AI Omnibus tritt in der EU in Kraft und verschiebt Hochrisikoverpflichtungen auf Dezember 2027

Die Verordnung (EU) 2026/1744, genannt Digital Omnibus on AI, wurde am 24. Juli im Amtsblatt der Europäischen Union veröffentlicht und trat drei Tage später, am 27. Juli, in Kraft. Das Dringlichkeitsverfahren diente einem engen Zeitplan: Die wichtigsten Transparenzverpflichtungen des AI Act treten am 2. August in Kraft, und Brüssel wollte das Paket vor diesem Datum abschließen, um den Anbietern und den nationalen Behörden Planungssicherheit zu geben.

Was verschoben wurde und was nicht

Die relevanteste Verschiebung betrifft die als hochriskant eingestuften Systeme im Anhang III des AI Act. Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Migration und Grenzkontrolle haben jetzt bis zum 2. Dezember 2027 Zeit, um die Verpflichtungen zu erfüllen, die am 2. August 2026 beginnen sollten, also eine Verschiebung um 16 Monate. Hochrisikosysteme, die in Produkten eingebaut sind, die bereits durch sektorspezifische Gesetze geregelt sind (zum Beispiel medizinische Geräte und Spielzeuge, die durch die CE reguliert werden), haben bis zum 2. August 2028 Zeit.

Was am ursprünglichen Datum bleibt, sind das Transparenzpaket des Artikels 50 und die allgemeinen Regeln der Artikel 51 bis 56. Ab dem 2. August muss jeder, der Unternehmens-Chatbots betreibt, den menschlichen Gesprächspartner darauf hinweisen, dass er mit einer KI spricht. Wer synthetische Bilder, Audio oder Texte generiert, muss die Ausgabe in maschinenlesbarem Format kennzeichnen. Generative Systeme, die vor diesem Datum auf den Markt gebracht wurden, haben bis zum 2. Dezember 2026 Zeit, um das Wasserzeichen anzupassen. Die Verpflichtungen für allgemeine Systeme, einschließlich der verstärkten Pflichten der Anbieter, die als systemisch gefährdet gelten, bleiben seit August 2025 in Kraft und wurden durch den Omnibus nicht berührt.

Was hinzugefügt wurde

Der Omnibus ist nicht nur eine Verschiebung. Er erweitert die absoluten Verbote des Artikels 5, um die sogenannten Nudifier-Apps einzuschließen, Werkzeuge, die nicht einvernehmliche intime Bilder erzeugen, und kriminalisiert den Einsatz von KI-Systemen zur Erstellung von Material über sexuelle Kindesmissbrauch. Das Verbot tritt sofort für neue Dienste in Kraft und gibt bestehenden Apps Zeit bis Dezember 2026, um den europäischen Markt zu verlassen. Anbieter von App-Stores und Hyperscalers sind formal verantwortlich für die Blockierung der Verteilung in der Region, was vor Jahresende zu massiven Löschungen führen sollte.

Die Reform konsolidiert auch erweiterte Befugnisse für das AI Office und die nationalen Aufsichtsbehörden, einschließlich der Möglichkeit, Informationen von Anbietern außerhalb der EU zu verlangen und internationale Wertschöpfungsketten zu bestrafen, wenn ein in einem Drittland entwickeltes Modell auf den europäischen Markt kommt. Die Extraterritorialität war im Originaltext vorgesehen und hat nun ein definiertes Betriebsverfahren.

Wie die Verschiebung außerhalb der EU wirkt

Die praktischen Auswirkungen variieren je nach Markt. In Deutschland, wo SAP, Deutsche Telekom und der Autohersteller Bosch bereits Compliance-Programme für August 2026 strukturiert hatten, befreit die Verschiebung CAPEX für Compliance für 2027 und ermöglicht eine Umverteilung des Budgets auf die überlebenden Transparenzpflichten. Der Verband Bitkom schätzt, dass die Abweichung zum neuen Zeitplan zwischen 1,2 und 1,8 Milliarden Euro an vermiedenen Betriebskosten im zwei jährigen Zeitraum für die 100 größten Unternehmen des Landes wert ist.

In Japan, wo das METI im Juli einen freiwilligen Leitfaden für Hochrisiko-KI-Betreiber veröffentlicht hat, wurde die europäische Verschiebung sofort von Vertretern der Keidanren als Argument genannt, um die heimische Regulierung nicht zu beschleunigen. NTT Data und Fujitsu, die an europäische Kunden verkaufen, haben Zeit gewonnen, um ihre Kataloge anzupassen.

Brasilien, dessen PL 2338 einen Großteil der Risikostruktur des AI Act repliziert, gerät in ein interpretatives Limbo. Der im Kongress diskutierte brasilianische Text verwendet immer noch die ursprünglichen europäischen Daten als informellen Bezug für seinen eigenen Zeitplan. Von anderen Medien konsultierte Anwaltskanzleien weisen darauf hin, dass die europäische Verschiebung den Druck für eine schnelle Abstimmung im Senat verringert und die von der CNI vertretene sektorale These begünstigt, die längere Fristen für die Schwerindustrie und die Agrarwirtschaft fordert.

Was sich für den CIO am Dienstag ändert

Der praktische Punkt ist operativ. Wer ein GenAI-Produkt für Endkunden in Europa hat, muss bis zum 2. August ein Wasserzeichen haben, sechs Tage nach Inkrafttreten. Wer interne Assistenten mit autonomem Komponenten betreibt, benötigt eine klare Offenlegung gegenüber dem Gesprächspartner. Der Rest des Hochrisiko-Compliance-Plans, der einen Großteil des Budgets 2025 in Anspruch genommen hat, kann neu terminiert werden. Das erweiterte Zeitfenster gibt Zeit zur Überprüfung der Architektur, entfernt jedoch die letzte Ausrede, um das Wesentliche zu verschieben: Die Anforderungen an die Transparenz wurden nicht um einen Tag verschoben.