Die Frist vom 2. August wurde verschoben. Was der Digital Omnibus wirklich geändert hat — und was weiterhin fällig wird.

Kurzfassung: Der Digital Omnibus hat die Hochrisiko-Pflichten des EU AI Act auf Dezember 2027 und August 2028 verschoben — die Transparenzregeln nach Artikel 50 greifen aber weiterhin am 2. August 2026, und neue verbotene Praktiken kommen im Dezember 2026. Die Frist hat sich verschoben; die zuerst fällige Pflicht nicht.

Fast zwei Jahre lang stand in jedem EU-AI-Act-Briefing dieselbe Zahl: 2. August 2026. Das war der Tag, an dem die Hochrisiko-Pflichten greifen sollten. Wir haben die Fahrpläne unserer Kunden darauf ausgerichtet. Die halbe Compliance-Branche hat es genauso gemacht.

Dieses Datum hat sich verschoben. Der Digital Omnibus zur KI — vom Europäischen Parlament am 16. Juni 2026, vom Rat am 29. Juni 2026 angenommen und ab Juli 2026 in Kraft — hat den AI Act neu getaktet. Die zentralen Hochrisiko-Pflichten wurden um zwölf bis achtzehn Monate nach hinten geschoben. Doch — und hier habe ich aus nächster Nähe mitverfolgt, wie die Nachricht falsch gelesen wird — der 2. August 2026 bleibt eine geltende Frist. Nur für eine andere Pflicht.

Wenn Sie nur einen Absatz lesen, dann diesen: Die Transparenzregeln nach Artikel 50 gelten weiterhin ab dem 2. August 2026 und wurden nicht verschoben. Der schwere Apparat aus Dokumentation und Aufsicht für Hochrisiko rückte auf Dezember 2027 und August 2028. Neue verbotene Praktiken kommen im Dezember 2026. „Die Frist wurde verschoben“ stimmt — „also können wir uns zurücklehnen“ ist der falsche Schluss. So sieht das ganze Bild aus — und was es für einen mittelständischen DACH-Betreiber bedeutet.

Dieser Beitrag ersetzt unseren früheren Leitfaden Der EU AI Act: der 5-Schritte-Plan für den DACH-Mittelstand, der auf den Zeitplan vor dem Omnibus ausgerichtet war. Die dortige Fünf-Schritte-Methode gilt weiterhin; die Datumsangaben nicht. Für den aktuellen Zeitplan lesen Sie diesen Beitrag.

Was wann angenommen wurde

Der AI Act selbst — Verordnung (EU) 2024/1689 — ist seit August 2024 gestaffelt in Kraft. Verbotene Praktiken sind seit Februar 2025 untersagt. Die Regeln für KI-Modelle mit allgemeinem Verwendungszweck kamen 2025 hinzu. Der große verbleibende Meilenstein war das Hochrisiko-Regime.

Der Digital Omnibus ist kein neues Gesetz, das den AI Act ersetzt. Er ist ein Paket zur Vereinfachung und Neutaktung, das ihn ändert — und mehrere weitere Rechtsakte zugleich. Was die KI betrifft, ändert er drei Dinge, die für Sie zählen:

1. Er legt die Geltungstermine neu fest, verschiebt die Hochrisiko-Pflichten nach hinten und belässt die Transparenzpflichten dort, wo sie waren.
2. Er führt eine neue Kategorie „Small Mid-Cap“ (SMC) ein — eine Größenklasse oberhalb der KMU — mit reduziertem Verwaltungsaufwand. Wenn Sie ein mittelständisches Unternehmen sind, für das die KMU-Ausnahmen nie ganz passten, richtet sich das an Sie.
3. Er läuft parallel zu einem Daten-Omnibus-Strang, der DSGVO, ePrivacy, NIS2 und den Data Act berührt — dieselbe Reformwelle formt also Pflichten um, die Sie ohnehin tragen, nicht nur die KI-bezogenen.

