EU AI Act Digital Omnibus: Verordnung (EU) 2026/1744 in Kraft

1. Was ist passiert?

Kurzantwort: Aus dem Vorschlag der Europäischen Kommission vom 19.11.2025 ist geltendes Recht geworden — die Verordnung (EU) 2026/1744 (Digital-Omnibus KI) vom 08.07.2026 ist seit dem 27. Juli 2026 in Kraft. Der Rechtsakt gehört zum „Wettbewerbsfähigkeits-Paket" der EU-Kommission und ändert neben der KI-VO (EU) 2024/1689 auch die Verordnungen (EU) 2018/1139 und (EU) 2023/1230 (Maschinenverordnung).

Der AI-Act-bezogene Teil verschiebt die Hochrisiko-Anwendungsdaten. Betroffen ist der Zeitpunkt, ab dem die Pflichten gelten, nicht ihr Inhalt.

Verfahrensstand: Das ordentliche Gesetzgebungsverfahren ist abgeschlossen: Vorschlag der Kommission vom 19.11.2025, Zustimmung des Europäischen Parlaments am 16.06.2026 und des Rates am 29.06.2026, Unterzeichnung am 08.07.2026, Veröffentlichung im Amtsblatt am 24.07.2026, in Kraft seit 27.07.2026. Maßgeblich für die Praxis ist damit der Zeitplan des Art. 113 KI-VO in der Fassung der Verordnung (EU) 2026/1744: Die Verordnung (EU) 2024/1689 gilt grundsätzlich ab dem 02.08.2026 — dieser Termin ist eingetreten —, die Pflichten der Kapitel III Abschnitte 1 bis 3 gelten für Anhang-III-Systeme ab 02.12.2027 und für Anhang-I-Systeme ab 02.08.2028.

2. Was verschoben ist (Verordnung (EU) 2026/1744)

Kurzantwort: Verschoben sind die Anwendungsdaten für Hochrisiko-KI — Anhang III von 02.08.2026 auf 02.12.2027, Anhang I von 02.08.2027 auf 02.08.2028. Die Spalte „Ursprünglich" gibt den Stand des Art. 113 KI-VO vor der Änderung wieder; die Spalte „Gilt jetzt" nennt die seit 27. Juli 2026 geltenden Kalenderdaten. Es sind feste Termine: Einen Auslösemechanismus über Feststellungen der Kommission zu harmonisierten Normen, wie ihn der Vorschlag vom 19.11.2025 vorsah, enthält die verabschiedete Fassung nicht.

3. Was von der Verschiebung nicht erfasst ist

Kurzantwort: Die Verschiebung betrifft nur die Anwendungsdaten der Kapitel III Abschnitte 1 bis 3 — KI-Kompetenz und Verbote (seit 02.02.2025), die GPAI-Pflichten (seit 02.08.2025) und die Transparenzpflichten des Art. 50 (seit 02.08.2026) bleiben bei ihren Daten. Inhaltlich unberührt bleiben sie damit nicht durchweg: Art. 4 ist seit 27.07.2026 neu gefasst, Art. 5 um einen weiteren Verbotstatbestand ergänzt. Art. 27 (FRIA) gehört dagegen zu Kapitel III Abschnitt 3 und gilt für Anhang-III-Systeme erst ab 02.12.2027.

