Digital Omnibus Trilog gescheitert: EU AI Act bleibt bei 2. August 2026

Der EU AI Act Omnibus Trilog ist am 29. April 2026 nach einer 12-Stunden-Marathon-Sitzung in Brüssel gescheitert. Damit ist die Hoffnung vieler Mittelständler, dass die Hochrisiko-Pflichten verschoben werden, vorerst beerdigt. Wenn sich die EU-Institutionen bis zum 2. August 2026 nicht doch noch einigen, gelten die ursprünglichen Fristen voll. Der nächste Trilog-Versuch ist für Mitte Mai 2026 angesetzt, mit offenem Ausgang.

Der Digital Omnibus war als Vereinfachungspaket gedacht. Im Februar 2026 hatte die Kommission einen Vorschlag vorgelegt, der mehrere Änderungen am EU AI Act buendelt. Der wichtigste Punkt aus Mittelstandssicht: eine mögliche Verschiebung der Hochrisiko-Pflichten aus Anhang III um bis zu 16 Monate. Council und Parlament hatten sich aber von Anfang an unterschiedlich positioniert. Im April begannen die Trilog-Verhandlungen, die das Paket zur Verabschiedung bringen sollten. Die zwoelfstuendige Sitzung am 29. April endete ohne Einigung.

Worum die Verhandlungen scheiterten

Drei Streitpunkte sind dokumentiert.

Erstens die Struktur von Anhang I. Der Council möchte, dass KI in regulierten Produkten erst ab Dezember 2027 oder August 2028 unter die EU-AI-Act-Pflichten fällt. Das Parlament will diese Regelung enger fassen, weil sonst Hersteller von Maschinen, Medizinprodukten und Spielwaren Zeit gewinnen, ohne dass die Sicherheits-Anforderungen wirklich greifen. Die Kommission steht zwischen beiden, mit einem eigenen Vorschlag, der aber keine Mehrheit findet.

Zweitens die Watermarking-Frist. Der EU AI Act sieht vor, dass KI-generierte Inhalte (Texte, Bilder, Videos) als solche gekennzeichnet werden müssen. Die ursprüngliche Frist war Februar 2027. Das Parlament will sie auf November 2026 vorziehen, weil Wahlen in mehreren EU-Mitgliedsländern anstehen und Deepfake-Kampagnen erwartet werden. Der Council ist dagegen, weil die technischen Standards noch nicht fertig sind.

Drittens die Termine für Hochrisiko-Systeme aus Anhang III. Hier liegen die Positionen am weitesten auseinander. Council möchte verschieben, Parlament will den 2. August 2026 halten. Die Kommission hat einen Kompromissvorschlag (Verschiebung um sechs Monate für einzelne Bereiche), der aber von beiden Seiten skeptisch gesehen wird.

Wer in den letzten Monaten Beratungen gemacht hat, hat oft gehört: "Wartet ab, der Omnibus kommt sicher durch." Diese Erwartung hat sich am 29. April erledigt. Stand heute muss jeder Mittelständler davon ausgehen, dass die Hochrisiko-Pflichten am 2. August 2026 voll greifen.

Was das für den Mittelstand konkret heißt

Drei Aspekte sind entscheidend.

Erstens: Die KI-Kompetenzpflicht aus Artikel 4 gilt ohnehin schon seit dem 2. Februar 2025. Wer das verschlafen hat, hat 15 Monate ungenutzt liegen lassen. Diese Pflicht ist nicht durch den Omnibus betroffen. Schulungen laufen, Bußgelder nach Artikel 99 aber nicht direkt für Artikel 4. Trotzdem haftet die Firma im Schadensfall, wenn keine Schulungsnachweise vorliegen.

Zweitens: Die Hochrisiko-Pflichten aus Anhang III ab 2. August 2026 müssen jetzt vorbereitet werden. Konkret heißt das: Inventur aller KI-Systeme im Einsatz, Klassifizierung als Hochrisiko oder nicht, Aufbau von menschlicher Aufsicht bei Hochrisiko-Systemen, Logging-Konzept, Vorfall-Meldewege, Datenschutzfolgenabschätzung wo notwendig. Wer im April 2026 noch nicht angefangen hat, hat jetzt drei Monate. Das ist machbar, aber knapp.

