Auf die Schnelle

Am 7. Mai 2026 hat sich der Trilog auf eine Verschiebung der Hochrisiko-Pflichten geeinigt. Annex III rutscht auf den 2. Dezember 2027, Annex I auf den 2. August 2028. Art. 4 KI-Kompetenz, GPAI und Transparenzpflichten bleiben scharf.

12 Stunden hatte der Trilog am 28. April 2026 gerungen. Ohne Ergebnis. Eine Woche später, am 7. Mai 2026, kam die politische Einigung doch noch zustande. Rat und Parlament haben den Digital Omnibus on AI vorläufig durchgewinkt. Für den Mittelstand heißt das: die großen Hochrisiko-Pflichten kommen später, aber niemand kann sich zurücklehnen.

Was sich verschiebt

Die zwei zentralen Anker des EU AI Act für Hochrisiko-KI rutschen nach hinten. Annex III, also eigenständige Hochrisiko-Systeme, war ursprünglich für den 2. August 2026 vorgesehen. Neu: 2. Dezember 2027. Annex I, Hochrisiko-KI eingebettet in regulierte Produkte wie Maschinen oder Medizinprodukte, war für den 2. August 2027 geplant. Neu: 2. August 2028. Den Hintergrund der politischen Einigung haben wir hier ausführlich erklärt: EU AI Act Digital Omnibus vom 7. Mai 2026.

Hogan Lovells und Bird & Bird sprechen von 16 Monaten Verlängerung für Annex III. Travers Smith schreibt von einer 12-month delay für Annex I. Die formale Annahme durch Rat und Parlament steht noch aus, wird aber vor dem ursprünglichen Starttermin 2. August 2026 erwartet.

Wer Annex III genau lesen will: Personalwesen und Recruiting, Bildung und Prüfungen, Kreditprüfung, biometrische Identifizierung, kritische Infrastruktur, Strafverfolgung, Migration, Justiz und wesentliche Dienste. Modulos AI listet die Sektoren in seiner Compliance-Note kompakt auf. Maschinenhersteller und Medizintechnik fallen in Annex I, also in den noch späteren Topf.

Was nicht verschoben wurde

Hier liegt der eigentliche Punkt. Die Einigung verschiebt Hochrisiko, sie verschiebt nicht alles.

Art. 4 KI-Kompetenz ist seit dem 2. Februar 2025 in Kraft. Scalewise AI bringt es in einer Zeile auf den Punkt: "Artikel 4 (KI-Kompetenz) nicht verschoben." Jede Firma, die KI im Betrieb einsetzt, muss seitdem nachweisen können, dass ihre Mitarbeiter ausreichend qualifiziert sind. Das gilt auch für dich, wenn du ChatGPT, Claude oder ein Copiloten-Setup im Büro hast.

GPAI-Regeln, also Artikel 50 bis 55 für General-Purpose-AI-Modelle, sind seit dem 2. August 2025 anwendbar. William Fry hält fest: "The General-Purpose AI obligations under Articles 50 to 55 of the AI Act, which have been in force since 2 August 2025, are not amended."

Transparenzpflichten greifen weiterhin ab dem 2. August 2026. Allerdings mit Kompromiss-Schonfrist von vier Monaten beim Watermarking. Heißt: Bestehende Systeme bekommen bis zum 2. Dezember 2026, um KI-generierte Inhalte technisch sauber zu kennzeichnen. Modulos AI schreibt dazu, das seien "seven months of engineering work, not a paperwork exercise". Sieben Monate Engineering, keine Schreibtisch-Übung. Wer denkt, ein Hinweistext auf der Website reicht, hat das Volumen unterschätzt.

Und neu auf der Liste: ab dem 2. Dezember 2026 sind KI-Systeme verboten, die nicht-einvernehmliche intime Bildinhalte oder Kindesmissbrauchsmaterial erzeugen, einschließlich sogenannter Nudifier-Apps. Wenn ein solches Ergebnis bei deinem System "ein vernünftigerweise vorhersehbares und reproduzierbares Outcome" ist, wie es Bird & Bird zitiert, fällt es unter das Verbot. Das ist keine reine Plattform-Regel, das ist eine Produkt-Anforderung.

Bußgelder ab August 2026 trotzdem scharf

Verschoben ist die materielle Pflicht für Hochrisiko. Nicht verschoben sind die Bußgelder für die Artikel, die bereits in Kraft sind oder ab August 2026 greifen. Art. 5 verbietet bestimmte KI-Praktiken. Art. 16, 22, 23, 24, 26, 31, 33, 34 und 50 ziehen ab dem 2. August 2026 Sanktionen nach sich. Die Höchstgrenzen liegen bei 35 Mio. EUR oder 7 Prozent vom weltweiten Jahresumsatz.

Das ist auch der Grund, warum Anwaltskanzleien einhellig empfehlen, die Verschiebung als Atempause für gute Vorbereitung zu nutzen, nicht als Pause-Knopf. Travers Smith fasst es so: die Einigung schafft Zeit, aber keine regulatorische Pause.

Konkret betrifft die Bußgeld-Welle ab August die Anbieter- und Händlerseite mehr, als viele KMU denken. Wer ein KI-Tool von einem US-Anbieter einkauft und im eigenen Betrieb nutzt, ist Betreiber. Wer es weiterverkauft, ist Händler nach Art. 24. Wer ein KI-Produkt in die EU importiert, ist Importeur nach Art. 23. Diese drei Rollen waren in der bisherigen DSGVO-Welt für viele Mittelständler abstrakt. Im EU AI Act sind sie ab August 2026 mit Sanktionsrisiko hinterlegt.

