KI-Omnibus: Was die Verordnung (EU) 2026/1744 am EU AI Act ändert

Kurz gesagt: Der KI-Omnibus, also die Verordnung (EU) 2026/1744, ist seit dem 27. Juli 2026 in Kraft. Er verschiebt die Hochrisiko-Pflichten des EU AI Act auf den 2. Dezember 2027 (Anhang III) bzw. den 2. August 2028 (Anhang I). Er fasst die KI-Kompetenzpflicht nach Art. 4 neu, ergänzt zwei Verbote und entlastet KMU und kleine Midcap-Unternehmen. Die Transparenzpflichten nach Art. 50 gelten unverändert seit dem 2. August 2026.

Kurz vor dem ursprünglich wichtigsten Stichtag hat der EU-Gesetzgeber nachgesteuert: Die harmonisierten Normen und Leitlinien für Hochrisiko-KI lagen nicht rechtzeitig vor. Nach der Trilog-Einigung vom 7. Mai 2026 folgten der Beschluss des Parlaments (16. Juni) und des Rates (29. Juni), die Unterzeichnung am 8. Juli und die Veröffentlichung im Amtsblatt am 24. Juli 2026. Seitdem gilt eine neue Zeitachse. Für viele Unternehmen ist sie eine echte Atempause, aber keine Entwarnung.

Die neuen Fristen auf einen Blick

Stichtag	Was gilt
2. Februar 2025	Verbotene Praktiken (Art. 5) und KI-Kompetenz (Art. 4) — unverändert in Geltung
27. Juli 2026	KI-Omnibus in Kraft: neue Fassung von Art. 4, neuer Art. 4a, neue Fristen
2. August 2026	Transparenzpflichten nach Art. 50 — nicht verschoben
2. Dezember 2026	Kennzeichnung nach Art. 50 Abs. 2 für Bestandssysteme; neue Verbote in Art. 5
2. August 2027	Nationale KI-Reallabore müssen einsatzbereit sein
2. Dezember 2027	Hochrisiko-Pflichten für Anhang-III-Systeme (Kapitel III Abschnitte 1–3)
2. August 2028	Hochrisiko-Pflichten für KI in Produkten nach Anhang I
2. August 2030	Nachrüstfrist für Hochrisiko-Systeme von Behörden

Den vollständigen Zeitplan seit 2024 mit allen Zwischenstufen finden Sie im Ratgeber EU AI Act Fristen.

Was sich für Unternehmen konkret ändert

Hochrisiko-Pflichten: 16 Monate mehr Zeit

Verschoben ist nicht nur ein Teil, sondern Kapitel III Abschnitte 1 bis 3 komplett: die Einstufungsregeln, die Anforderungen an Hochrisiko-Systeme und die Pflichten der Akteure. Damit gelten für Betreiber auch die Pflichten nach Art. 26 (menschliche Aufsicht, Betrieb nach Betriebsanleitung, Kontrolle der Eingabedaten, Protokollaufbewahrung) und die Grundrechte-Folgenabschätzung nach Art. 27 erst ab dem 2. Dezember 2027. Welche Einsatzbereiche betroffen sind, zeigt unser Ratgeber zu Anhang III.

Zusätzlich wurde der Bestandsschutz neu gefasst (Art. 111 Abs. 2): Hochrisiko-Systeme, die vor dem jeweiligen Geltungsbeginn in Verkehr gebracht oder in Betrieb genommen wurden, fallen nur dann unter die Verordnung, wenn sie danach in ihrer Konzeption erheblich verändert werden. Systeme, die Behörden nutzen sollen, müssen trotzdem bis zum 2. August 2030 konform sein.

Art. 4: KI-Kompetenz wird zur Bemühenspflicht

Der Kommissionsentwurf wollte die Pflicht der Unternehmen streichen und durch einen bloßen Förderauftrag an Kommission und Mitgliedstaaten ersetzen. Das Parlament hat sich durchgesetzt: Die Pflicht bleibt, aber in neuer Fassung. Art. 4 Abs. 1 lautet jetzt:

Die Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind […]. Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.