Die Reihenfolge der Annahme zählt aus einem praktischen Grund: Die folgenden Termine sind nun geltendes Recht, kein Entwurf, auf dessen Scheitern Sie setzen könnten. Parlament im Juni, Rat im Juni, in Kraft im Juli. Planen Sie entsprechend.

Der neue Zeitplan

Hier ist der korrigierte Zeitplan. Jedes regulatorische Datum, das wir veröffentlichen, wird dagegen geprüft — wenn Sie auf unserer Seite oder anderswo einen älteren Beitrag sehen, der noch den „2. August 2026“ als Hochrisiko-Frist nennt, stammt er aus der Zeit vor dem Omnibus.

Zwei dieser Termine liegen früher als der alte Hochrisiko-Stichtag, auf den alle ihre Planung ausgerichtet hatten. Genau das geht verloren, wenn „die Frist wurde verschoben“ zur einzigen Botschaft wird.

Was weiterhin am 2. August 2026 fällig wird: Artikel 50 in der Praxis

Artikel 50 ist die Transparenzebene. Er ist kurz, die Umsetzung ist günstig, und er betrifft einen großen Teil der KI, die mittelständische Unternehmen tatsächlich betreiben. Der Omnibus hat ihn nicht angerührt. Er gilt ab dem 2. August 2026.

Konkret vier Pflichten:

• KI, mit der man interagiert, muss sich zu erkennen geben. Ein Chatbot, ein Sprachassistent, ein KI-Sprachdienst am Telefon — die Person am anderen Ende muss erkennen können, dass sie es mit einer Maschine zu tun hat, sofern es nicht offensichtlich ist. Wenn Sie einen Support-Bot auf Ihrer Website betreiben, betrifft das Sie.
• Synthetische Medien müssen maschinenlesbar gekennzeichnet sein. Texte, Bilder, Audio und Video, die Ihre Systeme erzeugen, müssen so markiert sein, dass nachgelagerte Werkzeuge sie erkennen können. Das ist die maschinenlesbare Kennzeichnungspflicht nach Art. 50(2) — der Teil mit drei Monaten Übergangsfrist für Bestandssysteme, fällig am 2. Dezember 2026.
• Deepfakes müssen für den Betrachter gekennzeichnet sein. Wenn Sie Bild-, Audio- oder Videoinhalte erzeugen oder manipulieren, die realen Personen, Orten oder Ereignissen ähneln, muss dies als künstlich erzeugt offengelegt werden.
• Systeme zur Emotionserkennung und biometrischen Kategorisierung müssen die betroffenen Personen informieren.

Wenn Ihre KI nie einem Kunden, Partner oder der Öffentlichkeit begegnet — etwa ein Prognosemodell, das nur einen internen Planer speist —, geht Artikel 50 weitgehend an Ihnen vorbei. Aber legen Sie den Begriff „intern“ nicht zu großzügig aus. Eine KI, die Kunden-E-Mails entwirft, eingehende Leads bewertet, die daraufhin eine menschlich klingende automatische Antwort erhalten, oder Marketingtexte erzeugt — die wirkt nach außen.

Was auf 2027 / 2028 gerückt ist — und warum „zurücklehnen“ die falsche Lesart ist

Das Hochrisiko-Regime ist das schwere: technische Dokumentation, Daten-Governance-Nachweise, Gestaltung der menschlichen Aufsicht, Logging, Marktbeobachtung, Konformitätsbewertung. Genau das hat sich verschoben.

• Eigenständige Anhang-III-Systeme — die klassischen Hochrisiko-Fälle wie KI in Recruiting, Bonitätsbewertung oder Zugang zu wesentlichen Diensten — gelten nun ab dem 2. Dezember 2027 (zuvor 2. August 2026).
• Eingebettete Anhang-I-Systeme — KI als Sicherheitskomponente eines Produkts, das bereits dem EU-Produktrecht unterliegt (Maschinen, Medizinprodukte usw.) — gelten nun ab dem 2. August 2028 (zuvor 2. August 2027).

