Frist verschoben, Prüfung läuft: Was das AI-Act-Omnibus wirklich für Ihren Betrieb ändert

Seit Ende Juli 2026 ist es amtlich: Die Frist für die zentralen Pflichten bei Hochrisiko-KI-Systemen nach Annex III des EU AI Act wurde verschoben – um rund 16 Monate, von August 2026 auf Dezember 2027. In vielen Unternehmen kam diese Nachricht wie eine Erlösung an. Nach Monaten der Unsicherheit über Risikomanagement, technische Dokumentation und Konformitätsbewertung schien plötzlich Zeit gewonnen. Doch wer jetzt die AI-Act-Akte schließt und sich anderen Themen zuwendet, macht einen teuren Fehler. Denn die Verschiebung betrifft nur einen Teil der Pflichten – und ausgerechnet die Regeln, die praktisch jeden Betrieb mit KI-Einsatz treffen, sind längst scharf.

Dieser Beitrag ordnet ein, was der Omnibus tatsächlich verändert, welche Fristen wirklich verschoben wurden, welche Pflichten unverändert weiterlaufen – und warum gerade Betriebe mit Recruiting-KI, Kreditscoring oder anderen sensiblen Anwendungen jetzt nicht abwarten sollten, nur weil ein Datum auf dem Kalender weiter nach hinten gerückt ist.

Was am 24. Juli 2026 wirklich beschlossen wurde

Die sogenannte Omnibus-Verordnung – offiziell Regulation (EU) 2026/1744, bekannt als „AI Omnibus" oder „Digital Omnibus" – wurde am 24. Juli 2026 im EU-Amtsblatt veröffentlicht und trat drei Tage später, am 27. Juli 2026, in Kraft. Vorausgegangen war ein zügiger Gesetzgebungsprozess: Rat und Parlament einigten sich bereits am 7. Mai 2026 politisch auf die Eckpunkte, am 29. Juni 2026 gab der Rat der EU endgültig grünes Licht.

Ziel des Omnibus war es ausdrücklich, die Regeln zu vereinfachen und zu straffen – nicht, sie aufzuweichen. Und genau hier liegt die Nuance, die in vielen Zusammenfassungen verloren geht: Verschoben wurde nicht der AI Act als Ganzes, sondern ein klar umrissener Pflichtenkatalog für eine bestimmte Kategorie von KI-Systemen. Alles andere im Gesetz läuft unverändert weiter – inklusive der Bußgeldandrohungen, die schon heute greifen.

Parallel dazu hat Deutschland seine Hausaufgaben gemacht: Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) ist seit dem 29. Juli 2026 in Kraft und regelt, wer den AI Act hierzulande durchsetzt. Dazu gleich mehr.

Die eigentliche Verschiebung: Von August 2026 auf Dezember 2027

Konkret verschoben wird die volle Compliance-Pflicht für eigenständige Hochrisiko-Systeme nach Annex III des AI Act. Dazu zählen unter anderem KI-Systeme für Personalauswahl und Recruiting, Kreditwürdigkeitsprüfung, biometrische Identifikation, kritische Infrastruktur, Bildung, Beschäftigung, Strafverfolgung, Migration und Justizverwaltung. Für diese Systeme galt ursprünglich der 2. August 2026 als Stichtag – jetzt ist es der 2. Dezember 2027, also rund 16 Monate später. Für Hochrisiko-KI, die in bereits regulierte Produkte eingebettet ist (Annex I, etwa Medizinprodukte oder Maschinen), verschiebt sich die Frist von 2. August 2027 auf 2. August 2028.

Was genau unter diese verschobene Frist fällt, ist im Kern das operative Herzstück der Hochrisiko-Compliance: das Risikomanagementsystem, Anforderungen an Datenqualität und Daten-Governance, die technische Dokumentation nach Artikel 11 in Verbindung mit Annex IV, Logging-Pflichten, die menschliche Aufsicht, die Konformitätsbewertung selbst sowie die Registrierung in der EU-Datenbank für Annex-III-Systeme. Mehrere unabhängige Quellen, darunter die Kanzlei Gibson Dunn und die Cloud Security Alliance, differenzieren dabei nicht zwischen einzelnen Annex-III-Kategorien: Recruiting-KI, Kreditscoring und Gesundheits-Triage fallen alle unter dieselbe neue Frist im Dezember 2027.