Konkrete Frist-Tabelle

Damit du es nebenbei abhaken kannst, hier die Daten in Reihenfolge:

Vorlaufzeit ist nicht 3 bis 6 Monate

Falls dich jemand berät und sagt, Konformitätsbewertung für ein Hochrisiko-System sei in einem halben Jahr machbar, hör skeptisch hin.

Modulos AI nennt für den enterprise-typischen Beschaffungs- und Implementierungszyklus 12 bis 18 Monate. Hogan Lovells, Gibson Dunn und Bird & Bird sprechen unisono von "mehreren Monaten bis über einem Jahr" Vorlauf. Kommt eine Notified Body dazu, weil dein System unter Annex I fällt, wird es enger. Die Kapazität ist laut Modulos "constrained". Hersteller von Maschinen oder Medizinprodukten mit KI-Komponente sollten ihre benannten Stellen jetzt kontaktieren, nicht erst Anfang 2027.

Der praktische Hebel ist die Risikoklassifizierung. Auch wer sicher ist, kein Hochrisiko-System zu betreiben, muss diese Einstufung dokumentiert vornehmen. Ein zweiseitiges Classification Memo pro KI-System, das du nutzt, ist kein Luxus. Es ist der Eintrittsausweis in jede spätere Behörden-Diskussion.

Was das für KMU bedeutet

Wir sehen in der Praxis regelmäßig, dass kleinere Firmen die zwei Jahre Mehrzeit als Freifahrtschein interpretieren. Das ist ein Fehler. Paloubis bringt es treffend auf den Punkt: "Auch kleinere Unternehmen bleiben verpflichtet, ihre KI-Systeme korrekt einzuordnen." Der Unterschied liegt nur in Umfang und Verhältnismäßigkeit, nicht in einer Befreiung.

Praktisch heißt das für dich als Geschäftsführer eines Mittelständlers, der KI einsetzt: ein dokumentiertes KI-Inventar erstellen, jedes System risikoklassifizieren (auch wenn das Ergebnis "nicht hochriskant" ist), Mitarbeiter nach Art. 4 schulen und dokumentieren, Transparenz für generative KI bis Sommer 2026 vorbereiten, Lieferanten und Verträge durchgehen. Wer hochrisiko-naheliegende Anwendungen plant (HR-Software, Bildungstools, Bonitätsprüfung, biometrische Zugänge), startet die Konformitätsbewertung jetzt, nicht 2027.

Die Praxislücke an dieser Stelle ist die Mitarbeiter-Qualifikation. Bei den Teilnehmern unserer Weiterbildungen sehen wir oft, dass die Compliance-Verantwortung gerade bei Inhabern und Geschäftsführung hängt, ohne dass jemand im Team die KI-Tools wirklich versteht. Dass Art. 4 seit Februar 2025 scharf ist und keiner es im Mai 2026 auf dem Schirm hatte, ist kein Einzelfall. Wer hier nichts dokumentiert, hat im Streitfall keine Karte in der Hand.

Haeufige Fragen

Wann tritt der EU AI Act für Hochrisiko-KI durch den Omnibus in Kraft?

Nach der politischen Trilog-Einigung vom 7. Mai 2026 wurde Annex III auf den 2. Dezember 2027 verschoben, Annex I auf den 2. August 2028. Annex III deckt eigenständige Hochrisiko-Systeme ab, etwa Personalwesen oder Kreditprüfung. Annex I betrifft Hochrisiko-KI in regulierten Produkten wie Maschinen oder Medizintechnik.

Was bedeutet die Omnibus-Verschiebung für kleine Mittelständler?

Wer ein Hochrisiko-System plant, gewinnt 16 Monate Vorlauf für Annex III und etwa zwölf Monate für Annex I. Aber wer einfach ChatGPT, Claude oder Copilot im Alltag nutzt, hat keine Verschiebung. Art. 4 KI-Kompetenz und Transparenzpflichten greifen unverändert weiter. Paloubis: Auch kleinere Unternehmen müssen ihre KI-Systeme korrekt einordnen.

Wie lange dauert eine Konformitätsbewertung für Hochrisiko-KI realistisch?

Anwaltskanzleien wie Hogan Lovells, Gibson Dunn und Bird & Bird sprechen einhellig von mehreren Monaten bis über einem Jahr Vorlauf. Modulos AI nennt für den enterprise-typischen Beschaffungs- und Implementierungszyklus 12 bis 18 Monate. Wer eine Notified Body braucht, weil das System unter Annex I fällt, sollte sich jetzt melden.

Was wird trotz Omnibus nicht verschoben?

Art. 4 KI-Kompetenz greift seit 2. Februar 2025, GPAI-Regeln seit 2. August 2025. Transparenzpflichten und Bußgelder für Art. 5, 16, 22, 23, 24, 26, 31, 33, 34, 50 sind ab 2. August 2026 scharf, mit bis zu 35 Millionen Euro oder 7 Prozent vom Jahresumsatz. Ab 2. Dezember 2026 sind Nudifier-Apps und CSAM-Generatoren EU-weit verboten.

Mehr über KI im Mittelstand lernen?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI praktisch einsetzen. Vollkurs Digitalisierungsmanager mit Bildungsgutschein. Förderwege: Bildungsgutschein und QCG im Vergleich.

Für Geschäftsführer und HR: KI-Compliance-Pflichten für KMU als kostenloser Step-by-Step-Guide.

Zuletzt aktualisiert: 04.06.2026. Stand der Recherche: 04.06.2026. Politische Einigung des Trilogs vom 7. Mai 2026, formale Annahme durch Rat und Parlament noch ausstehend.