EU AI Act Omnibus: Was sich am 7. Mai 2026 geändert hat — und was nun zu tun ist

Am 7. Mai 2026 haben Rat und Europäisches Parlament eine vorläufige politische Einigung über den Digital Omnibus on AI erzielt. Hochrisiko-Verpflichtungen nach Annex III gelten nun ab dem 2. Dezember 2027, Hochrisiko-KI eingebettet in regulierten Annex-I-Produkten ab dem 2. August 2028. Die formale Verabschiedung steht noch aus, aber das AI Office, die Pressemitteilung des Rates und die wichtigsten Kanzleien, die den Deal abdecken, arbeiten alle mit diesen Daten. Behandeln Sie sie als Ihre Planungsgrundlage.

Hier ist, was sich verschoben hat, was nicht — und wo die Arbeit dieses Quartal trotzdem hingehört.

Die neue Zeitachse

Die Gesamtarchitektur des Acts hat sich nicht verschoben. Risikobasierte Klassifizierung, die 4 Stufen, das Konformitätsbewertungsregime, der GPAI-Track, die Aufsichtsrolle des AI Office. All das bleibt. Was sich geändert hat, sind die Geltungsdaten für Hochrisiko-Verpflichtungen, plus die Übergangsfrist für die Transparenz nach Artikel 50(2).

Zwei Dinge an diesen Daten, die aus der Tabelle nicht offensichtlich werden.

Die Daten gelten unabhängig davon, ob bis dahin harmonisierte Standards und Kommissions-Guidance vorliegen. Das ursprüngliche Argument für die Verschiebung war, dass Unternehmen Zugang zu den technischen Standards brauchen, die die Kommission noch entwirft. Der politische Kompromiss war, trotzdem neue Daten festzulegen. Wenn Standards verspätet kommen, verschieben sich die Daten nicht mit.

Und die Watermarking-Frist ist die nächstliegende live-relevante Verpflichtung. Wenn Sie ein generatives Feature in den EU-Markt ausliefern, brauchen Sie UI-Labelling, maschinenlesbare Metadaten-Einbettung und Detection-Capability bis zum 2. Dezember 2026 operativ. Das sind etwa 7 Monate Engineering-Zeit. Planen Sie entsprechend.

Ein neues Verbot wurde in Artikel 5 aufgenommen

Die Einigung fügt eine neue verbotene Praktik unter Artikel 5 hinzu: KI-Systeme, die nicht-einvernehmliche intime Bilder (NCII) oder Material zu sexualisiertem Kindesmissbrauch (CSAM) erzeugen, einschließlich sogenannter Nudifier-Apps. Es gibt einen Safe Harbour für Systeme mit wirksamen präventiven Schutzmaßnahmen.

Das war im ursprünglichen Kommissionsvorschlag nicht enthalten. Sowohl Rat als auch Parlament haben es im Trilog durchgesetzt. Zwei praktische Implikationen:

• Wenn Sie ein generelles Bildgenerierungsmodell anbieten, muss das Safe-Harbour-Design Teil Ihrer Risikomanagement-Dokumentation sein. Es gibt keinen „fügen wir später hinzu"-Pfad.
• Wenn Sie Downstream-Apps auf dem generativen Modell eines anderen bauen, gilt das Verbot weiterhin für Sie. Sie sind der Anbieter des KI-Systems, das die Ausgabe produziert — die Schutzmaßnahmen müssen also auch irgendwo in Ihrem Stack leben.

Sektorales Recht und der Annex-I-Kompromiss

Der schwierigste Teil der Verhandlung war, wie der AI Act mit bestehender Produktsicherheits-Gesetzgebung interagieren soll. Wo sektorales Recht bereits KI-relevante Anforderungen vorgibt (Maschinenverordnung, MDR/IVDR für Medizinprodukte, Spielzeug, Aufzüge, Wasserfahrzeuge und andere), erzeugt parallele AI-Act-Anwendbarkeit Doppelregulierung. Das wollte niemand.

Der Kompromiss hat 2 Teile.

