Die EU-KI-Verordnung 2026: Was nach dem Digital Omnibus tatsächlich gilt

Die Verordnung (EU) 2024/1689, die EU-KI-Verordnung, trat am 1. August 2024 in Kraft. Sie gilt stufenweise. Verbotene Praktiken und KI-Kompetenzpflichten traten am 2. Februar 2025 in Kraft. Pflichten für KI-Modelle mit allgemeinem Verwendungszweck, Governance-Strukturen und Sanktionen traten am 2. August 2025 in Kraft.

Der nächste Meilenstein, die Pflichten für Hochrisiko-KI-Systeme gemäss Kapitel III der Verordnung, sollte am 2. August 2026 eintreten. Das geschah an diesem Datum nicht. Am 24. Juli 2026 wurde der Digital Omnibus zur KI, die Verordnung (EU) 2026/1744, im Amtsblatt veröffentlicht und trat drei Tage später in Kraft, sechs Tage vor der ursprünglichen Frist.

Was sich verschoben hat, und was nicht

Der Omnibus verschiebt die Hochrisikopflichten in zwei Schritten. Eigenständige Hochrisikosysteme gemäss Anhang III, die Anwendungen wie Rekrutierung, Personalmanagement, Kreditwürdigkeitsprüfung, Biometrie und Bildung abdecken, fallen nun ab dem 2. Dezember 2027 statt ab dem 2. August 2026 unter Kapitel III. Hochrisikosysteme, die in regulierte Produkte gemäss Anhang I eingebettet sind, wie Medizinprodukte oder Maschinen, verschieben sich auf den 2. August 2028.

• Die verbotenen Praktiken nach Artikel 5, in Kraft seit dem 2. Februar 2025, bleiben unverändert.
• Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck, Transparenzdokumentation und Bewertung systemischer Risiken für die grössten Modelle, in Kraft seit dem 2. August 2025, bleiben unverändert.
• Die Transparenzpflichten nach Artikel 50, die Offenlegung der Interaktion mit KI und die Kennzeichnung synthetischer Inhalte, traten wie geplant am 2. August 2026 in Kraft und wurden nicht verschoben.
• Ein durch denselben Omnibus hinzugefügtes neues Verbot von KI-Tools, die nicht einvernehmliche intime Bilder oder Missbrauchsdarstellungen von Kindern erzeugen, gilt ab dem 2. Dezember 2026.

Warum die Verschiebung keine fehlende Risikoexposition bedeutet

Eine verschobene Pflicht ist keine aufgehobene Pflicht. Organisationen, die ein KI-System auf dem EU-Markt in Verkehr bringen, unabhängig von ihrem Sitz, einschliesslich Schweizer und anderer Nicht-EU-Anbieter, bleiben an die bereits geltenden Pflichten gebunden: verbotene Praktiken, Transparenz gegenüber Nutzern, die mit einem KI-System interagieren, und, für Anbieter von Modellen mit allgemeinem Verwendungszweck, Dokumentation und Risikobewertung. Die zusätzlichen achtzehn Monate für Hochrisikosysteme sind Vorbereitungszeit, keine Befreiungszeit.

Die Klassifizierungsfrage, die jede Organisation, die KI nutzt, noch beantworten muss

Unabhängig vom Kalender verlangt die KI-Verordnung von jedem Anbieter oder Betreiber, jedes von ihm entwickelte oder genutzte KI-System zu klassifizieren: verboten, hochriskant, mit begrenztem Risiko und Transparenzpflichten, oder minimal riskant. Diese Klassifizierungsübung und die zugehörigen Nachweise sind das, was ein Käufer, ein Versicherer oder ein Investor lange vor Dezember 2027 verlangen wird. Die Verschiebung hat die Compliance-Frist verschoben. Sie hat nicht die Due-Diligence-Frist verschoben.

“Die Organisationen, die bereits wissen, welches ihrer KI-Systeme hochriskant ist, und warum, sind nicht diejenigen, für die der Omnibus geschrieben wurde.”

— Aegryn

Aegryn Advisory unterstützt Organisationen bei der Klassifizierung ihrer KI-Systeme im Rahmen der EU-KI-Verordnung, bei der Dokumentation von Governance und Risikobewertung, und zertifiziert das Ergebnis unter der Dimension Sicherheit & Souveränität des CIFSO, noch bevor ein Käufer, Versicherer oder Regulator einen Nachweis verlangt.