Der Zeitplan nach dem AI Omnibus

Kaum ein Aspekt des AI Act hat so viel Verwirrung gestiftet wie der Zeitplan. Das liegt nicht an mangelnder Sorgfalt der Leser, sondern an der Konstruktion der Verordnung selbst. Sie tritt nicht an einem Tag in Kraft, sondern in Etappen. Und im Sommer 2026 hat der europäische Gesetzgeber einen Teil dieser Etappen mit dem sogenannten AI Omnibus noch einmal verschoben. Wer sich auf einen Artikel aus dem Jahr 2024 verlässt, arbeitet deshalb mit veralteten Daten.

Diese Lektion bringt Ordnung in die Termine. Sie zeigt, was bereits gilt, was sich verschoben hat und – mindestens ebenso wichtig – was sich nicht verschoben hat, obwohl es in vielen Unternehmen so verstanden wurde.

1. Warum der AI Act in Etappen gilt

Die Verordnung ist am 1. August 2024 in Kraft getreten. Art. 113 legt fest, dass sie grundsätzlich zwei Jahre später gilt, sieht aber für einzelne Kapitel frühere und spätere Termine vor. Die Logik dahinter ist nachvollziehbar: Verbote brauchen keine lange Vorbereitung, weil man eine Praxis einfach unterlässt. Hochrisiko-Anforderungen dagegen setzen voraus, dass technische Normen existieren, Prüfstellen benannt und Behörden arbeitsfähig sind. Also greifen die einfachen Regeln zuerst und die aufwendigen zuletzt.

Schalten Sie im Zeitstrahl zwischen der ursprünglichen Fassung und dem Stand nach dem Omnibus hin und her. Sie sehen auf einen Blick, dass sich nur die beiden Hochrisiko-Termine bewegt haben und zwei neue Daten dazugekommen sind. Alles andere steht.

2. Was bereits gilt

Seit dem 2. Februar 2025 gelten die Verbote nach Art. 5 und die Pflicht zur KI-Kompetenz nach Art. 4. Das ist der Punkt, an dem viele Unternehmen unterschätzen, wie weit die Verordnung bereits in den Alltag reicht. Art. 4 betrifft jeden Anbieter und jeden Betreiber, also jedes Unternehmen, dessen Beschäftigte beruflich mit KI arbeiten. Der AI Omnibus hat die Formulierung angepasst: Statt ein ausreichendes Maß an KI-Kompetenz „sicherzustellen“, sollen Anbieter und Betreiber Maßnahmen ergreifen, um sie zu unterstützen. Das senkt den Druck, eine bestimmte Kompetenz nachzuweisen, ändert aber nichts daran, dass man tätig werden muss.

Seit dem 2. August 2025 gelten die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck sowie die Regeln zu Aufsicht und Sanktionen. Und seit dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50. Chatbots müssen sich als solche zu erkennen geben, KI-generierte Inhalte müssen maschinenlesbar gekennzeichnet und Deepfakes offengelegt werden.

3. Was der AI Omnibus geändert hat

Der AI Omnibus, die Verordnung (EU) 2026/1744, ist am 27. Juli 2026 in Kraft getreten, wenige Tage bevor die Hochrisiko-Pflichten ursprünglich gegriffen hätten. Hintergrund war unter anderem, dass die harmonisierten technischen Normen, an denen sich Unternehmen bei der Umsetzung orientieren sollen, nicht rechtzeitig fertig geworden waren. Ohne diese Normen hätten Anbieter Anforderungen erfüllen müssen, deren genaue Ausgestaltung noch offen war.

4. Was „verschoben“ nicht bedeutet

Aus der Verschiebung der Hochrisiko-Fristen haben manche Unternehmen den Schluss gezogen, der AI Act sei insgesamt auf später vertagt. Das ist in zweifacher Hinsicht falsch. Erstens gelten, wie gezeigt, Verbote, KI-Kompetenz und Transparenz bereits. Zweitens ist ein Hochrisiko-System, das Ende 2027 den Anforderungen genügen soll, kein Projekt, das man im Herbst 2027 beginnt. Risikomanagement, Datenqualität, Dokumentation und menschliche Aufsicht lassen sich nicht nachträglich auf ein laufendes System aufsetzen, ohne es erheblich umzubauen.

