Am 7. Mai 2026 erzielten Rat und Europäisches Parlament eine vorläufige politische Einigung über den Digital Omnibus zum EU AI Act. Nach dem Beschluss des Rates vom 29. Juni 2026 wurde er am 8. Juli 2026 als Verordnung (EU) 2026/1744 unterzeichnet; sie wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 in Kraft. Es ist das erste formelle Änderungspaket zum Verordnungstext seit seiner Verabschiedung im Juni 2024. Die Schlagzeile ist eine Verschiebung: Hochrisiko-KI-Pflichten, die ab dem 2. August 2026 gelten sollten, werden um 16 Monate aufgeschoben. Innerhalb von Stunden nach der Einigung im Mai füllten sich die Postfächer mit Newsletter-Betreffzeilen, die sich lasen wie Freibriefe. „Mehr Zeit für Compliance." „EU verlängert KI-Frist." „Druck lässt nach."
Die Erleichterung ist verständlich. Die Deutung ist gefährlich.
Der Digital Omnibus hat die materiellen Pflichten für eigenständige Hochrisiko-KI nicht gestrichen. Er hat ihren Geltungsbeginn verschoben, KI in Maschinen auf den Weg über die Maschinenverordnung gebracht und enger gefasst, was als Sicherheitsbauteil gilt. Die seit Februar 2025 geltenden Verbote, die seit August 2025 geltenden GPAI-Pflichten und die Hochrisiko-Anforderungen für Systeme nach Anhang III bleiben bestehen. Weicher gefasst ist dagegen die Pflicht zur KI-Kompetenz (dazu unten). Die Frist hat sich verschoben. Die Pflicht nicht.
Für DACH-Unternehmen, die bereits mit ihrer Compliance-Arbeit begonnen haben, ist das ein strategisches Geschenk: zusätzliche Monate, um Begonnenes zu vertiefen, Dokumentation unter realen Bedingungen zu erproben und Governance zu verfeinern, bevor die Durchsetzungsuhr zu ticken beginnt. Für diejenigen, die ohnehin im Rückstand waren, besteht das Risiko, dass 16 Monate Zusatzzeit schlicht zu 16 Monaten zusätzlicher Verzögerung werden.
Was der Digital Omnibus tatsächlich geändert hat
Die Verordnung (EU) 2026/1744 strukturiert mehrere Fristen um, führt neue Bestimmungen ein und justiert den regulierten Kreis der Unternehmen. Präzise zu verstehen, was sich verschoben hat und was nicht, ist für jedes Unternehmen, das seine KI-Roadmap neu kalibriert, unverzichtbar.
Eigenständige Hochrisiko-KI-Systeme nach Anhang III. Das sind Systeme, die nicht deshalb als Hochrisiko eingestuft werden, weil sie in regulierte Produkte eingebettet sind, sondern aufgrund ihres Anwendungsbereichs: Beschäftigungsentscheidungen, Kreditwürdigkeitsprüfung, Versicherungsrisikobewertung, Benotung im Bildungsbereich, biometrische Identifizierung. Der ursprüngliche AI Act verlangte volle Compliance bis zum 2. August 2026. Der Digital Omnibus verschiebt dieses Datum auf den 2. Dezember 2027: eine Verschiebung um exakt 16 Monate. Das ist die Änderung, die die größte Zahl von DACH-Unternehmen betrifft, denn eigenständige Hochrisiko-Systeme sind genau der Bereich, in dem Mittelstands- und Enterprise-KI-Deployments am häufigsten mit der Regulierung kollidieren.
Produkteingebettete Hochrisiko-KI-Systeme nach Anhang I. KI-Systeme, die als Sicherheitskomponenten von Produkten dienen, die bereits unter EU-Sektorgesetzgebung fallen (etwa Medizinprodukte und Maschinen), waren ursprünglich bis zum 2. August 2027 Compliance-pflichtig. Der Omnibus verlängert dies auf den 2. August 2028. Für Hersteller in diesen Branchen ist das bedeutsam, aber enger im Umfang: Die ursprüngliche Verordnung gewährte ihnen bereits ein zusätzliches Jahr, der Omnibus fügt ein weiteres hinzu.
