Digital Omnibus zur KI im EU-Amtsblatt: Verordnung (EU) 2026/1744 verschiebt die Hochrisiko-Fristen der KI-Verordnung

vor 2 Tagen
6 Min. Lesezeit

Am 24. Juli 2026 wurde im Amtsblatt der Europäischen Union (Reihe L) die Verordnung (EU) 2026/1744 des Europäischen Parlaments und des Rates vom 8. Juli 2026 veröffentlicht. Sie ändert die KI-Verordnung (VO (EU) 2024/1689), die Luftfahrt-Grundverordnung (VO (EU) 2018/1139) und die Maschinenverordnung (VO (EU) 2023/1230) und wird als „Digitaler Omnibus zur KI" bezeichnet. Rechtsgrundlage ist Art. 114 AEUV; die Europäische Zentralbank hat im Verfahren eine Stellungnahme abgegeben (ABl. C, C/2026/2285 vom 15.4.2026).

Inkrafttreten und Zeitschiene

Nach Erwägungsgrund 46 tritt die Verordnung am dritten Tag nach ihrer Veröffentlichung in Kraft, ausdrücklich begründet mit der Dringlichkeit vor dem allgemeinen Anwendungsbeginn der KI-Verordnung am 2. August 2026. Das ergibt den 27. Juli 2026 – dieses Datum wird durch Erwägungsgrund 18 bestätigt, der eine 18-Monats-Frist „ab dem 27. Juli 2026" nennt.

Der allgemeine Anwendungsbeginn der KI-Verordnung am 2. August 2026 bleibt bestehen. Verschoben werden gezielt einzelne Pflichtenblöcke:

Kapitel III Abschnitte 1–3 (Einstufung, Anforderungen an Hochrisiko-KI, Pflichten von Anbietern und Betreibern): neu 2. Dezember 2027 für Systeme nach Art. 6 Abs. 2 i.V.m. Anhang III (bisher 2. August 2026)
2. August 2028 für Systeme nach Art. 6 Abs. 1 i.V.m. Anhang I, also KI in regulierten Produkten (bisher 2. August 2027)
KI-Reallabore (Sandboxes): Die Mitgliedstaaten müssen mindestens ein nationales Reallabor bis 2. August 2027 betriebsbereit haben (Art. 57 Abs. 1 KI-VO n.F.; bisher 2. August 2026)

Transparenz- und Kennzeichnungspflichten: eine Datumsdiskrepanz

Erwägungsgrund 38 sieht für Anbieter generativer KI-Systeme, die den Markierungspflichten des Art. 50 Abs. 2 KI-VO unterliegen und ihre Systeme vor dem 2. August 2026 in Verkehr gebracht haben, einen Übergangszeitraum von vier Monaten vor. Das führt rechnerisch zum 2. Dezember 2026.

Nicht verschoben werden die übrigen Transparenzpflichten des Art. 50 KI-VO, insbesondere die Offenlegungspflicht bei Interaktion mit KI-Systemen (Art. 50 Abs. 1) und die Deepfake-Kennzeichnung durch Betreiber (Art. 50 Abs. 4). Diese bleiben ab 2. August 2026 anwendbar.

KI-Kompetenz (Art. 4 KI-VO): Pflicht wird abgeschwächt

Für Institute besonders praxisrelevant ist die Neufassung des Art. 4 KI-VO (Art. 1 Nr. 5 der Änderungsverordnung). Bisher mussten Anbieter und Betreiber ein ausreichendes Maß an KI-Kompetenz ihres Personals sicherstellen. Künftig gilt:

Anbieter und Betreiber ergreifen Maßnahmen zur Förderung der KI-Kompetenz ihres Personals und sonstiger in ihrem Auftrag mit dem Betrieb und der Nutzung befasster Personen.
Zu berücksichtigen sind technische Kenntnisse, Erfahrung, Ausbildung, Einsatzkontext sowie die betroffenen Personen bzw. Personengruppen.
Ausdrücklich klargestellt: Die Pflicht verlangt kein bestimmtes Kompetenzniveau für einzelne Personen.
Kommission und Mitgliedstaaten unterstützen insbesondere KMU; die Kommission veröffentlicht Praxisbeispiele auf der zentralen Informationsplattform (Art. 62 Abs. 3 lit. b).
Das KI-Gremium verabschiedet Empfehlungen mit gemeinsamen Zielvorgaben.

