EU-AI-Act-Omnibus 2026: Neue Compliance-Fristen erklärt

Der Digital Omnibus 2026 zu KI verlängerte zwei kritische AI-Act-Fristen: eigenständige hochriskante Anhang-III-Systeme auf den 2. Dezember 2027 und eingebettete Anhang-I-Systeme auf den 2. August 2028. Was sich änderte, warum und was Ihr Compliance-Programm jetzt tun muss.

Was der Digital Omnibus 2026 zu KI ändert

Der Digital Omnibus zu KI änderte zwei zentrale Anwendungsdaten in der EU-Verordnung 2024/1689 (dem EU AI Act):

Keine anderen wesentlichen Fristen wurden geändert. Verbotene Praktiken (2. Februar 2025), GPAI-Regeln (2. August 2025) und Transparenzpflichten für GPAI-Inhaltskennzeichnung (2. August 2025) bleiben an ihren ursprünglichen Daten in Kraft.

Warum der Omnibus hochriskante KI-Fristen aufschob

Die Europäische Kommission nannte drei Treiber:

1. Abstimmung mit Durchführungsakten — technische Normen und harmonisierte Normen für die Bewertung hochriskanter KI (CEN/CENELEC-Arbeitsprogramm) wurden nicht rechtzeitig für August 2026 abgeschlossen. Konformitätsbewertungen erfordern diese Normen.
2. Lücke in der Compliance-Infrastruktur — benannte Stellen, nationale zuständige Behörden und das EU-KI-Büro benötigten zusätzliche Einrichtungszeit. Ohne operative Durchsetzungsinfrastruktur wäre eine August-2026-Frist in der Praxis nicht durchsetzbar gewesen.
3. KMU-Bereitschaft — kleinere Anbieter, insbesondere in der Medtech-, HR-Tech- und Finanzdienstleistungsbranche, berichteten von unzureichender Zeit für die QMS-Implementierung und die technische Dokumentation neben parallelen DORA- und NIS2-Pflichten.

Die Verlängerung ist eine Übergangsfrist, keine Reduzierung des Anwendungsbereichs. Alle Pflichten bleiben bestehen; nur ihr Zeitplan verschiebt sich.

Anhang III — eigenständige hochriskante KI (Frist: 2. Dezember 2027)

Eigenständige Anhang-III-Systeme umfassen KI-Systeme, die selbst als hochriskante Systeme auf dem Markt in Verkehr gebracht oder in Betrieb genommen werden, ohne Sicherheitskomponente eines anderen Produkts zu sein. Beispiele:

• Recruiting- und HR-Screening-KI (Lebenslauf-Ranking, Interviewanalyse)
• Kreditwürdigungs- und Kreditrisikobeurteilungs-KI
• Biometrische Kategorisierung (keine Echtzeit-Identifizierung, die verboten ist)
• KI im Management kritischer Infrastrukturen
• KI in der Bewertung für allgemeine und berufliche Bildung
• KI in der Strafverfolgung und von Migrationsbehörden

Anbieterpflichten bis zum 2. Dezember 2027:

1. Abschluss einer Konformitätsbewertung nach Art. 43
2. Implementierung eines Qualitätsmanagementsystems (Art. 17)
3. Zusammenstellung der technischen Dokumentation (Art. 11 + Anhang IV)
4. Registrierung des Systems in der EU-KI-Datenbank (Art. 71)
5. Anbringen der CE-Kennzeichnung (Art. 48)
6. Ernennung eines EU-Vertreters, wenn außerhalb der EU ansässig

Betreiberpflichten (ebenfalls bis zum 2. Dezember 2027):

1. Durchführung einer Grundrechte-Folgenabschätzung (FRIA) für öffentliche Stellen als Betreiber
2. Implementierung von Maßnahmen zur menschlichen Aufsicht (Art. 26)
3. Dokumentierung von Eingaben und Ausgaben (Art. 26(6))
4. Informierung der Mitarbeiter, wo KI-gestützte Entscheidungen sie betreffen

Anhang I — eingebettete hochriskante KI (Frist: 2. August 2028)

Eingebettetes Anhang I umfasst KI, die eine Sicherheitskomponente eines Produkts bildet, das bereits durch bestehende EU-Produktsicherheitsgesetzgebung reguliert wird. Die AI-Act-Konformität wird in das bestehende Konformitätsbewertungsverfahren für dieses Produkt integriert. Beispiele:

• KI-Komponenten in Medizinprodukten (MDR/IVDR)
• KI in Fahrzeugsystemen (Typgenehmigungsrahmen)
• KI in Maschinen (Maschinenverordnung)
• KI in Luftfahrtkomponenten
• KI in Spielzeug und Verbraucherprodukten (Niederspannung/EMV)

Die zusätzliche zweijährige Verlängerung (gegenüber 16 Monaten für Anhang III) spiegelt die geschichtete Komplexität der Konformitätsbewertung über zwei Regulierungsregime gleichzeitig wider.