Wasserzeichen- und Inhaltsmarkierungspflichten. Die allgemeinen Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026 wie vorgesehen. Nur für die maschinenlesbare Markierung KI-generierter Inhalte nach Artikel 50 Absatz 2 haben Anbieter generativer Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, bis zum 2. Dezember 2026 Zeit (Art. 111 Abs. 4). Das ist keine pauschale Verschiebung, sondern eine viermonatige Übergangsregel für bestehende Systeme, damit Anbieter sich umstellen können, ohne den Markt zu stören.
Ein neues Verbot nicht-einvernehmlicher intimer Bilder. Der Omnibus ergänzt KI-Systeme, die nicht-einvernehmliche intime Bilder identifizierbarer Personen erzeugen oder manipulieren (sogenannte „Nudifier"-Anwendungen) sowie Material sexuellen Kindesmissbrauchs, auf die Liste verbotener KI-Praktiken. Dieses Verbot gilt ab dem 2. Dezember 2026. Es erweitert die Verbote, die seit Februar 2025 gelten, und zeigt, dass der Gesetzgeber den Katalog nachschärft, wenn neue Schäden auftreten. Für Anbieter greift das Verbot, wenn die Erzeugung solcher Inhalte der Zweck des Systems ist oder ein vorhersehbares Ergebnis, gegen das keine angemessenen technischen Schutzmaßnahmen bestehen (Art. 5 Abs. 1a).
Eine neue Kategorie „Small Mid-Cap“. Unternehmen, die keine KMU sind, aber weniger als 750 Beschäftigte und einen Jahresumsatz von höchstens 150 Millionen Euro oder eine Bilanzsumme von höchstens 129 Millionen Euro haben (Art. 3 Nr. 14b mit Verweis auf die Empfehlung (EU) 2025/1099), erhalten eigene Erleichterungen: Sie dürfen die technische Dokumentation nach Anhang IV auf einem vereinfachten Formular der Kommission vorlegen, das notifizierte Stellen akzeptieren müssen (Art. 11 Abs. 1); das Qualitätsmanagement richtet sich nach ihrer Größe (Art. 17 Abs. 2); richtet das AI Office ein KI-Reallabor auf Unionsebene ein, das nur KI-Systemen unter seiner Aufsicht offensteht, erhalten sie dort bevorzugten Zugang (Art. 57 Abs. 3a); und Geldbußen für Verstöße außerhalb der verbotenen Praktiken sind auf den niedrigeren Wert aus Prozentsatz und Betrag begrenzt (Art. 99 Abs. 6a). Eine feste Korrekturfrist vor Sanktionen enthält die verabschiedete Fassung nicht. Die Mitgliedstaaten können, wie schon bisher, neben Geldbußen auch Verwarnungen und nichtmonetäre Maßnahmen vorsehen und müssen jetzt auch die Interessen von Small Mid-Caps berücksichtigen (Art. 99 Abs. 1).
Maschinen wechseln den Weg. Die Maschinenverordnung (EU) 2023/1230 steht jetzt in Abschnitt B statt in Abschnitt A von Anhang I des AI Act. Für KI in Maschinen gelten damit unmittelbar nur Art. 6 Abs. 1, Art. 60a und Art. 102 bis 112 des AI Act. Gleichwertige Anforderungen nimmt die Kommission per delegiertem Rechtsakt in die Maschinenverordnung auf; diese Rechtsakte gelten ab dem 2. August 2028 (Art. 3 der Verordnung (EU) 2026/1744). Die Pflichten entfallen also nicht, sie kommen über die Maschinenverordnung statt über den AI Act.
