Digital Omnibus: Welche AI-Act-Fristen jetzt wirklich gelten
Die Hochrisiko-Pflichten sind um mehr als ein Jahr verschoben, die Transparenzpflichten nicht. Wer weiterhin mit dem 2. August 2026 als Universalfrist wirbt, ist nicht auf dem Stand — eine Sortierung nach dem, was tatsächlich greift.
Was sich am 24. Juli 2026 geändert hat
Der sogenannte Digital Omnibus on AI wurde als Verordnung (EU) 2026/1744 am 24. Juli 2026 im Amtsblatt der Europäischen Union veröffentlicht und ist am 27. Juli 2026 in Kraft getreten — am dritten Tag nach der Veröffentlichung. Die Verordnung selbst begründet diesen ungewöhnlich knappen Vorlauf mit Dringlichkeit: Der Geltungsbeginn, den sie ändert, lag auf dem 2. August 2026, also wenige Tage später.
Inhaltlich ist der Omnibus kein neues Regelwerk, sondern ein Änderungsrechtsakt zur bestehenden KI-Verordnung. Er verschiebt Fristen, formuliert einzelne Pflichten um und erweitert die Befugnisse des KI-Büros. Die Grundarchitektur — Risikoklassen, Rollen, Sanktionsrahmen — bleibt unangetastet.
Der Omnibus lockert dabei nicht nur. Er fügt Artikel 5 zwei neue Verbote hinzu: Ab dem 2. Dezember 2026 ist es untersagt, KI-Systeme in Verkehr zu bringen oder zu verwenden, die nicht-einvernehmliche Intimdarstellungen identifizierbarer Personen oder Darstellungen sexuellen Kindesmissbrauchs erzeugen. Für den typischen Einsatz im Mittelstand ist das ohne Belang — für die Einordnung des Omnibus als reines Deregulierungspaket ist es der wichtigste Einwand.
Für die Praxis ist vor allem eines relevant: Die Verschiebung betrifft nicht alles. Wer die Meldung als generelle Entwarnung liest, übersieht den Teil, der in wenigen Tagen scharf gestellt wird.
Was am 2. August 2026 trotzdem greift
Zwei Dinge treten unverändert am 2. August 2026 in Kraft. Erstens die Transparenzpflichten nach Artikel 50: Systeme, die mit Menschen interagieren, müssen als KI erkennbar sein, generative Ausgaben maschinenlesbar markiert und Deepfakes offengelegt werden. Zweitens die volle Anwendbarkeit der Verordnung samt Marktaufsicht. Deren nationale Grundlage steht seit Kurzem: Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) passierte am 10. Juli 2026 den Bundesrat und bündelt die Aufsicht bei der Bundesnetzagentur — mit der Koordinierungsstelle KoKIVO, einem KI-Service-Desk für kleinere Unternehmen und einem Reallabor.
Ein verbreitetes Missverständnis betrifft dabei die Sanktionen: Kapitel XII der Verordnung gilt bereits seit dem 2. August 2025, nicht erst ab 2026. Neu ist am 2. August 2026 nicht der Bußgeldrahmen, sondern dass Artikel 50 überhaupt anwendbar wird — vorher konnte man dagegen schlicht nicht verstoßen.
Der Rahmen selbst staffelt sich nach Schwere: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken nach Artikel 5, bis zu 15 Millionen Euro oder 3 Prozent für die übrigen Anbieter- und Betreiberpflichten einschließlich Artikel 50. Für Unternehmen gilt dabei der höhere der beiden Werte — für kleine und mittlere Unternehmen und Start-ups dreht Artikel 99 Absatz 6 das jedoch um: dort gilt der niedrigere. Diese Deckelung wird in vielen Übersichten unterschlagen, obwohl sie für den Mittelstand die praktisch relevantere Zahl ist.
Eine Erleichterung gibt es zudem bei der Kennzeichnung: Für generative Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, gilt für die maschinenlesbare Markierung nach Artikel 50 Absatz 2 eine viermonatige Übergangsfrist bis zum 2. Dezember 2026. Der Hinweis, dass man mit einer Maschine spricht, ist davon nicht erfasst.
