Der Digital Omnibus ist angenommen: Was die Verordnung (EU) 2026/1744 an den AI-Act-Fristen wirklich ändert

Die Verordnung (EU) 2026/1744 im Überblick

Seit dem 27. Juli 2026 ist der Digital Omnibus on AI geltendes Recht. Die Verordnung (EU) 2026/1744 des Europäischen Parlaments und des Rates vom 8. Juli 2026 wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am dritten Tag nach dieser Veröffentlichung in Kraft. Der verbindliche Text steht in der EU-Primärquelle, siehe https://eur-lex.europa.eu/eli/reg/2026/1744/oj — und diese Quelle ist die einzige, die im Streitfall zählt. Jede Sekundärdarstellung, auch diese hier, ist Auslegung.

Formal ist 2026/1744 keine eigenständige Regulierung, sondern ein Änderungsrechtsakt. Sie ändert drei bestehende Verordnungen: den AI Act selbst, also die Verordnung (EU) 2024/1689 (siehe https://eur-lex.europa.eu/eli/reg/2024/1689/oj), die Luftfahrt-Grundverordnung (EU) 2018/1139 (siehe https://eur-lex.europa.eu/eli/reg/2018/1139/oj) und die Maschinenverordnung (EU) 2023/1230 (siehe https://eur-lex.europa.eu/eli/reg/2023/1230/oj). Wer nur die AI-Act-Änderung liest, übersieht die halbe Botschaft: Der Gesetzgeber hat die KI-Fristen und die sektoralen Produktrechtsakte im selben Zug synchronisiert, weil die eine ohne die andere nicht funktioniert.

Für die tägliche Arbeit hat das eine unspektakuläre, aber folgenreiche Konsequenz: Der AI-Act-Text, den Ihre Rechtsabteilung im Frühjahr abgelegt hat, ist überholt. Ab sofort ist ausschließlich die konsolidierte Fassung von 2024/1689 die Arbeitsgrundlage. Wer weiter mit der Ursprungsfassung von 2024 arbeitet, plant gegen Termine, die es nicht mehr gibt — und das ist im Compliance-Kontext ein teurer Fehler, weil er in beide Richtungen wirken kann: zu früh gebundene Budgets ebenso wie zu spät gestartete Programme.

Dieser Beitrag ist bewusst die Referenzseite zur Verordnung selbst. Die einordnende Szenario-Diskussion, wie es dazu kam und wie eine Organisation mit regulatorischer Unsicherheit umgeht, steht im Companion-Update EU AI Act 2026: Was die Digital-Omnibus-Verschiebung wirklich ändert. Die inhaltlichen Pflichten — Risikostufen, Rollen in der Wertschöpfungskette, Artikel 9 bis 15 — bleiben im EU AI Act Compliance Guide beschrieben. Hier geht es ausschließlich um das, was die neue Verordnung an den Terminen tut.

Welche der beiden neuen Fristen für Ihre Systeme gilt, klärt der kostenlose AI-Act-Readiness-Check in rund drei Minuten, ohne Login und ohne Registrierung.

Die Fristen im Direktvergleich: alt gegen neu

Die entscheidende Änderung betrifft Kapitel III Abschnitte 1 bis 3 des AI Act, also den Kern der High-Risk-Pflichten. Statt eines einheitlichen Stichtags gibt es jetzt zwei, und sie unterscheiden sich danach, über welchen der beiden Klassifizierungspfade ein System in die High-Risk-Kategorie fällt.

Für eigenständige High-Risk-Systeme nach Artikel 6 Absatz 2 in Verbindung mit Annex III gilt der 2. Dezember 2027. Das ist die Kategorie, in der die meisten Unternehmen ihre Systeme finden: Personalauswahl, Kreditwürdigkeitsprüfung, Bildungszugang, Zugang zu wesentlichen privaten und öffentlichen Diensten. Für produktgebundene High-Risk-Systeme nach Artikel 6 Absatz 1 in Verbindung mit Annex I gilt der 2. August 2028. Das betrifft KI, die als Sicherheitskomponente in einem bereits regulierten Produkt steckt oder selbst ein solches Produkt ist.

Gemessen an der ursprünglichen Fassung bedeutet das rund 16 zusätzliche Monate für Annex III und rund 12 zusätzliche Monate für Annex I. Diese Zahlen sind der einzige Gewinn aus der Verordnung. Es gibt keinen zweiten, versteckten Vorteil — keine reduzierte Dokumentationstiefe, keine gelockerte Datenqualitätsanforderung, keine abgesenkte Schwelle für menschliche Aufsicht.

Die folgende Tabelle ist die Fassung, die in Ihren Compliance-Plan gehört. Sie ersetzt jede Zeitleiste, die vor dem 24. Juli 2026 erstellt wurde.