Verarbeitung besonderer Kategorien personenbezogener Daten zur Bias-Erkennung (Art. 4a KI-VO neu)

Der bisherige Art. 10 Abs. 5 KI-VO wird gestrichen und durch einen eigenständigen Art. 4a ersetzt. Neu ist vor allem die Erweiterung des Anwenderkreises: Die Rechtsgrundlage steht künftig nicht nur Anbietern von Hochrisiko-KI zu, sondern nach Art. 4a Abs. 2 auch Betreibern von Hochrisiko-KI-Systemen sowie Anbietern und Betreibern sonstiger KI-Systeme und -Modelle, soweit dies zur Erkennung und Korrektur von Verzerrungen unbedingt erforderlich ist.

Die Verarbeitung bleibt an enge Bedingungen geknüpft: Erforderlichkeit (keine Erreichbarkeit mit anderen, auch synthetischen oder anonymisierten Daten), technische Nutzungsbeschränkungen und Pseudonymisierung, strenge Zugriffskontrollen und -dokumentation, keine Übermittlung an Dritte, Löschung nach Korrektur der Verzerrung und Begründungspflicht im Verzeichnis von Verarbeitungstätigkeiten. Art. 4a Abs. 2 letzter Satz stellt klar, dass daraus keine Pflicht zur Bias-Erkennung entsteht.

Erleichterungen für KMU und „kleine Unternehmen mit mittlerer Kapitalisierung"

Die Änderungsverordnung führt in Art. 3 KI-VO zwei neue Definitionen ein: KMU nach der Empfehlung 2003/361/EG und kleine Unternehmen mit mittlerer Kapitalisierung (small mid-caps) nach der Empfehlung (EU) 2025/1099. Daran knüpfen mehrere Erleichterungen an:

Art. 11 Abs. 1: KMU einschließlich Start-ups und small mid-caps dürfen die technische Dokumentation nach Anhang IV in vereinfachter Form bereitstellen; die Kommission stellt ein entsprechendes Formular bereit, das notifizierte Stellen akzeptieren müssen.
Art. 17 Abs. 2: Das Qualitätsmanagementsystem ist verhältnismäßig zur Organisationsgröße umzusetzen – bei gleichbleibendem Schutzniveau.
Art. 63 Abs. 1: Die vereinfachte QMS-Erfüllung wird von Kleinstunternehmen auf alle KMU einschließlich Start-ups ausgeweitet, sofern keine Partner- oder verbundenen Unternehmen bestehen.
Art. 57 Abs. 3a: KMU und small mid-caps erhalten vorrangigen Zugang zu einem vom KI-Büro einzurichtenden unionsweiten Reallabor.

Diese Erleichterungen adressieren die Anbieterrolle. Sie greifen nur, wenn ein Institut KI-Systeme selbst entwickelt und in Verkehr bringt bzw. in Betrieb nimmt – oder nach Art. 25 KI-VO als Anbieter gilt. Hinzu kommt: Die KMU-Definition stellt neben der Beschäftigtenzahl auf Umsatz oder Bilanzsumme ab. Die Bilanzsummenschwelle wird von Kreditinstituten in der Praxis regelmäßig überschritten, sodass auch kleine Institute die KMU-Kriterien häufig nicht erfüllen dürften.

Aufsichtsarchitektur: Zuständigkeit des KI-Büros und Ausnahme für Finanzinstitute

Erwägungsgrund 31 beschreibt eine ausschließliche Zuständigkeit des KI-Büros für KI-Systeme, die auf KI-Modellen mit allgemeinem Verwendungszweck (GPAI) beruhen – und zwar nicht nur, wenn Modell und System vom selben Anbieter stammen, sondern auch bei Anbietern desselben Unternehmens. Nach Erwägungsgrund 32 erhält die Kommission zudem Marktüberwachungsbefugnisse für KI-Systeme, die sehr große Online-Plattformen bzw. Suchmaschinen im Sinne des DSA darstellen oder in diese integriert sind.

