Der AI Act macht keine Pause: Warum der Digital Omnibus den eigentlichen Engpass verfehlt
ein Beitrag von Carina Zehetmaier
„Die EU verschiebt den AI Act.“ So lief es durch die Schlagzeilen, als das Europäische Parlament am 16. Juni 2026 den sogenannten KI-Omnibus mit großer Mehrheit annahm (netzpolitik.org). In vielen Vorstandssitzungen wurde daraus binnen Stunden eine bequeme Botschaft: Wir haben mehr Zeit. Das ist eine teure Fehlinterpretation. Denn um den Omnibus tobt längst ein Richtungsstreit – und ich sitze, offen gesagt, an beiden Tischen.
Was wirklich beschlossen wurde
Der Digital Omnibus ist Teil der Vereinfachungs- und Wettbewerbsfähigkeitsagenda der EU-Kommission. Sein KI-Teil verschiebt die schärfsten Pflichten der Verordnung nach hinten: Hochrisiko-Systeme aus Anhang III – KI in Recruiting, Kreditvergabe, Bildung, Strafverfolgung oder kritischer Infrastruktur – müssen die Anforderungen erst ab dem 2. Dezember 2027 erfüllen statt ab August 2026. Für KI in regulierten Produkten wie Medizinprodukten oder Maschinen (Anhang I) gilt der 2. August 2028. Das Parlament stimmte mit 423 zu 57 Stimmen bei 174 Enthaltungen zu; die formale Bestätigung durch den Rat war für Ende Juni vorgesehen (Legislative Train, EP).
Entscheidend ist, was nicht verschoben wurde. Die verbotenen Praktiken gelten seit Februar 2025, die Pflichten für General-Purpose-AI (KI mit allgemeinen Verwendungszweck) seit August 2025, die Risikoklassifizierung bleibt unverändert. Transparenz- und Kennzeichnungspflichten für KI-generierte Inhalte greifen ab dem 2. Dezember 2026 – ebenso ein neues Verbot von „Nudifier“-Apps. Und ausgerechnet zum 2. August 2026 – dem ursprünglichen Hochrisiko-Stichtag – erhält das AI Office scharfe Durchsetzungsbefugnisse gegenüber Anbietern von General-Purpose-AI: Es kann Dokumentation und Modellberichte verlangen, unabhängige Evaluierungen anordnen und im Extremfall den Rückruf eines Modells erzwingen (AI Act Newsletter). Das Sanktionsregime steht ohnehin: bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes.
Was sich für Unternehmen ändert – und was nicht
Auf den Punkt gebracht: Die Architektur der Verordnung ist intakt. Wer das Datum mit dem Inhalt verwechselt, verwechselt einen verschobenen Termin mit einer gestrichenen Pflicht.
Verschoben wurde die Frist – nicht die Pflicht. |
Die anspruchsvollste Aufgabe hängt nämlich gar nicht von fertigen Normen ab: jedes KI-System zu finden, sauber zu klassifizieren und das Inventar laufend zu pflegen. Wer heute beginnt, hat rund 18 Monate; wer Ende 2027 beginnt, hat Wochen. Besonders unterschätzt: Die Einstufung „wir sind nicht hochriskant“ ist keine Erleichterung, sondern eine rechtliche Schlussfolgerung, die belegt werden muss – und in der EU-Datenbank zu registrieren ist. Wie drängend das ist, zeigt die Kommission selbst: Sie hat Leitlinien samt Praxisbeispielen zur Hochrisiko-Klassifizierung vorgelegt, die Konsultation dazu lief bis 23. Juli 2026. Auch die AI-Literacy-Pflicht gilt bereits seit Februar 2025; der Omnibus formuliert sie nur als Bemühenspflicht neu, er schafft sie nicht ab (AI Literacy Foundation).
Zwei Lager – und beide haben einen Punkt
Das eine Lager sagt: Europa reguliert sich in die Bedeutungslosigkeit. Das andere Lager sagt das Gegenteil: Der Omnibus sei gefährliche Deregulierung. EDRi, AlgorithmWatch, Access Now und Amnesty International sprechen von einem Aushöhlen von Schutzmaßnahmen, bevor sie überhaupt in Kraft treten (AlgorithmWatch). Die Juristin Luiza Jarovsky (Luiza’s Newsletter) bringt den Einwand: Die Kommission begründet den Aufschub mit fehlenden Normen und langsamer Behördenbenennung. Wenn aber Verzögerungen das Problem sind – warum dann die Kernpflichten aufweichen, statt die Verzögerungen zu beheben? Immerhin: Zwei der drei meistkritisierten Punkte im Omnibus wurden im finalen Text zurückgenommen – Registrierungs- und AI-Literacy-Pflicht bleiben. Geblieben ist der Aufschub (ECNL).
Wie nah „Vereinfachung“ und Grundrechtsrisiko beieinanderliegen, zeigt ein Detail, das in den Schlagzeilen unterging: Der Omnibus weitet die Ausnahme aus, sensible Daten – etwa zu ethnischer Herkunft oder Gesundheit – zur Bias-Erkennung zu verarbeiten. Bisher war das nur für Anbieter von Hochrisikosystemen vorgesehen, künftig ist es auch Anbietern und Betreibern von Nicht-Hochrisiko-KI erlaubt. Das Ziel ist ehrenwert – Diskriminierung lässt sich nur messen, wenn man die sensiblen Merkmale sieht. Doch je größer der Kreis der Berechtigten, desto breiter das Einfallstor: „Bias-Korrektur“ kann zum Vorwand werden, ausgerechnet die schutzbedürftigsten Datenkategorien überhaupt erst zu erheben. Dass der strenge Maßstab „unbedingt erforderlich“ – den die Kommission absenken wollte – auf Druck von Parlament und Rat erhalten blieb, ist hier die entscheidende Schranke. Sie wirkt aber nur, solange sie auch durchgesetzt wird.