Für Betreiber, also für die meisten Unternehmen, ist die Lage entspannter. Sie müssen die Systeme nicht selbst zertifizieren. Aber sie müssen wissen, welche ihrer Werkzeuge hochriskant sind, und bei der Beschaffung darauf achten, dass die Anbieter die Anforderungen rechtzeitig erfüllen. Wer 2027 eine neue Bewerbersoftware einführt, sollte sich die Konformität vertraglich zusichern lassen. Eine Nachfrage beim bestehenden Anbieter, wie er sich auf den Dezember 2027 vorbereitet, kostet heute eine E-Mail – und liefert eine erstaunlich aussagekräftige Antwort über dessen Professionalität.

5. Drei Missverständnisse rund um die Termine

„Für Bestandssysteme gilt das nicht.“ Ganz so einfach ist es nicht. Der AI Act enthält zwar Übergangsregeln für Systeme, die vor einem Stichtag in Verkehr gebracht wurden, doch sie sind an Bedingungen geknüpft. Wird ein solches System nach dem Stichtag erheblich verändert, gilt es wie ein neues. Und für Verbote und Transparenzpflichten gibt es keinen Bestandsschutz: Eine verbotene Praxis wird nicht dadurch erlaubt, dass man sie schon länger betreibt.

„Solange es keine Behörde gibt, passiert nichts.“ Auch wenn die Aufsichtsstrukturen in den Mitgliedstaaten unterschiedlich weit sind, gelten die Pflichten unabhängig davon. Hinzu kommt ein Aspekt, der oft übersehen wird: Verstöße können auch zivilrechtlich eine Rolle spielen, etwa in Streitigkeiten mit Kunden, Beschäftigten oder Wettbewerbern. Wer die Pflichten kennt und nicht umsetzt, handelt nicht in einer Grauzone, sondern schlicht rechtswidrig.

„Der Omnibus kommt noch einmal.“ Möglich ist das, denn Gesetze ändern sich. Aber eine Strategie, die auf die nächste Verschiebung setzt, ist keine. Die Grundarchitektur des AI Act – Risikostufen, Rollen, Transparenz – hat der Omnibus nicht angetastet. Wer heute seine Systeme erfasst und einordnet, erledigt Arbeit, die in jedem denkbaren Szenario gebraucht wird.

6. Ein realistischer Fahrplan

Aus dem Zeitplan ergibt sich für ein typisches mittelständisches Unternehmen eine klare Reihenfolge. Sofort: KI-Werkzeuge erfassen, Beschäftigte schulen, verbotene Praktiken ausschließen und die Transparenz auf Website und im Marketing herstellen. Bis Ende 2026: prüfen, ob eigene Systeme KI-Inhalte erzeugen, deren maschinenlesbare Kennzeichnung nachgerüstet werden muss. 2027: Hochrisiko-Einsätze identifizieren, vor allem im Personalbereich, und mit den Anbietern klären, wie sie die Anforderungen erfüllen. Bis 2028: Wer Maschinen oder andere regulierte Produkte mit KI-Komponenten herstellt, bereitet die Konformitätsbewertung vor.

Die Termine sind der Rahmen, nicht der Inhalt. Welche Maßnahmen im Einzelnen sinnvoll sind, behandeln die folgenden Module. Den Einstieg bildet Modul 3 mit der Frage, welche Rolle Ihr Unternehmen bei den einzelnen Systemen einnimmt.

Stand: September 2026, Rechtsstand nach dem AI Omnibus (VO (EU) 2026/1744). Kursmaterial der Klarwerk Akademie, keine Rechtsberatung. Abbildungen sind vereinfachte, schematische Darstellungen.