Im Frühjahr 2026 war die Verunsicherung groß. Die EU verhandelte über den Digital-Omnibus, und viele Unternehmen lasen daraus eine Pause beim AI Act. Inzwischen ist klar, was sich geändert hat und was nicht.
Die Omnibus-Verordnung
Nach der Einigung am 7. Mai 2026 stimmten Parlament (16. Juni) und Rat (29. Juni) zu. Die Verordnung (EU) 2026/1744 erschien am 24. Juli im Amtsblatt und gilt seit dem 27. Juli 2026R. Sie verschiebt vor allem die Pflichten für Hochrisiko-Systeme. Gestrichen wurde keine Pflicht.
Der Zeitplan
| Datum | Was gilt |
|---|---|
| 01.08.2024 | AI Act in Kraft |
| 02.02.2025 | Verbotene Praktiken (Art. 5) und AI-Kompetenz (Art. 4) |
| 02.08.2025 | Pflichten für Anbieter von General-Purpose-AI |
| 27.07.2026 | Omnibus in Kraft, Art. 4 neu gefasst |
| 02.08.2026 | Transparenzpflichten nach Art. 50 |
| 02.12.2026 | Ende der Kennzeichnungs-Schonfrist für bestehende Systeme, zwei neue Verbote |
| 02.12.2027 | Hochrisiko-Systeme nach Anhang III, etwa Personal, Kredit, Bildung |
| 02.08.2028 | Hochrisiko-Systeme nach Anhang I, also in regulierten Produkten |
Was das für die meisten Unternehmen heißt
AI-Kompetenz (Art. 4): Die Pflicht gilt seit Februar 2025. Die neue Fassung verlangt Maßnahmen zur Förderung der AI-Kompetenz, keine Garantie eines bestimmten Niveaus pro Person. Kommentare zur neuen Fassung sind noch uneinheitlich. Dokumentierte Schulungen sind der sichere Weg.
Transparenz (Art. 50): Seit dem 2. August 2026 müssen Menschen erkennen können, wenn sie mit einem AI-System interagieren, etwa mit einem Chatbot. Für bestimmte generierte Inhalte gelten Kennzeichnungspflichten.
Datenschutz: Der AI Act ersetzt die DSGVO nicht. Die Datenschutzkonferenz hat 2024 eine Orientierungshilfe veröffentlicht. Die Kernpunkte: Das Unternehmen ist verantwortlich, braucht einen Auftragsverarbeitungsvertrag, sollte Tools ohne Training auf Eingaben bevorzugen, interne Richtlinien schreiben und prüfen, ob eine Datenschutz-Folgenabschätzung nötig ist.
Der Ablauf: Governance in sieben Schritten
- 01StartAI-Inventar: Welche Systeme nutzen wir wofür?
- 02PrüfungVerbotene Praxis oder Hochrisiko nach Anhang III?ja: Juristische Prüfung, Fristen 02.12.2026 und 02.12.2027 einplanen
- 03SystemAuftragsverarbeitungsverträge prüfen
- 04SystemAI-Richtlinie schreiben
- 05MenschSchulungen durchführen und dokumentieren
- 06SystemTransparenzhinweise nach Art. 50 setzen
- 07ErgebnisReview jedes Halbjahr
Grenzen und Risiken
- Falsche Sicherheit: „Omnibus heißt Pause“ ist falsch. Kompetenz, Transparenz und Verbote gelten bereits.
- Hochrisiko unterschätzt: Wer HR- oder Kreditentscheidungen mit AI unterstützt, muss jetzt planen. Die Fristen bis Dezember 2027 sind kurz für Dokumentation und Aufsicht.
- Keine Rechtsberatung: Dieser Artikel ordnet ein. Für den Einzelfall braucht es juristische Prüfung.
So startest du
- Lege ein AI-Inventar an: System, Zweck, Datenarten, Anbieter, verantwortliche Person.
- Markiere alles, was Personalentscheidungen, Kredit oder Bildung berührt.
- Prüfe für jedes Tool den Auftragsverarbeitungsvertrag und die Trainingsnutzung.
- Plane Schulungen für alle, die AI nutzen, und dokumentiere die Teilnahme.
Quellen
- RVerordnung (EU) 2024/1689 (AI Act)
- RCloud Security Alliance: EU AI Act's High-Risk Deadline: Deferred, Not Cancelled
- RGibson Dunn: EU AI Act Omnibus Agreement, Postponed High-Risk Deadlines
- RLaw and Technology: AI literacy, the Digital Omnibus rewrites Article 4 of the AI Act
- RDatenschutzkonferenz: Orientierungshilfe Künstliche Intelligenz und Datenschutz, 06.05.2024