Der AI Omnibus ist in Kraft: Was sich geändert hat – und was ab 2. August weiterhin gilt

Die Debatte ist beendet: Am 27. Juli 2026 ist der EU AI Omnibus in Kraft getreten. Das Gesetz gibt Unternehmen mehr Zeit für Teile des High-Risk-Rahmens und vereinfacht mehrere Anforderungen.

Es verschiebt jedoch nicht den gesamten AI Act.

Diese Unterscheidung ist entscheidend. Ab dem 2. August 2026 werden Aufsichts- und Sanktionsbefugnisse sowie mehrere Transparenzpflichten wirksam. Wer „High-Risk-Regeln verschoben“ mit „diesen Sommer gilt nichts“ gleichsetzt, kann weiterhin mit fehlenden Hinweisen, Kennzeichnungen und Nachweisen starten.

Der Zeitplan auf einen Blick

Was der AI Omnibus tatsächlich verschoben hat

Annex-III-High-Risk-Anwendungsfälle: 2. Dezember 2027

Für eigenständige High-Risk-Anwendungsfälle aus Annex III – etwa bestimmte Systeme in Beschäftigung, Bildung, wesentlichen Dienstleistungen oder Strafverfolgung – verschiebt sich die Anwendung der entsprechenden Pflichten. Das schafft zusätzliche Zeit für Risikomanagement, Daten-Governance, technische Dokumentation, Logging, menschliche Aufsicht und Konformitätsprozesse.

Die Zeit sollte nicht als Stillstand verstanden werden. Klassifizierung, Verantwortlichkeiten und technische Architektur müssen früh genug feststehen, damit Nachweise nicht kurz vor dem Termin nachträglich rekonstruiert werden.

Annex-I-Produktsysteme: 2. August 2028

Für KI-Sicherheitskomponenten oder KI-Systeme, die unter die in Annex I aufgeführten EU-Produktvorschriften fallen, gilt der spätere Termin. Die produktspezifische Konformitätsbewertung und sektorspezifische Pflichten bleiben dabei relevant.

Was am 2. August 2026 weiterhin gilt

Transparenz nach Artikel 50

Die Pflichten für die Interaktion mit KI, die technische Markierung bestimmter KI-generierter Inhalte sowie sichtbare Hinweise für bestimmte Deepfakes und Texte von öffentlichem Interesse sind nicht einfach verschwunden. Die genaue Pflicht hängt von Rolle, Funktion, Inhaltstyp und Veröffentlichungskontext ab.

Durchsetzung wird operativ

Zuständige Behörden erhalten einen wirksameren Rechtsrahmen für Aufsicht und Sanktionen. Gleichzeitig werden Unternehmenskunden ihre Lieferantenprüfungen verschärfen. Für viele SaaS-Anbieter ist ein blockierter Beschaffungsprozess das unmittelbarere Risiko als ein Bußgeld.

Frühere Pflichten bleiben bestehen

Verbote bestimmter KI-Praktiken und Anforderungen an KI-Kompetenz galten bereits vorher. Ein Omnibus verschiebt nicht rückwirkend alles, was schon anwendbar war.

Die Übergangsfrist bis 2. Dezember ist eng begrenzt

Der Übergang betrifft die technischen Markierungs- und Erkennungsanforderungen aus Artikel 50 Absatz 2 für bestimmte generative Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren. Er ist kein pauschaler Aufschub für Chatbot-Hinweise, Deepfake-Kennzeichnung, biometrische Transparenz oder neue generative Funktionen.

Ein Team sollte deshalb pro Funktion dokumentieren:

• wann das konkrete System oder die konkrete Version auf den Markt gebracht wurde;
• welche Inhaltsformate erzeugt oder verändert werden;
• welcher Absatz von Artikel 50 einschlägig ist;
• ob die Übergangsregel tatsächlich passt;
• welche Maßnahmen bereits umgesetzt und welche bis Dezember geplant sind.

Anbieter, Betreiber oder beides?

Die Rolle ist keine unternehmensweite Dauerbezeichnung. Ein SaaS-Unternehmen kann Anbieter seines eigenen KI-Produkts, Betreiber eines Drittmodells und zugleich professioneller Herausgeber KI-generierter Inhalte sein. Die Bewertung muss auf Aktivitäts- und Funktionsebene erfolgen.

Besonders Integrationen dürfen nicht automatisch als „nur API-Nutzung“ abgetan werden. Entscheidend sind eigener Name, Zweckbestimmung, Kontrolle über die Benutzererfahrung und wesentliche Änderungen am System.

72-Stunden-Checkliste für SaaS-Teams

1. Umfang einfrieren

Erstellen Sie eine Liste aller produktiven KI-Funktionen, Modelle, Kanäle, Sprachen und Kundensegmente.

2. Jede Oberfläche klassifizieren

Ordnen Sie Rolle, Risikokategorie und einschlägige Transparenzpflicht jeder Funktion separat zu.

3. Hinweise in der Produktschicht ausrollen

Platzieren Sie Hinweise dort, wo Nutzer tatsächlich interagieren oder Inhalte sehen – nicht nur in Richtlinien.

4. Vollständige Journeys testen

Prüfen Sie Desktop, Mobilgeräte, iframes, Modals, Sprachversionen, Cookie-Ablehnung und barrierefreie Nutzung.

5. Nachweise sichern

Archivieren Sie Screenshots, Videos, Testprotokolle, Freigaben, Versionsnummern und Verantwortlichkeiten.

6. Dezember-Workstream anlegen

Falls die begrenzte Übergangsregel greift, definieren Sie technische Markierung, Erkennungstests, Eigentümer und Liefertermine jetzt.

Was Sie nicht tun sollten

• den Omnibus als pauschale Verschiebung des AI Acts darstellen;
• jede generative Funktion automatisch unter die Dezemberfrist einordnen;
• Chatbot-Hinweise in Datenschutzerklärung oder AGB verstecken;
• eine Lieferantenzusage ohne produktbezogene Nachweise abgeben;
• High-Risk-Vorbereitung bis 2027 oder 2028 vollständig pausieren.

Praktisches Fazit

Der Omnibus verschafft bei High-Risk-Systemen wertvolle Zeit. Er beseitigt aber weder die Transparenzpflichten noch die Notwendigkeit, Rollen, Funktionen und Nachweise sauber zu dokumentieren. Gute Teams nutzen den Aufschub, um belastbare Compliance in die Produktentwicklung einzubauen – und behandeln den 2. August als echten operativen Termin.

Primärquellen

• Verordnung (EU) 2024/1689 – EUR-Lex
• Europäische Kommission – EU AI Act
• Europäische Kommission – Leitlinien zu Transparenzpflichten

Dieser Artikel dient ausschließlich der Information und stellt keine Rechtsberatung dar. Prüfen Sie die konkrete Anwendbarkeit anhand Ihrer Rolle, Ihres Systems und des finalen Gesetzestextes.