Die anspruchsvollsten Pflichten des EU AI Act für Betreiber von Hochrisiko-KI-Systemen sind auf 2027 und 2028 verschoben. Der Digital Omnibus zur KI, Verordnung (EU) 2026/1744, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 in Kraft. Er hat Art. 113 des AI Act geändert und zwei neue Daten gesetzt: den 2. Dezember 2027 für eigenständige Hochrisiko-Systeme nach Anhang III und den 2. August 2028 für KI in regulierten Produkten nach Anhang I. Als Gründe nennt der Gesetzgeber die Komplexität der Umsetzung und das Fehlen fertiger harmonisierter Normen, die Betreiber und Konformitätsbewertungsstellen zur Erfüllung brauchen.
Für KMU bedeutet das: mehr Vorlaufzeit. Die strategische Frage ist, wie man diese Zeit nutzt, nicht ob. Und die Verschiebung ist eng begrenzt: Am 2. August 2026 sind die Transparenzpflichten nach Art. 50 und die Befugnis der Kommission, Anbieter von Allzweck-KI nach Art. 101 mit Geldbußen zu belegen, planmäßig in Kraft getreten, von der Verschiebung unberührt.
Stand: 2026-08-11. Neu gegenüber der vorigen Fassung dieser Seite: Was Mitte 2026 noch als angekündigte politische Einigung galt, ist jetzt geltendes Recht, die Verordnung (EU) 2026/1744 ist seit dem 27. Juli 2026 in Kraft, und der 2. August 2026 ist verstrichen, mit verschobenen Hochrisiko-Pflichten, aber geltender Transparenz- und GPAI-Durchsetzung.
Was bislang in Kraft ist, und was sich ändert
Gemäß unserem Verständnis der aktuellen Rechtslage bleibt folgendes unverändert in Kraft:
- Verbote (Art. 5, seit Februar 2025): Biometrische Echtzeitüberwachung öffentlicher Räume, Social Scoring und bestimmte Manipulationstechniken sind weiterhin verboten.
- GPAI-Pflichten (gelten seit August 2025, durchsetzbar ab August 2026): Transparenzpflichten für Anbieter großer Allzweck-KI-Modelle gelten bereits, betreffen aber primär Modellentwickler wie die großen KI-Labore, nicht KMU als Betreiber.
- Hochrisiko-Betreiberpflichten (Anhang III): Diese waren ursprünglich ab dem 2. August 2026 für die meisten Kategorien vorgesehen. Die Verordnung (EU) 2026/1744 hat sie auf den 2. Dezember 2027 für eigenständige Systeme nach Anhang III und auf den 2. August 2028 für KI in regulierten Produkten nach Anhang I verschoben.
Was das konkret bedeutet: Wer bislang auf die August-2026-Deadline hingearbeitet hat, bekommt Luft. Wer noch gar nicht begonnen hat, darf sich nicht in falscher Sicherheit wiegen, denn Konformitätsbewertungen, Risikomanagementsysteme und Dokumentation brauchen erheblichen Vorlauf.
Welche KMU von Hochrisiko-Pflichten betroffen sind
Viele mittelständische Unternehmen gehen davon aus, Hochrisiko-KI sei das Problem von Konzernen. Das stimmt nicht. Anhang III des AI Acts listet Systeme, die im KMU-Alltag durchaus vorkommen:
- KI in der Personalentscheidung, automatisiertes Screening von Bewerbungen, KI-gestützte Kandidatenbewertung
- KI im Finanzbereich, Kreditwürdigkeitsprüfungen, auch via SaaS-Tools kleiner Fintechs
- KI in kritischer Infrastruktur, Energie, Wasser, Verkehr (relevant für kommunale Betriebe und Versorger)
- KI-gestützte Bildungs- und Prüfungssysteme, automatisierte Bewertung, Zulassungsprozesse für Berufsschulen und Weiterbildungsanbieter
Ein KMU, das ein Cloud-Recruiting-Tool einsetzt, das Bewerbungen vorselektiert, ist mit hoher Wahrscheinlichkeit Betreiber eines Hochrisiko-Systems. Künftig müsste es Risikomanagementsysteme, technische Dokumentation, menschliche Überprüfungsprozesse und Konformitätsbewertungen vorhalten.
Wer hingegen ein lokales LLM für interne Aufgaben einsetzt, Wissensdatenbankabfragen, Dokumentenzusammenfassungen, interne Kommunikation, Entwurfsunterstützung, fällt in vielen Fällen nicht unter Anhang III: Kein automatisierter Bescheid, kein erheblicher Einfluss auf natürliche Personen bedeutet in der Regel kein Hochrisiko. Das ist ein struktureller regulatorischer Vorteil lokaler KI-Infrastruktur, der weit über Datenschutz hinausgeht.
Der Digitale Omnibus: das Instrument, das die Fristen verschoben hat
Die Verschiebung kam nicht von allein. Sie kam über den Digital Omnibus zur KI, Verordnung (EU) 2026/1744, die erste inhaltliche Änderung des AI Act seit seiner Verabschiedung 2024. Das Paket sollte ursprünglich mehr Spielraum für die KI-Entwicklung im DSGVO-Rahmen schaffen, etwa flexiblere Regeln für die Verarbeitung von Trainingsdaten. Gemäß unserem Verständnis wurden mehrere dieser ursprünglichen Vorschläge im Gesetzgebungsprozess abgeschwächt, bevor der Text am 8. Juli 2026 endgültig beschlossen wurde.
