Digital Omnibus AI Act 2027: Was die Fristverschiebung jetzt bedeutet

Digital Omnibus AI Act 2027 beschreibt die Verschiebung der Hochrisiko-Pflichten der KI-Verordnung um mehr als ein Jahr. Sie ist seit dem 27. Juli 2026 geltendes Recht: Der Digital Omnibus wurde als Verordnung (EU) 2026/1744 vom 8. Juli 2026 erlassen und am 24. Juli 2026 im Amtsblatt veröffentlicht. Anhang III (eigenständige Hochrisiko-Systeme) gilt ab 2. Dezember 2027, Anhang I (KI in regulierten Produkten) ab 2. August 2028. Das Parlament hatte die Verschiebung im März 2026 mit 569 zu 45 Stimmen (bei 23 Enthaltungen) angenommen. Für Unternehmen ist das eine Verschnaufpause, aber keine Entwarnung: Die KI-Kompetenzpflicht nach Artikel 4 gilt weiter, seit dem Omnibus in neu gefasster Form.

Dieser Artikel erklärt, was genau verschoben wurde, was unabhängig davon gilt und wie Sie Ihre Compliance-Planung entsprechend anpassen.

Hintergrund: Warum der Digital Omnibus kam

Die Verschiebung ist keine politische Laune. Sie ist eine Reaktion auf konkrete Probleme in der Umsetzung der KI-Verordnung.

Die KI-Verordnung wurde 2024 mit ambitionierten Fristen beschlossen. Der 2. August 2026 war als Stichtag für die Hochrisiko-Pflichten aus Anhang III vorgesehen, also für Anwendungen in Bereichen wie Personalauswahl, Kreditwürdigkeit, Bildung, kritische Infrastruktur, Strafverfolgung und Migration. Unternehmen, die KI-Systeme in diesen Bereichen einsetzen oder entwickeln, sollten bis zu diesem Datum die gesamten Dokumentations-, Prüf- und Qualitätsanforderungen erfüllen.

Im Laufe des Jahres 2025 wurde deutlich, dass mehrere Voraussetzungen für die Umsetzung nicht rechtzeitig vorhanden sein würden. Erstens: Die harmonisierten Normen (hENs) der europäischen Normungsgremien, die konkret beschreiben sollen, wie Artikel der Verordnung in der Praxis umzusetzen sind, sind teilweise noch nicht verabschiedet. Ohne diese Normen haben Unternehmen keine verlässliche Grundlage für eine Konformitätsbewertung. Zweitens: Die notifizierten Stellen, die Konformitätsbewertungen durchführen sollen, sind in vielen Mitgliedstaaten noch nicht eingerichtet oder unterbesetzt. Drittens: Die zuständigen nationalen Aufsichtsbehörden (in Deutschland die geplante zentrale Aufsichtsstelle beim BNetzA) sind noch nicht voll arbeitsfähig.

Hinzu kommt der Wettbewerbsaspekt. Unternehmen und Verbände haben vor einem einseitigen europäischen Regulierungsweg gewarnt, der die Innovationskraft des Kontinents schwächt, ohne die angestrebten Schutzziele zu erreichen. Der "Digital Omnibus" ist ein Bündel verschiedener Maßnahmen, die den regulatorischen Druck entschärfen sollen, ohne die Schutzziele aufzugeben.

Was konkret verschoben wurde

Die Verschiebung betrifft zwei Gruppen von Hochrisiko-Systemen.

Anhang III: Neue Frist 2. Dezember 2027. Hierzu gehören KI-Systeme in den Bereichen biometrische Identifizierung, kritische Infrastruktur, Bildung und Berufsausbildung, Beschäftigung und Personalmanagement, Zugang zu wesentlichen Dienstleistungen (Kredite, Versicherungen, Sozialleistungen), Strafverfolgung, Migration und Grenzkontrolle, sowie Justizverwaltung und demokratische Prozesse. Diese Systeme müssen alle Pflichten aus Kapitel III der KI-Verordnung erfüllen, darunter Risikomanagement, Datenqualität, technische Dokumentation, Transparenz, menschliche Aufsicht und Cybersecurity.

Anhang I: Neue Frist 2. August 2028. Hierzu gehören KI-Systeme, die in bereits regulierte Produkte integriert sind, etwa Maschinenrichtlinie, Spielzeugrichtlinie, Medizinprodukte, Aufzüge, Funkanlagen, Sportboote, Druckgeräte und andere. Für diese Systeme gilt eine zusätzliche Konformitätsbewertung nach den Anforderungen der KI-Verordnung.

