Änderungen am Zeitplan der EU-KI-Verordnung: Hochrisiko-Vorschriften rücken auf 2027–2028

Kurzüberblick

• Verordnung (EU) 2026/1744, der „Digital-Omnibus für KI“, ändert das KI-Gesetz (Verordnung (EU) 2024/1689) sowie zwei Produktsicherheitsverordnungen. Sie datiert vom 8. Juli 2026, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli 2026, dem dritten Tag nach ihrer Veröffentlichung, in Kraft.
• Die zentrale Änderung betrifft den Zeitplan für Hochrisiko-KI. Die Pflichten aus Kapitel III Abschnitte 1–3 des KI-Gesetzes gelten nun ab dem 2. Dezember 2027 für die in Anhang III aufgeführten Systeme (darunter öffentliche Dienstleistungen, Migration, Strafverfolgung und Rechtspflege) und ab dem 2. August 2028 für KI, die in von Anhang I erfasste Produkte eingebettet ist. Ursprünglich sollten sie jeweils ab dem 2. August 2026 und dem 2. August 2027 gelten.
• Die Termine sind fest. Die Kommission hatte vorgeschlagen, den Beginn der Vorschriften für Hochrisiko-KI von der Verfügbarkeit von Normen und Unterstützungsinstrumenten abhängig zu machen; die Mitgesetzgeber strichen diesen Mechanismus.
• Vieles andere wird nicht verschoben. Die Verbote (seit dem 2. Februar 2025), die Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck (seit dem 2. August 2025) und der allgemeine Geltungsbeginn am 2. August 2026, einschließlich der Transparenzpflichten nach Artikel 50 und des Governance-Kapitels, bleiben bestehen. Der Omnibus führt neue Verbote für KI ein, die nicht einvernehmliche intime Bilder und Darstellungen sexuellen Kindesmissbrauchs erzeugt; diese gelten ab dem 2. Dezember 2026.
• Für öffentliche Verwaltungen hat sich ein Termin nicht geändert: Anbieter und Betreiber von Hochrisikosystemen, die zur Verwendung durch Behörden bestimmt sind und bereits auf dem Markt waren, müssen die Vorschriften bis zum 2. August 2030 einhalten.
• Ein separater, umfassenderer Digital-Omnibus zur Änderung der DSGVO und anderer Datenschutzgesetze (Verfahren 2025/0360(COD)) befindet sich im Europäischen Parlament weiterhin in der Ausschussphase.

Kontext

Wie der Zeitplan des KI-Gesetzes festgelegt wurde

Das KI-Gesetz trat am 1. August 2024 mit gestaffelten Geltungsbeginnterminen in Kraft, sodass alle seine Vorschriften bis zum 2. August 2027 gelten sollten. Die Verbote in Artikel 5 galten zuerst, ab dem 2. Februar 2025, zusammen mit einer Pflicht zur Vermittlung von KI-Kompetenz. Am 2. August 2025 folgten die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck; unterstützt wurden sie durch einen im Juli 2025 veröffentlichten freiwilligen Verhaltenskodex. Der allgemeine Geltungsbeginn, mit dem die meisten der übrigen Vorschriften wirksam werden, war der 2. August 2026. Die Vorschriften für Hochrisikosysteme nach Anhang III sollten ab diesem Termin gelten, jene für KI in regulierten Produkten (Anhang I) ein Jahr später.

Das Hochrisikoregime hängt von harmonisierten Normen ab, die Anbietern eine Konformitätsvermutung verschaffen, sowie von nationalen Marktüberwachungs- und notifizierenden Behörden. Beide kamen verspätet. Die Mitgliedstaaten mussten ihre nationalen zuständigen Behörden bis zum 2. August 2025 benennen; eine im September 2025 veröffentlichte Branchenumfrage in 18 EU-Ländern ergab, dass die meisten dies bis zu diesem Termin nicht getan hatten. Auch die europäischen Normungsarbeiten gerieten gegenüber dem ursprünglichen Zeitplan in Rückstand.

Der Gesetzgebungsweg

Die Kommission legte den KI-Omnibus (COM(2025) 836) am 19. November 2025 als Teil eines umfassenderen Vereinfachungspakets vor. Parlament und Rat verhandelten zügig: Der Ratsvertreter bestätigte mit Schreiben vom 13. Mai 2026, dass der Rat der vorläufigen Einigung zustimmen würde, und das Parlament nahm am 16. Juni 2026 seinen Standpunkt in erster Lesung an, der diese Einigung widerspiegelte. Der Rat erteilte Ende Juni seine endgültige Zustimmung, und der Rechtsakt wurde am 8. Juli 2026 unterzeichnet. Erwägungsgrund 46 begründet das Inkrafttreten am dritten Tag nach der Veröffentlichung mit der Notwendigkeit, angesichts des unmittelbar bevorstehenden allgemeinen Anwendungszeitpunkts „unverzüglich“ Rechtssicherheit zu schaffen.

