Kurz beantwortet

Was hat der Digital Omnibus am EU AI Act geändert?

Mit der Verordnung (EU) 2026/1744 wurden vor allem die Fristen für Hochrisiko-KI verschoben: Die Anforderungen gelten nun ab 02.12.2027 für Systeme nach Anhang III und ab 02.08.2028 für KI in Produkten nach Anhang I. Die Pflicht zur KI-Kompetenz (Art. 4) verlangt jetzt Maßnahmen zur Unterstützung, aber kein garantiertes Niveau. Unverändert gelten die Verbote seit 2025 und die allgemeine Anwendung seit 02.08.2026, einschließlich der Transparenzpflichten.

Der EU AI Act ist seit 01.08.2024 in Kraft und gilt schrittweise. 2026 hat die EU mit dem sogenannten Digital Omnibus nachgeschärft: Einige Fristen wurden verschoben, einzelne Pflichten angepasst. Für Unternehmen heißt das nicht „abwarten“, sondern „richtig priorisieren“.

Warum verschoben wurde

Laut den Erwägungsgründen der Verordnung (EU) 2026/1744 waren harmonisierte Normen, gemeinsame Spezifikationen und Leitlinien nicht rechtzeitig verfügbar, und nationale Behörden waren noch nicht eingerichtet. Ein Start der Hochrisiko-Pflichten im August 2026 wäre daher nicht verhältnismäßig gewesen.

Die neuen Fristen

  • 02.12.2027: Anforderungen an Hochrisiko-KI-Systeme nach Anhang III – etwa in Personalwesen, Bildung oder Kreditwürdigkeitsprüfung.
  • 02.08.2028: Hochrisiko-KI als Bestandteil regulierter Produkte nach Anhang I – etwa Maschinen oder Medizinprodukte.
  • 02.12.2026: Zusätzliche Verbote, die mit der Änderung eingefügt wurden.

Was unverändert gilt

  • Seit 02.02.2025: Verbotene KI-Praktiken und die Regeln zur KI-Kompetenz.
  • Seit 02.08.2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, Governance und Sanktionen.
  • Seit 02.08.2026: allgemeine Anwendung der Verordnung, darunter die Transparenzpflichten – etwa der Hinweis, dass Menschen mit einer KI interagieren, und die Kennzeichnung bestimmter KI-generierter Inhalte.

KI-Kompetenz: angepasst, nicht abgeschafft

Art. 4 verpflichtet Anbieter und Betreiber weiterhin, Maßnahmen zu ergreifen, um die KI-Kompetenz ihres Personals zu unterstützen. Neu ist die Klarstellung, dass kein bestimmtes Kompetenzniveau einzelner Personen garantiert werden muss. Praktisch bleiben Schulungen, Leitfäden und klare Nutzungsregeln der richtige Weg – mehr dazu im Artikel KI-Kompetenz nach Art. 4.

Was Unternehmen jetzt tun sollten

  1. KI-Inventar erstellen: Welche KI-Systeme werden entwickelt, eingekauft oder von Mitarbeitenden genutzt?
  2. Einstufen: Risikoklasse und Rolle – Anbieter oder Betreiber – bestimmen.
  3. Sofort-Pflichten erfüllen: Verbote prüfen, KI-Kompetenz fördern, Transparenz umsetzen.
  4. Hochrisiko vorbereiten: Wer betroffen ist, nutzt die gewonnene Zeit für Risikomanagement, Dokumentation und menschliche Aufsicht.
  5. Struktur schaffen: Ein KI-Managementsystem nach ISO/IEC 42001 hilft, die Anforderungen dauerhaft zu steuern.

Anbieter oder Betreiber?

Die Pflichten hängen stark von der Rolle ab. Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen in Verkehr – sie tragen bei Hochrisiko-Systemen die umfangreichsten Pflichten, etwa Konformitätsbewertung und technische Dokumentation. Betreiber setzen ein KI-System in eigener Verantwortung beruflich ein; sie müssen es bestimmungsgemäß nutzen, menschliche Aufsicht sicherstellen und bei Hochrisiko-Systemen Protokolle aufbewahren. Wer ein fremdes System wesentlich verändert, kann selbst zum Anbieter werden.

Und in Österreich?

Die KI-Servicestelle der RTR bietet Informationen und Orientierung. Die formale Benennung der Marktüberwachungsbehörden war zum Zeitpunkt dieses Artikels nach öffentlich verfügbaren Quellen noch nicht abgeschlossen.

Fazit

Der Digital Omnibus verschafft Zeit für Hochrisiko-Systeme, ändert aber nichts an den bereits geltenden Pflichten. Wer jetzt Inventar und Einstufung erledigt, plant die nächsten Schritte entspannt. Wir unterstützen beim EU AI Act – rechtliche Bewertungen erfolgen durch Ihre Rechtsberatung.