Erwägungsgrund 31 kündigt Ausnahmen an, „insbesondere bei spezifischer sektoraler Aufsicht", ohne sie zu benennen.

Grundrechte-Folgenabschätzung (Art. 27 KI-VO) wird entschlackt

Die Grundrechte-Folgenabschätzung nach Art. 27 KI-VO trifft unter anderem Betreiber von Hochrisiko-KI-Systemen zur Bonitätsbewertung natürlicher Personen (Anhang III Nr. 5 lit. b) – also einen für Banken zentralen Anwendungsfall. Zwei Erleichterungen:

Art. 27 Abs. 4: Soweit Pflichten bereits durch eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erfüllt sind, kann der Betreiber auf die einschlägigen Abschnitte verweisen oder relevante Teile übernehmen.
Art. 27 Abs. 5: Das KI-Büro erstellt eine Fragebogenvorlage, auch als automatisiertes Werkzeug, zur vereinfachten Pflichterfüllung.

Neue Verbote in Art. 5 KI-VO

Art. 5 Abs. 1 KI-VO wird um zwei Verbotstatbestände ergänzt (neue lit. b bis und b ter): das Inverkehrbringen, die Inbetriebnahme und die Verwendung von KI-Systemen, die nicht-einvernehmliches intimes Bildmaterial identifizierbarer Personen erzeugen oder manipulieren (sogenannte „Nudification"-Anwendungen), sowie von KI-Systemen, die Material sexuellen Kindesmissbrauchs im Sinne der Richtlinie 2011/93/EU erzeugen oder manipulieren – letzteres vorbehaltlich nationaler Rechtfertigungsgründe.

Auf Anbieterseite greift das Verbot nach dem neuen Art. 5 Abs. 1a nur, wenn die Erzeugung die Zweckbestimmung des Systems ist oder wenn sie ein vernünftigerweise vorhersehbares und reproduzierbares Ergebnis darstellt und angemessene technische Schutzmaßnahmen fehlen. Auf Betreiberseite greift es nur bei zweckgerichteter Nutzung.

Weitere Änderungen im Überblick

Art. 2 Abs. 13 (neu): Bei Hochrisiko-KI nach Art. 6 Abs. 1 können Anforderungen der Art. 9–15 und 17–25 eingeschränkt werden, wenn sektorales Harmonisierungsrecht ein gleichwertiges oder höheres Schutzniveau gewährleistet. Die Kommission erlässt dazu bis 2. August 2027 delegierte Rechtsakte.
Maschinenverordnung: VO (EU) 2023/1230 wandert von Anhang I Abschnitt A nach Abschnitt B; die direkte Anwendung der KI-VO wird dadurch stark begrenzt. Delegierte Rechtsakte zu Anhang III der Maschinenverordnung sollen bis 2. August 2028 gelten.
Cybersicherheit: Neuer Art. 42 Abs. 3 – Konformität mit dem Cyber Resilience Act (VO (EU) 2024/2847) begründet die Vermutung der Konformität mit Art. 15 KI-VO.
Notifizierte Stellen: einheitliches Antrags- und Bewertungsverfahren (Art. 28 Abs. 8, 9); Übergangsbefugnis für bereits notifizierte Stellen; Antragsfrist 28. Januar 2028 (Art. 43 Abs. 3).
Leitlinien der Kommission: zu Art. 8 Abs. 2, 9 Abs. 10 und 17 Abs. 3 bis 1. August 2027; zum Post-Market-Monitoring-Plan einschließlich freiwilliger Vorlage bis 2. September 2027.