Stärkung des AI Office. Das AI Office ist ausschließlich zuständig für KI-Systeme, die auf einem GPAI-Modell desselben Anbieters beruhen, und für KI in sehr großen Online-Plattformen und Suchmaschinen (Art. 75 Abs. 1). Ausgenommen bleiben unter anderem KI in Produkten nach Anhang I, kritische Infrastruktur, Rechtspflege sowie Systeme von Strafverfolgung, Grenzmanagement und Finanzinstituten; dort bleiben die nationalen Behörden zuständig. Zudem kann das AI Office für diese Systeme ein KI-Reallabor auf Unionsebene einrichten, mit bevorzugtem Zugang für KMU, Start-ups und Small Mid-Caps (Art. 57 Abs. 3a).
Was der Digital Omnibus nicht geändert hat
Dieser Abschnitt ist wichtiger als der vorherige.
Verbotene Praktiken gelten weiterhin. Das Verbot von Social Scoring, biometrischer Echtzeit-Identifizierung im öffentlichen Raum, Emotionserkennung an Arbeitsplätzen und in Schulen sowie der Ausnutzung vulnerabler Gruppen ist seit dem 2. Februar 2025 durchsetzbar. Der Omnibus ändert daran nichts. Wenn Sie Ihr KI-Inventar noch nicht gegen die verbotenen Kategorien geprüft haben, sind Sie bereits exponiert.
GPAI-Pflichten gelten weiterhin. Anbieter von General-Purpose-AI-Modellen unterliegen seit dem 2. August 2025 den Transparenz-, Dokumentations- und Urheberrechts-Compliance-Anforderungen. Anbieter von Modellen mit systemischem Risiko sind zusätzlich zu adversarialem Testen und Incident Reporting verpflichtet. Der Omnibus verschiebt davon nichts. Wenn Ihre Organisation ein GPAI-Modell betreibt, auch über API-Zugang zu großen Sprachmodellen, sind die Anbieterpflichten bereits aktiv.
KI-Kompetenz gilt weiterhin, in weicherer Fassung. Seit dem 2. Februar 2025 müssen Anbieter und Betreiber Maßnahmen zur KI-Kompetenz ergreifen. Seit dem 27. Juli 2026 lautet Art. 4: Sie „ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals [...] zu unterstützen“, und die Pflicht verpflichtet sie nicht, „für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren“. Eine bestimmte Schulung oder ein Zertifikat schreibt die Verordnung nicht vor. Wer die Maßnahmen festhält, kann sie gegenüber einer Behörde belegen; ein einzelnes All-Hands-Webinar trägt diesen Beleg kaum.
Für Systeme nach Anhang III sind die materiellen Anforderungen in der Sache gleich. Der Omnibus hat die inhaltlichen Anforderungen an Hochrisiko-KI-Systeme beibehalten. Konformitätsbewertungen, technische Dokumentation, Risikomanagementsysteme, Daten-Governance, menschliche Aufsicht, Genauigkeitstests, automatische Protokollierung, Registrierung in der EU-Datenbank: alles bleibt bestehen. (Enger gefasst hat er, was als Sicherheitsbauteil in Produkten gilt, Art. 6 Abs. 1a bis 1c, und KI in Maschinen in die Maschinenverordnung verlagert.) Was sich verschoben hat, ist der Geltungsbeginn. Ab dem 2. Dezember 2027 gilt jede Anforderung, die am 2. August 2026 fällig gewesen wäre, in vollem Umfang für Systeme nach Anhang III, die ab diesem Tag in Verkehr gebracht oder in Betrieb genommen werden. Systeme, die schon vorher im Einsatz sind, fallen unter die Regeln, sobald ihre Konzeption erheblich verändert wird (Art. 111 Abs. 2); Systeme für Behörden müssen bis zum 2. August 2030 nachziehen. Eine weitere Übergangszeit gibt es nicht.
Warum 16 Monate weniger Zeit sind, als es klingt
Sechzehn Monate fühlen sich komfortabel an, bis man durchplant, was in ihnen passieren muss.
