Hochrisiko-KI & der Digital Omnibus: Die neuen Fristen 2027/2028 für KMU
Kurz zusammengefasst: Der Digital Omnibus on AI (final vom Rat am 29.06.2026 angenommen) verschiebt die Pflichten für Hochrisiko-KI: Anhang III von August 2026 auf den 2. Dezember 2027, Anhang I von August 2027 auf den 2. August 2028. Nicht verschoben: Art. 4 (seit 02.02.2025), Art. 5 und die Transparenzpflicht nach Art. 50 (ab 02.08.2026). Für die meisten KMU, die keine Hochrisiko-KI betreiben, ändert der Aufschub wenig – für die wenigen mit Hochrisiko-Einsatz ist er wertvolle Vorbereitungszeit.
Betrifft mich Hochrisiko überhaupt?
Der kostenlose 5-Minuten-Schnellcheck ordnet Ihre KI in Sekunden einer Risikoklasse zu.
Zum KI-VO-Schnellcheck →Welche Fristen genau verschoben wurden
Der Grund für den Aufschub: Die harmonisierten technischen Standards (CEN/CENELEC) und die EU-Leitlinien zu den Hochrisiko-Anforderungen liegen nicht rechtzeitig zur ursprünglichen Frist (02.08.2026) vor. Der Omnibus koppelt die Anwendung deshalb an die tatsächliche Verfügbarkeit dieser Werkzeuge und verschiebt die Stichtage entsprechend:
| Bereich | Ursprünglich | Neu (Omnibus) |
|---|---|---|
| Hochrisiko-KI nach Anhang III (eigenständige Systeme) | 02.08.2026 | 02.12.2027 |
| Hochrisiko-KI nach Anhang I (in regulierten Produkten) | 02.08.2027 | 02.08.2028 |
| AI-Regulatory-Sandboxes (nationale Reallabore) | 02.08.2026 | 02.08.2027 |
[Art. 6, Art. 113, Anhang I + III KI-VO; Digital Omnibus on AI, COM(2025)837]
Bin ich überhaupt „Hochrisiko"?
Für die allermeisten KMU lautet die Antwort: nein. Hochrisiko sind nach Anhang III vor allem KI-Systeme, die Entscheidungen in sensiblen Bereichen treffen oder unterstützen:
- Personalauswahl und Personalmanagement (Recruiting, Bewerber-Screening, Leistungsbewertung)
- Kreditwürdigkeit, Versicherungs-Scoring, Zugang zu wesentlichen Leistungen
- Biometrische Identifizierung und Kategorisierung
- Kritische Infrastruktur, Bildung und Prüfungen, Strafverfolgung, Migration
Wer nur zugekaufte Standard-Tools für Büro, Texte oder Recherche nutzt (Betreiber, niedriges Risiko), fällt nicht unter Hochrisiko. Zum Einordnen: der Risikoklassen-Prüfbaum oder der ausführliche Beitrag AI Act Risikoklassen für KMU.
Faustregel: Standard-KI zum Schreiben und Recherchieren = kein Hochrisiko. KI, die über Menschen entscheidet (Bewerber, Kredite, Leistungen), = potenziell Hochrisiko – und für diese gilt der neue Zeitplan bis Dez. 2027 bzw. Aug. 2028.
Was der Aufschub NICHT verschiebt
Wichtig – und oft missverstanden: Aufschub ist nicht Aufhebung, und er betrifft nur Hochrisiko. Diese Pflichten gelten unverändert weiter:
- Art. 4 – KI-Kompetenz: seit dem 02.02.2025 in Kraft. Wer KI nutzt, muss geschult sein.
- Art. 5 – Verbotene Praktiken: seit 02.02.2025 untersagt.
- Art. 50 – Transparenz: ab 02.08.2026; maschinenlesbare Kennzeichnung KI-generierter Inhalte ab 02.12.2026.
- GPAI-Pflichten für Anbieter allgemeiner KI-Modelle: seit 02.08.2025.
Für Hochrisiko-Betreiber: Der Aufschub ist Zeit zum Vorbereiten, nicht zum Ignorieren. Bis Dez. 2027 müssen Risikomanagement, Dokumentation und menschliche Aufsicht stehen – das baut man nicht in zwei Wochen auf.
Was Hochrisiko-Betreiber mit der Zeit tun sollten
- Einstufung sichern: verbindlich klären, welche Systeme Anhang III unterfallen (im Zweifel höher einstufen).
- Risikomanagement aufsetzen (Art. 9) und Daten-Governance dokumentieren (Art. 10).
- Menschliche Aufsicht sicherstellen (Art. 14) und technische Dokumentation/Logging vorbereiten (Art. 11–12).
- Grundrechte-Folgenabschätzung (FRIA) für Betreiber in sensiblen Bereichen (Art. 27).
- Parallel: Art.-4-Schulung + KI-Inventar – gilt ohnehin schon heute.
Die Zeit bis 2027 sinnvoll nutzen
Das AI Act Compliance Kit liefert die Vorlagen für den Aufbau – KI-Inventar, Risikoklassifizierung, Schulungsnachweis, KI-Richtlinie und 90-Tage-Plan.
Pakete ab 149 € ansehen →Häufige Fragen zu den Hochrisiko-Fristen
Ist der AI Act durch den Digital Omnibus verschoben worden?
Nur teilweise. Verschoben wurden die Hochrisiko-Pflichten: Anhang III auf den 2. Dezember 2027, Anhang I auf den 2. August 2028. Art. 4 (seit 02.02.2025), Art. 5 und Art. 50 (ab 02.08.2026) sind nicht verschoben.
Wann gelten die Hochrisiko-Pflichten jetzt konkret?
Für eigenständige Hochrisiko-Systeme (Anhang III) ab dem 2. Dezember 2027, für Hochrisiko-KI in regulierten Produkten (Anhang I) ab dem 2. August 2028.
Muss mein KMU jetzt gar nichts tun?
Doch. Die KI-Kompetenzpflicht (Art. 4) gilt seit dem 02.02.2025, die Verbote (Art. 5) ebenfalls, und ab 02.08.2026 die Transparenzpflicht (Art. 50). Ein KI-Inventar und dokumentierte Schulungen sind ohnehin sinnvoll.
Woran erkenne ich, ob meine KI Hochrisiko ist?
An den Anhang-III-Bereichen: Personalauswahl, Kreditwürdigkeit, Versicherung, Biometrie, kritische Infrastruktur, Bildung, Strafverfolgung. Die meisten KMU mit Standard-Tools sind nicht betroffen.
Kann sich die Frist noch einmal ändern?
Der Rat hat den Omnibus am 29.06.2026 final angenommen (Amtsblatt im Juli erwartet). Die Anwendung ist an die Verfügbarkeit von Standards und Tools gekoppelt – eine erneute Verschiebung ist damit nicht ausgeschlossen, aber nicht der geplante Stand.
Weiterlesen
Stand: Juli 2026. Dieser Artikel dient der Information und ersetzt keine Rechtsberatung. Maßgeblich ist die Verordnung (EU) 2024/1689 in der jeweils geltenden Fassung inkl. Digital Omnibus on AI (final vom Rat am 29.06.2026 angenommen, Veröffentlichung im Amtsblatt im Juli 2026 erwartet). Für spezifische Fragen konsultieren Sie eine auf KI-Recht spezialisierte Beratung.