Was die Erwägungsgründe zu den Gründen sagen

Erwägungsgrund 2 stellt fest, dass „die verspätete Ausarbeitung von Normen“ und „die verspätete Einrichtung der Governance- und Konformitätsbewertungsrahmen auf nationaler Ebene“ zu einem „höher als erwarteten“ Erfüllungsaufwand geführt hätten. Erwägungsgrund 40 fügt hinzu, dass die verspätete Verfügbarkeit von Normen, gemeinsamen Spezifikationen und Leitlinien sowie die verspätete Einrichtung nationaler zuständiger Behörden „das wirksame Inkrafttreten“ der Pflichten für Hochrisiko-Systeme gefährdeten und einen erheblichen Anstieg der Umsetzungskosten riskierten. Die Erwägungsgründe betonen außerdem, dass die Änderungen das Schutzniveau für Gesundheit, Sicherheit und Grundrechte nicht senken sollten.

Analyse

Was sich geändert hat – und was nicht

Weitere Änderungen sind technischer Art, aber folgenreich: vereinfachte Dokumentation und verhältnismäßiges Qualitätsmanagement für kleine und mittlere Unternehmen sowie die neue Kategorie kleiner Unternehmen mit mittlerer Marktkapitalisierung; geringere Anforderungen an die Registrierungsangaben für Systeme, die ein Anbieter nach Artikel 6 Absatz 3 als nicht hochriskant eingestuft hat (die Registrierung bleibt verpflichtend); die Möglichkeit, bei einer Grundrechte-Folgenabschätzung eine Datenschutz-Folgenabschätzung wiederzuverwenden; ein vom KI-Büro betriebenes Reallabor auf Unionsebene; sowie die Vermutung, dass Hochrisiko-Systeme, die die Anforderungen des Rechtsakts über Cyberresilienz erfüllen, die Cybersicherheitsanforderung des KI-Gesetzes erfüllen.

Warum das für die öffentliche Verwaltung wichtig ist

Anhang III ist zu einem großen Teil eine Liste staatlicher Funktionen: Zugang zu wesentlichen öffentlichen Dienstleistungen und Leistungen, Migration, Asyl und Grenzkontrollen, Strafverfolgung sowie die Verwaltung der Justiz und demokratischer Prozesse. Für diese Verwendungszwecke gelten die zentralen Schutzvorkehrungen (Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Genauigkeit und Robustheit sowie die Pflichten der Betreiber, einschließlich Folgenabschätzungen zu den Auswirkungen auf die Grundrechte für öffentliche Stellen) nun sechzehn Monate später als ursprünglich geplant.

Drei Aspekte mildern die Auswirkungen ab. Erstens gelten die Verbote bereits, darunter jene für Social Scoring und bestimmte Verwendungszwecke der biometrischen Fernidentifizierung. Zweitens bleiben die DSGVO-Regeln für automatisierte Entscheidungen und ihre Auslegung durch den Gerichtshof in SCHUFA (C-634/21) unberührt. Drittens muss ein System, das nach dem 2. Dezember 2027 neu für eine öffentliche Stelle auf den Markt gebracht wird, ab diesem Datum den Vorschriften entsprechen; die Frist bis 2030 gilt nur für Systeme, die bereits vor dem Datum des Inkrafttretens von Kapitel III auf dem Markt waren, sofern sie nicht wesentlich geändert werden.

Für Regierungen ist das Datum 2030 besonders zu beachten. Viele Instrumente des öffentlichen Sektors werden speziell entwickelt, haben eine lange Nutzungsdauer und werden beschafft, bevor die Vorschriften gelten. Bis zum 2. August 2030 können solche Altsysteme betrieben werden, ohne die Anforderungen an Hochrisiko-KI zu erfüllen, sofern sie keiner wesentlichen Änderung ihrer Konzeption unterzogen werden. Das ist eine lange Übergangsfrist für Entscheidungssysteme jener Art, die zu den Robodebt- und den niederländischen Kinderbetreuungsgeld-Skandalen geführt haben.

Vereinfachung oder Deregulierung?