Das Konformitätsbewertungs-Ökosystem reift erst. Das Netz aus notifizierten Stellen, harmonisierten Standards und Konformitätsbewertungsverfahren für eigenständige Hochrisiko-KI-Systeme ist noch im Aufbau. Die ursprüngliche Frist im August 2026 galt weithin als unrealistisch, gerade weil diese Infrastruktur nicht bereit war: Der Omnibus erkennt genau diese Realität an. Aber 16 Monate sind der Zeitraum, in dem sowohl die Infrastruktur als auch die Unternehmen gleichzeitig bereit werden müssen. Organisationen, die auf die Finalisierung harmonisierter Standards warten, bevor sie mit der Compliance-Arbeit beginnen, werden feststellen, dass sie in den letzten Monaten vor der Frist um begrenzte Kapazitäten bei notifizierten Stellen konkurrieren.
Technische Dokumentation ist kein Wochenendprojekt. Artikel 11 verlangt eine umfassende Dokumentation, die Verwendungszweck, Designspezifikationen, Entwicklungsprozess, Daten-Governance, Leistungsmetriken, Risikoanalyse und Post-Market-Monitoring-Plan abdeckt. Für einen komplexen KI-Workflow, etwa ein automatisiertes Schadentriagesystem oder ein KI-gestütztes Kreditentscheidungsmodell, dauert die Erstellung dieser Dokumentation Monate, nicht Wochen. Sie erfordert koordinierten Input von Engineering, Data Science, Rechtsabteilung, Compliance und dem Fachbereich, der das System betreibt. Diese bereichsübergreifende Koordination ist der eigentliche Engpass.
Risikomanagement ist ein Prozess, kein Dokument. Artikel 9 verlangt ein Risikomanagementsystem, das über den gesamten Lebenszyklus des Hochrisiko-KI-Systems aufrechterhalten wird, nicht nur eine einmalige Risikoanalyse vor dem Deployment, sondern kontinuierliche Überwachung, Aktualisierung und Mitigation in der Produktion. Den Aufbau dieser Fähigkeit (Monitoring-Infrastruktur, Eskalationsverfahren, Governance-Rhythmen) kann man nicht in das letzte Quartal vor einer Frist komprimieren. Der Compliance-by-Design-Ansatz beschreibt, wie diese Strukturen ins Betriebsmodell eingebaut werden.
Die strategische Kalkulation für DACH-Unternehmen
Der Omnibus schafft einen Divergenzpunkt. Unternehmen werden sich in zwei Gruppen teilen, und der Abstand zwischen ihnen wird deutlich vor Dezember 2027 sichtbar sein.
Die erste Gruppe behandelt die Verschiebung als Planungshorizont. Sie nutzen die 16 Monate, um Compliance-Infrastruktur in besonnener Geschwindigkeit aufzubauen: ihre KI-Systeme zu klassifizieren, technische Dokumentation iterativ zu erstellen, Monitoring- und Governance-Strukturen zu implementieren, Mitarbeitende zu schulen und interne Konformitätsbewertungen durchzuführen, bevor externe erforderlich sind. Wenn die Frist kommt, ist Compliance eine Bestätigung bereits geleisteter Arbeit, kein hektisches Zusammenstellen von Artefakten unter Druck.
Die zweite Gruppe behandelt die Verschiebung als Aufschub. Sie priorisieren Compliance-Arbeit herunter, lenken Ressourcen auf andere Initiativen um und planen, das Thema Mitte 2027 wieder aufzugreifen. Wenn sie darauf zurückkommen, werden sie feststellen, dass die Aufgabe nicht einfacher geworden ist: Sie ist schwieriger geworden, weil ihr KI-Portfolio gewachsen ist, neue Systeme ohne Compliance-Erwägungen in Betrieb gegangen sind und die Kapazitäten bei notifizierten Stellen überbucht sind.
