EU AI Act 2026: Was sich wirklich geändert hat

Eigentlich sollte 2026 das Jahr sein, in dem die härtesten Regeln des EU AI Act in Kraft treten – tatsächlich brachte es eher eine Verschnaufpause. Am 27. Juli 2026 trat das sogenannte „Digital Omnibus"-Paket in Kraft und verschob genau jene Fristen, die Compliance-Teams zuvor den Schlaf geraubt hatten – wenn auch nicht so viele, wie manche Schlagzeilen vermuten ließen.

Die verschobenen Fristen

Die Pflichten für Hochrisiko-KI-Systeme nach Anhang III – etwa Rekrutierungstools, Kreditscoring-Modelle, Systeme für Strafverfolgungsbehörden sowie KI in den Bereichen Bildung und Grenzkontrolle – sollten eigentlich am 2. August 2026 greifen. Der Omnibus verschiebt diesen Termin auf den 2. Dezember 2027 – eine Verzögerung von rund sechzehn Monaten.

KI, die in regulierte physische Produkte eingebettet ist (Anhang I: Maschinen, Medizinprodukte, Fahrzeuge, Aufzüge, Spielzeug), erhält eine ähnliche Atempause und verschiebt sich vom 2. August 2027 auf den 2. August 2028.

Auch die Frist für die EU-Mitgliedstaaten, KI-Reallabore einzurichten – überwachte Umgebungen, in denen Unternehmen KI-Systeme unter Aufsicht der Regulierungsbehörden testen können –, verschob sich um ein Jahr, von August 2026 auf August 2027, hinzu kommt ein neues Reallabor auf EU-Ebene, das kleineren Unternehmen einen einzigen zentralen Zugang bieten soll, statt sich mit siebenundzwanzig verschiedenen nationalen Verfahren auseinandersetzen zu müssen.

Was sich nicht geändert hat

Hier ein Punkt, der all jenen ins Stammbuch geschrieben werden sollte, die bei „AI Act verschoben" annehmen, das gesamte Regelwerk liege auf Eis: Die Transparenzpflichten nach Artikel 50 bleiben unverändert im Zeitplan. Interagiert ein Produkt mit Nutzern in einer Weise, die mit menschlichem Verhalten verwechselt werden könnte, oder erzeugt es synthetische Audio-, Video-, Bild- oder Textinhalte, muss dies weiterhin gemäß dem ursprünglichen Zeitplan zum 2. August 2026 offengelegt werden. Es gibt eine engere Übergangsfrist – bis zum 2. Dezember 2026 – speziell für die Kennzeichnung (Wasserzeichen) bereits im Einsatz befindlicher Systeme nach Artikel 50 Absatz 2, doch die eigentliche Offenlegungspflicht selbst wurde nicht wie die Hochrisiko-Vorgaben auf 2027 verschoben.

Der AI Act enthält zudem ein neues, eng gefasstes Verbot: KI-Systeme, die nicht einvernehmliche intime Bildinhalte oder Darstellungen von sexuellem Kindesmissbrauch erzeugen, sind nun ausdrücklich nach Artikel 5 untersagt, mit einer kurzen Übergangsfrist bis Dezember 2026.

Die stilleren Änderungen

Ein paar Anpassungen sind für Schlagzeilen weniger relevant, für alle, die tatsächlich ein Compliance-Programm aufbauen, aber umso wichtiger:

• Wer als „klein" gilt. Der erleichterte Compliance-Pfad, der bisher nur für KMU galt, gilt nun auch für kleine Unternehmen mittlerer Kapitalisierung (Small Mid-Caps) – eine spürbare Erweiterung des Kreises, der den einfacheren Weg nutzen kann.
• KI-Kompetenz wurde weicher formuliert, nicht strenger. Artikel 4 legte ursprünglich nahe, dass Organisationen garantieren mussten, dass ihr Personal ein bestimmtes Kompetenzniveau erreicht. Der überarbeitete Text verlangt stattdessen, die Weiterbildung der Mitarbeitenden zu unterstützen – auf dem Papier eine niedrigere Hürde, auch wenn ein echtes Schulungsprogramm dadurch eher zu einem Unterscheidungsmerkmal wird als zu einem bloßen Compliance-Häkchen, nicht weniger.
• Die Datenverarbeitung zur Bias-Erkennung wurde ausgeweitet. Organisationen dürfen nun besondere Kategorien personenbezogener Daten verarbeiten, um algorithmische Verzerrungen (Bias) bei allen KI-Systemen und KI-Modellen mit allgemeinem Verwendungszweck zu erkennen und zu korrigieren, nicht nur bei Hochrisiko-Systemen – eine praxisnahe Erleichterung, die anerkennt, dass sich oft nicht beheben lässt, was die alten Regeln gar nicht erst zu messen erlaubten.
• Der Zuständigkeitsbereich des KI-Büros wuchs. Die Durchsetzungsbefugnisse gegenüber KI-Modellen mit allgemeinem Verwendungszweck und großen Online-Plattformen wurden ausgeweitet – und das, während anderswo Pflichten gelockert wurden. Ein bemerkenswertes Signal dafür, wo sich die regulatorische Aufmerksamkeit tatsächlich konzentriert.

Was das für Laien bedeutet

All das ist kein Grund, die Vorbereitung einzustellen. Nahezu jede juristische Analyse des Omnibus kommt sinngemäß zum selben Schluss: Der zusätzliche zeitliche Spielraum ist dafür gedacht, eine echte Compliance-Infrastruktur aufzubauen – nicht dafür, das Projekt auf Eis zu legen. Wenn überhaupt, ist ein längerer Zeitrahmen mit einer mittendrin weiterhin geltenden Transparenzfrist eine schwierigere Gratwanderung, als es eine einzige klare Frist gewesen wäre – gefragt ist nun ein gestaffelter Plan statt eines einmaligen Kraftakts.

Ein Punkt, der eine genaue rechtliche Einordnung verdient: Der Digital Omnibus wurde am 24. Juli 2026 offiziell im Amtsblatt der EU veröffentlicht (als Verordnung (EU) 2026/1744) und trat drei Tage später, am 27. Juli, in Kraft – die oben genannten Daten sind also der verbindliche Rechtstext und nicht nur eine politische Einigung, die noch auf ihre Verschriftlichung wartet.