Digital-Omnibus: Warum die Hochrisiko-Pflichten auf Dezember 2027 verschoben wurden

Rechtsgrundlagen: Verordnung (EU) 2024/1689 (KI-Verordnung), Verordnung (EU) 2026/1744 (Digital-Omnibus).

Am 27. Juli 2026 ist die Digital-Omnibus-Verordnung (EU) 2026/1744 in Kraft getreten. Ihre für die Praxis wichtigste Änderung: Die Anforderungen an Hochrisiko-KI-Systeme, die ursprünglich ab August 2026 anwendbar gewesen wären, gelten nun erst ab dem 2. Dezember 2027. Ein großer Teil der deutschsprachigen Veröffentlichungen zur KI-Verordnung nennt noch die alten Fristen und ist damit veraltet. Dieser Beitrag ordnet ein, was sich durch die Digital-Omnibus-Verschiebung der KI-Verordnung tatsächlich ändert und was nicht.

Verschoben ist allein der Hochrisiko-Komplex

Betroffen von der Verschiebung sind die Anforderungen an Hochrisiko-KI-Systeme, also im Wesentlichen die Pflichten aus Kapitel III der KI-Verordnung: Risikomanagementsystem (Art. 9), Daten-Governance (Art. 10), technische Dokumentation (Art. 11), Aufzeichnungspflichten (Art. 12), Transparenz gegenüber Betreibern (Art. 13), menschliche Aufsicht (Art. 14) sowie Genauigkeit, Robustheit und Cybersicherheit (Art. 15), dazu die Betreiberpflichten nach Art. 26.

Als Hochrisiko-Systeme gelten nach Art. 6 in Verbindung mit Anhang III unter anderem KI-Systeme in der Personalauswahl, in der Kreditwürdigkeitsprüfung, im Bildungsbereich und in kritischen Infrastrukturen.

Für all diese Anforderungen gilt jetzt: anwendbar ab dem 2. Dezember 2027.

Die Verschiebung betrifft ausschließlich den Hochrisiko-Komplex. Unverändert gelten:

• KI-Kompetenz nach Art. 4, anwendbar seit dem 2. Februar 2025, seit dem 27. Juli 2026 in neuer Fassung. Unternehmen müssen Maßnahmen ergreifen, um die Entwicklung der Kompetenz ihres Personals zu unterstützen; ein bestimmtes Niveau muss niemand garantieren. Ausführlich: Art. 4 verlangt Maßnahmen zur KI-Kompetenz.
• Verbotene Praktiken nach Art. 5, ebenfalls seit dem 2. Februar 2025. Bestimmte KI-Anwendungen sind vollständig untersagt.
• Pflichten für Anbieter von GPAI-Modellen, seit dem 2. August 2025.
• Transparenzpflichten nach Art. 50, seit dem 2. August 2026: Chatbots müssen als KI erkennbar sein, KI-generierte Inhalte sind zu kennzeichnen, Emotionserkennung ist offenzulegen.

Wer die Digital-Omnibus-Verordnung als generelle Entschärfung der KI-Verordnung liest, übersieht: Für die Mehrheit der Unternehmen liegen die relevanten Pflichten ohnehin nicht im Hochrisiko-Kapitel, sondern in Art. 4 und Art. 50. Beide gelten heute. Art. 4 hat dieselbe Verordnung allerdings mit entschärft, der Maßstab ist seither das Bemühen und nicht das Ergebnis.

Vorbereitungszeit, keine Entwarnung

Der Verordnungsgeber reagierte mit der Verschiebung vor allem auf einen praktischen Engpass: Die harmonisierten Normen, auf die sich die Konformitätsbewertung von Hochrisiko-Systemen stützen soll, waren nicht rechtzeitig fertig. Ohne verabschiedete Normen hätten Anbieter Anforderungen erfüllen müssen, deren technische Konkretisierung noch fehlte. Auch die Benennung und der Aufbau der zuständigen Stellen in den Mitgliedstaaten waren nicht flächendeckend abgeschlossen.

Die Verschiebung ist damit eine Antwort auf Umsetzungsprobleme der Infrastruktur, keine inhaltliche Neubewertung der Risiken. Die Anforderungen selbst bestehen unverändert fort, nur ihr Anwendungsbeginn wurde verlegt.

Aus Unternehmenssicht ist der 2. Dezember 2027 näher, als er wirkt. Wer potenziell Hochrisiko-Systeme einsetzt oder anbietet, braucht bis dahin belastbare Antworten auf drei Fragen:

• Welche Systeme sind betroffen? Ob ein System unter Anhang III fällt, lässt sich nur beurteilen, wenn der Systembestand vollständig erfasst ist. KI-Funktionen in zugekaufter Software, etwa die automatische Vorauswahl im Bewerbermanagement, werden dabei häufig übersehen. Der erste Schritt ist deshalb eine strukturierte KI-Bestandsaufnahme.
• Welche Rolle nimmt das Unternehmen ein? Die Hochrisiko-Pflichten verteilen sich sehr unterschiedlich auf Anbieter und Betreiber. Wer ein System wesentlich verändert oder unter eigenem Namen einsetzt, kann in die Anbieterrolle wechseln, mit erheblich größerem Pflichtenumfang. Die Einordnung sollte vor Dezember 2027 dokumentiert sein, nicht danach. Mehr dazu: Anbieter oder Betreiber? Die Rollen der KI-Verordnung einfach erklärt.
• Welche Prozesse müssen bis dahin stehen? Risikomanagement, Dokumentation und menschliche Aufsicht lassen sich nicht in wenigen Wochen einführen. Wer die Strukturen erst im Herbst 2027 aufsetzt, wird den Stichtag kaum halten. Die 16 Monate zwischen Inkrafttreten der Digital-Omnibus-Verordnung und dem neuen Stichtag sind als Vorbereitungskorridor zu verstehen.

Reihenfolge der nächsten Schritte

• 2. Februar 2025: KI-Kompetenz (Art. 4) und verbotene Praktiken (Art. 5)
• 2. August 2025: Pflichten für GPAI-Modelle
• 2. August 2026: allgemeine Anwendbarkeit, Transparenzpflichten (Art. 50)
• 27. Juli 2026: Inkrafttreten der Digital-Omnibus-Verordnung (EU) 2026/1744
• 2. Dezember 2027: Anforderungen an Hochrisiko-Systeme

Die sinnvolle Reihenfolge der nächsten Schritte ergibt sich aus diesen Fristen: zuerst die bereits geltenden Pflichten erfüllen, dann die Hochrisiko-Vorbereitung aufsetzen.

• Bestandsaufnahme aller KI-Systeme mit Einordnung nach Risikokategorie
• Rollenklärung je System, dokumentiert
• Prüfung der Transparenzpflichten nach Art. 50 für Chatbots und generierte Inhalte
• Maßnahmen zur KI-Kompetenz nach Art. 4 und deren Dokumentation
• Erst auf dieser Grundlage: Planung der Hochrisiko-Konformität bis Dezember 2027

Die ersten drei Punkte gehen wir in einem kostenlosen Erstgespräch mit Ihnen durch.

Quellen

• Verordnung (EU) 2026/1744 (Digital-Omnibus), in Kraft seit 27. Juli 2026
• Art. 4, Art. 5, Art. 6, Art. 9 bis 15, Art. 26, Art. 50 sowie Anhang III Verordnung (EU) 2024/1689

Dieser Beitrag ist eine fachliche Einordnung und keine Rechtsberatung im Sinne des RDG.

Wie sich die verschobenen Stichtage auf die Reihenfolge Ihrer Vorhaben auswirken, steht in KI-Strategie im Mittelstand.