4. Juli 2026 · 933 Wörter · 5 Min. Lesezeit
Die Deadline ist verschoben. Das Risiko nicht.
Die EU verschiebt zentrale Teile ihrer KI-Regulierung. Wer in einem Unternehmen KI-Systeme baut oder betreibt, hat seit Ende Juni auf dem Papier deutlich mehr Zeit für die strengsten Auflagen.
Konkret: Am 29. Juni hat der Rat der EU den Digital Omnibus final gebilligt, ein Paket, das den AI Act, das EU-Gesetz für KI-Systeme, vereinfacht und seine wichtigsten Fristen verschiebt. Betroffen ist der anspruchsvollste Teil des Gesetzes: die Pflichten für Hochrisiko-Systeme. Das sind KI-Systeme, die über Menschen mitentscheiden, etwa bei Bewerbungen, Krediten oder in Behörden (Annex III), und KI, die in regulierten Produkten steckt, etwa in Medizinprodukten (Annex I). Für die erste Gruppe verschiebt sich der Stichtag vom 2. August 2026 auf den 2. Dezember 2027, für die zweite auf den 2. August 2028.
Sechzehn Monate geschenkte Zeit. So klingt es zumindest.
Ich vermute, in vielen Unternehmen ist in derselben Woche ein Governance-Budget leiser geworden. Die Logik liegt nahe: Wenn die Pflicht erst Ende 2027 greift, können Traces, Evals und Human-in-the-loop wieder dahin, wo ungeliebte Themen wohnen. In Phase 2.
Genau diese Logik halte ich für den teuersten Fehlschluss, den man aus dem Omnibus ziehen kann.
Was sich wirklich geändert hat
Zuerst die nüchterne Bestandsaufnahme, denn der Aufschub ist kein Freifahrtschein. Die Transparenzpflichten nach Artikel 50 kommen weiterhin zum 2. August 2026: Offenlegung bei interaktiven Systemen, bei Emotionserkennung und biometrischer Kategorisierung, bei Deepfakes und KI-generierten Inhalten. Eine Übergangsfrist bis zum 2. Dezember 2026 gibt es nur für die Kennzeichnung durch Anbieter von Systemen für synthetische Inhalte, die vor dem 2. August 2026 schon im Markt sind. Wer einen Chatbot anbietet, hat also auch nach dem Omnibus in wenigen Wochen eine Pflicht, keine Option.
Verschoben wurden die schweren Brocken: die Anforderungen an Hochrisiko-Systeme. Der Grund ist unspektakulär und nachvollziehbar. Harmonisierte Standards sind nicht fertig, nationale Behörden sind nicht benannt, Konformitätswerkzeuge fehlen. Die EU verschiebt nicht, weil die Anforderungen falsch wären, sondern weil die Infrastruktur zu ihrer Prüfung fehlt.
Das ist der erste Punkt, der in der Phase-2-Logik untergeht: Die Anforderungen selbst sind bekannt und beschlossen. Verschoben ist der Anwendungs- und Prüfungstermin, nicht die Richtung der Anforderungen.
Die härtere Deadline stand nie in Brüssel
Der zweite Punkt wiegt schwerer. Ich habe vor wenigen Tagen über das Urteil des OLG Hamm geschrieben: Ein Chatbot erfand Facharzttitel, und das Gericht rechnete die Aussagen dem Betreiber zu. Nach geltendem Recht. Ohne AI Act. KI-Haftung ist ein Architekturproblem, und dieses Problem hat keinen Stichtag im Amtsblatt.
Das Zivilrecht kennt keine Übergangsfristen. Und der Aufschub der Hochrisiko-Pflichten pausiert weder die DSGVO noch die MDR, die für Medizinprodukte unverändert weiterläuft. Wer im Gesundheitswesen, im Finanzsektor oder in anderen regulierten Umgebungen KI betreibt, hatte schon vor dem AI Act einen vollständigen Compliance-Stack. Der AI Act legt sich als Schicht oben drauf. Wenn diese eine Schicht später kommt, entlastet das die anderen um exakt nichts.
Die Bausteine, um die es dabei geht, habe ich im Haftungs-Post beschrieben: Guardrails, Quellenbindung, Human-in-the-loop an den kritischen Stellen, Traces, Evals. Keiner davon war je AI-Act-Zubehör. Sie sind das, was ein System heute zurechenbar und verteidigbar macht, wenn etwas schiefgeht. Und etwas geht schief, unabhängig davon, was in Brüssel beschlossen wird.
Der AI Act wird 2027 mehr verlangen als diese Bausteine, vor allem Dokumentation, Qualitätsmanagement und die Konformitätsbewertung selbst. Aber das ist Papierarbeit auf einem Fundament. Und ohne Fundament ist es Papierarbeit über einem Loch.
Wer eine Deadline braucht, hat ein anderes Problem
Es gibt einen einfachen Test, was Governance in einem Unternehmen wirklich ist. Man verschiebe die gesetzliche Frist und beobachte, was passiert. Wird weitergebaut, war es Systemdesign. Wird gestrichen, war es Theater für den Prüfer.
Das klingt härter, als es gemeint ist, denn der Reflex ist verständlich: Budgets sind endlich, und eine Frist ist das stärkste Argument im Steering-Meeting. Aber eine Architektur, die nur wegen einer Deadline entsteht, wird beim ersten Aufschub zurückgebaut und beim nächsten Vorfall vermisst. Dann steht man ohne Traces vor der Frage, warum das System gesagt hat, was es gesagt hat, und ohne Evals vor der Frage, ob der Fix wirkt.
Dazu kommt ein praktisches Detail aus dem Omnibus, das wenig zitiert wird: Bestandsschutz. Systeme, die vor den neuen Stichtagen in Verkehr gebracht wurden, wachsen erst dann in die Hochrisiko-Pflichten hinein, wenn ihr Design wesentlich geändert wird; für Systeme öffentlicher Stellen gilt zusätzlich eine harte Grenze im August 2030. Das klingt nach einem weiteren Geschenk. In der Praxis ändert sich jedes lebende KI-System aber laufend: Modelle werden getauscht, Prompts überarbeitet, Datenquellen erweitert. Ob das im Einzelfall rechtlich eine wesentliche Änderung ist, klären am Ende Juristen. Wer seine Roadmap auf den Bestandsschutz baut, baut sich jedenfalls einen Anreiz, das eigene System nicht zu verbessern. Das ist keine Strategie, das ist Stillstand mit Rechtsbegründung.
Was ich stattdessen empfehle
Der Aufschub ist vernünftig begründet, und Alarmismus wäre die falsche Antwort. Die richtige Lesart ist eine andere: Die EU hat den Anwendungs- und Prüfungstermin verschoben, nicht den Stoff. Wer die Bausteine jetzt im laufenden Betrieb härtet, macht aus dem Dezember 2027 eine Konformitätsübung. Wer wartet, macht daraus ein Rettungsprojekt mit sechzehn Monaten weniger Vorlauf, als es heute scheint.
Der Omnibus ist ein Geschenk. Aber an die, die schon bauen, nicht an die, die warten.
Quellen: Pressemitteilung des Rats der EU vom 29.06.2026, beschlossener Gesetzestext PE 30/2026, AI Act, Artikel 50.
Das ist keine Rechtsberatung, sondern die Architektur-Lesart eines regulatorischen Aufschubs.