Die Wettbewerbsdimension ist real. In regulierten Branchen (Finanzdienstleistungen, Versicherungen, Gesundheitswesen, kritische Infrastruktur) wird die Fähigkeit, AI-Act-Compliance nachzuweisen, zu einem Beschaffungskriterium. Unternehmenskunden werden Lieferanten fragen, ob ihre KI-gestützten Services die Hochrisiko-Anforderungen erfüllen. Organisationen, die im Januar 2028 dokumentierte Compliance vorweisen können, werden einen greifbaren Vorteil gegenüber denen haben, die ihre Nachweispakete dann erst zusammenstellen.
Dieses Muster ist aus der DSGVO bekannt. Organisationen, die die zweijährige Übergangsfrist für echte Vorbereitung nutzten, waren am 25. Mai 2018 bereit. Diejenigen, die warteten, gaben mehr Geld aus, erreichten geringere Compliance-Qualität und hatten Jahre der Nachbesserung vor sich. Die Komplexität des AI Acts übertrifft die der DSGVO in mehreren Dimensionen, nicht zuletzt, weil er die Technologie selbst reguliert, nicht nur die Daten, die sie verarbeitet.
Die Small-Mid-Cap-Chance
Die neue Kategorie verdient besondere Aufmerksamkeit von DACH-Mittelständlern. Die Schwelle (weniger als 750 Beschäftigte und Jahresumsatz bis 150 Millionen Euro) erfasst einen erheblichen Teil des deutschen Mittelstands. Die konkreten Vereinfachungen sind im beschlossenen Text klar definiert: Vereinfachte technische Dokumentationsvorlagen, die notifizierte Stellen akzeptieren müssen, proportionale Qualitätsmanagementsystem-Anforderungen, bevorzugter Zugang zu einem KI-Reallabor des AI Office auf Unionsebene, falls es eingerichtet wird, und niedrigere Bußgeldobergrenzen (Art. 11, 17, 57 und 99).
Das bedeutet keine Freistellung. Small-Mid-Cap-Unternehmen, die Hochrisiko-KI-Systeme einsetzen, müssen weiterhin die Einhaltung der Kernanforderungen nachweisen: Risikomanagement, Daten-Governance, menschliche Aufsicht, Genauigkeit und Transparenz. Was sich ändert, ist die erwartete Tiefe und Formalität der Nachweise. Ein Versicherungsmakler mit 200 Mitarbeitenden, der KI für die Schadentriage einsetzt, wird nicht am gleichen Dokumentationsstandard gemessen wie ein DAX-Konzern, aber er muss zeigen, dass er Risiken identifiziert und Aufsichtsmechanismen etabliert hat.
Die praktische Konsequenz: Mittelständler sollten jetzt mit dem Aufbau ihrer Governance-Frameworks beginnen und die vereinfachten Erwartungen als Designvorgabe nutzen. Ein schlankes Modell, das Verantwortlichkeit, Aufsicht und Entscheidungsrechte abdeckt, ist nicht nur Best Practice: Es wird unter dem geänderten Act voraussichtlich die minimale Compliance-Postur für diese Kategorie sein.
Was in den nächsten 90 Tagen zu tun ist
Die Verschiebung ändert nicht die Arbeit. Sie ändert die Reihenfolge.
Vervollständigen Sie Ihr KI-Inventar. Wenn Sie noch nicht jedes KI-System in Ihrer Organisation katalogisiert haben, einschließlich Drittanbieter-Tools mit eingebetteter KI, ist das der grundlegende erste Schritt. Sie können nicht klassifizieren, was Sie nicht identifiziert haben. Jeder Eintrag sollte den Zweck des Systems, die verarbeiteten Daten, die Betreiber und die Entscheidungen abdecken, die es informiert oder automatisiert.
Klassifizieren Sie jedes System anhand des geänderten Zeitplans. Eigenständige Hochrisiko-Systeme nach Anhang III haben nun bis zum 2. Dezember 2027. Produkteingebettete Hochrisiko-Systeme nach Anhang I bis zum 2. August 2028. Alles andere (verbotene Praktiken, GPAI, begrenzte Risikosysteme) gilt bereits jetzt. Die Risikoeinstufungs-Anleitung liefert den Entscheidungsbaum für diese Übung.