Wichtig: Die Verschiebung gilt nur für die Anwendungsverpflichtungen. Neue KI-Systeme, die ab dem neuen Stichtag in Verkehr gebracht werden, müssen die Anforderungen erfüllen. Bestehende Systeme, die vor dem Stichtag in Verkehr gebracht wurden, können unter bestimmten Bedingungen Bestandsschutz genießen. Die Details hierzu regelt die Verordnung (EU) 2026/1744.

Was NICHT verschoben wurde

Dieser Punkt ist der wichtigste für die Planung in den meisten Unternehmen.

Artikel 4 (AI Literacy, KI-Kompetenzpflicht) gilt seit dem 2. Februar 2025. Der Digital Omnibus hat ihn neu gefasst, nicht verschoben. Artikel 4 selbst ist nicht bußgeldbewehrt, seit dem 2. August 2026 können die Aufsichtsbehörden aber andere Pflichten der Verordnung durchsetzen. Anbieter und Betreiber von KI-Systemen müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer in ihrem Auftrag handelnder Personen zu unterstützen. Ein bestimmtes Kompetenzniveau müssen sie nicht garantieren, eine Nachweis- oder Dokumentationspflicht enthält der Verordnungstext nicht. Die genaue Stundenzahl ist ebenfalls nicht vorgeschrieben. Der Maßstab ist angemessen zur Art der eingesetzten Systeme, zum Kontext ihrer Nutzung und zu den betroffenen Personen.

Artikel 5 (Verbotene Praktiken) gilt seit 2. Februar 2025 und wird nicht verschoben. Zu den verbotenen Praktiken gehören etwa Social Scoring, manipulative Techniken zur Umgehung des freien Willens, Ausnutzung schutzbedürftiger Personen, biometrische Echtzeit-Identifizierung im öffentlichen Raum (mit Ausnahmen), biometrische Kategorisierung nach geschützten Merkmalen und Emotionserkennung am Arbeitsplatz sowie in Bildungseinrichtungen.

Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026. Deepfake-Kennzeichnung, Offenlegung bei KI-generiertem Inhalt, Information bei Interaktion mit Chatbots, Information bei Emotionserkennung (soweit erlaubt) und biometrischer Kategorisierung: All das gilt. Für die maschinenlesbare Kennzeichnung durch Bestandssysteme läuft eine Schonfrist bis zum 2. Dezember 2026.

Die Pflichten für General-Purpose-AI-Modelle (Kapitel V) gelten seit 2. August 2025. Betreiber großer Basismodelle wie GPT-5, Claude oder Gemini müssen Transparenzpflichten und Compliance-Maßnahmen erfüllen. Für Unternehmen, die solche Modelle über APIs einsetzen, ändert das vor allem eins: Sie können Informationen vom Anbieter über das Training, die Daten und die Sicherheitsmaßnahmen einfordern.

Wie aus dem Beschluss geltendes Recht wurde

Der Beschluss des Parlaments war ein wichtiger Schritt, aber nicht der letzte. Parlament, Rat und Kommission haben ihre Positionen im Trilog zusammengeführt und sich am 7. Mai 2026 politisch geeinigt. Am 8. Juli 2026 wurde der Digital Omnibus als Verordnung (EU) 2026/1744 erlassen, am 24. Juli 2026 im Amtsblatt veröffentlicht, und seit dem 27. Juli 2026 ist er geltendes Recht.

Was dabei entschieden wurde:

Erstens: Die Verschiebung selbst. Sie steht jetzt im Gesetzestext (Artikel 113 Absatz 3 Buchstabe c der KI-Verordnung in der Fassung der Verordnung (EU) 2026/1744) und ist kein Vorbehalt mehr. Einige Mitgliedstaaten, darunter Frankreich und die Niederlande, hatten im Vorfeld Vorbehalte geäußert. Sie befürchteten, dass eine Verschiebung den Druck auf die Normungsgremien und die notifizierten Stellen reduziert, ohne die strukturellen Probleme wirklich zu lösen. Durchgesetzt haben sie sich damit nicht.

Zweitens: Zusätzliche Unterstützungsmaßnahmen. Dazu gehört ein "Regulatory Sandbox"-Ansatz, bei dem Unternehmen KI-Systeme in einer kontrollierten Umgebung testen können, ohne die vollen Compliance-Anforderungen zu erfüllen. Das entlastet insbesondere kleine und mittlere Unternehmen.

