2. August 2026
Die Transparenzpflichten gemäß Artikel 50 der KI-Verordnung waren nicht Teil des Aufschubs durch den Omnibus und treten weiterhin am 2. August 2026 in Kraft, drei Tage nach dem Inkrafttreten dieser Verordnung. Das bedeutet ab diesem Wochenende:
Anbieter von Chatbots und anderen Systemen, die für die Interaktion mit Menschen bestimmt sind, müssen diese so gestalten, dass Nutzer darüber informiert werden, dass sie mit einer KI kommunizieren.
Betreiber, die KI zur Erstellung von Deepfakes einsetzen, müssen offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden.
Betreiber, die KI-generierte Texte zu Themen von öffentlichem Interesse veröffentlichen, müssen offenlegen, dass diese von einer KI stammen, es sei denn, der Text wurde einer menschlichen Überprüfung unterzogen und eine verantwortliche natürliche oder juristische Person übernimmt die redaktionelle Verantwortung.
Die Kommission hat am 20. Juli 2026, weniger als zwei Wochen vor deren Inkrafttreten, die endgültigen Leitlinien zu diesen Verpflichtungen verabschiedet. Die Strafen bei Nichteinhaltung belaufen sich auf bis zu 15 Millionen Euro oder 3 % des weltweiten Umsatzes. Teams, die die Verschiebung der Frist als Grund für eine Verlangsamung der Arbeit im Bereich Transparenz betrachtet haben, sollten umgehend umsteuern: Dies ist der Teil des ursprünglichen Zeitplans, der exakt unverändert geblieben ist.
Verbotene Praktiken, GPAI-Verpflichtungen und Durchsetzungsbefugnisse des KI-Büros bleiben unberührt
Die ursprüngliche Liste der verbotenen Praktiken in Artikel 5, die seit Februar 2025 in Kraft ist, bleibt unverändert. Die Verpflichtungen für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) in Bezug auf Transparenz, Urheberrecht und die Dokumentation systemischer Risiken, die seit August 2025 in Kraft sind, bleiben unverändert. Und was besonders wichtig ist: Die Durchsetzungsbefugnisse der Kommission gegenüber GPAI-Anbietern, einschließlich Auskunftsersuchen, Modellbewertungen, Abhilfemaßnahmen sowie der Möglichkeit, ein Modell auf dem EU-Markt einzuschränken oder vom Markt zu nehmen, treten weiterhin am 2. August 2026 in Kraft. Der Aufschub für Hochrisiko-Systeme betrifft ausschließlich Hochrisiko-Systeme. Er gilt weder für die GPAI-Modelle, auf denen viele Unternehmen aufbauen, noch für die Transparenzpflichten.
Die Sanktionsstruktur wurde nicht abgeschwächt
Der Omnibus vereinfacht Prozesse und Zeitabläufe. Er reduziert jedoch nicht die Bußgelder. Die zweistufige Sanktionsstruktur von bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes für die schwerwiegendsten Verstöße und bis zu 15 Millionen Euro oder 3 % für sonstige Verstöße gilt weiterhin uneingeschränkt und erstreckt sich nun auch auf das neue Verbot bezüglich CSAM und nicht einvernehmlicher intimer Bilder (NCII).
Fünf Maßnahmen für diese Woche
1. Compliance-Kalender und Unterlagen für den Vorstand korrigieren
Wenn in Ihrem letzten Vorstandsbericht stand „wir arbeiten auf den 2. August 2026 für Hochrisiko-Systeme hin, vorbehaltlich einer möglichen Verzögerung“, ist diese Aussage nun in zweifacher Hinsicht falsch: Die Verzögerung ist beschlossene Sache und die neuen Daten sind konkret (2. Dezember 2027 für Anhang III, 2. August 2028 für Anhang I). Aktualisieren Sie den Kalender und verteilen Sie den Bericht in dieser Woche neu, damit niemand mit einer Frist plant, die nicht mehr existiert, oder fälschlicherweise annimmt, dass die Erleichterungen auch für Transparenzpflichten gelten.
2. Die Arbeiten zu Artikel 50 ungeachtet der Verzögerung abschließen
Die Pflichten zur Kennzeichnung von Chatbots, Deepfakes und KI-generierten Texten gelten weiterhin ab dem 2. August 2026. Falls ein Bereich Ihrer Organisation dies mit der Begründung „die KI-Verordnung wurde verschoben“ zurückgestellt hat, machen Sie dies sofort rückgängig. Ein lückenloses KI-Inventar ist der schnellste Weg, um alle Chatbots, Bildgeneratoren und Content-Tools zu identifizieren, die vor dem Wochenende einen Offenlegungsmechanismus benötigen.
