Der Digital Omnibus ist seit dem 27. Juli in Kraft. Er ändert über vierzig Artikel der KI-Verordnung, und fast jede Zusammenfassung, die dieser Tage kursiert, bleibt bei der Überschrift stehen: Hochrisiko verschoben. Das stimmt. Es führt trotzdem zu falschen Entscheidungen, weil zwei Dinge dabei untergehen.
Dieser Beitrag stützt sich auf den Text im Amtsblatt, nicht auf Zusammenfassungen. Jede Frist unten hat einen Artikel.
Woher der Text kommt und seit wann er gilt
Veröffentlicht am 24. Juli 2026, in Kraft am 27. Juli, am dritten Tag nach der Veröffentlichung. Es ist keine eigenständige Verordnung, sondern eine Änderungsverordnung zur KI-VO sowie zur Luftfahrt- und zur Maschinenverordnung. Wer intern zitiert, schreibt deshalb korrekt "Art. X der Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744".
Ein praktischer Hinweis: EUR-Lex hatte am 1. August noch keine konsolidierte Fassung. Wer den geltenden Text will, muss beide Verordnungen nebeneinander lesen. Ein guter Teil der Fehler, die gerade veröffentlicht werden, kommt genau daher.
Was verschoben wurde
Verschoben ist Kapitel III, Abschnitte 1 bis 3, also der Kern der Hochrisiko-Pflichten: Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht. Die neue Fassung von Art. 113 Abs. 3 lit. c trennt zwei Kalender:
- 2. Dezember 2027 für eigenständige Hochrisiko-Systeme nach Anhang III: Bewerberauswahl, Kreditwürdigkeit, Biometrie, Bildung, kritische Infrastruktur.
- 2. August 2028 für Hochrisiko-KI, die in bereits regulierte Produkte eingebettet ist, also Anhang I: Medizinprodukt, Maschine, Fahrzeug.
Beide Termine lagen vorher auf dem 2. August 2026. Das sind sechzehn zusätzliche Monate für die erste Gruppe und zwei Jahre für die zweite.
Der Grund ist unspektakulär. Die harmonisierten Normen von CEN und CENELEC sind nicht fertig, und ohne sie hat ein Unternehmen keinen belastbaren Weg, Konformität nachzuweisen.
Was nicht verschoben wurde, und hier steckt der häufigste Fehler
Art. 113 Abs. 3 hat mehrere Buchstaben. Der Omnibus fasst lit. a neu, fasst lit. c neu und hängt ein lit. d an. Lit. b lässt er unberührt. Und lit. b bestimmt, dass Kapitel VII und Kapitel XII seit dem 2. August 2025 gelten.
Kapitel VII ist die Governance samt Art. 70, den zuständigen nationalen Behörden und der Marktüberwachung. Kapitel XII sind die Sanktionen, Art. 99 und 100, mit der einzigen Ausnahme des Art. 101.
Aufsicht und Bußgeldrahmen beginnen also nicht im August 2026. Sie gelten seit einem Jahr. Wer in einem Ratgeber gelesen hat, die Aufsicht starte am 2. August 2026, arbeitet mit einem um zwölf Monate falschen Datum, und dieses Datum steht in auffällig vielen Compliance-Kalendern.
Am 2. August 2026 beginnt der allgemeine Geltungsbeginn nach Art. 113 UAbs. 2. Praktisch heißt das vor allem Kapitel IV, die Transparenzpflichten des Art. 50.
Deutschland ist damit durch, andere sind es nicht
Hier lohnt der Blick auf die nationale Ebene, weil er die verbreitete Ausrede entwertet, die Behörden seien ja ohnehin noch im Aufbau.
Das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz, kurz KI-MIG, hat der Bundestag am 11. Juni 2026 beschlossen, in Kraft ist es seit dem 29. Juli 2026. Die Bundesnetzagentur ist damit zentrale Marktüberwachungsbehörde, soweit die Aufgabe nicht anderen Fachbehörden zugewiesen ist: im Finanzsektor bleibt die BaFin zuständig, im Medienbereich die Landesmedienanstalten. Die Bundesnetzagentur ist zusätzlich zentrale Anlaufstelle und Beschwerdestelle, betreibt ein KI-Reallabor für kleinere Unternehmen und einen KI Service Desk mit einem Werkzeug zur Risikoklassifizierung.
Zwei Dinge folgen daraus. Erstens gibt es in Deutschland ab sofort eine Adresse, an die sich eine Beschwerde richten lässt, und einen Apparat, der sie bearbeitet. Zweitens ist der deutsche Mittelstand damit besser gestellt als etwa der spanische, wo das entsprechende Gesetz noch im Parlament liegt. Wer grenzüberschreitend arbeitet, sollte sich darauf einstellen, dass die Aufsichtsdichte in der EU vorerst sehr unterschiedlich ist.
Der Artikel 4 wird neu gefasst, nicht abgeschafft
Der Omnibus schreibt Art. 4 zur KI-Kompetenz vollständig neu. Wo vorher Maßnahmen zu ergreifen waren, um Kompetenz sicherzustellen, sind jetzt Maßnahmen zu ergreifen, um ihre Entwicklung zu unterstützen. Der Artikel stellt zusätzlich klar, dass niemand für eine einzelne Person ein bestimmtes Kompetenzniveau garantieren muss.