Drittens: Die neue Kategorie "Small Mid-Caps" (Unternehmen bis 750 Mitarbeiter und 150 Millionen Euro Umsatz). Diese Unternehmen bekommen vereinfachte Dokumentationspflichten. Das ist für viele deutsche Mittelständler relevant. Mehr dazu im Artikel Small Mid-Caps AI Act: Die neue KMU-Kategorie und ihre Erleichterungen

Was die Verschiebung für Ihre Planung bedeutet

Die Verschiebung verändert die Dringlichkeit einiger Compliance-Maßnahmen, aber nicht alle.

Unverändert wichtig: Die KI-Kompetenzpflicht nach Artikel 4 gilt seit dem 2. Februar 2025. Ein eigenes Bußgeld und eine Nachweispflicht gegenüber Aufsichtsbehörden gibt es dafür nicht, seit der Neufassung durch die Verordnung (EU) 2026/1744 steht das ausdrücklich im Verordnungstext. Trotzdem lohnt ein Schulungskonzept mit freiwilliger Dokumentation: Im Schadensfall belegt es, dass Sie die geforderten Maßnahmen ergriffen haben.

Unverändert wichtig: Dokumentation der eingesetzten KI-Systeme. Auch wenn die Hochrisiko-Pflichten verschoben werden, müssen Sie wissen, welche KI-Systeme in Ihrem Unternehmen im Einsatz sind, wofür sie verwendet werden und welche Risiken damit verbunden sind. Das ist die Grundlage für jede spätere Prüfung.

Weniger dringlich geworden: Die komplette technische Dokumentation und Konformitätsbewertung für Hochrisiko-Systeme nach Anhang III. Wer KI-Systeme in Personalauswahl, Kreditbewertung oder Bildung einsetzt, hat jetzt bis Dezember 2027 Zeit. Das sind 16 Monate mehr, als der ursprüngliche Stichtag 2. August 2026 vorsah. Das ist ein signifikanter Gewinn an Planungsspielraum.

Neu priorisiert: Die Beobachtung der Normungsarbeiten. Die harmonisierten Normen sind die praktische Umsetzungsgrundlage. Wer sich aktiv an der Arbeit der Normungsgremien beteiligt oder zumindest die Entwicklung verfolgt, ist besser vorbereitet, wenn die Anforderungen konkret werden.

Der häufigste Planungsfehler

In unserer Beratungspraxis sehen wir einen wiederkehrenden Fehler: Unternehmen interpretieren die Verschiebung als "KI-Verordnung ist jetzt erstmal kein Thema mehr" und legen das ganze Projekt auf Eis. Das ist ein Fehler, und zwar aus drei Gründen.

Erstens: Die KI-Kompetenzpflicht gilt bereits seit Februar 2025, in der vom Omnibus neu gefassten Form: Unternehmen müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Ein Bußgeld aus Artikel 4 selbst droht nicht, und einen Nachweis verlangt der Verordnungstext auch nicht. Wer aber gar nichts unternimmt, steht im Schadensfall schlechter da, weil fehlende KI-Kompetenz als Organisationsverschulden gewertet werden kann.

Zweitens: Die verbotenen Praktiken gelten seit Februar 2025. Wer aktuell etwa Emotionserkennung am Arbeitsplatz einsetzt oder beginnt einzusetzen, steht im Risiko. Die Höhe der Bußgelder bei Verstößen gegen verbotene Praktiken ist dramatisch: bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.

Drittens: Wer die Schonfrist nutzt, um Compliance zu ignorieren, verpasst die Chance, sich strukturell aufzustellen. Unternehmen, die jetzt ihre Prozesse aufbauen, KI-Register führen, Verantwortlichkeiten klären und ihre Mitarbeiter schulen, sind in zwei Jahren in einer viel besseren Position als Unternehmen, die erst im Sommer 2027 anfangen.

Mehr Hintergrund zur KI-Kompetenzpflicht finden Sie im Artikel AI Literacy nach Artikel 4: Was seit Februar 2025 gilt und was der Digital Omnibus daran geändert hat

Empfohlene Schritte für die nächsten Monate

Hier ist eine realistische Roadmap, die die meisten Unternehmen in vier Monaten bewältigen können.

Monat 1: Bestandsaufnahme. Welche KI-Systeme setzen wir aktuell ein? Wo sind sie integriert? Wer nutzt sie? Welche Daten werden verarbeitet? Ergebnis: ein einfaches KI-Register als Excel-Tabelle oder im eigenen Compliance-Werkzeug.