Die wichtigste Streichung: Die Standards-Kopplung ist raus

Der Kommissionsentwurf vom November 2025 sah einen bedingten Auslöser vor: Die High-Risk-Pflichten sollten erst greifen, wenn die harmonisierten Normen und die unterstützenden Instrumente tatsächlich verfügbar sind. Damit wäre der Anwendungsbeginn kein Datum gewesen, sondern ein Ereignis — feststellbar erst rückblickend, abhängig vom Fortschritt der europäischen Normungsgremien.

Dieser Mechanismus steht nicht im angenommenen Text. Übrig geblieben sind zwei unbedingte Kalenderdaten. Der 2. Dezember 2027 und der 2. August 2028 gelten unabhängig davon, ob die harmonisierten Normen bis dahin fertig sind, ob das AI Office seine Leitlinien veröffentlicht hat und ob die notifizierten Stellen ausreichend Kapazität aufgebaut haben. Verschieben lassen sich diese Daten nur noch durch ein neues Gesetzgebungsverfahren — also durch eine erneute Einigung von Parlament und Rat.

Für die Governance ist das die eigentlich gute Nachricht, und sie wird in der Berichterstattung regelmäßig unterschlagen. Ein bedingter Auslöser hätte jede Roadmap in einen Dauerbeobachtungsmodus gezwungen: Normungsstand quartalsweise prüfen, Szenarien pflegen, Budgets in der Schwebe halten. Zwei feste Daten dagegen sind planbar. Sie erlauben eine Rückwärtsplanung mit definierten Meilensteinen, eine belastbare Budgetzuweisung über zwei Haushaltsjahre und eine klare Zuständigkeitszuweisung — genau das, was ein mehrjähriges Compliance-Programm braucht.

Die Kehrseite ist ebenso klar: Es gibt keine eingebaute Rückfallposition mehr. Wenn im Herbst 2027 die harmonisierten Normen noch nicht vollständig vorliegen, verschiebt sich der 2. Dezember 2027 nicht automatisch. Die Organisation trägt dann das Risiko, gegen einen noch nicht final ausformulierten Stand der Technik nachweisen zu müssen. Wer daraus schließt, es werde schon eine weitere Verschiebung geben, wettet auf ein politisches Verfahren, dessen Ausgang niemand belastbar prognostizieren kann. Den Stand der Normungs- und Unterstützungsarbeiten dokumentiert die Kommission laufend, siehe https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai.

Was nicht verschoben wurde — und warum das die eigentliche Nachricht ist

Vier Pflichtenblöcke sind von der Verordnung unberührt geblieben, und alle vier sind heute anwendbar. Die Verbote unzulässiger KI-Praktiken gelten seit dem 2. Februar 2025. Die Pflicht zu ausreichender KI-Kompetenz beim Personal nach Artikel 4 gilt ebenfalls seit dem 2. Februar 2025. Die Pflichten für Modelle mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025. Die Transparenzpflichten aus Artikel 50 gelten seit dem 2. August 2026 — also seit sechs Tagen.

Diese Aufzählung ist kein Nebensatz, sondern der Kern der Lage. Verschoben wurde ausgerechnet der Teil, der überwiegend intern wirkt: Risikomanagementsystem, Datenqualität, technische Dokumentation, Aufzeichnungspflichten, Konformitätsbewertung. Nicht verschoben wurde der Teil, den Kunden, Bewerber, Aufsichtsbehörden und Wettbewerber unmittelbar sehen können: dass ein Chatbot sich als KI zu erkennen gibt, dass synthetische Inhalte gekennzeichnet sind, dass verbotene Praktiken unterbleiben.

Die Asymmetrie hat eine praktische Folge für das Risikoprofil. Eine Lücke bei Artikel 50 ist heute eine Haftungslage, keine Projektaufgabe. Sie ist von außen ohne Systemzugriff feststellbar — eine Website, ein Produktvideo, ein Bewerbungsportal genügt. Wie diese Pflichten konkret aussehen und wo die typischen Lücken liegen, behandelt der Beitrag zu den Artikel-50-Transparenzpflichten im Detail.

In der internen Kommunikation ist deshalb Präzision entscheidend. Die Botschaft „der AI Act ist verschoben" ist sachlich falsch und organisatorisch gefährlich. Richtig ist: Ein klar abgegrenzter Teil der Pflichten ist verschoben, der Rest gilt und wird durchgesetzt. Wer die Nachricht unscharf weitergibt, erzeugt in den Fachbereichen ein Entspannungssignal, das genau die Arbeiten stoppt, die keinen Aufschub haben.

Zwei Daten, zwei Welten: Annex III und Annex I

Dass der Gesetzgeber zwei getrennte Termine gesetzt hat, ist kein Kompromiss aus dem Trilog, sondern folgt der Struktur der Konformitätsbewertung. Die beiden Klassifizierungspfade unterscheiden sich in dem, was zwischen Fertigstellung und Marktzugang steht.

