EnglishAm 27. Juli 2026 ist die Verordnung (EU) 2026/1744, der sogenannte Digital Omnibus zur künstlichen Intelligenz, in Kraft getreten, sechs Tage vor dem Zeitpunkt, zu dem die Pflichten für Hochrisiko-KI-Systeme gelten sollten. In der öffentlichen Wahrnehmung ist daraus die Botschaft geworden, die KI-Verordnung sei verschoben. Das trifft nicht zu.
Verschoben wurde ein Teil des Regimes. Für eigenständige Hochrisikosysteme nach Anhang III gilt nunmehr der 2. Dezember 2027, für in Produkte eingebettete Systeme nach Anhang I der 2. August 2028. Die Fristen sind jetzt feste Daten und nicht mehr an die Fertigstellung harmonisierter Normen gekoppelt. Inhaltlich bleiben die Pflichten unverändert.
Alles Übrige gilt seit dem 2. August 2026 unverändert. Die Transparenzpflichten des Artikels 50 wurden durch den Omnibus nicht geändert: Offenlegung, dass eine Person mit einem KI-System interagiert, Kennzeichnung von Deepfakes, die reale Personen, Orte oder Ereignisse darstellen, sowie Information der Personen, die Emotionserkennungs- oder biometrischen Kategorisierungssystemen ausgesetzt sind. Die verbotenen Praktiken nach Artikel 5 gelten seit Februar 2025, die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck seit August 2025.
Entscheidend ist die Anknüpfung: Artikel 50 stellt auf die Funktion des Systems ab, nicht auf die Risikoklasse. Ein Unternehmen kann zutreffend feststellen, dass keines seiner Systeme hochriskant ist, und gleichwohl vollständig den Transparenzpflichten unterliegen, weil es eine kundenseitige Dialogschnittstelle betreibt oder Inhalte mit generativer KI erzeugt. Eine Einstufung, die nur gegen Anhang III prüft und dann abgeschlossen wird, erzeugt eine formal saubere Akte und ein nicht rechtskonformes Unternehmen.
Die zweite Frist wird derzeit am häufigsten übersehen. Die maschinenlesbare Kennzeichnung generierter Inhalte nach Artikel 50 Absatz 2 gilt für Systeme, die ab dem 2. August 2026 in Verkehr gebracht werden, unmittelbar. Für Systeme, die bereits vor diesem Zeitpunkt auf dem Markt waren, wurde eine viermonatige Übergangsfrist bis zum 2. Dezember 2026 eingeräumt. Das ist eine technische Umsetzung und keine Dokumentationsaufgabe.
Ab dem 2. Dezember 2026 treten zudem neue Verbotstatbestände in Kraft, die auf KI-Systeme zur Erzeugung nicht einvernehmlicher intimer Darstellungen und von Missbrauchsdarstellungen Minderjähriger zielen, einschließlich des Inverkehrbringens solcher Systeme ohne angemessene Schutzmaßnahmen.
Zu beachten bleibt, dass nur der KI-Strang des Digital-Omnibus-Pakets Gesetz geworden ist. Die vorgeschlagenen Änderungen der Datenschutz-Grundverordnung, der ePrivacy-Richtlinie, der NIS2-Richtlinie und des Data Act befinden sich weiterhin in Verhandlung und sind kein geltendes Recht.
Für beaufsichtigte Unternehmen steht die KI-Verordnung nicht für sich. Der Ausfall eines KI-Systems kann gleichzeitig eine IKT-Vorfallsmeldung nach DORA, eine Meldung nach dem nationalen NIS2-Recht und eine Datenschutzmeldung auslösen. KI-Governance gehört damit in die bestehenden IKT-Risiko-, Vorfalls- und Auslagerungsrahmen und nicht in ein separates Projekt, das bis 2027 warten kann.
Der sinnvolle erste Schritt ist eine bezahlte rechtliche und regulatorische Analyse: welche Systeme das Unternehmen anbietet und einsetzt, wie sie einzustufen sind, welche Pflichten heute gelten und was zum 2. Dezember 2026 fällig wird.
Primärquellen: Verordnung (EU) 2024/1689; Verordnung (EU) 2026/1744, ABl. vom 24.7.2026, in Kraft seit 27.7.2026; Verordnung (EU) 2022/2554 (DORA); Richtlinie (EU) 2022/2555 (NIS2) in nationaler Umsetzung.