Das „ausreichende Maß“ und der „größtmögliche Umfang“ sind gestrichen. In der Praxis ändert sich weniger, als die Schlagzeilen vermuten lassen. Wer nachweisen will, dass er die Kompetenzentwicklung unterstützt, braucht weiterhin ein Schulungskonzept, durchgeführte Schulungen und eine Dokumentation. Neu ist, dass Kommission und Mitgliedstaaten Unternehmen, insbesondere KMU, aktiv unterstützen und Praxisbeispiele veröffentlichen sollen. Details im Ratgeber zur KI-Kompetenzpflicht nach Art. 4.

Transparenz nach Art. 50: nicht verschoben

Chatbots müssen sich als KI zu erkennen geben, Deepfakes sind offenzulegen, und KI-erzeugte Inhalte müssen maschinenlesbar gekennzeichnet sein. Diese Pflichten gelten seit dem 2. August 2026. Die einzige Erleichterung betrifft Anbieter: Systeme, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und schon vor dem 2. August 2026 auf dem Markt waren, müssen die Kennzeichnung nach Art. 50 Abs. 2 bis zum 2. Dezember 2026 nachrüsten. Wie das technisch aussieht, zeigt das Beispiel der Claude-Wasserzeichen.

Zwei neue Verbote in Art. 5

Ab dem 2. Dezember 2026 sind zusätzlich verboten: KI-Systeme, die realistische intime oder sexuelle Darstellungen bestimmbarer Personen ohne deren ausdrückliche Zustimmung erzeugen oder manipulieren, sowie Systeme zur Erzeugung von Darstellungen sexuellen Kindesmissbrauchs. Für die meisten Unternehmen ist das kein operatives Thema. Wer aber Bild- oder Videogeneratoren anbietet oder in eigene Produkte einbaut, muss die Schutzmechanismen bis dahin nachweisen können.

Neu: Art. 4a zu sensiblen Daten für Bias-Korrektur

Anbieter von Hochrisiko-KI dürfen besondere Kategorien personenbezogener Daten (etwa Gesundheitsdaten oder ethnische Herkunft) ausnahmsweise verarbeiten, wenn das zur Erkennung und Korrektur von Verzerrungen unbedingt erforderlich ist. Die Bedingungen sind streng: kein Ausweichen auf synthetische oder anonymisierte Daten möglich, Pseudonymisierung, strikte Zugriffskontrollen, keine Weitergabe, Löschung nach der Korrektur und eine Begründung im Verzeichnis der Verarbeitungstätigkeiten. Unter denselben Bedingungen dürfen auch Anbieter und Betreiber anderer KI-Systeme solche Daten zur Bias-Korrektur verarbeiten (Art. 4a Abs. 2). Die Anforderungen der DSGVO gelten zusätzlich.

Entlastung für KMU und kleine Midcaps

Neu eingeführt ist die Kategorie des kleinen Midcap-Unternehmens (nach der Empfehlung (EU) 2025/1099). Für diese Unternehmen gilt bei Geldbußen jeweils der niedrigere Betrag aus Prozentsatz und Festbetrag, wie bisher schon für KMU (Art. 99 Abs. 6a). Das Qualitätsmanagementsystem der Anbieter muss verhältnismäßig zur Unternehmensgröße sein (Art. 17 Abs. 2). Und bei der Grundrechte-Folgenabschätzung dürfen Betreiber auf eine vorhandene Datenschutz-Folgenabschätzung verweisen oder deren Teile übernehmen (Art. 27 Abs. 4). Das Büro für Künstliche Intelligenz erarbeitet dafür einen Muster-Fragebogen.

Was sich nicht ändert

• Die Rollen. Wer KI im Beruf unter eigener Verantwortung einsetzt, bleibt Betreiber. Was das konkret heißt, steht im Ratgeber zu den Betreiberpflichten.
• Die Bußgeldrahmen. Bis 35 Mio. Euro oder 7 % des Weltumsatzes bei verbotenen Praktiken, bis 15 Mio. Euro oder 3 % bei den übrigen sanktionierten Pflichten. Die Mitgliedstaaten sollen dabei die Interessen von KMU und kleinen Midcaps berücksichtigen. Mehr im Ratgeber zu den Bußgeldern.
• Die GPAI-Pflichten. Anbieter von KI-Modellen mit allgemeinem Verwendungszweck sind seit dem 2. August 2025 verpflichtet; Modelle, die vorher auf dem Markt waren, haben bis zum 2. August 2027 Zeit.