Zwölf bis achtzehn Monate mehr. Ich verstehe die Versuchung, den Ordner zuzuklappen. Drei Gründe, es nicht zu tun:

Erstens: Die früheren Pflichten kümmert das Hochrisiko-Datum nicht. Transparenz (Aug. 2026) und erweiterte verbotene Praktiken (Dez. 2026) liegen beide vor der Stelle, an der die Hochrisiko-Arbeit nun sitzt. Wenn Sie den ganzen AI Act unter „Problem für 2026“ abgelegt und dann „Frist auf 2027 verschoben“ gehört haben, sind jetzt zwei Pflichten still überfällig, während Sie sich entspannen.

Zweitens: Hochrisiko-Compliance ist teuer nachzurüsten. Die Dokumentations- und Logging-Pflichten sind mühsam nachträglich anzuschrauben und mühelos einzubauen. Wenn Sie 2026 ein Anhang-III-System bauen oder beschaffen — ein neues Bewerbermanagement-Modell, ein Kreditscoring-System —, ist die zusätzliche Zeit ein Geschenk, um es richtig zu machen, kein Grund, es nicht-konform zu bauen und später zu flicken. Audit-taugliches Logging in ein laufendes Modell nachzurüsten ist der teuerste Fehler, den wir sehen.

Drittens: Der Einkauf ist dem Gesetz voraus. Großkunden und DACH-Ausschreibungen der öffentlichen Hand verlangen AI-Act-Reife bereits in den RFPs. Wir haben im Q1 2026 erlebt, dass Deals daran hingen — lange vor jedem Hochrisiko-Datum. Die Compliance-Kalender Ihrer Kunden sind strenger als der der Verordnung.

Der überarbeitete 5-Schritte-Plan für den DACH-Mittelstand

Die Methode aus unserem ursprünglichen Leitfaden übersteht den Omnibus unverändert — nur die Reihenfolge ändert sich, weil nun die Transparenz der kurzfristige Treiber ist, nicht Hochrisiko. Dieselben fünf Schritte, ausgerichtet auf die tatsächlichen Daten.

1. 01

   Jedes KI-System inventarisieren — und markieren, was nach außen wirkt

   Erfassen Sie jedes KI-System, das Sie nutzen, bauen oder einbetten: kommerzielle Tools (ChatGPT Enterprise, Copilot, Salesforce Einstein), eigene Modelle, ML in bestehender Software, Drittanbieter-APIs. Halten Sie für jedes ein neues Feld fest, das der Omnibus dringlich macht: Interagiert es mit einem Kunden, Partner oder der Öffentlichkeit oder erzeugt es Inhalte für sie? Diese Markierung bestimmt, wie stark Artikel 50 Sie betrifft. Die meisten mittelständischen Unternehmen finden 5–15 Systeme, wenn sie genau hinschauen.

   ⏱ 1–2 Wochen

2. 02

   Artikel 50 zuerst abschließen

   Ergänzen Sie für jedes nach außen wirkende System die Transparenzmaßnahmen: Bot-Kennzeichnung, Markierung synthetischer Inhalte, Deepfake-Kennzeichnung, Hinweis bei Emotionserkennung. Das ist die Pflicht zum 2. August 2026 und sie ist günstig — erledigen Sie sie jetzt, solange sie das bindende Datum ist, nicht danach. Die maschinenlesbare Kennzeichnung für Bestandssysteme hat bis zum 2. Dezember 2026 Zeit, doch machen Sie sie im selben Durchgang.

   ⏱ 1–2 Wochen

3. 03

   Risiko klassifizieren — und die Verbotsliste prüfen

   Klassifizieren Sie jedes System nach Risikostufe anhand von Anhang III für Hochrisiko-Bereiche. Prüfen Sie es dann gegen die verbotenen Praktiken, die sich am 2. Dezember 2026 um neue Kategorien wie die NCII/CSAM-Erzeugung erweitern. Ein Verbot geht allem vor: Eine verbotene Nutzung ist kein Dokumentationsproblem, sondern ein Sofort-Stopp-Problem. Im Zweifel klassifizieren Sie höher.

