2. August 2026: was nach dem Digital Omnibus wirklich fällig wird

Was sich geändert hat und seit wann

Das Europäische Parlament hat den Digital Omnibus auf KI am 16. Juni 2026 angenommen, der Rat hat am 29. Juni 2026 endgültig zugestimmt, der Rechtsakt wurde am 8. Juli 2026 unterzeichnet und als Verordnung (EU) 2026/1744 im Amtsblatt veröffentlicht. In Kraft getreten ist er am 27. Juli 2026.

Verschoben wurden zwei Termine: die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027, und die Pflichten für Hochrisiko-KI als Sicherheitskomponente regulierter Produkte nach Anhang I vom 2. August 2027 auf den 2. August 2028.

Begründet wird die Verschiebung mit fehlenden harmonisierten Normen und dem noch nicht abgeschlossenen Aufbau der notifizierten Stellen. Der Kapazitätsengpass bei den Konformitätsbewertungen bleibt also bestehen, er verschiebt sich nur.

Was am 2. August 2026 tatsächlich gilt

Art. 50 Transparenzpflichten. Betreiber müssen Menschen darüber informieren, dass sie mit einem KI-System interagieren, wenn das nicht offensichtlich ist. Das betrifft jeden Kunden-Chatbot und jede KI-gestützte Telefonannahme.

KI-generierte oder manipulierte Inhalte müssen als solche gekennzeichnet werden. Deepfakes und synthetische Bild-, Ton- und Videoinhalte brauchen eine Offenlegung.

Anbieter generativer Systeme müssen ihre Ausgaben maschinenlesbar markieren (Art. 50 Abs. 2). Für Systeme, die vor dem 2. August 2026 bereits im Markt waren, gilt diese Markierungspflicht erst ab dem 2. Dezember 2026.

Emotionserkennung und biometrische Kategorisierung lösen eine Informationspflicht gegenüber den betroffenen Personen aus, unabhängig von der Risikoklasse.

Weiter in Kraft bleiben die seit dem 2. Februar 2025 geltenden Verbote nach Art. 5 und die AI-Literacy-Pflicht nach Art. 4, sowie die GPAI-Pflichten seit dem 2. August 2025.

Was die Verschiebung nicht ändert

Die Arbeit bleibt gleich, nur der Abgabetermin verschiebt sich. Ein Compliance-Programm für Hochrisiko-Systeme dauert erfahrungsgemäß 9 bis 18 Monate. Von Juli 2026 bis Dezember 2027 sind es rund 17.

Inventar und Klassifizierung sind unverändert die Voraussetzung für jede Beschaffungsentscheidung dazwischen. Wer heute ein KI-gestütztes Bewerber-Screening oder ein Kredit-Scoring einkauft, muss die Risikoklasse jetzt bestimmen, weil der Vertrag in die neue Frist hineinläuft.

Verträge, die 2026 mit Laufzeit bis 2028 geschlossen werden, brauchen heute die Klauseln, die 2027 nachgewiesen werden müssen: technische Dokumentation nach Anhang IV, CE-Konformität, Registrierung in der EU-Datenbank, Meldewege für schwerwiegende Vorfälle.

Die Bußgeldrahmen bleiben unverändert: bis 35 Mio Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis 15 Mio Euro oder 3 Prozent bei Verstößen gegen Anbieter- und Betreiberpflichten.

Erleichterungen für kleinere Unternehmen

Der Omnibus weitet die vereinfachten Compliance-Rahmen aus: Unternehmen mit bis zu 750 Mitarbeitenden und bis zu 150 Mio Euro Jahresumsatz fallen jetzt in den erleichterten Bereich.

Dazu gehören vereinfachte Dokumentationsvorlagen, reduzierte Bußgelder, Zugang zu Regulatory Sandboxes und angepasste Leitlinien.

Für den deutschen Mittelstand ist das die relevanteste Einzeländerung des Pakets, weil die alte KMU-Definition (250 Mitarbeitende) viele Familienunternehmen ausgeschlossen hatte.

Was jetzt konkret zu tun ist

1. Bestandsaufnahme der eingesetzten und beschafften KI-Systeme, inklusive der in Fachanwendungen eingebetteten Funktionen. Ohne Inventar keine Klassifizierung.

2. Klassifizierung je System mit dokumentierter Begründung: verboten, Hochrisiko Anhang III, Hochrisiko Anhang I, Transparenzpflicht Art. 50, minimal.

3. Für alles mit Art.-50-Bezug: Kennzeichnung und Hinweistexte bis zum 2. August 2026 ausrollen, Bestandssysteme bis 2. Dezember 2026 nachziehen.

4. Rolle klären: Anbieter oder Betreiber. Wer ein zugekauftes System wesentlich verändert, wird selbst zum Anbieter und übernimmt dessen Pflichten.

5. Beschaffungsprozess anpassen: Konformitätsnachweise, Datenherkunft, Logging-Fähigkeit und menschliche Aufsicht gehören ab sofort in jedes Kriterienraster für KI-Einkäufe.

6. Die eigene Fristenübersicht korrigieren. Wer intern weiter mit dem 2. August 2026 als Hochrisiko-Stichtag plant, verbrennt Budget auf einem falschen Zeitplan.

Quellenlage

Verordnung (EU) 2026/1744 (Digital Omnibus on AI), Amtsblatt der EU, in Kraft 27. Juli 2026. Pressemitteilungen des Rates der EU vom 7. Mai 2026 (politische Einigung) und 29. Juni 2026 (endgültige Zustimmung). Grundlage bleibt die Verordnung (EU) 2024/1689 (EU AI Act) in der geänderten Fassung. Die Art.-50-Termine ergeben sich unverändert aus dem AI Act selbst, lediglich Art. 50 Abs. 2 erhält eine Übergangsregelung für Bestandssysteme.