• Art. 4 (KI-Kompetenz / AI Literacy): gilt seit 02.02.2025 und ist von der Verschiebung nicht erfasst — die Verordnung (EU) 2026/1744 hat den Artikel allerdings neu gefasst (Fassung seit 27.07.2026). Anbieter und Betreiber ergreifen danach Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und der übrigen in ihrem Auftrag mit Betrieb und Nutzung befassten Personen zu unterstützen; ein bestimmtes Niveau an KI-Kompetenz ist für keine Person geschuldet. Zu tun (Praxisempfehlung, keine gesetzliche Vorgabe): die Personen schulen, die mit KI in Berührung kommen; Inhalte etwa KI-Definition, Risikoklassen, verbotene Praktiken, Transparenzpflichten, menschliche Aufsicht. Nach den Fragen und Antworten der Kommission (Stand 27.07.2026, unverbindlich) ist kein Zertifikat erforderlich; ein interner Nachweis der Schulungen genügt.
• Art. 5 (Verbotene Praktiken): gilt seit 02.02.2025 — Bußgelder bis 35 Mio. EUR Art. 99 Abs. 3 KI-VO. Zu tun: den KI-Bestand gegen den Verbotskatalog screenen, unter anderem Manipulation, Ausnutzung von Vulnerabilitäten, Social Scoring, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, biometrische Kategorisierung nach sensiblen Merkmalen. Neu: Die Verordnung (EU) 2026/1744 ergänzt den Katalog um ein weiteres Verbot — nicht-einvernehmliche sexualisierte Deepfakes und Darstellungen sexuellen Missbrauchs von Kindern Art. 5 Abs. 1 lit. ba und bb KI-VO —, das ab 02.12.2026 gilt.
• Art. 27 (FRIA für öffentliche Stellen, private Erbringer öffentlicher Dienste sowie Kreditwürdigkeitsbewertung und Lebens-/Krankenversicherungs-Scoring): gehört zu Kapitel III Abschnitt 3 und gilt für Anhang-III-Systeme daher erst ab 02.12.2027 (Verordnung (EU) 2026/1744). Inhalt: Beschreibung des KI-Einsatzes, betroffene Personen, Risiken für Grundrechte, Schutzmaßnahmen Anhang III Nr. 5 lit. b und c KI-VO.
• GPAI-Pflichten (Art. 53–55): gelten seit 02.08.2025 — von der Verschiebung nicht erfasst. Zum 02.08.2026 kam allein Art. 101 hinzu, also die Befugnis der Kommission, Geldbußen gegen GPAI-Anbieter zu verhängen. Aufsicht und Durchsetzung liegen für Kapitel V bei der Kommission und dem Büro für Künstliche Intelligenz Art. 88 Abs. 1 KI-VO, nicht bei den nationalen Marktüberwachungsbehörden.
• Code of Practice GPAI (final 10.07.2025): unverändert. Er dient dem Nachweis der Einhaltung Art. 53 Abs. 4 KI-VO, bei Modellen mit systemischem Risiko Art. 55 Abs. 2 KI-VO. Eine Vermutung der Konformität begründet nur eine harmonisierte europäische Norm, soweit sie die Pflichten abdeckt.
• Art. 50 (Transparenz, Watermarking, Deepfake-Offenlegung): gilt seit 02.08.2026 — von der Verordnung (EU) 2026/1744 nicht verschoben. Zu tun: Chatbots als KI kenntlich machen (Abs. 1), synthetische Audio-, Bild-, Video- und Textinhalte maschinenlesbar kennzeichnen (Abs. 2), bei Emotionserkennung und biometrischer Kategorisierung informieren (Abs. 3), Deepfakes offenlegen (Abs. 4). Für generative Systeme, die vor dem 02.08.2026 in Verkehr gebracht wurden, ist Art. 50 Abs. 2 bis 02.12.2026 nachzuholen Art. 111 Abs. 4 KI-VO. Praktische Anleitung geben die Leitlinien der Kommission vom 20.07.2026; der Code of Practice on Transparency of AI-generated Content (final seit 10.06.2026) ist freiwillig — die Kommission hat am 08.07.2026 festgehalten, dass die Unterzeichnung die Einhaltung nicht abschließend belegt.

4. Pflichten je Rolle — für Anhang-III-Systeme ab 02.12.2027

Kurzantwort: Für Hochrisiko-KI nach Anhang III sind die Pflichten der Kapitel III Abschnitte 1 bis 3 ab 02.12.2027 anwendbar (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) — welche davon greifen, hängt an der Rolle: Anbieter (Art. 3 Nr. 3) oder Betreiber (Art. 3 Nr. 4). Anbieter tragen die Hauptlast der Produktpflichten, Betreiber die Pflichten des laufenden Einsatzes. Bei wesentlicher Änderung wechselt ein Betreiber in die Anbieterrolle Art. 25 KI-VO.