   ⏱ 1 Woche

4. 04

   Hochrisiko-Dokumentation und -Aufsicht aufbauen — nach dem neuen Zeitplan

   Für Anhang-III-Systeme haben Sie nun bis zum 2. Dezember 2027 Zeit, für eingebettete Anhang-I-Systeme bis zum 2. August 2028. Nutzen Sie die Laufzeit, um Dokumentation, Daten-Governance-Nachweise, Aufsichtsabläufe und Logging in das System einzubauen, statt sie anzuschrauben. Wenn Sie 2026 ein Hochrisiko-System bauen oder kaufen, machen Sie Compliance jetzt zur Bauanforderung — die Nachrüstung ist der teure Weg.

   ⏱ Je nach System; ab Entwurfszeit

5. 05

   Monitoring aufsetzen und das Inventar aktuell halten

   Richten Sie Logging, Drift- und Leistungs-Monitoring, Vorfallmeldung und regelmäßige Neuklassifizierung ein. Ihr Inventar ist kein einmaliges Dokument — jeden Monat kommen neue Tools hinzu, und jedes öffnet die Artikel-50-Frage erneut. Bestimmen Sie einen Verantwortlichen (meist wer heute Datenschutz oder IT-Compliance verantwortet) mit Mandat und Zeit, es aktuell zu halten.

   ⏱ Laufend; Einrichtung 1–2 Wochen

Wenn Sie ein Small Mid-Cap nach der neuen SMC-Definition sind, achten Sie auf die Regelungen zum reduzierten Aufwand, sobald die Durchführungsdetails der Kommission vorliegen — leichtere Dokumentation und Berichterstattung als im vollen Regime, zugeschnitten auf Unternehmen Ihrer Größe. Das befreit Sie nicht von den Kernpflichten; es passt sie Ihrer Größe an.

Was Sie in den nächsten 30 Tagen tun sollten

Sie brauchen diesen Monat kein Governance-Programm. Sie brauchen vier Schritte:

1. Das Inventar erstellen. Eine Tabelle, jedes KI-System, eine Spalte für „wirkt gegenüber Kunde/Partner/Öffentlichkeit“. Ein Tag Arbeit mit den richtigen Leuten an einem Tisch. Alles Weitere hängt daran.
2. Bots und erzeugte Inhalte für Artikel 50 in Ordnung bringen. Überall dort, wo eine KI mit jemandem spricht oder Inhalte erzeugt, die jemanden erreichen, ergänzen Sie die Offenlegung. Das ist die Pflicht zum 2. August 2026 und der schnellste Erfolg auf der Liste.
3. Auf verbotene Nutzung prüfen. Gleichen Sie Ihr Inventar mit den verbotenen Praktiken ab, einschließlich der Ergänzungen vom Dezember 2026. Landet etwas dort, eskalieren Sie es heute — das ist die einzige Kategorie, in der „später“ keine Option ist.
4. Ihren Fahrplan neu datieren. Wenn ein interner Plan, eine Vorstandspräsentation oder ein Lieferantenvertrag noch „Hochrisiko-Compliance bis August 2026“ sagt, korrigieren Sie es auf den 2. Dezember 2027 (Anhang III) oder 2. August 2028 (Anhang I). Falsche Daten im Fahrplan erzeugen beides — falsche Panik und falsche Ruhe.

Der Omnibus hat niemanden aus der Pflicht entlassen. Er hat die größte Pflicht auf ein vernünftigeres Datum verschoben und die günstigen, kurzfristigen genau dort belassen, wo sie waren. Die Unternehmen, die das als „bis 2027 sind wir fertig“ lesen, sind jene, die den August verpassen.

Wo Sie tatsächlich stehen

Wenn Sie nicht sicher sind, ob Ihre KI-Nutzung nach außen wirkt, hochriskant ist oder die Verbotsliste streift, ist das die eigentliche Frage — und sie lässt sich mit dem richtigen Inventar an einem Nachmittag beantworten. Oleks baut die technischen Kontrollen und das Logging; ich verantworte die Klassifizierung und das Compliance-Rahmenwerk. Gemeinsam decken wir beide Seiten ab: die Unterlagen und die Infrastruktur, die sie durchsetzbar macht.