Eigenständige High-Risk-Systeme nach Annex III bewerten Anbieter in aller Regel selbst. Die Organisation kontrolliert ihren eigenen kritischen Pfad: Sie kann Datenqualität, Dokumentation und Aufsichtskonzept aus eigener Kraft herstellen und ist nicht auf externe Kapazität angewiesen. Deshalb reicht hier der kürzere Vorlauf bis zum 2. Dezember 2027.

Produktgebundene Systeme nach Annex I liegen anders. Hier greift der AI Act in Rechtsakte hinein, die eine Bewertung durch eine notifizierte Stelle vorsehen — genau deshalb ändert die Verordnung 2026/1744 auch die Luftfahrt-Grundverordnung (EU) 2018/1139 und die Maschinenverordnung (EU) 2023/1230 mit. In diesen Sektoren hängt der Zeitplan nicht nur am Hersteller, sondern an der verfügbaren Prüfkapazität am Markt. Der 2. August 2028 trägt dieser Abhängigkeit Rechnung.

Für Organisationen mit beiden Systemtypen folgt daraus eine harte Planungsregel: Das sind zwei Programme, nicht eines. Sie haben unterschiedliche kritische Pfade, unterschiedliche Abhängigkeiten und unterschiedliche Eskalationswege. Wer sie in einer gemeinsamen Roadmap mit einem gemeinsamen Zieltermin führt, wird entweder für Annex III zu spät fertig oder bindet für Annex I Kapazität, die noch anderswo gebraucht würde. Die Trennung sollte bereits im KI-Inventar angelegt sein, nicht erst im Projektplan.

Praktisch heißt das: Jede Zeile im Inventar bekommt ein Feld, das den Klassifizierungspfad festhält — Artikel 6(1) oder Artikel 6(2) — und daraus abgeleitet den maßgeblichen Stichtag. Dieses Feld ist später die Sortierlogik für Budget, Ressourcen und Berichterstattung. Ohne dieses Feld ist keine der beiden Fristen steuerbar.

Was ein CIO in diesem Quartal tun muss

Die folgenden Punkte gehören in den Plan für das laufende Quartal — nicht, weil sie dringlich inszeniert werden sollen, sondern weil jeder von ihnen entweder eine heute anwendbare Pflicht betrifft oder auf dem kritischen Pfad zum Dezember 2027 liegt.

1. 1Inventar nach Klassifizierungspfad schneiden: Jedes KI-System im Bestand wird eindeutig Artikel 6(1) oder Artikel 6(2) zugeordnet, daraus folgt der maßgebliche Stichtag. Systeme ohne eindeutige Zuordnung sind keine offene Frage, sondern ein Befund — sie gehören priorisiert geklärt, weil ohne diese Zuordnung keine Ressourcenplanung möglich ist.
2. 2Artikel-50-Nachweis schließen: Die Transparenzpflichten sind seit dem 2. August 2026 anwendbar. Prüfen Sie jede kundenseitige KI-Interaktion, jede synthetische Inhaltserzeugung und jedes Emotions- oder Biometrie-nahe Feature auf korrekte Offenlegung — und dokumentieren Sie das Ergebnis prüffest. Eine Lücke hier ist heute wirksam, nicht 2027.
3. 3Verbots- und Kompetenznachweis aktenfest machen: Verbotene Praktiken und die KI-Kompetenz nach Artikel 4 sind seit Februar 2025 anwendbar. Der Nachweis besteht nicht aus einer Absichtserklärung, sondern aus einer dokumentierten Prüfung des Portfolios und aus rollenspezifischen Schulungsnachweisen mit Curriculum, Teilnehmerkreis und Datum.
4. 4Verträge auf die neuen Daten umstellen: Lieferanten- und Integrationsverträge, die auf den 2. August 2026 oder den 2. August 2027 referenzieren, sind inhaltlich überholt. Setzen Sie Annex-III-Klauseln auf den 2. Dezember 2027 und Annex-I-Klauseln auf den 2. August 2028 — und legen Sie die Nachweisfristen der Lieferanten deutlich davor, nicht auf den Stichtag selbst.
5. 5Budget über zwei Haushaltsjahre neu verteilen: Der Aufwand ist nicht kleiner geworden, er verteilt sich anders. Wer die für 2026 eingeplanten Mittel jetzt vollständig zurückgibt, wird sie 2027 unter Zeitdruck und zu schlechteren Konditionen wieder beschaffen. Sinnvoller ist eine Verschiebung mit erhaltenem Gesamtvolumen und definierten Meilensteinen.
6. 6Regulatorischen Kalender zusammenführen: Der AI Act ist nicht die einzige Frist im Haus. Legen Sie die neuen Daten neben die Termine aus NIS2, DORA und dem Cyber Resilience Act — die Überschneidungen und die gemeinsam nutzbaren Nachweise beschreibt der Beitrag zur [Regulierungs-Kollision 2026](/blog/regulierungs-kollision-2026-nis2-dora-cra-ai-act). Doppelt erhobene Evidenz ist der häufigste vermeidbare Kostenblock.