Zum Pflichtenkatalog für Hochrisiko-KI nach Anhang III gehören ab 02.12.2027 außerdem Data Governance (Art. 10), Protokollierung (Art. 12), Transparenz gegenüber Betreibern (Art. 13), menschliche Aufsicht (Art. 14) sowie Genauigkeit/Robustheit/Cybersicherheit (Art. 15); die Beobachtung nach dem Inverkehrbringen und die Meldung schwerwiegender Vorfälle (Art. 72, 73) sind von der Verschiebung nicht erfasst und gelten seit dem allgemeinen Geltungsbeginn 02.08.2026. Für Systeme nach Anhang III Nr. 1, 6 und 7 erfolgt die Registrierung nur in einem sicheren, nicht öffentlichen Teil der EU-Datenbank Art. 49 Abs. 4 KI-VO.

5. Praktische Auswirkungen

Kurzantwort: Für die Anhang-III-Stakeholder gilt dieselbe Logik — diese Pflichten sind ab 02.12.2027 anwendbar; für KI in regulierten Produkten nach Anhang I gilt der Geltungsbeginn 02.08.2028 (Art. 6 Abs. 1 KI-VO, Fristen nach Art. 113 Abs. 3 lit. c KI-VO in der Fassung der Verordnung (EU) 2026/1744). Die Spalte „Wirkung" nennt jeweils die geltende Rechtslage nach den seit 27. Juli 2026 feststehenden Kalenderdaten.

6. Was jetzt zu tun ist

Kurzantwort: Klassifizieren, Rolle klären, Pflichten je Rolle abarbeiten — und den Rechtsstand getrennt davon nachhalten. Die folgenden Schritte sind Praxisempfehlungen; die genannten Pflichten selbst folgen aus der KI-VO.

1. KI-Inventar führen. Je System: Name und Anbieter, Use Case, Rolle (Anbieter/Betreiber/beides), Risikoklasse, verarbeitete Datenarten einschließlich besonderer Kategorien, Verantwortliche für Aufsicht und Eskalation.
2. Anhang-III-Bereich bestimmen. Acht Bereiche stehen zur Prüfung: Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, wesentliche private und öffentliche Dienste, Strafverfolgung, Migration/Asyl/Grenzkontrolle, Rechtspflege und demokratische Prozesse.
3. Ausnahme eng prüfen. Art. 6 Abs. 3 greift nur, wenn das System ausschließlich eine eng begrenzte vorbereitende oder unterstützende Aufgabe erfüllt — nicht, wenn es Bewertungen oder Empfehlungen erzeugt, die menschliche Entscheidungen wesentlich beeinflussen können; bei Profiling natürlicher Personen bleibt es bei der Hochrisiko-Einstufung. Praxisempfehlung: im Zweifel als Hochrisiko klassifizieren.
4. Rollenwechsel bewerten. Wer Zweck oder Funktionalität wesentlich ändert oder unter eigenem Namen in Verkehr bringt, wird zum Anbieter Art. 25 KI-VO.
5. Pflichten je Rolle umsetzen — siehe Abschnitt 4.
6. Rechtsstand nachhalten. Praxisempfehlung, keine gesetzliche Frist: Offen sind noch Folgerechtsakte und Leitlinien — die Leitlinien zur Hochrisiko-Einstufung nach Art. 6 Abs. 5 lagen am 17.08.2026 nur als Entwurf vom 19.05.2026 vor (Konsultation bis 23.07.2026; finale Fassung von der Kommission für Ende 2026 angekündigt). Prüfdatum und Fundstelle im Compliance-Dossier festhalten und Planungen erst nach amtlicher Veröffentlichung einer Änderung anpassen.

7. Deutschland und Österreich

Kurzantwort: Die KI-VO gilt in Deutschland und Österreich unmittelbar und wortgleich — Artikel, Anhänge und Fristen sind identisch; national unterscheiden sich nur die Behördenstruktur, das Sanktionsregime im Rahmen von Art. 99 Abs. 1 und die Diskriminierungshaftung im HR-Einsatz.

Beide Länder: Jeder Mitgliedstaat benennt mindestens eine notifizierende Behörde und mindestens eine Marktüberwachungsbehörde, letztere zugleich als zentrale Anlaufstelle Art. 70 Abs. 1 und 2 KI-VO.