Das ist ein echter Aufschub, keine Kosmetik. Betriebe, die eine Software zur Vorsortierung von Bewerbungen einsetzen oder ein Scoring-Modell für die Kreditvergabe nutzen, müssen die vollständige Dokumentation, das Risikomanagement und die Konformitätsbewertung nicht mehr bis August 2026 fertig haben, sondern erst gut ein Jahr später. Mehrere Berater warnen allerdings bereits jetzt: 12 bis 18 Monate für eine vollständige Compliance sind realistisch – die Verschiebung schafft damit „gerade so ausreichend" Zeit, keinen komfortablen Puffer. Wer jetzt erst mit der Planung beginnt, verschenkt den gewonnenen Vorlauf sofort wieder.

Was nicht verschoben wurde – und längst scharf ist

Genau hier liegt der Denkfehler, dem viele Unternehmen gerade aufsitzen. Der Omnibus verschiebt einen klar abgegrenzten Pflichtenkatalog für eine bestimmte Systemkategorie. Er verschiebt nicht den AI Act als Ganzes. Mehrere Pflichten, die praktisch jeden Betrieb mit KI-Einsatz betreffen, gelten unverändert und teilweise schon seit Monaten.

An erster Stelle steht Artikel 5, das Verbot bestimmter KI-Praktiken. Er gilt bereits seit dem 2. Februar 2025 und ist von der Verschiebung überhaupt nicht betroffen. Verboten sind unter anderem Social Scoring, manipulative Systeme, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie biometrische Kategorisierung nach geschützten Merkmalen. Wer hier verstößt, riskiert den höchsten Bußgeldrahmen des gesamten AI Act: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Konzernumsatzes, je nachdem, welcher Betrag höher ausfällt. Ab dem 2. Dezember 2026 kommt zudem ein neues Verbot hinzu: nicht-konsentierte intime KI-Bilder und Deepfakes sowie KI-generiertes Missbrauchsmaterial.

An zweiter Stelle steht Artikel 4, die Pflicht zur KI-Kompetenz. Sie verlangt von Unternehmen, ausreichende KI-Kompetenz des eingesetzten Personals nachzuweisen – dokumentierte Schulungen, klare Verantwortlichkeiten, ein Grundverständnis der eingesetzten Systeme. Diese Pflicht ist von der Verschiebung ebenfalls nicht berührt und betrifft praktisch jeden Betrieb, der überhaupt KI im Arbeitsalltag nutzt, unabhängig davon, ob es sich um ein Hochrisikosystem handelt oder nicht.

Drittens laufen die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) unverändert weiter. Sie gelten seit August 2025, Durchsetzung und Bußgelder greifen seit dem 2. August 2026.

Viertens gelten die Transparenz- und Kennzeichnungspflichten nach Artikel 50 seit dem 2. August 2026 – mit einer Übergangsfrist bis zum 2. Dezember 2026, die sich aber ausschließlich auf die maschinenlesbare Kennzeichnung bereits marktgängiger generativer Systeme bezieht, nicht auf die Kennzeichnungspflicht als solche.

Die Verschiebung betrifft den Kern-Pflichtenkatalog für eigenständige Hochrisiko-Systeme – Risikomanagement, technische Dokumentation, Konformitätsbewertung, Registrierung. Sie betrifft nicht die Verbote, nicht die KI-Kompetenzpflicht und nicht die Transparenzregeln. Genau diese drei Baustellen treffen aber die meisten Mittelstandsbetriebe schon heute.

Mit anderen Worten: Ein Betrieb, der Emotionserkennung in der Bewerbervorauswahl einsetzt, hat kein Aufschub-Problem, sondern ein sofortiges Verbotsproblem. Ein Betrieb, der KI-Tools im Team nutzt, ohne die Kompetenz seiner Mitarbeitenden dokumentiert zu haben, verstößt schon jetzt gegen Artikel 4. Und ein Betrieb, der KI-generierte Inhalte veröffentlicht, ohne sie zu kennzeichnen, verletzt Artikel 50 – unabhängig davon, ob er je ein Hochrisikosystem im Sinne von Annex III betreibt.