Maschinen bekommen einen vollständigen Carve-out aus der direkten AI-Act-Anwendbarkeit. Gesundheits- und Sicherheitsanforderungen für Hochrisiko-KI in Maschinenprodukten werden über delegierte Rechtsakte unter der Maschinenverordnung selbst hinzugefügt. Maschinenhersteller stehen einem Konformitätsbewertungsregime gegenüber, mit KI-spezifischen Anforderungen obendrauf.

Andere Annex-I-Sektoren bekommen einen bedingten Carve-out über Durchführungsrechtsakte. Die Kommission kann die AI-Act-Anwendung einschränken, wo sektorales Recht bereits vergleichbare KI-spezifische Anforderungen abdeckt. Die Kommission übernimmt auch eine neue Verpflichtung: Guidance zu veröffentlichen, die Betreibern von Hochrisiko-KI-Systemen in regulierten Sektoren hilft, ohne die Arbeit doppelt zu machen. Die eigentlichen Scope-Entscheidungen werden auf die Durchführungsrechtsakte 2027 vertagt.

Wenn Sie regulierte KI-fähige Produkte außerhalb der Maschinenverordnung produzieren, wird Ihr genauer Compliance-Pfad noch entworfen. Planen Sie standardmäßig AI-Act-Anwendbarkeit ein. Beobachten Sie den 2027er Durchführungsrechtsakt-Track auf sektorspezifische Scope-Reduktionen.

Was sich nicht geändert hat (die operativ wichtigen Teile)

3 Punkte haben die Simplifizierungsrunde überlebt, die in der Schlagzeilenberichterstattung meist untergehen.

Die Registrierung nach Artikel 6(3) wurde beibehalten. Die Kommission hatte vorgeschlagen, die Pflicht zu streichen, KI-Systeme in der EU-Datenbank zu registrieren, die in Annex-III-Kontexten betrieben werden und von Anbietern selbst als nicht-hochrisikoreich eingestuft werden. Sowohl Rat als auch Parlament haben die Streichung abgelehnt. Die Pflicht überlebt in gestraffter Form unter Annex VIII Abschnitt B.

Self-Assessment war früher ein internes Memo. Jetzt ist es eine öffentliche Einreichung. Wenn Sie entscheiden, dass Ihr HR-, Kredit- oder biometrisches Tool nicht hochrisikoreich ist, muss diese Entscheidung in die EU-Datenbank. Nationale zuständige Behörden und das AI Office bekommen eine durchsuchbare Liste von Grenzfall-Klassifizierungen — genau die Art Input, der thematische Enforcement-Wellen auslöst. Der Ansatz „aus dem Scope klassifizieren und hoffen, dass es niemand merkt" war schon immer riskant. Er erfordert jetzt eine öffentliche Verteidigung der Position.

Die strikte Erforderlichkeit für Bias-Korrektur wurde bewahrt. Die Kommission hatte vorgeschlagen, den Standard für die Verarbeitung besonderer Kategorien personenbezogener Daten zur Bias-Erkennung von „strikt erforderlich" auf „erforderlich" zu lockern. Das Parlament hat abgelehnt. Der Standard der strikten Erforderlichkeit bleibt. Bias-Auditing-Programme, die Daten zu Race, Gesundheit oder sexueller Orientierung verarbeiten, brauchen weiterhin eine dokumentierte Strict-Necessity-Begründung.

GPAI-Verpflichtungen gelten weiter. Artikel 51–55 gelten seit August 2025, und der Omnibus rührt sie nicht an. Anbieter von Foundation-Modellen sollten weiter durch den GPAI Code of Practice und die Schwellen für systemisches Risiko arbeiten wie bisher.

Was auf dem 2026er-Arbeitsplan bleiben sollte

Die Versuchung bei einer 16-monatigen Verschiebung ist, bei Inventur und Klassifizierung nachzulassen. Das wäre ein Fehler, aus 2 Gründen.

Die Arbeit selbst wird mit der Zeit nicht einfacher. Der schwierige Teil der AI-Act-Compliance ist nicht die Dokumentationsvorlage. Es ist, jedes KI-System in Ihrer Organisation zu finden, jeweils der richtigen Annex-III-Kategorie zuzuordnen und Produkt und Engineering dazu zu bringen, das Inventar zu pflegen, wenn neue Systeme ausgeliefert werden. Nichts davon hängt davon ab, dass die Standards final sind. Wenn Sie jetzt anfangen, haben Sie rund 18 Monate zum Verfeinern. Wenn Sie Ende 2027 anfangen, haben Sie Wochen, nicht Monate.