Deutschland: Marktüberwachungsbehörde ist seit 29. Juli 2026 die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG), soweit in diesem Gesetz nichts anderes bestimmt ist — für einzelne Bereiche sind sektorale Behörden zuständig, etwa die BaFin; zentrale Anlaufstelle nach Art. 70 Abs. 2 KI-VO ist ebenfalls die Bundesnetzagentur (§ 6 Abs. 1 KI-MIG). Beim Einsatz bewertender KI im Beschäftigungskontext greift § 22 AGG — wer Indizien beweist, die eine Benachteiligung wegen eines Grundes nach § 1 AGG vermuten lassen, verlagert die Beweislast auf die Gegenseite. Ansprüche nach § 15 Abs. 1 und 2 AGG sind binnen zwei Monaten schriftlich geltend zu machen § 15 Abs. 4 AGG; die Entschädigung bei Nichteinstellung ist auf drei Monatsgehälter begrenzt, wenn die Person auch bei benachteiligungsfreier Auswahl nicht eingestellt worden wäre. Ansprechstelle ist die Antidiskriminierungsstelle des Bundes §§ 25, 27 AGG.

Österreich: Eine Marktüberwachungsbehörde nach Art. 70 KI-VO war zum Stand dieses Artikels (17.08.2026) nicht benannt; die KI-Servicestelle der RTR ist eine Informations- und Beratungsstelle ohne Aufsichtsbefugnis (§ 20c KOG, § 194a TKG 2021). An die Stelle des § 22 AGG tritt die Glaubhaftmachung nach § 12 Abs. 12 GlBG (Geschlecht) bzw. § 26 Abs. 12 GlBG (ethnische Zugehörigkeit, Religion oder Weltanschauung, Alter, sexuelle Orientierung): Die betroffene Person macht den Diskriminierungstatbestand glaubhaft, dann obliegt es der beklagten Partei zu beweisen, dass bei Abwägung aller Umstände wahrscheinlich ein anderes Motiv ausschlaggebend war oder ein Rechtfertigungsgrund vorliegt. Ersatzansprüche folgen aus § 12 bzw. § 26 GlBG mit gesetzlichen Mindestbeträgen; Ansprüche wegen Nichtbegründung des Arbeitsverhältnisses oder unterbliebenen Aufstiegs sind binnen sechs Monaten ab Ablehnung gerichtlich geltend zu machen § 15 GlBG § 29 GlBG. Zuständig sind die Gleichbehandlungsanwaltschaft (GAW) und die Gleichbehandlungskommission sowie die Arbeits- und Sozialgerichte.

8. Kritik & politische Einordnung

Kurzantwort: Die beschlossene Verschiebung ist umstritten — Befürworter argumentieren mit fehlender Umsetzungsinfrastruktur, Kritiker mit einer Schutzlücke bei Grundrechten.

• Pro: EU-Wettbewerbsfähigkeit gegenüber USA/China; Industrie-Vorbereitungszeit; Standards-Reife
• Contra: Bürgerrechts-Erosion (die Verschiebung verlegt die Anwendung um 16 Monate — von 02.08.2026 auf 02.12.2027 — nach hinten); Signal-Wirkung für andere EU-Verordnungen; Ungleichbehandlung Frühanwender vs. Aufschieber

Als Gründe nennt die Begründung des Vorschlags: zu wenige benannte notifizierte Stellen für die Konformitätsbewertung, nicht rechtzeitig fertiggestellte harmonisierte technische Standards und nicht rechtzeitig aufgebaute Marktüberwachungs-Behörden in den Mitgliedstaaten.

EDRi und die European Digital Rights-Bewegung haben Stellungnahmen gegen den Vorschlag publiziert. Das Gesetzgebungsverfahren ist abgeschlossen: Das Europäische Parlament stimmte am 16.06.2026 zu, der Rat am 29.06.2026; die Verordnung wurde am 24.07.2026 im Amtsblatt veröffentlicht. Davon zu trennen ist der Daten-Omnibus (COM(2025) 837 zu DSGVO, ePrivacy, NIS2-Richtlinie und CER) — er war zum geprüften Quellenstand 27.07.2026 weiterhin nur ein Vorschlag.