Der Sonderfall Recruiting: Deutsches Arbeitsrecht wartet nicht auf Brüssel

Besonders deutlich wird die trügerische Entwarnung im Bereich Recruiting. Wer Software einsetzt, die Bewerbungen vorsortiert, bewertet oder priorisiert, ist Betreiber eines Hochrisikosystems im Sinne des AI Act – und zwar auch dann, wenn die KI zugekauft und nicht selbst entwickelt wurde. Für die eigentliche Hochrisiko-Compliance nach AI Act bleibt zwar bis Dezember 2027 Zeit. Doch parallel dazu greift deutsches Recht schon jetzt, völlig unabhängig vom europäischen Zeitplan.

Drei Regelungen sind hier zentral: Artikel 22 DSGVO verbietet rein automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für die betroffene Person – eine automatisierte Ablehnung ohne menschliche Beteiligung ist damit grundsätzlich unzulässig. Paragraf 26 BDSG regelt die Rechtsgrundlage für die Verarbeitung von Bewerberdaten. Und Paragraf 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz verankert ein Mitbestimmungsrecht des Betriebsrats bei KI-gestützten Auswahlsystemen – eine Einführung ohne Betriebsvereinbarung ist rechtlich angreifbar.

Diese drei Regelungen kennen keinen Omnibus-Aufschub. Fachquellen aus der Recruiting-Branche sprechen deshalb treffend von „Aufatmen mit Vorbehalt": Die Verschiebung der AI-Act-Fristen ist kein Freifahrtschein, sondern lediglich eine Verlängerung der Zeit, die für die EU-rechtliche Seite bleibt. Die deutsche arbeitsrechtliche Seite – inklusive der oft monatelangen Verhandlungen über Betriebsvereinbarungen – läuft davon völlig unberührt weiter. Wer jetzt erst mit der Betriebsratsabstimmung beginnt, wird selbst bis Dezember 2027 knapp.

Mehr zum Einsatz von KI-Agenten im Recruiting-Alltag und wie sich Prozesse rechtssicher gestalten lassen, lesen Sie auch in unserem Beitrag zu Recruiting mit KI-Agenten.

Aufsicht in Deutschland: Die Bundesnetzagentur übernimmt – und ein Gerücht, das Vorsicht verdient

Mit dem KI-MIG ist seit dem 29. Juli 2026 auch geklärt, wer in Deutschland für den AI Act zuständig ist: Die Bundesnetzagentur in Bonn wurde als zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle benannt. Dort entsteht ein eigenes Koordinierungs- und Kompetenzzentrum, das sogenannte KoKIVO. Sektorale Behörden bleiben in ihrem jeweiligen Bereich weiter zuständig, etwa die BaFin im Finanzsektor. Für Betriebe bedeutet das erstmals Klarheit: Es gibt eine konkrete Adresse, an die man sich wenden kann – und von der auch Kontrollen zu erwarten sind.

An dieser Stelle lohnt sich ein Blick auf eine Behauptung, die derzeit durch mehrere Online-Beiträge kursiert: Angeblich hätten das EU AI Office und nationale Datenschutzbehörden – genannt werden CNIL, BfDI und AESIA – bereits ab dem 30. August 2026 erste technische Audits nach Artikel 11 bei Annex-III-Hochrisikosystemen wie Bewerber-Screening, Kreditscoring oder Gesundheits-Triage gestartet. Diese Behauptung sollten Sie mit deutlicher Vorsicht behandeln. Sie taucht bislang ausschließlich in sekundären Blog-Quellen ohne erkennbare Primärquelle auf – weder die EU-Kommission noch das AI Office noch seriöse Fachmedien haben sie bestätigt. Zudem widerspricht sie der durch mehrere Kanzleien und den Rat der EU bestätigten Tatsache, dass die Artikel-11-Dokumentationspflicht für eigenständige Annex-III-Systeme durch den Omnibus gerade erst auf Dezember 2027 verschoben wurde. Ein formelles Artikel-11-Audit dieser Systeme im September 2026 hätte damit schlicht keine unmittelbare Rechtsgrundlage.