Den heftigsten Streit löste ausgerechnet eine technische Verschiebung aus: Die Maschinen-Gesetzgebung wandert im Anhang I von Abschnitt A nach Abschnitt B. Klingt nach Fußnote, war aber der Punkt, an dem der Trilog Ende April zwischenzeitlich platzte – das Parlament wollte gleich alle Abschnitt-A-Produkte verschieben, am Ende traf es nur die Maschinen (Medizinprodukte, IVD und Funkanlagen blieben in Abschnitt A). Die Folge ist mehr als kosmetisch: KI in Maschinen wird somit über die sektorale Maschinenverordnung und nicht dem EU AI Act adressiert – die Kommission muss die KI-spezifischen Sicherheitsanforderungen erst per delegiertem Rechtsakt bis 2. August 2028 dort einarbeiten. Die Industrie feiert das als Ende der Doppelregulierung; Verbraucher- und Grundrechtsorganisationen wie BEUC und Liberties sehen ein Schlupfloch, weil sektorale Sicherheitslogik die spezifischen KI- und Grundrechtsrisiken möglicherweise gar nicht erfasst.
Mein Standpunkt: aus dem Normungskomitee betrachtet
Ich schreibe das aus einer Doppelrolle: als Vorsitzende der Arbeitsgruppe 42 Künstliche Intelligenz bei Austrian Standards – jener Organisation, die Österreich in den europäischen Normungsgremien CEN und CENELEC vertritt und als Mitgründerin eines Governance-Unternehmens. Aus dieser Perspektive sehe ich beide Ängste aus nächster Nähe. Und ich bin überzeugt: Der Streit „zu viel oder zu wenig Regulierung“ geht am eigentlichen Problem vorbei.
Der Engpass ist nicht zu viel und nicht zu wenig Regulierung –es fehlt das Fundament, das Recht umsetzbar macht: Normen. |
Der Omnibus verschiebt die Hochrisiko-Pflichten vor allem deshalb, weil die harmonisierten Normen nicht rechtzeitig fertig werden. Diese Normen sind kein bürokratisches Beiwerk – sie sind das Übersetzungswerk, das aus einem abstrakten Gesetz prüfbare, vergleichbare, umsetzbare Anforderungen macht. Sie werden nicht von der Kommission geschrieben, sondern von Fachleuten aus Industrie, Wissenschaft und Zivilgesellschaft – ehrenamtlich, unterbesetzt, gegen die Zeit.
Und hier löst sich der vermeintliche Widerspruch auf. Normen und Dokumentation sind das Einzige, was Tempo and Schutz zugleich ermöglicht: Sie geben Unternehmen Rechtssicherheit, um schnell zu sein (das Anliegen des einen Lagers), und sie machen Schutzmaßnahmen überhaupt erst prüfbar (das Anliegen des anderen). Governance ist insofern die letzte Meile der KI-Einführung – das operative Fundament, das aus einem fähigen Modell ein vertrauenswürdiges, nutzbares System macht. Deshalb ist der Aufschub für mich kein Grund zum Durchatmen, sondern ein Weckruf: Wenn schon der Gesetzgeber mit dem Aufbau dieses Fundaments nicht nachkommt, sollte keine Organisation glauben, sie könne es „später“ in einem Projekt nachholen.
Für Unternehmen heißt das konkret: Die anspruchsvollste Arbeit – inventarisieren, klassifizieren, jede „nicht hochriskant“-Entscheidung belegen – hängt nicht von der finalen Norm ab. Sie lässt sich heute tun, und sie ist die einzige stabile Grundlage, egal welchem Lager man sich selbst zuordnet. Genau deshalb sprechen wir bei PaiperONE nicht einfach von einem Compliance-Werkzeug, sondern von KI Governance als Betriebssystem für vertrauenswürdige und rechtskonforme KI. Die zwölf bis 18 Monate, die der Omnibus schenkt, sind kein Urlaub. Sie sind die Zeit, in der sich entscheidet, wer 2027 vorbereitet dasteht – und wer in der Hektik teure Fehler macht.
Was jetzt zu tun ist
- KI-Inventar vervollständigen. Jedes System erfassen – eigenentwickelt, zugekauft, eingebettet. Die Grundlage für alles Weitere, unabhängig von Normen.
- Risiko klassifizieren und dokumentieren. Jede „nicht hochriskant“- Entscheidung begründen und sicherstellen, dass keine verbotenen KI-Systeme im Einsatz sind.
- AI-Literacy nachweisen und Vorgaben an die Belegschaft machen. Schulungsnachweise sind bereits seit dem 2.2.2025 ein Thema.
- Transparenzpflichten bis Dezember 2026 produktionsreif machen.
- AI Governance als Dauerprozess aufsetzen.
- In die Normung einbringen. Wer betroffen ist, sollte das Ergebnis mitgestalten.
Über HUMABLY
HUMABLY ist die Governance-Plattform von PaiperONE: KI-Inventar, Risiko- und Qualitätsmanagement, Rollen und Verantwortlichkeiten sowie prüffeste Dokumentation für den EU AI Act – damit Ihre „nicht hochriskant“-Entscheidung auch in zwei Jahren noch verteidigbar ist. Sie wollen wissen, wo Ihre Organisation heute steht? Sprechen wir.
Hinweis: Dieser Beitrag gibt meine persönliche Einschätzung wieder und ersetzt keine Rechtsberatung. Rechtsverbindlich werden die neuen Fristen erst mit Veröffentlichung im EU-Amtsblatt.