Was verschoben wurde — und um wie viel
Verschoben wurden die Pflichten für Hochrisiko-KI, und zwar deutlich. Eigenständige Systeme nach Anhang III — dazu zählen Anwendungen in der Personalauswahl, bei der Kreditwürdigkeitsprüfung oder beim Zugang zu wesentlichen Diensten — müssen die Anforderungen erst zum 2. Dezember 2027 erfüllen statt zum 2. August 2026. In Produkte eingebettete Systeme nach Anhang I bekommen bis zum 2. August 2028 Zeit, zuvor war der 2. August 2027 vorgesehen.
Das sind sechzehn beziehungsweise zwölf zusätzliche Monate für den aufwendigsten Teil der Verordnung: Risikomanagementsystem, Anforderungen an Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht und Konformitätsbewertung.
Praktisch bedeutet die Verschiebung nicht, dass man das Thema wegräumen kann. Sie bedeutet, dass die Reihenfolge sich ändert: Erst die Transparenzpflichten, die in Tagen greifen, dann in Ruhe die Hochrisiko-Frage — sofern sie überhaupt einschlägig ist, was bei den meisten mittelständischen Anwendungen nicht der Fall ist.
Was aus der Schulungspflicht geworden ist
Artikel 4 zur KI-Kompetenz wurde umformuliert und dabei spürbar entschärft. Die ursprüngliche Fassung verpflichtete Anbieter und Betreiber, nach besten Kräften sicherzustellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Nach dem Omnibus geht es darum, die Entwicklung dieser Kompetenz zu unterstützen — eine Bemühens- statt einer Ergebnispflicht.
Das ist deshalb bemerkenswert, weil sich um Artikel 4 ein kleiner Markt gebildet hat. Zahlreiche Anbieter bewerben Pflichtschulungen mit Verweis auf drohende Bußgelder — obwohl Artikel 4 in der Aufzählung des Artikels 99 gar nicht vorkommt und damit keinen eigenen Bußgeldrahmen hat. Die Pflicht wurde durch den Omnibus nun zusätzlich abgeschwächt.
Sinnvoll bleibt eine dokumentierte Kurzschulung trotzdem, nur aus anderen Gründen: Sie verhindert, dass Beschäftigte mangels Alternative auf private Zugänge ausweichen und dabei Firmendaten in fremde Systeme eingeben. Das ist ein reales Risiko — anders als das Bußgeld, mit dem geworben wird.
Wie man die verbleibende Zeit sinnvoll nutzt
Der pragmatischste erste Schritt ist eine Bestandsaufnahme: Welche KI-Systeme laufen im Unternehmen überhaupt, und in welcher Rolle stehen Sie jeweils? Wer ein System unter eigenem Namen bereitstellt, ist Anbieter und trägt die Gestaltungspflichten aus Artikel 50. Wer ein fremdes System im Arbeitsalltag nutzt, ist Betreiber mit deutlich schlankeren Pflichten. Viele Unternehmen sind beides zugleich, ohne es zu wissen.
Aus dieser Liste ergibt sich die Arbeitsreihenfolge fast von selbst. Kundenseitig sichtbare Systeme zuerst, weil dort die Transparenzpflicht unmittelbar greift und ein fehlender Hinweis von außen erkennbar ist. Interne Werkzeuge danach, weil es dort primär um Dokumentation geht.
Was sich vermeiden lässt, ist der umgekehrte Weg: ein umfangreiches Compliance-Projekt für Hochrisiko-Anforderungen aufzusetzen, die erst Ende 2027 greifen und für die eigene Anwendung womöglich nie einschlägig sind — während der Chatbot auf der Startseite in wenigen Tagen ohne Kennzeichnung läuft.
Wer die Details nachlesen will, findet sie in zwei Dokumenten der Kommission: den Leitlinien zu Artikel 50, angenommen am 20. Juli 2026, sowie dem Code of Practice on Transparency of AI-Generated Content vom 10. Juni 2026. Beide sind rechtlich unverbindlich, in der Praxis aber der Maßstab, an dem die Marktaufsicht die Umsetzung messen wird.