💡 Hinweis für kleine und nicht komplexe Institute:

Die Fristverschiebung ist kein Aufschub des Handlungsbedarfs, sondern eine Verlagerung des Schwerpunkts. Konkret:

Der 2. August 2026 bleibt für Betreiberpflichten relevant, die nicht verschoben wurden - insbesondere die Offenlegung bei KI-Interaktion (Art. 50 Abs. 1) und die Deepfake-Kennzeichnung (Art. 50 Abs. 4). Chatbots im Kundenkontakt und KI-gestützte Text- oder Bildproduktion im Marketing sind hier die typischen Berührungspunkte.
Die KI-Kompetenzpflicht (Art. 4) gilt bereits seit 2. Februar 2025 und wird lediglich abgeschwächt, nicht aufgehoben Ein knappes, dokumentiertes Schulungskonzept für die betroffenen Rollen - Kredit, Personal, IT, Compliance, Auslagerungsmanagement - bleibt die pragmatische Antwort.
Die zusätzliche Zeit bis 2. Dezember 2027 sollte für ein belastbares KI-Inventar genutzt werden: Welche Systeme sind im Einsatz, in welcher Rolle (Anbieter/Betreiber), fallen sie unter Anhang III (v.a. Nr. 4 Personalmanagement, Nr. 5 lit. b Kreditwürdigkeitsprüfung)? Die Rollenzuordnung ist entscheidend - die neuen KMU-Erleichterungen betreffen fast durchgehend die Anbieterrolle.
Bei Auslagerung und Fremdbezug empfiehlt sich eine Prüfung, ob bestehende Verträge mit Kernbankensystem- oder Scoring-Anbietern die nach Art. 25 Abs. 4 KI-VO erforderlichen Informations- und Zugangszusagen abbilden. Der geänderte Art. 25 Abs. 2 konkretisiert die Kooperationspflicht des Erstanbieters bei Anbieterwechsel.
Für Institute mit KI-gestützter Bonitätsbewertung: Prüfen, ob eine DSGVO-Folgenabschätzung vorliegt, auf die die künftige Grundrechte-Folgenabschätzung nach Art. 27 aufsetzen kann. Die Vorlage des KI-Büros abwarten, die Datengrundlage aber jetzt schaffen.
Die Aufsichtszuständigkeit für Finanzinstitute bleibt nach den vorliegenden Quellen national. Für Österreich und Deutschland ist die Benennung bzw. Ausgestaltung der zuständigen nationalen Behörden weiter zu beobachten; die Verzögerungen hierbei waren ein wesentlicher Grund für die Fristverschiebung.

Quelle / Eckdaten

👉 Link zum Dokument	Verordnung (EU) 2026/1744 des Europäischen Parlaments und des Rates vom 8. Juli 2026 zur Änderung der Verordnungen (EU) 2024/1689, (EU) 2018/1139 und (EU) 2023/1230 hinsichtlich der Vereinfachung der Umsetzung harmonisierter Vorschriften über künstliche Intelligenz (Digitaler Omnibus zur KI)
📅 Veröffentlichung	24. Juli 2026 (Datum des Rechtsakts: 8. Juli 2026)
Art des Dokuments	Änderungsverordnung (Gesetzgebungsakt, ordentliches Gesetzgebungsverfahren)
Herausgeber	Europäisches Parlament und Rat der Europäischen Union; Veröffentlichung im Amtsblatt der EU, Reihe L
⚖️ Rechtsgrundlage	Art. 114 AEUV; Stellungnahmen von EZB (ABl. C, C/2026/2285), EWSA (18.3.2026), AdR (7.5.2026); EP-Standpunkt 16.6.2026, Ratsbeschluss 29.6.2026
Adressaten	Unmittelbar geltend in allen Mitgliedstaaten; adressiert Anbieter, Betreiber, Einführer, Händler und Produkthersteller von KI-Systemen sowie Mitgliedstaaten, Kommission, KI-Büro und notifizierte Stellen
✅ Status	In Kraft getreten bzw. unmittelbar bevorstehend; endgültig verabschiedet, nicht provisorisch
📅 Erstanwendung	Inkrafttreten: 27. Juli 2026 (dritter Tag nach Veröffentlichung, Erwägungsgrund 46). Gestaffelte Anwendung: allgemeiner Anwendungsbeginn der KI-VO 2.8.2026 unverändert; Übergangsfrist Art. 50 Abs. 2 bis 2.12.2026; Sandboxes betriebsbereit bis 2.8.2027; Kap. III Abschn. 1–3 ab 2.12.2027 (Anhang III) bzw. 2.8.2028 (Anhang I)