EU-KI-Verordnung: Hochrisiko-Pflichten für eigenständige Systeme erst ab 2. Dezember 2027

Der ursprüngliche Zeitplan setzte die meisten Hochrisiko-Pflichten am 2. August 2026 in Kraft. Systeme nach Anhang I hatten einen späteren Start am 2. August 2027. Der Omnibus teilt den Hochrisiko-Zeitplan in zwei Teile.

Eigenständige Systeme aus Anhang III fallen nun unter den 2. Dezember 2027, eine Verschiebung um 16 Monate. Die Liste umfasst Personalauswahl, Bonitätsprüfung, Bildung und Grenzkontrolle. Für Unternehmen bedeutet das praktisch 16 Monate mehr Zeit für eigenständige Systeme und 12 Monate mehr für eingebettete. RTÉ berichtete, dass Beschäftigte, Bewerber und Kreditnehmer länger auf die menschliche Aufsicht und die Risikoprüfungen warten, die das Gesetz vorgesehen hätte. KI, die ein Produkt oder eine Sicherheitskomponente eines Produkts ist und unter EU-Produktsicherheitsrecht fällt, gehört zu Anhang I.

Dort stehen Medizinprodukte, Spielzeug, Aufzüge und Funkgeräte. Ihre Frist verschiebt sich vom 2. August 2027 auf den 2. August 2028, eine Verschiebung um 12 Monate.

Die vorläufige Einigung engt außerdem die Definition der Sicherheitskomponente ein. Eine KI-Funktion, die einen Nutzer nur unterstützt oder die Leistung optimiert, ohne ein Gesundheits- oder Sicherheitsrisiko zu schaffen, unterliegt keinen Hochrisiko-Pflichten. Auch die Frist für die Kennzeichnung von Inhalten verschob sich, vom 2. August 2026 auf den 2. Dezember 2026, für Anbieter, deren generative Systeme vor dem 2. August 2026 auf dem Markt waren.

Das Paket brauchte vom Vorschlag bis zum Inkrafttreten etwa acht Monate. Die Europäische Kommission veröffentlichte den Digital Omnibus zu KI am 19. November 2025. Die Gesetzgeber erzielten am 7. Mai 2026 eine vorläufige Einigung, das Europäische Parlament stimmte am 16. Juni 2026 für die Annahme. Der endgültige Text erschien am 24. Juli 2026 als Verordnung (EU) 2026/1744 und trat drei Tage später in Kraft.

Warum Brüssel nachsteuerte

Die Kommission nannte als Grund die Reihenfolge der Umsetzung. Technische Standards und Leitlinien zur Einhaltung waren hinter den Fristen zurückgeblieben, die sie stützen sollten.

Henna Virkkunen, geschäftsführende Vizepräsidentin der Kommission, bezeichnete die Änderung als Anpassung der Umsetzung. Ziel sei es, „Innovation zu erleichtern, ohne die Sicherheitslatte zu senken“, sagte sie. Die Kommission verknüpfte die Verschiebung auch mit ihrer Wettbewerbsagenda. Sie verwies auf den Bericht von Mario Draghi aus dem Jahr 2024, der argumentierte, regulatorische Last bremse das Wachstum. Die vorläufige Einigung verlagerte die Pflicht zur KI-Kompetenz hin zu Unterstützung durch Kommission und Mitgliedstaaten; Travers Smith erklärte, es bleibe unklar, ob die Pflicht nach Artikel 4 entfällt oder bleibt. Der Europäische Gewerkschaftsbund widersprach der Änderung und erklärte, sie schwäche die Vorgabe, die KI-Kompetenz der Beschäftigten sicherzustellen.

Die Lücke bei der Nichtrückwirkung

Artikel 111 regelt die Nichtrückwirkung. Systeme, die vor den neuen Fristen auf dem Markt waren, müssen nicht konform sein, solange sie nicht wesentlich verändert werden.

Systeme, die Behörden nutzen, haben Zeit bis zum 31. Dezember 2030.

Der Abgeordnete Sergey Lagodinsky von den deutschen Grünen nannte diese Vorschrift „ein Schlupfloch“ und „eine Schwachstelle“ des Gesetzes. Laura Caroli, ehemalige Mitverhandlerin der KI-Verordnung, nannte einen konkreten Fall. Ein System für die Personalauswahl, das vor dem 2. Dezember 2027 auf dem Markt war, „kann auf unbestimmte Zeit außerhalb der KI-Verordnung bleiben, sofern es nach diesem Datum nicht wesentlich verändert wird“, sagte sie. Bram Vranken von Corporate Europe Observatory argumentierte ähnlich. „Ein großer Teil der Hochrisiko-KI-Systeme, die vor Dezember 2027 auf den Markt gekommen sind, wird die Regeln nie erfüllen müssen“, sagte er zu Tech Policy Press. Lagodinsky warnte, der Zeitplan schaffe „einen Anreiz, Dinge auf den Markt zu bringen, bevor das Gesetz in Kraft tritt“. Vranken sagte, manche Unternehmen „könnten diesen Zeitplan missbrauchen und riskante KI-Systeme schnell auf den Markt drücken“, um Kosten für die Konformität zu sparen.

Was weiterhin gilt

Die Verschiebung ist kein Stillstand des ganzen Gesetzes. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026.

Chatbots müssen sagen, dass sie KI sind, synthetische Inhalte müssen eine maschinenlesbare Kennzeichnung tragen, und Systeme zur Emotionserkennung müssen Menschen darüber informieren, dass sie verarbeitet werden. Bußgelder für Verstöße gegen diese Pflichten reichen bis 15.000.000 Euro oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Hochrisiko-Systeme bleiben von der DSGVO und branchenspezifischen Regeln erfasst, während das Hochrisiko-Kapitel der KI-Verordnung noch wartet. Anbieter, die sich auf die Ausnahme nach Artikel 6 Absatz 3 stützen, müssen das System weiterhin in der EU-Datenbank registrieren. Das Verfahren ist vereinfacht.

Das Paket führte außerdem die Verarbeitung besonderer Kategorien von Daten zur Erkennung von Verzerrungen wieder einer strengen Erforderlichkeitsprüfung zu und kehrte damit einen früheren Vorschlag für mehr Flexibilität um. Es dehnte die niedrigeren Bußgeldobergrenzen, die bisher kleinen und mittleren Unternehmen vorbehalten waren, auf kleine Unternehmen mittlerer Kapitalisierung aus.

Wie es weitergeht

Der nächste harte Termin ist der 2. Dezember 2026.

Dann gilt die Pflicht zur Kennzeichnung von Inhalten, und es greift ein neues Verbot für KI-Werkzeuge, die nicht einvernehmliche intime Bilder und Material sexuellen Kindesmissbrauchs erzeugen. Danach läuft der Kalender bis zum 2. Dezember 2027 für Anhang III und bis zum 2. August 2028 für Anhang I. Leitlinien kommen weiterhin nach. Die Kommission veröffentlichte Entwürfe zur Einstufung von Hochrisiko-Systemen, darunter ein 148-seitiges Dokument zu Anhang III. Die Leitlinien sind nicht abschließend und können aktualisiert werden.