EU verabschiedet formell AI Act-Änderungen und verschiebt Compliance-Frist für Hochrisiko-KI auf 2027

Die Europäische Union hat die Überarbeitung ihres AI Act formell abgeschlossen. Der EU-Rat verabschiedete das Digital Omnibus zu KI am 29. Juni 2026 – der letzte Verfahrensschritt, nachdem das Europäische Parlament denselben Text am 16. Juni gebilligt hatte. Mit der Annahme durch den Rat werden die Änderungen im Amtsblatt der EU veröffentlicht und kurz darauf in Kraft treten, wodurch die Compliance-Zeitpläne für KI-Unternehmen in Europa neu gestaltet werden.

Das Digital Omnibus ist die folgenreichste Reihe von Änderungen des EU AI Act seit der Verabschiedung der Verordnung im Jahr 2024. Der Kerneffekt: Unternehmen, die Hochrisiko-KI-Systeme in den Bereichen Gesundheitswesen, Bildung, Beschäftigung, Strafverfolgung und kritische Infrastruktur einsetzen, haben deutlich mehr Zeit zur Einhaltung erhalten – in einigen Fällen 16 Monate über die ursprünglichen Fristen hinaus. Der Schritt spiegelt anhaltende Lobbyarbeit von Industriegruppen wider, die argumentierten, dass die ursprünglichen Zeitpläne nicht praktikabel seien, sowie eine Europäische Kommission, die zunehmend darauf bedacht ist, die Wettbewerbsfähigkeit zu stärken, anstatt die regulatorischen Lasten im KI-Wettlauf mit den USA und China zu verschärfen.

Was sich geändert hat – und was nicht

Die Änderungen strukturieren die Compliance-Zeitpläne entlang zweier Pfade neu, abhängig davon, wie ein Hochrisiko-KI-System eingesetzt wird:

Eigenständige Hochrisiko-KI-Systeme (Anhang III): Dazu gehören KI, die bei Einstellungsentscheidungen, Kredit-Scoring, biometrischer Identifizierung, Bildungsbewertung und Zugang zu wesentlichen Dienstleistungen eingesetzt wird. Die ursprüngliche Compliance-Frist war der 2. August 2026 – nur wenige Wochen entfernt. Gemäß dem Digital Omnibus verschiebt sich diese Frist auf den 2. Dezember 2027. Unternehmen in dieser Kategorie haben 16 zusätzliche Monate gewonnen.

In regulierte Produkte eingebettete KI (Anhang I): KI-Komponenten, die in Produkte integriert sind, die bereits unter bestehende EU-Sicherheitsgesetzgebung fallen – wie Medizinprodukte, Industriemaschinen und Fahrzeuge – müssen nun bis zum 2. August 2028 die Compliance-Anforderungen erfüllen, ein Jahr später als die vorherige Frist im August 2027.

Die Regeln für Allzweck-KI (GPAI)-Modelle, die für Grenzmodelle von Unternehmen wie Anthropic, Google, Meta und OpenAI gelten, bleiben unverändert. Die Verpflichtungen für GPAI-Anbieter – einschließlich Transparenzdokumentation, adversarial Testing und Bewertung systemischer Risiken für Modelle oberhalb der Rechenleistungsschwelle – bleiben im ursprünglichen Zeitplan.

Ein neues Verbot hinzugefügt

Während die Änderungen die Fristen lockern, verschärfen sie die Verbotsliste in einem Bereich: KI-Systeme, die zur Erstellung nicht einvernehmlicher intimer Aufnahmen (NCII) entwickelt wurden, gemeinhin als Deepfake-Pornografie-Tools bezeichnet, sowie KI-Systeme, die Material über sexuellen Kindesmissbrauch (CSAM) generieren, sind nun ausdrücklich im AI Act verboten. Die Einhaltung dieses Verbots ist bis zum 2. Dezember 2026 erforderlich – eine kurzfristige Frist, die im Gegensatz zu den längeren Verlängerungen steht, die an anderer Stelle im Paket gewährt wurden.