Die praktische Konsequenz für KMU: Auf DSGVO-Erleichterungen beim KI-Einsatz sollte man nicht spekulieren. Der Datenschutz bleibt die härteste Leitplanke, unabhängig davon, was mit dem Omnibus-Paket letztendlich beschlossen wird.
Warum Cloud-KI strukturell problematisch bleibt
Die AI Act Fristverlängerung ändert nichts an der DSGVO. Cloud-LLM-Anbieter aus den USA oder anderen Nicht-EU-Regionen unterliegen dem Recht ihrer Herkunftsländer, das Behörden Datenzugriff ermöglichen kann. Angemessenheitsbeschlüsse können politisch widerrufen werden; Standardvertragsklauseln schützen nicht vor extraterritorialen Zugriffsansprüchen.
Lokale LLMs, betrieben auf eigener Hardware im eigenen Netzwerk, eliminieren diese Risiken strukturell: kein Datentransfer, kein Drittanbieter, keine Abhängigkeit von bilateralen Datenschutzabkommen. Was technische Datensouveränität in der Praxis bedeutet, erläutern wir auf /data-sovereignty.html.
Was lokale KI-Systeme für Ihr Unternehmen konkret leisten können, zeigen wir auf /local-ai.html.
Vier Schritte, die KMU jetzt angehen sollten
Die verschobenen Fristen sind kein Ruhekissen, sie sind ein Zeitfenster. Vier konkrete Maßnahmen, die heute beginnen sollten:
1. KI-Inventar erstellen
Welche KI-Systeme sind im Einsatz? Welche Entscheidungen treffen sie, und mit welchen Auswirkungen auf Mitarbeitende oder Kunden? Ein ehrliches Inventar ist die Grundlage jeder Compliance-Strategie und hilft unabhängig von Regulierungsdruck, Risiken zu erkennen.
2. Hochrisiko-Screening durchführen
Fällt eines der eingesetzten Systeme unter Anhang III? Wenn ja: Konformitätsbewertungen, Risikomanagementsysteme und Dokumentationspflichten brauchen Vorlauf. Wer heute beginnt, ist 2027 nicht unter Zeitdruck.
3. Auf lokale Infrastruktur umstellen
Wer KI-Systeme lokal betreibt, hat bei Betreiberpflichten strukturelle Vorteile: volle Kontrolle über Systemkonfiguration, Protokollierung und Audit-Pfade. Cloud-Abhängigkeiten machen die Erfüllung von Dokumentationspflichten erheblich schwieriger und teurer.
4. Interne Dokumentation beginnen
Auch außerhalb des Hochrisiko-Bereichs empfehlen wir KMU: Heute dokumentieren, welches Modell wo zu welchem Zweck und mit welchen Daten läuft. In 18 Monaten ist diese Information weit schwieriger zu rekonstruieren als heute zu erstellen.
Freshlab unterstützt KMU beim Aufbau lokaler LLM-Infrastruktur, die regulatorisch robust und intern skalierbar ist. Unser Pilotprojekt liefert in sechs Wochen eine funktionale lokale KI-Umgebung, ohne Cloud, ohne Vendor-Lock-in.
Fazit: Mehr Zeit, aber kein Alibi für Abwarten
Die Verschiebung der EU AI Act Hochrisiko-Fristen auf 2027-2028 gibt KMU mehr Spielraum. Sie verändert weder die DSGVO-Anforderungen noch die strategische Logik hinter lokaler, souveräner KI-Infrastruktur. Wer diese Zeit nutzt, um Inventar aufzubauen, Hochrisiko zu screenen und lokale Systeme einzuführen, wird 2027 deutlich besser positioniert sein als alle, die weiter warten.
Sprechen Sie mit uns: Wir helfen Ihnen einzuschätzen, ob und wie der EU AI Act Ihr Unternehmen betrifft, und welche nächsten Schritte sinnvoll sind: /contact.html.
Häufige Fragen
Ab wann gelten die Hochrisiko-Pflichten wirklich?
Ab dem 2. Dezember 2027 für eigenständige Systeme nach Anhang III und ab dem 2. August 2028 für KI in regulierten Produkten nach Anhang I. Beide Daten stammen aus der Verordnung (EU) 2026/1744, die Art. 113 der KI-VO geändert hat.
Gilt die Verschiebung für die ganze KI-Verordnung?
Nein. Sie betrifft Kapitel III, Abschnitte 1 bis 3, also den Kern der Hochrisiko-Pflichten. KI-Kompetenz, die verbotenen Praktiken, Transparenz, Governance und das Sanktionsregime behalten ihre Daten.
Seit wann gelten Aufsicht und Sanktionen?
Seit dem 2. August 2025. Kapitel VII mit den nationalen Behörden und Kapitel XII mit den Sanktionen gelten ab diesem Datum nach Art. 113 Abs. 3 lit. b, den der Omnibus nicht angefasst hat. Ausgenommen ist Art. 101, die Geldbußen der Kommission für GPAI-Anbieter, die ab dem 2. August 2026 gelten.
Ist ein lokales LLM für den internen Gebrauch hochriskant?
In aller Regel nicht. Anhang III listet bestimmte Anwendungen auf, etwa Bewerberauswahl, Kreditwürdigkeit, Biometrie und kritische Infrastruktur. Interne Dokumentensuche, Besprechungsprotokolle oder Textentwürfe stehen dort nicht.