3. Generative KI-Tools im Hinblick auf CSAM/NCII-Risiken vor Dezember überprüfen
Sie haben vier Monate, nicht vier Wochen Zeit, bevor das neue Verbot am 2. Dezember 2026 in Kraft tritt. Die Safe-Harbor-Regelung setzt jedoch voraus, dass „angemessene, verhältnismäßige und wirksame“ präventive Schutzmaßnahmen bereits integriert sind und nicht erst nach einer Beschwerde nachträglich hinzugefügt werden. Beginnen Sie jetzt bei allen Funktionen zur Bild- oder Videogenerierung, unabhängig davon, ob diese intern entwickelt oder extern beschafft wurden, und dokumentieren Sie die Schutzmaßnahmen fortlaufend. Dies überschneidet sich mit den bestehenden Initiativen zur Deepfake-Governance, die in vielen Teams bereits laufen.
4. Die Arbeit an Hochrisiko-KI-Systemen nicht einstellen, sondern neu ausrichten
Zusätzliche 16 Monate bedeuten eine spürbare Entlastung, allerdings nur in zeitlicher Hinsicht, nicht im sachlichen Umfang. Die Arbeiten zur Klassifizierung, Dokumentation, Konformitätsbewertung und menschlichen Aufsicht für Systeme gemäß Anhang III müssen dennoch durchgeführt werden, und nun haben Sie den nötigen Spielraum, um dies sorgfältig statt unter Zeitdruck zu tun. Nutzen Sie diese Zeit, um ein solides Klassifizierungs- und Kontrollframework für den EU AI Act aufzubauen (oder fertigzustellen), anstatt das Projekt auf Eis zu legen.
5. Dokumentation der GPAI-Anbieter vor dem 2. August erneut prüfen
Die Durchsetzungsbefugnisse des KI-Büros gegenüber Anbietern von KI-Modellen mit allgemeinem Verwendungszweck treten am 2. August 2026 in Kraft. Zudem wurde die Aufsicht auf Systeme ausgeweitet, die auf GPAI-Modellen innerhalb derselben Unternehmensgruppe basieren, sowie auf in sehr große Plattformen eingebettete GPAI-Systeme. Wenn Ihr Unternehmen auf Foundation-Modelle von Drittanbietern setzt, ist dies die richtige Woche, um die aktuelle Modelldokumentation einzuholen und sicherzustellen, dass Ihre Risikobewertung für Anbieter auf dem neuesten Stand ist, damit Sie nicht erst reagieren müssen, wenn die Kommission Fragen stellt.
Wie Enzai Sie unterstützt
Friständerungen wie diese sind genau der Grund, warum KI-Governance zentral an einem Ort verwaltet werden muss und nicht in einer Vielzahl von Tabellen und Kalendererinnerungen erfolgen sollte. Die Compliance-Frameworks von Enzai verfolgen Verpflichtungen auf Basis der tatsächlich geltenden Daten. Wenn eine Verordnung wie diese eine Frist verschiebt, wird die Änderung direkt in Ihrer Kontrollbibliothek abgebildet, anstatt in einem E-Mail-Verlauf unterzugehen. Das Produkt KI-Inventar ist der praktische Ausgangspunkt sowohl für die in Kürze anstehenden Arbeiten zu Artikel 50 als auch für die für 2027 geplanten Aufgaben zu Anhang III, da Sie ein System nicht klassifizieren oder steuern können, das Sie nicht erfasst haben. Und für Teams, die Verpflichtungen über verschiedene Rechtsordnungen hinweg und nicht nur in der EU verfolgen, bietet unser EU AI Act-Hub einen vollständigen Überblick, einschließlich der neuen Fristen für Hochrisiko-Systeme und der unveränderten Termine für Artikel 50.
Seit 2023 nach ISO 27001 zertifiziert, jährlich von NQA auditiert
An der DSGVO ausgerichtete Datenverarbeitung
Kundendaten auf AWS in mehreren Regionen gehostet
Eigenes KI-Modell über eine private Verbindung nutzen
Finden Sie die KI, die Ihre Teams nutzen, prüfen Sie sie vor der Einführung, bewerten Sie sie anhand der geltenden Vorschriften und kontrollieren Sie, was Agenten tun dürfen. Entwickelt für regulierte Organisationen.