Die Kommission und die Mitgesetzgeber stellen das Omnibus-Paket als Vereinfachung ohne geringeren Schutz dar. Kritikerinnen und Kritiker, darunter einige zivilgesellschaftliche Gruppen und Abgeordnete, die dagegen gestimmt haben, verstehen die Änderung des Zeitplans und die abgeschwächte Pflicht zur KI-Kompetenz als ersten Schritt hin zu einer Deregulierung. Beide Lesarten lassen sich mit dem Text begründen. Die Verschiebung wird ausdrücklich mit fehlenden Standards und Behörden begründet, die Fristen sind festgelegt und nicht offen, und das KI-Büro erhält Durchsetzungsbefugnisse. Andererseits wird die Pflicht zur KI-Kompetenz dauerhaft abgeschwächt, nicht aufgeschoben, und die Ausnahme für Altsysteme lässt Anwendungen im öffentlichen Sektor jahrelang außerhalb des Regelungsrahmens. Ob es sich um eine Pause oder einen Rückzug handelt, wird sich an den nächsten Entwicklungen zeigen: ob Standards im Amtsblatt veröffentlicht werden, ob die Behörden personell ausgestattet werden und ob vor Dezember 2027 weitere Änderungen folgen.

Das andere Omnibus-Paket

Das KI-Omnibus-Paket wurde getrennt vom größeren Digital-Omnibus-Paket (COM(2025) 837, Verfahren 2025/0360(COD)) behandelt, das Änderungen an der DSGVO, den ePrivacy-Vorschriften zu Cookies und dem EU-Datenschutz-Acquis vorschlägt. Diese Vorlage wird gemeinsam von den ITRE- und LIBE-Ausschüssen des Parlaments bearbeitet; Aura Salla (EVP) und Marina Kaljurand (S&D) sind Berichterstatterinnen. Das Legislativobservatorium führte sie im Oktober 2026 weiterhin als noch ausstehend für eine Ausschussentscheidung. Jede Änderung der Definition personenbezogener Daten in der DSGVO oder ihrer Regeln für automatisierte Entscheidungen wäre für KI im öffentlichen Sektor bedeutsamer als der Zeitplan des KI-Gesetzes; die Vorlage ist weiterhin offen.

Was zu beobachten ist

• Normen. Ob harmonisierte Normen für Hochrisiko-KI rechtzeitig vor Dezember 2027 verabschiedet und zitiert werden. Der Omnibus verpflichtet die Kommission, die Normungsorganisationen „ohne unnötige Verzögerung“ um die Bereitstellung von Ergebnissen zu ersuchen.
• Nationale Behörden. Ob jeder Mitgliedstaat Marktüberwachungsbehörden benannt und mit Ressourcen ausgestattet hat und bis zum 2. August 2027 mindestens ein regulatorisches Reallabor betreibt.
• Leitlinien für öffentliche Stellen. Leitlinien der Kommission zur Einstufung als Hochrisiko-KI und zur Vorlage für die Grundrechte-Folgenabschätzung, auf die sich öffentliche Betreiber stützen werden.
• Die Verbote ab dem 2. Dezember 2026. Wie die neuen Verbote der Erstellung nicht einvernehmlicher intimer Bilder und von Darstellungen sexuellen Kindesmissbrauchs durchgesetzt werden, einschließlich der Unterscheidung, die der Text zwischen Anbietern und Betreibern trifft.
• Der Omnibus zur DSGVO. Ausschussabstimmungen und ein Mandat des Rates im Verfahren 2025/0360(COD).
• Weitere Verzögerung. Die Erwägungsgründe fordern, dass Unterstützungsmaßnahmen „rechtzeitig“ getroffen werden, um „weitere Verzögerungen zu vermeiden“. Eine zweite Verschiebung vor Dezember 2027 wäre ein Zeichen dafür, dass das Problem nicht nur im Zeitplan liegt.

Quellen

1. Regulation (EU) 2026/1744 of the European Parliament and of the Council of 8 July 2026 (Digital Omnibus on AI). Amtsblatt der Europäischen Union, Reihe L, 24. Juli 2026.
2. Rat der Europäischen Union (2026). Information note 10599/26: Digital Omnibus on AI, outcome of the European Parliament's first reading (Strasbourg, 15-18 June 2026), 17. Juni 2026 (enthält die legislative Entschließung des Europäischen Parlaments vom 16. Juni 2026 und den vereinbarten Text).
3. Regulation (EU) 2024/1689 (Artificial Intelligence Act). Amtsblatt der Europäischen Union, 12. Juli 2024.
4. NicFab (2026). Digital Omnibus on AI: Regulation (EU) 2026/1744 is published in the Official Journal, 24. Juli 2026 (Analyse des endgültigen Textes und der Termine).
5. Future of Life Institute. AI Act Explorer: Digital Omnibus on AI (konsolidierter Änderungstext).
6. Europäisches Parlament, Legislative Observatory. Procedure file 2025/0360(COD): Simplification of the digital legislative framework (Digital Omnibus)).
7. Cullen International (2025). EU AI Act implementation: only a few countries have designated AI Act enforcement authorities, 30. September 2025.
8. Gerichtshof der Europäischen Union (2023). Judgment in Case C-634/21, OQ v Land Hessen (SCHUFA Holding (Scoring)), 7. Dezember 2023.