Drittens: Die Anhang-I-Pflichten aus August 2027 sind weit genug entfernt, dass sich an dieser Frist auch im Falle einer Einigung wenig ändern duerfte. Wer Maschinen, Medizinprodukte oder Spielwaren mit KI-Komponenten herstellt, hat hier ein Jahr mehr Zeit. Das ist aber keine Entwarnung, sondern nur eine sequenzielle Reihenfolge.

Welche Fristen jetzt zählen

Die Tabelle ist kurz, aber wichtig.

Die Bußgelder aus Artikel 99 sind ab August 2026 vollziehbar. 35 Millionen Euro oder 7 Prozent Welt-Umsatz bei Verstößen gegen die Verbote, 15 Millionen Euro oder 3 Prozent bei Verstößen gegen Hochrisiko-Pflichten, 7,5 Millionen Euro oder 1 Prozent bei falschen Auskuenften. Die höheren der beiden Werte gelten jeweils. KMU-Reduktionen sind möglich.

Was jetzt sinnvoll ist

Praktisch heißt das für den Mittelstand: Drei Monate Compliance-Sprint.

Schritt eins, sofort: KI-Inventur. Welche Systeme sind im Einsatz? Microsoft Copilot, ChatGPT-Plus-Accounts in Marketing oder Vertrieb, KI-Module in der Buchhaltung, KI-Add-ons im CRM oder im HR-Tool, branchenspezifische KI-Anwendungen in Produktion oder Logistik. Liste mit Anbieter, Einsatzzweck und Verantwortlichem.

Schritt zwei, im Mai: Klassifizierung. Welche Systeme aus der Inventur sind Hochrisiko nach Anhang III? Im typischen Mittelstand sind das vor allem HR-Tools mit KI-Komponente und im Bankensektor Bonitaetspruefungs-Module. Eine Detail-Übersicht zu den acht Anhang-III-Bereichen findet sich im Artikel zu Anhang III Hochrisiko.

Schritt drei, Juni und Juli: Umsetzung. Bei Hochrisiko-Systemen menschliche Aufsicht etablieren, Logging-Pipelines aufsetzen, Vorfall-Meldewege definieren, gegebenenfalls Datenschutzfolgenabschätzung durchführen. Bei Systemen, die nicht Hochrisiko sind, bleibt die Artikel-4-Schulungspflicht. Hier reicht oft eine dokumentierte interne Schulung mit Curriculum, Teilnehmerliste und Lernkontrolle.

Schritt vier, vor dem 2. August: Letzter Check. Sind alle Mitarbeiter geschult? Sind Logs aktiv? Liegt die Dokumentation an einem Ort, der bei einer Prüfung der Bundesnetzagentur abrufbar ist?

Wer bei Mitarbeiter-Schulungen Förderung braucht

Mitarbeiter-Schulungen kosten Geld. Die Förderung läuft über das Qualifizierungschancengesetz nach § 82 SGB III. Bei Kleinbetrieben unter 10 Mitarbeitern werden bis zu 100 Prozent der Lehrgangskosten plus bis zu 100 Prozent Lohnzuschuss während der Schulung übernommen. Bei Betrieben mit 10 bis 249 Mitarbeitern sind es 50 bis 100 Prozent (mit Tarifvertrag oder Betriebsvereinbarung bis 100 Prozent). Bei größeren Betrieben sinkt die Quote.

AZAV-zertifizierte Maßnahmen werden von der Agentur für Arbeit automatisch akzeptiert. Die DigiMan-Weiterbildung hat das AZAV-Maßnahmenzertifikat 723/0097/2026 (DEKRA) und deckt KI-Kompetenz nach Artikel 4 EU AI Act ab. Für einen unverbindlichen ersten Eindruck gibt es den kostenlosen KI-Schnupperkurs.