Was Sie jetzt tun sollten

Die Verschiebung verlängert die Vorbereitung. Sie ersetzt sie nicht. Wir empfehlen, die gewonnene Zeit so zu nutzen:

1. Inventar und Klassifizierung abschließen. Ohne vollständiges KI-Register wissen Sie nicht, ob Sie überhaupt Hochrisiko-Systeme betreiben und welche Frist für Sie gilt.
2. Was schon gilt, sauber belegen. Schulungsnachweise für Art. 4 und die Kennzeichnung nach Art. 50 sind heute prüfbar. Gerade Vertragspartner fragen danach, lange bevor eine Behörde es tut.
3. Anhang-III-Systeme mit Plan angehen. Aufsichtskonzept, Protokollierung, Grundrechte-Folgenabschätzung: Wer 2027 startet, bekommt den Aufwand geballt. Wer jetzt beginnt, verteilt ihn.

Sie wollen wissen, welche Fristen für Ihre KI-Systeme konkret gelten? Als externer KI-Beauftragter prüfen wir Ihren Bestand gegen die neue Rechtslage. Die Erstberatung ist kostenfrei.

Rechtsstand: Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744 (ABl. L vom 24.7.2026), geprüft am 29. September 2026.

Häufige Fragen

Was ist der KI-Omnibus? +

Der KI-Omnibus („Digital-Omnibus-Verordnung zur KI“) ist die Verordnung (EU) 2026/1744 vom 8. Juli 2026. Sie ändert den EU AI Act (Verordnung (EU) 2024/1689) an rund 40 Stellen, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 in Kraft. Kern ist die Verschiebung der Hochrisiko-Pflichten; dazu kommen eine neue Fassung von Art. 4, zwei neue Verbote und Erleichterungen für kleinere Unternehmen.

Ab wann gelten die Hochrisiko-Pflichten jetzt? +

Für eigenständige Hochrisiko-Systeme nach Anhang III (etwa Bewerberauswahl, Kreditwürdigkeit, Bildung, kritische Infrastruktur) ab dem 2. Dezember 2027. Für KI in regulierten Produkten nach Anhang I (etwa Medizinprodukte, Maschinen) ab dem 2. August 2028. Verschoben sind Kapitel III Abschnitte 1 bis 3 — also auch die Betreiberpflichten nach Art. 26 und die Grundrechte-Folgenabschätzung nach Art. 27.

Gilt die KI-Kompetenzpflicht nach Art. 4 noch? +

Ja. Anbieter und Betreiber müssen weiterhin Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu unterstützen. Neu ist: Die Verordnung verlangt nicht mehr, ein „ausreichendes Maß“ sicherzustellen, und stellt ausdrücklich klar, dass kein bestimmtes Kompetenzniveau garantiert werden muss. Aus einer Ergebnis- ist eine Bemühenspflicht geworden — Schulung und Dokumentation bleiben der Nachweis.

Hat der KI-Omnibus auch die Transparenzpflichten verschoben? +

Nein. Art. 50 gilt wie geplant seit dem 2. August 2026. Nur für die maschinenlesbare Kennzeichnung KI-erzeugter Inhalte nach Art. 50 Abs. 2 gibt es eine Übergangsfrist: Anbieter, deren Systeme vor dem 2. August 2026 in Verkehr gebracht wurden, müssen diese Pflicht bis zum 2. Dezember 2026 erfüllen.

Können Unternehmen die KI-Compliance jetzt bis 2027 liegen lassen? +

Nein. Art. 4 und die Verbote nach Art. 5 gelten seit Februar 2025, die Transparenzpflichten seit August 2026. Und wer Anhang-III-Systeme betreibt, braucht bis Dezember 2027 Inventar, Klassifizierung, Aufsichtskonzept und Dokumentation — das ist kein Projekt für die letzten drei Monate. Die gewonnene Zeit eignet sich für einen sauberen Aufbau, nicht zum Abwarten.