Digital Omnibus und AI Act: Was ab dem 2. August 2026 wirklich gilt

Die kurze Antwort

Wer nach Anhang III oder Anhang I des AI Act als Hochrisiko-Anbieter oder -Betreiber gilt, hat mehr Zeit bekommen. Wer ein KI-System betreibt, das mit Menschen interagiert oder Inhalte erzeugt, hat keine zusätzliche Zeit bekommen. Der 2. August 2026 bleibt ein Stichtag – nur nicht für die Hochrisiko-Pflichten, die bislang im Zentrum der meisten Compliance-Projekte standen.

Der Digital Omnibus ist geltendes Recht, kein Entwurf mehr

Die Änderungsverordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt der EU veröffentlicht und ist am 27. Juli 2026 in Kraft getreten – drei Tage nach Veröffentlichung, wie bei EU-Verordnungen üblich. Sie ändert offiziell den AI Act (Verordnung (EU) 2024/1689) sowie die Luftfahrt-Grundverordnung und die Maschinenverordnung. Wer noch Quellen aus Mai oder Juni 2026 zitiert, die von einer „vorläufigen Einigung" sprechen, arbeitet mit einem überholten Stand: Nach der finalen Zustimmung des Europäischen Parlaments am 16. Juni 2026 und der formalen Annahme durch den Rat am 29. Juni 2026 ist die Sache entschieden.

Was tatsächlich verschoben wird

Der Omnibus verschiebt zwei Fristenblöcke für Hochrisiko-KI:

• Eigenständige Hochrisiko-Systeme nach Anhang III – etwa im Recruiting, bei Kreditwürdigkeitsprüfungen, in der Bildung oder bei biometrischer Identifizierung – müssen die vollen Pflichten erst ab dem 2. Dezember 2027 erfüllen, statt wie ursprünglich vorgesehen ab dem 2. August 2026.
• In Produkte eingebettete Hochrisiko-KI nach Anhang I – etwa in Maschinen, Medizinprodukten oder Fahrzeugen – erhält Zeit bis zum 2. August 2028, statt bislang zum 2. August 2027.

Für Unternehmen, deren KI-Anwendungen unter diese Kategorien fallen, verschafft das echten Spielraum bei Konformitätsbewertung, technischer Dokumentation und Risikomanagementsystemen. Das ist relevant, ändert aber nichts an der Grundfrage, ob eine Anwendung überhaupt als Hochrisiko-KI einzustufen ist – diese Prüfung bleibt notwendig, nur die Frist zur Umsetzung wandert nach hinten.

Was am 2. August 2026 unverändert verbindlich wird

Der Omnibus ändert nichts an den Fristen, die bereits vor seinem Inkrafttreten feststanden. Konkret gilt ab dem 2. August 2026:

• Transparenzpflichten nach Art. 50: Chatbots und KI-Systeme, die direkt mit Menschen interagieren, müssen sich als KI zu erkennen geben, sofern das nicht ohnehin offensichtlich ist. KI-generierte Inhalte und Deepfakes müssen gekennzeichnet werden.
• Watermarking-Pflicht (Art. 50 Abs. 2): Für neu in Verkehr gebrachte Systeme gilt ebenfalls der 2. August 2026. Für Altsysteme verlängert sich die Frist bis zum 2. Dezember 2026.
• Allgemeine Anwendbarkeit des AI Act: Ab diesem Datum greift die nationale Marktüberwachung nach Art. 70 – unabhängig vom Omnibus. Der AI Act wird damit praktisch für jedes Unternehmen relevant, das KI einsetzt, nicht nur für Hochrisiko-Anbieter.

Unverändert bereits in Kraft sind zudem die Verbote bestimmter KI-Praktiken nach Art. 5 und die KI-Kompetenzpflicht nach Art. 4 (seit 2. Februar 2025) sowie die GPAI-Governance-Regeln nach Art. 51 ff. und der Bußgeldrahmen nach Art. 99 (seit 2. August 2025). Deren Durchsetzung beginnt ab August 2026.

Neu durch den Omnibus: ein zusätzliches Verbot

Der Digital Omnibus verschiebt nicht nur Fristen, er erweitert auch die Verbotsliste in Art. 5: KI-Systeme, die zur Erzeugung nicht-einvernehmlicher intimer Bildinhalte konzipiert sind – sogenannte Nudification-Tools – sowie Systeme zur Erzeugung von Missbrauchsdarstellungen sind ausdrücklich verboten. Das Verbot trifft sowohl Anbieter als auch Betreiber, Compliance ist bis zum 2. Dezember 2026 herzustellen.

Außerdem erhält das AI Office eigene Ermittlungs-, Inspektions- und Bußgeldbefugnisse und wird faktisch zur eigenständigen Marktüberwachungsbehörde. Und die bestehenden KMU-Erleichterungen werden auf eine neue Kategorie ausgeweitet: Small Mid-Cap Enterprises mit weniger als 750 Beschäftigten und bis zu 150 Mio. Euro Jahresumsatz bzw. 129 Mio. Euro Bilanzsumme profitieren künftig von denselben Sonderregeln wie KMU.

Was jetzt zu tun ist

Die Verschiebung der Hochrisiko-Fristen ist kein Grund, Compliance-Vorhaben ruhen zu lassen. Zwei Prüfungen bleiben unabhängig vom Zeitplan dringend:

• Ob eigene KI-Systeme unter Art. 50 fallen – also mit Menschen interagieren oder Inhalte generieren, die gekennzeichnet werden müssen. Diese Pflicht gilt ab dem 2. August 2026 ohne Übergangsfrist für Neusysteme.
• Ob eine Einstufung als Anbieter oder Betreiber von Hochrisiko-KI nach Anhang I oder III überhaupt zutrifft. Die neuen Fristen (2027/2028) sind kein Freibrief, sondern verschieben nur den Zeitpunkt der vollen Pflichterfüllung – die Einstufung selbst sollte bereits jetzt feststehen, damit die zusätzliche Zeit auch genutzt werden kann.

Der Bußgeldrahmen nach Art. 99 bleibt von alldem unberührt: Bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes bei Verstößen gegen die verbotenen Praktiken nach Art. 5 – unabhängig davon, ob ein Unternehmen als Hochrisiko-Anbieter gilt oder nicht.