Realistischer ist, dass Behörden in dieser Übergangsphase erste Marktbeobachtungen vornehmen und sich organisatorisch auf ihre neue Rolle vorbereiten – nicht, dass bereits formelle Prüfverfahren gegen einzelne Unternehmen laufen. Für Ihre Planung heißt das: Verlassen Sie sich nicht auf einzelne, unbestätigte Meldungen, sondern auf die belastbar dokumentierten Fristen und Zuständigkeiten. Genau diese sind ohnehin anspruchsvoll genug.

Bußgeld-Ampel und was Sie jetzt konkret tun sollten

Der AI Act staffelt Bußgelder nach Schwere des Verstoßes, und diese Staffelung ist von der Verschiebung nicht betroffen. Verstöße gegen die Verbotspraktiken nach Artikel 5 – die rote Stufe – können bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes kosten. Verstöße gegen Hochrisiko- und Transparenzpflichten, etwa nach Artikel 16, 22, 23, 24, 26 oder 50 – die gelbe Stufe – liegen bei bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes. Falschangaben gegenüber Behörden – die dritte Stufe – werden mit bis zu 7,5 Millionen Euro oder 1 Prozent des Jahresumsatzes geahndet. In jedem Fall gilt jeweils der höhere der beiden Beträge.

Für die betriebliche Praxis lässt sich daraus eine klare Reihenfolge ableiten, unabhängig davon, wie groß Ihr Unternehmen ist oder welche Annex-III-Kategorie Sie betrifft:

Erstens: Prüfen Sie sofort, ob Sie Systeme einsetzen, die unter die Verbote nach Artikel 5 fallen könnten – insbesondere Emotionserkennung am Arbeitsplatz oder biometrische Kategorisierung. Hier drohen die höchsten Bußgelder, und es gibt keinen Aufschub.

Zweitens: Dokumentieren Sie die KI-Kompetenz Ihres Personals nach Artikel 4. Das ist keine komplexe Hochrisiko-Compliance, sondern in vielen Fällen mit überschaubarem Aufwand umsetzbar – und schon heute einforderbar.

Drittens: Kennzeichnen Sie KI-generierte Inhalte gemäß Artikel 50, sofern Sie solche veröffentlichen oder verwenden.

Viertens: Bauen Sie erst danach, aber ohne unnötige Verzögerung, ein KI-Inventar für Ihre Annex-III-relevanten Systeme auf – wer betreibt was, wofür, mit welcher Datengrundlage. Diese Bestandsaufnahme ist die Voraussetzung für jede spätere Konformitätsbewertung und lässt sich schon jetzt beginnen, ohne dass die Frist Dezember 2027 dafür schon drängt.

Fünftens, speziell im Recruiting: Starten Sie die Abstimmung mit dem Betriebsrat frühzeitig. Paragraf 87 BetrVG kennt keinen europäischen Zeitplan, und Betriebsvereinbarungen brauchen erfahrungsgemäß deutlich mehr Vorlauf als ein einzelnes Software-Update.

Die Verschiebung auf Dezember 2027 ist eine echte Erleichterung – für den Teil der Pflichten, den sie betrifft. Sie ist aber kein Grund, das Thema AI Act insgesamt zu vertagen. Wer die gewonnene Zeit klug nutzt, um genau die Pflichten abzuarbeiten, die schon heute scharf sind, steht am Ende deutlich besser da als ein Betrieb, der erst im Herbst 2027 aus dem Stand beginnt. Wenn Sie einen strukturierten Überblick über Ihre KI-Systeme und die dazugehörigen Fristen und Pflichten aufbauen möchten, unterstützen wir Sie dabei gerne – praxisnah, ohne unnötige Bürokratie und mit Blick auf das, was in Ihrem konkreten Betrieb wirklich relevant ist.