Beginnen Sie die technische Dokumentation für Ihr höchstes Risikosystem. Versuchen Sie nicht, alles auf einmal zu dokumentieren. Wählen Sie das System, das am eindeutigsten Hochrisiko ist (dasjenige, das Beschäftigungsentscheidungen, Kreditbewertungen oder Versicherungsansprüche verarbeitet) und erstellen Sie zuerst die Artikel-11-Dokumentation dafür. Der Prozess wird Ihnen zeigen, welche Informationen fehlen, welche Teams einbezogen werden müssen und wie lange die Arbeit tatsächlich dauert. Diese Erkenntnis ist wertvoller als jede Checkliste.
Etablieren Sie Ihre Governance-Baseline. Benennen Sie einen KI-Verantwortlichen für jedes Produktivsystem. Definieren Sie die Delegationsregeln: Was die KI entscheidet, was sie empfiehlt, was vollständig beim Menschen bleibt. Dokumentieren Sie den Aufsichtsrhythmus: regelmäßiges Metriken-Review, periodische Grenzfallanalyse, quartalsweises Governance-Assessment. Diese Struktur ist das operative Rückgrat der Compliance und muss lange vor der Frist laufen.
Die Frist hat sich verschoben, die Pflicht nicht
Der Digital Omnibus ist eine pragmatische Anpassung. Der europäische Gesetzgeber hat erkannt, dass das Compliance-Ökosystem für August 2026 nicht bereit war, und hat zusätzliche Zeit gewährt. Das ist eine rationale Reaktion auf eine reale Umsetzungsherausforderung.
Aber die schlechteste mögliche Lesart dieser Änderung ist die, die sich am wahrscheinlichsten verbreiten wird: dass der AI Act aufweicht, dass Compliance warten kann, dass Verschiebungen ein Zeichen mangelnder regulatorischer Ernsthaftigkeit sind. Das Gegenteil ist wahr. Der Omnibus hat ein neues Verbot hinzugefügt. Er hat jede bestehende Hochrisiko-Pflicht beibehalten. Er hat eine neue Kategorie geschaffen, die Compliance für kleinere Unternehmen erreichbarer machen soll, was nur Sinn ergibt, wenn der Gesetzgeber beabsichtigt, diese Anforderungen breit durchzusetzen. Und er hat dem AI Office mehr Durchsetzungsmacht gegeben, nicht weniger.
DACH-Unternehmen, die diese 16 Monate zum Aufbau von Compliance-Infrastruktur nutzen, werden im Dezember 2027 mit dokumentierten Systemen, geschulten Teams und operativer Governance dastehen. Sie werden, nicht zufällig, auch die Vertrauensarchitektur aufgebaut haben, die es KI ermöglicht, von Pilotprojekten in die Produktion überzugehen, in den Anwendungen, die tatsächlich die GuV bewegen. Compliance und operative Leistungsfähigkeit sind keine konkurrierenden Prioritäten. Unter dem AI Act sind sie dieselbe Arbeit.
Ein Fit Call klärt in 20 Minuten, welche Ihrer KI-Systeme nach dem Digital Omnibus welche Frist haben, wo Ihre Dokumentations- und Governance-Lücken liegen, und was Sie priorisieren sollten, bevor die Frist sich dringend anfühlt.
Rechtsstand: 11. Oktober 2026. Keine Rechtsberatung.
Referenzen: Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI), ABl. L, 2026/1744, 24.7.2026, EUR-Lex; Council of the European Union, „Artificial Intelligence: Council and Parliament Agree to Simplify and Streamline Rules," Pressemitteilung, 7. Mai 2026, consilium.europa.eu; Orrick, „EU's Digital Omnibus on AI: 7 Key Changes You Need to Know," Mai 2026, orrick.com; European Parliament, „Simplified rules for small 'mid-cap' companies," Pressemitteilung, 20. Februar 2026, europarl.europa.eu; Verifywise, „EU AI Act Digital Omnibus: What Changed on 7 May 2026," Mai 2026, verifywise.ai.