Was bis 2027 warten darf — und was gerade nicht

Warten darf, was von noch nicht finalisierten Vorgaben abhängt. Dazu zählen die abschließende Konformitätsbewertung, die finale technische Dokumentation gegen dann harmonisierte Normen, die formale Registrierung in der EU-Datenbank und die endgültige Ausgestaltung der Kennzeichnungsmechanismen für High-Risk-Systeme. Wer diese Schritte heute final abschließt, riskiert eine Überarbeitung, sobald die Normen konkreter werden. Für Auslegungsfragen im laufenden Prozess hat die Kommission eine Anlaufstelle eingerichtet, siehe https://digital-strategy.ec.europa.eu/en/policies/ai-act-service-desk.

Nicht warten darf, was einen langen Vorlauf hat. Datenqualität und Datenherkunft nach Artikel 10 lassen sich nicht in einem Quartal herstellen, wenn Trainings- und Validierungsdaten über Jahre ohne Herkunftsnachweis gewachsen sind. Menschliche Aufsicht nach Artikel 14 ist keine Dokumentationsaufgabe, sondern oft eine Produktänderung mit Auswirkungen auf Oberfläche, Prozess und Rollenmodell. Aufzeichnungspflichten nach Artikel 12 greifen in die Architektur ein und sind nachträglich teuer.

Das ist die eigentliche Falle der 16 Monate. Sie werden organisatorisch als Puffer wahrgenommen, obwohl die drei genannten Arbeitspakete realistisch neun bis zwölf Monate binden — und zwar unabhängig voneinander laufend, nicht nacheinander. Wer im Sommer 2027 startet, startet zu spät, und zwar nicht knapp.

Die belastbare Faustregel lautet: Alles, was in die Architektur, in die Datenbasis oder in das Produkterlebnis eingreift, beginnt jetzt. Alles, was eine Unterschrift, eine Registrierung oder eine formale Bewertung gegen einen externen Referenzstand ist, wird vorbereitet und bewusst getaktet. Diese Trennlinie ist präziser als die Unterscheidung zwischen wichtig und unwichtig — und sie ist im Prüfungsfall begründbar.

Governance-Konsequenzen: vom Termin zum Programm

Mit zwei festen Daten und ohne bedingten Auslöser wird aus der AI-Act-Vorbereitung ein normales mehrjähriges Programm — mit allem, was dazugehört: benannte Verantwortung, Meilensteine mit Abnahmekriterien, ein Budget über zwei Haushaltsjahre und eine Berichtslinie, die nicht bei der IT endet. Das ist ein Fortschritt gegenüber der Szenarioplanung des vergangenen Jahres, verlangt aber eine andere Disziplin: Ein Programm ohne Zwischenabnahmen läuft zwei Jahre lang scheinbar planmäßig und ist drei Monate vor dem Termin zu 40 Prozent fertig.

Empfehlenswert sind zwei Berichtszeitpunkte pro Jahr auf Vorstands- oder Geschäftsführungsebene, jeweils mit demselben Kennzahlenschnitt: Anzahl der Systeme je Klassifizierungspfad, Anteil mit abgeschlossener Klassifizierung, Anteil mit vollständiger Artikel-10-Datenherkunft, Anteil mit implementiertem Aufsichtskonzept. Vier Zahlen genügen. Eine Berichtsstruktur, die jedes Quartal ihren Zuschnitt wechselt, erzeugt Aktivität, aber keine Steuerung.

Ebenso wichtig ist die Dokumentation der Priorisierungsentscheidung selbst. Halten Sie fest, warum welche Maßnahme sofort läuft und welche bewusst getaktet wurde. Diese Begründung ist im Prüfungsfall selbst ein Governance-Nachweis: Sie belegt, dass die Rechtslage korrekt gewürdigt und die Reihenfolge bewusst gewählt wurde — statt dass Arbeit einfach liegen geblieben ist.

Strukturvorlagen für Inventar, Klassifizierung und Nachweisführung finden Sie im Template-Katalog; wer die Bestandsaufnahme extern begleitet haben möchte, findet die Leistungspakete und Konditionen unter Preise und Pakete. Für eine erste Standortbestimmung ohne Aufwand bleibt der AI-Act-Readiness-Check der schnellste Einstieg, und der übergreifende IT-Governance-Assessment-Guide ordnet die KI-Compliance in das restliche Steuerungssystem ein.