Mehr Detail zur Förderung im Beitrag Qualifizierungschancengesetz.

Was passiert, wenn der Trilog im Mai doch noch klappt

Mitte Mai 2026 ist der nächste Versuch angesetzt. Wenn sich Council und Parlament dort einigen, könnte das Omnibus-Paket vor dem 2. August in Kraft treten. Die Verschiebungen würden dann greifen. Aber: Mittelständler sollten nicht darauf planen.

Realistisch sind zwei Szenarien.

Szenario A: Einigung kommt zustande, Hochrisiko-Pflichten verschieben sich um sechs bis 16 Monate. In dem Fall haben Mittelständler bis Februar 2027 oder später Zeit. Wer sich jetzt vorbereitet, hat dann nur einen Vorsprung.

Szenario B: Keine Einigung bis 2. August. Dann gilt der harte Stichtag. Wer sich jetzt nicht vorbereitet, riskiert ab dem ersten Auditfall ein Verfahren bei der Bundesnetzagentur. Bußgelder, Reputationsschaden, mindestens aber erheblicher Aufwand für nachgelagerte Compliance.

Die Mathematik dahinter ist einfach. Wer jetzt anfängt und Szenario A eintritt, hat investiert, gewinnt aber nichts. Wer jetzt anfängt und Szenario B eintritt, ist auf der sicheren Seite. Wer nicht anfängt und Szenario B eintritt, hat ein Problem. Vor diesem Hintergrund ist die einzige sinnvolle Strategie, den Sprint jetzt zu starten.

Häufige Fragen

Was genau ist im Omnibus enthalten?

Der Digital Omnibus ist ein Vereinfachungspaket der EU-Kommission, das mehrere digitale Verordnungen gleichzeitig anpasst. Im EU AI Act geht es vor allem um die Verschiebung der Hochrisiko-Pflichten aus Anhang III, um Änderungen an der Watermarking-Frist und um Klarstellungen zur Anhang-I-Struktur für KI in regulierten Produkten.

Bis wann muss eine Einigung im Trilog stehen, damit das Omnibus vor dem 2. August greift?

Die Veröffentlichung im Amtsblatt der EU dauert etwa vier bis sechs Wochen nach Trilog-Einigung. Eine Einigung Mitte Mai könnte die Veröffentlichung Anfang Juli ermoeglichen. Knapper als das wird es schwer. Aktuell scheint eine fristgerechte Verabschiedung unwahrscheinlich, aber nicht ausgeschlossen.

Was passiert bei einem Verstoß gegen die Hochrisiko-Pflichten?

Die Bundesnetzagentur als zentrale deutsche KI-Aufsicht kann Bußgelder bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes verhaengen. Der höhere Wert gilt. KMU und Startups können die niedrigeren Sätze bekommen. Hinzu kommt die Reputationswirkung im B2B-Geschäft.

Kann ich die KI-Kompetenz-Schulung intern machen oder brauche ich einen externen Anbieter?

Beides ist möglich. Wichtig ist, dass die Schulung dokumentiert ist (Curriculum, Teilnehmerliste, Datum, Lernkontrolle) und zur Rolle des Mitarbeiters passt. Externe AZAV-zertifizierte Anbieter werden von der Agentur für Arbeit für Förderung automatisch akzeptiert. Inhouse-Schulungen sind günstiger, brauchen aber eine eigene Dokumentation, die im Prüfungsfall vor der Aufsicht standhaelt.

Welche Pflichten gelten ab 2. August 2027 zusätzlich?

Ab August 2027 greifen die Pflichten für KI in regulierten Produkten nach Anhang I. Das betrifft Maschinen, Medizinprodukte, Spielwaren und andere Produkte, die ohnehin sektoraler Regulierung unterliegen. Wer in einer dieser Branchen KI in Produkte integriert, sollte das Datum im Kopf haben.

Wer bei der Compliance-Vorbereitung Unterstützung braucht, findet unter skill-sprinters.de/termin einen kurzen Telefontermin zur Klärung der eigenen Lage.