Die Ergänzung signalisiert die Absicht der EU, den AI Act als Vehikel für die Regulierung von Inhaltsicherheit zu nutzen, nicht nur für systemische und technische Risiken. Sie bringt den AI Act auch mit anderen EU-Gesetzesinitiativen zur Bekämpfung von Online-Schäden in Einklang.

Warum die Verlängerung gewährt wurde

Die ursprünglichen AI Act-Zeitpläne wurden von mehreren Seiten kritisiert. Industriegruppen argumentierten, dass die erforderliche Compliance-Infrastruktur – interne Dokumentation, Konformitätsbewertungen, Registrierung in der EU-Datenbank, Prüfungen durch benannte Stellen – nicht im erforderlichen Umfang bereit war, insbesondere für mittelgroße Unternehmen. Rechtspraktiker wiesen auf Unklarheiten bei der Auslegung mehrerer Kategorien in Anhang III hin, was selbst für Unternehmen, die schnell handeln wollten, Compliance-Unsicherheit schuf.

Die Europäische Kommission, die das Digital Omnibus Anfang 2026 vorgeschlagen hatte, stellte die Änderungen als eine „Vereinfachungs"- und Wettbewerbsfähigkeitsmaßnahme dar und nicht als Rückzug von der Regulierung. Digitalkommissarin Henna Virkkunen verwies auf die Notwendigkeit, regulatorische Fragmentierung zu vermeiden und sicherzustellen, dass europäische Unternehmen in einer Zeit rascher KI-Investitionen weltweit nicht benachteiligt werden.

Kritiker, darunter zivilgesellschaftliche Gruppen und einige Mitglieder des Europäischen Parlaments, argumentierten, dass die Verlängerungen den Schutz in sensiblen Bereichen genau dann schwächen, wenn der KI-Einsatz in den Bereichen Einstellung, Gesundheitswesen und Strafverfolgung zunimmt. Der endgültige Text bewahrte die Verlängerungen und fügte das NCII-Verbot als Zugeständnis hinzu.

Praktische Auswirkungen für Unternehmen

Für Unternehmen, die KI-Systeme in der EU entwickeln oder einsetzen, ändert das Digital Omnibus den kurzfristigen Compliance-Kalender erheblich. Die Frist im August 2026 hatte bei Rechts- und Compliance-Teams für Dringlichkeit gesorgt; dieser Druck entfällt nun für eigenständige Systeme nach Anhang III bis Ende 2027.

Was Unternehmen nicht tun sollten, ist die Verlängerung als Signal zu betrachten, die Compliance-Arbeit vollständig zu pausieren. Die Dokumentationsanforderungen, Risikoklassifizierungspflichten und technischen Standards des EU AI Act werden klarer, da die Aufsichtsbehörden Leitlinien veröffentlichen. Unternehmen, die die Verlängerung nutzen, um konforme Prozesse aufzubauen – anstatt nur zu verzögern – werden besser positioniert sein, wenn der Dezember 2027 kommt. Diejenigen, die bis Mitte 2027 warten, um zu beginnen, werden denselben Infrastrukturengpass erleben, den der ursprüngliche Zeitplan verursacht hat.

Für Nicht-EU-Unternehmen, die KI-gestützte Produkte oder Dienstleistungen im EU-Markt verkaufen, bleibt die gerichtliche Reichweite des AI Act unverändert. Das Digital Omnibus hat Zeitpläne angepasst, nicht den Anwendungsbereich.

Quellenangabe

Dieser Artikel basiert auf offiziellen Ankündigungen des EU-Rats und des Europäischen Parlaments, rechtlichen Analysen von Gibson Dunn, Morgan Lewis und White & Case sowie dem offiziellen Digital Omnibus-Text, der von der Europäischen Kommission veröffentlicht wurde.