Das zugrunde liegende Risiko bewegt sich auch nicht mit den AI-Act-Daten. KI-verursachter Schaden im Jahr 2026 unterliegt weiterhin bestehendem sektoralen Recht: Produkthaftung, GDPR, MDR, Antidiskriminierungsgesetze, Sektor-Regulierer wie FCA oder BaFin. Der Omnibus verschiebt die formale Article-73-Vorfallmeldung und die Konformitätsbewertung. Er verschiebt nicht das Recht der Fahrlässigkeit oder die GDPR.

Drei Arbeitspakete, die dieses Jahr weiterlaufen sollten:

• Inventarisieren und klassifizieren Sie jedes KI-System. Standalone, embedded, intern gebaut, beschafft. Alles andere hängt vom Inventar ab. Der Omnibus ändert das nicht.
• Watermarking und Offenlegung synthetischer Inhalte aufbauen. Bis zum 2. Dezember 2026 live, wenn Sie irgendein generatives Feature in die EU ausliefern. Das sind 7 Monate Engineering-Zeit.
• Entscheiden Sie Ihre Article-5-Position zu NCII/CSAM. Bildgenerierung, multimodal, jede Downstream-App, die Output produziert. Entweder Sie sind klar außerhalb des Scopes, Sie haben ein dokumentiertes Safe-Harbour-Design, oder Sie stellen das Feature in der EU ein.

Und drei, bei denen Sie nachlassen können:

• Notified-Body-Engagement für Annex-III-Systeme. Dezember 2027 ist weit genug entfernt, dass Warteschlangen real, aber noch nicht kritisch sind. Bleiben Sie im Dialog, schieben Sie volle Assessment-Verpflichtungen auf.
• Finale Konformitätsdokumentation für Hochrisiko-Systeme. Entwerfen Sie die Struktur, füllen Sie Details, wenn die Standards näher an Final sind. Die Kommission hat noch harmonisierte Standards nach Artikel 40 zu veröffentlichen.
• CE-Marking-Workflows für KI-eingebettete Produkte. Warten Sie auf die Durchführungsrechtsakte 2027, bevor Sie entscheiden, ob Ihr sektoraler Pfad die AI-Act-Anforderungen absorbiert oder Sie einen Parallel-Track brauchen.

Setzen Sie nicht auf eine zweite Verschiebung

Könnte der AI Act erneut verschoben werden? Wahrscheinlich nicht — und um diese Möglichkeit herum zu planen, ist nicht sinnvoll.

Das politische Argument für die erste Verschiebung stützte sich auf die Bereitschaft harmonisierter Standards und auf Wettbewerbsdruck aus dem Digital-Networks-Fahrplan der Kommission. Beide Argumente sind verbraucht. Die Institutionen haben die Linie bei Architektur und Daten gehalten. Die Akte erneut zu öffnen, würde bedeuten zuzugeben, dass das Simplifizierungs-Flaggschiff gescheitert ist.

Eine Verordnung, die jedes Mal verschoben wird, wenn die Durchsetzung näher rückt, verliert ihre Glaubwürdigkeit als Verordnung. Der Brussels Effect hängt davon ab, dass der AI Act ein bindender Text ist. Die Institutionen wissen das, und die Wettbewerbsfähigkeits-Rahmung des aktuellen Deals ist die Rahmung, die sie verteidigen werden, falls jemand eine zweite Verschiebung vorschlägt.

Also planen Sie für Dezember 2027 und August 2028. Die Arbeit, die davor passieren muss, ist die Arbeit für dieses Quartal.

Quellen

• Pressemitteilung des Rates der EU, 7. Mai 2026
• Hogan Lovells: EU legislators agree to delay for high-risk AI rules
• Travers Smith: EU agrees to delay key AI Act compliance deadlines
• Lewis Silkin: Council and Parliament agree to slim down and delay parts of the EU AI Act

Wie VerifyWise auf jede AI-Act-Verpflichtung abbildet, sehen Sie auf unserer EU-AI-Act-Compliance-Lösungsseite.