Der sogenannte KI-Omnibus ist laut der Zusammenfassung des Sicherheitsdienstleisters usd am 27. Juli 2026 in Kraft getreten. Das Europäische Parlament hatte ihn am 16. Juni angenommen, der Rat am 29. Juni gebilligt. Er ändert den EU AI Act an mehreren Stellen — vor allem bei den Fristen.

Was der Omnibus ändert

Die Pflichten für Hochrisiko-KI werden verschoben, weil Normen und Hilfsmittel noch fehlen. Die materiellen Anforderungen selbst bleiben nach Einschätzung der Fachleute im Kern bestehen: Risikomanagement, Daten-Governance, technische Dokumentation und menschliche Aufsicht.

Die neuen Fristen

  • Eigenständige Hochrisiko-Systeme (Anhang III): spätestens 2. Dezember 2027 (vorher 2. August 2026)
  • In regulierte Produkte eingebettete KI (Anhang I): spätestens 2. August 2028

Was nicht wartet

Die Transparenzpflichten nach Art. 50 gelten weiterhin ab dem 2. August 2026; für die maschinenlesbare Kennzeichnung von KI-Inhalten bei bereits vor diesem Datum in Verkehr gebrachten Systemen läuft eine Frist bis 2. Dezember 2026. Auch die Bußgelder für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck sind seit August 2026 durchsetzbar. Die Pflicht zur KI-Kompetenz (Art. 4) wurde abgeschwächt: Statt ein hinreichendes Niveau sicherzustellen, müssen Unternehmen Maßnahmen zur Förderung ergreifen.

Aufschub bei den Fristen ist kein Aufschub beim Risiko: Die KI-Tools sind im Unternehmen längst im Einsatz.

Fazit

Die Verschiebung schafft Luft, ersetzt aber keine Inventur. Wer nicht weiß, welche KI-Dienste im Haus genutzt werden, kann weder Datenschutz noch Compliance beurteilen. Der erste Schritt bleibt eine Bestandsaufnahme samt klarer Nutzungsregeln — siehe auch unseren Beitrag zur Schatten-KI.

Hinweis: Stand Oktober 2026, keine Rechtsberatung. Für die verbindliche Einordnung ist der Gesetzestext maßgeblich.