Digital-Omnibus: Warum die Hochrisiko-Pflichten auf Dezember 2027 verschoben wurden

Stand: August 2026. Rechtsgrundlagen: Verordnung (EU) 2024/1689 (KI-Verordnung), Verordnung (EU) 2026/1744 (Digital-Omnibus).

Am 27. Juli 2026 ist die Digital-Omnibus-Verordnung (EU) 2026/1744 in Kraft getreten. Ihre für die Praxis wichtigste Änderung: Die Anforderungen an Hochrisiko-KI-Systeme, die ursprünglich ab August 2026 anwendbar gewesen wären, gelten nun erst ab dem 2. Dezember 2027. Ein großer Teil der deutschsprachigen Veröffentlichungen zur KI-Verordnung nennt noch die alten Fristen und ist damit veraltet. Dieser Beitrag ordnet ein, was sich durch die Digital-Omnibus-Verschiebung der KI-Verordnung tatsächlich ändert und was nicht.

Was verschoben wurde

Betroffen von der Verschiebung sind die Anforderungen an Hochrisiko-KI-Systeme, also im Wesentlichen die Pflichten aus Kapitel III der KI-Verordnung: Risikomanagementsystem (Art. 9), Daten-Governance (Art. 10), technische Dokumentation (Art. 11), Aufzeichnungspflichten (Art. 12), Transparenz gegenüber Betreibern (Art. 13), menschliche Aufsicht (Art. 14) sowie Genauigkeit, Robustheit und Cybersicherheit (Art. 15), dazu die Betreiberpflichten nach Art. 26.

Als Hochrisiko-Systeme gelten nach Art. 6 in Verbindung mit Anhang III unter anderem KI-Systeme in der Personalauswahl, in der Kreditwürdigkeitsprüfung, im Bildungsbereich und in kritischen Infrastrukturen.

Für all diese Anforderungen gilt jetzt: anwendbar ab dem 2. Dezember 2027.

Was ausdrücklich nicht verschoben wurde

Die Verschiebung betrifft ausschließlich den Hochrisiko-Komplex. Unverändert gelten:

• ●KI-Kompetenz nach Art. 4, anwendbar seit dem 2. Februar 2025. Unternehmen müssen die Kompetenz ihres Personals sicherstellen und nachweisen können. Ausführlich: KI-Kompetenz nach Art. 4: Was Unternehmen seit Februar 2025 nachweisen müssen.
• ●Verbotene Praktiken nach Art. 5, ebenfalls seit dem 2. Februar 2025. Bestimmte KI-Anwendungen sind vollständig untersagt.
• ●Pflichten für Anbieter von GPAI-Modellen, seit dem 2. August 2025.
• ●Transparenzpflichten nach Art. 50, seit dem 2. August 2026: Chatbots müssen als KI erkennbar sein, KI-generierte Inhalte sind zu kennzeichnen, Emotionserkennung ist offenzulegen.

Wer die Digital-Omnibus-Verordnung als generelle Entschärfung der KI-Verordnung liest, übersieht: Für die Mehrheit der Unternehmen liegen die relevanten Pflichten ohnehin nicht im Hochrisiko-Kapitel, sondern in Art. 4 und Art. 50. Beide gelten heute.

Warum die Fristen verschoben wurden

Der Verordnungsgeber reagierte mit der Verschiebung vor allem auf einen praktischen Engpass: Die harmonisierten Normen, auf die sich die Konformitätsbewertung von Hochrisiko-Systemen stützen soll, waren nicht rechtzeitig fertig. Ohne verabschiedete Normen hätten Anbieter Anforderungen erfüllen müssen, deren technische Konkretisierung noch fehlte. Auch die Benennung und der Aufbau der zuständigen Stellen in den Mitgliedstaaten waren nicht flächendeckend abgeschlossen.

Die Verschiebung ist damit eine Antwort auf Umsetzungsprobleme der Infrastruktur, keine inhaltliche Neubewertung der Risiken. Die Anforderungen selbst bestehen unverändert fort, nur ihr Anwendungsbeginn wurde verlegt.

Vorbereitungszeit, keine Entwarnung

Aus Unternehmenssicht ist der 2. Dezember 2027 näher, als er wirkt. Wer potenziell Hochrisiko-Systeme einsetzt oder anbietet, braucht bis dahin belastbare Antworten auf drei Fragen:

Welche Systeme sind betroffen?

Ob ein System unter Anhang III fällt, lässt sich nur beurteilen, wenn der Systembestand vollständig erfasst ist. KI-Funktionen in zugekaufter Software, etwa die automatische Vorauswahl im Bewerbermanagement, werden dabei häufig übersehen. Der erste Schritt ist deshalb eine strukturierte KI-Bestandsaufnahme.

Welche Rolle nimmt das Unternehmen ein?

Die Hochrisiko-Pflichten verteilen sich sehr unterschiedlich auf Anbieter und Betreiber. Wer ein System wesentlich verändert oder unter eigenem Namen einsetzt, kann in die Anbieterrolle wechseln, mit erheblich größerem Pflichtenumfang. Die Einordnung sollte vor Dezember 2027 dokumentiert sein, nicht danach. Mehr dazu: Anbieter oder Betreiber? Die Rollen der KI-Verordnung einfach erklärt.

Welche Prozesse müssen bis dahin stehen?

Risikomanagement, Dokumentation und menschliche Aufsicht lassen sich nicht in wenigen Wochen einführen. Wer die Strukturen erst im Herbst 2027 aufsetzt, wird den Stichtag kaum halten. Die 16 Monate zwischen Inkrafttreten der Digital-Omnibus-Verordnung und dem neuen Stichtag sind als Vorbereitungskorridor zu verstehen.

Zeitleiste der KI-Verordnung nach dem Digital-Omnibus

• ●
  2. ●Februar 2025: KI-Kompetenz (Art. 4) und verbotene Praktiken (Art. 5)
• ●
  2. ●August 2025: Pflichten für GPAI-Modelle
• ●
  2. ●August 2026: allgemeine Anwendbarkeit, Transparenzpflichten (Art. 50)
• ●
  27. ●Juli 2026: Inkrafttreten der Digital-Omnibus-Verordnung (EU) 2026/1744
• ●
  2. ●Dezember 2027: Anforderungen an Hochrisiko-Systeme

Was Unternehmen jetzt konkret tun sollten

Die sinnvolle Reihenfolge ergibt sich aus den Fristen: zuerst die bereits geltenden Pflichten erfüllen, dann die Hochrisiko-Vorbereitung aufsetzen.

• ●Bestandsaufnahme aller KI-Systeme mit Einordnung nach Risikokategorie
• ●Rollenklärung je System, dokumentiert
• ●Prüfung der Transparenzpflichten nach Art. 50 für Chatbots und generierte Inhalte
• ●Schulung und Nachweisdokumentation nach Art. 4
• ●Erst auf dieser Grundlage: Planung der Hochrisiko-Konformität bis Dezember 2027

Die ersten drei Punkte bündeln wir im KI-Readiness-Check zu einem klar umrissenen Erstprojekt mit dokumentiertem Ergebnis.

Quellen

• ●Verordnung (EU) 2026/1744 (Digital-Omnibus), in Kraft seit 27. Juli 2026
• ●Art. 4, Art. 5, Art. 6, Art. 9 bis 15, Art. 26, Art. 50 sowie Anhang III Verordnung (EU) 2024/1689

Dieser Beitrag ist eine fachliche Einordnung und keine Rechtsberatung im Sinne des RDG.