Das ist eine Abschwächung, und es hat keinen Zweck, sie zu bemänteln. Der Text nennt es aber weiterhin "diese Verpflichtung", Art. 4 steht in Kapitel I und gilt unverändert seit dem 2. Februar 2025. Weggefallen ist die Einstandspflicht für ein Ergebnis, nicht die Handlungspflicht. Was daraus praktisch folgt, ist weniger offensichtlich, als es klingt, deshalb steht es in einem eigenen Beitrag.
Eine neue Kategorie, die keine erweiterte KMU ist
Hier räumen wir ein Missverständnis aus, das wir in einem Beitrag vom Mai selbst verbreitet haben und inzwischen korrigiert haben.
Der Omnibus fügt in Art. 3 zwei Definitionen ein. KMU verweist auf die Empfehlung 2003/361/EG, also unverändert unter 250 Beschäftigte und 50 Mio. Euro. Diese Definition wurde nicht angefasst. Daneben tritt eine eigene Kategorie, das kleine Midcap-Unternehmen nach der Empfehlung (EU) 2025/1099: Unternehmen, die keine KMU sind, weniger als 750 Personen beschäftigen und höchstens 150 Mio. Euro Umsatz oder 129 Mio. Euro Bilanzsumme erreichen.
Der Unterschied ist nicht sprachlich. Ein Betrieb mit 400 Beschäftigten ist keine vergrößerte KMU geworden, sondern etwas anderes, mit einem eigenen und kürzeren Katalog: vereinfachte technische Dokumentation nach Anhang IV, vorrangiger Zugang zu Reallaboren, Anleitung durch die nationalen Behörden und, am handfestesten, der neue Art. 99 Abs. 6a. Danach gilt bei den Bußgeldern nach Abs. 4 und 5 jeweils der niedrigere der beiden Werte aus Prozentsatz und Festbetrag. Diese Deckelung kannte die KI-VO bisher nur für KMU.
Für Betriebe zwischen 250 und 750 Beschäftigten lohnt der Blick. Wer darunter liegt, war KMU und bleibt es.
Neue Verbote ab dem 2. Dezember 2026
Art. 5 bekommt zwei neue Buchstaben, ba und bb. Sie verbieten KI-Systeme, die intime Darstellungen bestimmbarer Personen ohne deren ausdrückliche Zustimmung erzeugen oder manipulieren, sowie Systeme zur Erzeugung von Missbrauchsdarstellungen von Kindern. Die neue Fassung von Art. 113 Abs. 3 lit. a gibt ihnen ein eigenes Datum: 2. Dezember 2026, nicht den allgemeinen Termin des Kapitels I.
Der Zuschnitt steht in den Absätzen 1a und 1b. Das Inverkehrbringen ist nur verboten, wenn diese Erzeugung die Zweckbestimmung des Systems ist oder ein absehbares und reproduzierbares Ergebnis ohne zumutbare Schutzvorkehrungen. Die Verwendung ist nur verboten, wenn der Betreiber das System zu diesem Zweck einsetzt. Ein allgemeines Verbot von Bildgeneratoren ist es nicht.
Ein Transparenz-Detail, das gern übersehen wird
Art. 50 ist inhaltlich unverändert, geändert wurde nur Absatz 7 zu den Praxisleitfäden. Die Pflichten gelten ab dem 2. August 2026.
Der Omnibus hängt aber einen Absatz 4 an Art. 111 mit einer eng gefassten Übergangsregel: Anbieter von Systemen, die synthetische Inhalte erzeugen und vor dem 2. August 2026 in Verkehr gebracht wurden, haben bis zum 2. Dezember 2026 Zeit, Art. 50 Abs. 2 zu erfüllen. Nur Absatz 2, also die maschinenlesbare Markierung, und nur für Bestandssysteme. Die Betreiberpflichten aus den Absätzen 1, 3 und 4 gelten ab August ohne Übergang. Diese beiden Dinge zu verwechseln, ist der teuerste Fehler in diesem Block.
Was ich diese Woche täte
- Jeden internen Compliance-Kalender prüfen, der Aufsicht oder Sanktionen auf August 2026 datiert, und auf August 2025 korrigieren.
- Prüfen, ob ein eigenes oder eingekauftes System unter Anhang III fällt. Lautet die Antwort nein, betrifft die Verschiebung auf 2027 den Betrieb schlicht nicht.
- Bei Chatbots, Assistenten oder erzeugten Inhalten nach außen den Art. 50 mit dem Datum 2. August 2026 durchgehen.
- Dokumentieren, was in Sachen Schulung ohnehin schon passiert. Nach der neuen Fassung des Art. 4 zählt genau das: die Maßnahme und ihr Nachweis.
Die sechzehn Monate für Hochrisiko sind Vorbereitungszeit, kein Aufschub. Dokumentation, Protokollierung und menschliche Aufsicht nach Kapitel III baut niemand in einem Quartal auf, und im Dezember 2027 steht derselbe Berg mit weniger Luft.
Wer gerade ein Pilotprojekt mit lokaler KI aufsetzt, legt die Dokumentationsgewohnheiten am besten jetzt an: Die Spur, die im Pilotbetrieb entsteht, ist genau das, was später eine Konformitätserklärung trägt. Wer zuerst die Schulungsseite sortieren will, findet in unserer Schulung nach Art. 4 KI-VO einen Aufbau, der auf Nachweisbarkeit ausgelegt ist, und im Komplettleitfaden für KMU die Pflichten im Zusammenhang.