Was sich geändert hat, ist die Frist — nicht die Pflichten

Eine häufige Fehlinterpretation des Omnibus: Die Fristverlängerung bedeutet, dass Pflichten abgemildert werden. Das ist nicht der Fall.

Die Konformitätsbewertungs-, QMS-, technische Dokumentations-, CE-Kennzeichnungs- und Registrierungsanforderungen sind identisch mit dem, was für August 2026 erforderlich war. Der Omnibus reduziert nicht den Anwendungsbereich, schafft keine Ausnahmen und fügt keine Übergangsabweichungen hinzu. Er verschiebt die Ziellinie.

Praktische Konsequenz: Organisationen, die die Verlängerung als Entschuldigung nutzen, ihre Compliance-Programme zu pausieren, werden Ende 2027 einem härteren Engpass gegenüberstehen. Die produktivere Nutzung der zusätzlichen Zeit ist die Abschließung der QMS-Implementierung, das Stresstest der technischen Dokumentation gegen Entwürfe harmonisierter Normen und das frühzeitige Engagement mit benannten Stellen — ihre Kapazität wird eingeschränkt sein, wenn sich die Dezember-2027-Frist nähert.

Verbotene Praktiken, die bereits in Kraft sind

Diese Verbote nach Art. 5 galten ab dem 2. Februar 2025 und wurden durch den Omnibus nicht berührt:

• Subliminale Manipulation — KI-Techniken, die unbewusste Schwachstellen ausnutzen, um das Verhalten gegen die Interessen der Nutzer zu ändern
• Ausnutzung von Schwachstellen — Targeting von Kindern, älteren Menschen oder benachteiligten Gruppen
• Social Scoring — KI-basierte allgemeine Bewertung natürlicher Personen durch öffentliche Behörden
• Biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen durch Strafverfolgungsbehörden (mit engen Ausnahmen)
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
• Biometrische Kategorisierungssysteme, die sensible Merkmale (Rasse, politische Meinungen, Gewerkschaftsmitgliedschaft, sexuelle Orientierung, Religion) ableiten — es sei denn, für legitime Strafverfolgungszwecke mit richterlicher Genehmigung
• NCII/CSAM — Erzeugung oder Manipulation nicht-einvernehmlicher intimer Bilder oder sexuellen Kindesmissbrauchs mithilfe von KI ist verboten

Nichtkonformität mit den Art.-5-Verboten ab dem 2. Februar 2025 trägt Bußgelder bis zu 35 Millionen € oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

GPAI-Modellregeln: Bereits anwendbar

Kapitel-5-GPAI-Pflichten gelten seit dem 2. August 2025:

• Alle GPAI-Anbieter müssen Transparenzpflichten einhalten (Art. 53)
• Anbieter von GPAI-Modellen mit systemischem Risiko (über 10²⁵ FLOPs Trainingsrechenleistung) haben zusätzliche Pflichten, einschließlich kontradiktorischer Tests und Vorfallsmeldungen
• Kennzeichnung KI-generierter Inhalte (Wasserzeichen) für synthetische Medien gilt für generative GPAI-Systeme

Konvergenz mit DORA und NIS2

Organisationen im Finanzdienstleistungsbereich stehen vor der dreifachen Belastung durch AI-Act-, DORA- und NIS2-Pflichten mit überlappenden Zeitplänen. Wesentliche Schnittpunkte:

• IKT-Risikomanagement nach DORA (Art. 5–16) muss KI-gesteuerte IKT-Systeme abdecken — DORA befreit KI-Tools nicht von seinem IKT-Risikorahmen
• Vorfallsmeldung nach DORA (Art. 19–23) gilt für Vorfälle, die durch oder unter Beteiligung von KI-Systemen verursacht werden
• NIS2-Sicherheitsmaßnahmen (Art. 21) umfassen KI-bezogene Cyberrisiken im Anwendungsbereich
• AI-Act-Art.-9-Risikomanagement für hochriskante KI überschneidet sich erheblich mit dem IKT-Risikomanagement von DORA — Dual-Mapping ist möglich und empfohlen, um doppelte Dokumentation zu vermeiden

Siehe unsere vollständige Konvergenzanalyse → oder unsere Schwester-Website regulation-dora.eu für DORA-spezifische Informationen.