Monat 2: Kompetenz-Analyse. Welche Mitarbeiter brauchen welche Art von KI-Kompetenz? Administratoren brauchen mehr technisches Wissen, Anwender brauchen mehr Einsatzkompetenz, Geschäftsführer brauchen Grundverständnis für Risiken und Chancen. Ergebnis: ein Kompetenz-Matrix-Dokument.

Monat 3: Schulungskonzept. Welche Maßnahmen setzen wir um? Selbstlernplattform, Inhouse-Schulung, externe Weiterbildung? Welche Inhalte? Welche Dokumentation? Ergebnis: ein Schulungsplan mit Zeitplan, Budget und Verantwortlichen.

Monat 4: Schulungsdurchführung und Dokumentation. Die Schulungen laufen, die Teilnehmer unterschreiben Teilnahmelisten, die Ergebnisse werden dokumentiert. Vorgeschrieben ist das nicht, der Verordnungstext verlangt keinen Nachweis. Ergebnis: dokumentierte Schulungen für alle relevanten Mitarbeiter.

Danach: Sie haben die von Artikel 4 geforderte Unterstützung der KI-Kompetenz umgesetzt und können das im Ernstfall belegen. Gleichzeitig haben Sie ein KI-Register, mit dem Sie die Hochrisiko-Analyse für Dezember 2027 und August 2028 aufbauen können.

Häufige Fragen

Muss mein Unternehmen jetzt weiterhin ein KI-Register führen?

Ja. Auch wenn die Hochrisiko-Pflichten verschoben werden, ist ein KI-Register die Grundlage für jede weitere Compliance-Arbeit. Sie müssen wissen, welche KI-Systeme im Einsatz sind, um überhaupt prüfen zu können, welche später unter die verschobenen Pflichten fallen werden.

Gilt der Digital Omnibus schon rechtsverbindlich?

Ja. Der Digital Omnibus wurde als Verordnung (EU) 2026/1744 vom 8. Juli 2026 erlassen, am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 geltendes Recht. Die verschobenen Fristen stehen damit im Gesetzestext: 2. Dezember 2027 für Anhang III, 2. August 2028 für Anhang I.

Wir entwickeln selbst ein KI-System für Personalauswahl. Was bedeutet die Verschiebung für uns?

Sie haben mehr Zeit, die Konformität zu prüfen und zu dokumentieren. Statt August 2026 ist Ihr Stichtag jetzt Dezember 2027. Nutzen Sie die Zeit aktiv: Beteiligen Sie sich an den Normungsarbeiten, testen Sie Ihre Systeme in Sandbox-Umgebungen, bauen Sie ein Risikomanagement auf. Je früher Sie anfangen, desto reibungsloser wird die spätere Konformitätsbewertung.

Mein Unternehmen hat weniger als 50 Mitarbeiter. Betrifft uns die Verordnung überhaupt?

Ja, die KI-Verordnung gilt grundsätzlich für alle Unternehmen, die KI-Systeme bereitstellen oder einsetzen. Kleine Unternehmen haben bei einigen Pflichten erleichterte Anforderungen, aber die grundlegenden Verpflichtungen, insbesondere die KI-Kompetenzpflicht nach Artikel 4, gelten auch für Sie.

Welche Bußgelder drohen bei Verstößen?

Die Bußgeldstruktur ist dreistufig. Für Verstöße gegen verbotene Praktiken (Artikel 5) drohen bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Für Verstöße gegen Pflichten der KI-Verordnung (Anbieter, Einführer, Händler, Bevollmächtigte) bis 15 Millionen Euro oder 3 Prozent. Für unrichtige, unvollständige oder irreführende Informationen an Aufsichtsbehörden bis 7,5 Millionen Euro oder 1 Prozent.

Wie finde ich heraus, ob meine KI-Systeme Hochrisiko-Systeme sind?

Prüfen Sie die Liste in Anhang III der Verordnung und vergleichen Sie mit Ihren Einsatzbereichen. Wenn Sie KI in Personalwesen, Kreditvergabe, Bildung, kritischer Infrastruktur, Strafverfolgung oder Migration einsetzen, stehen die Chancen hoch, dass es sich um Hochrisiko-Systeme handelt. Für Anhang-I-Systeme (KI in Maschinen, Medizinprodukten, Spielzeug etc.) gilt eine separate Logik. Im Zweifel holen Sie eine juristische Einschätzung ein.