Hochrisiko-KI & der Digital Omnibus: Die neuen Fristen 2027/2028 für KMU
Kurz zusammengefasst: Der Digital Omnibus on AI (VO (EU) 2026/1744, in Kraft seit 27.07.2026) verschiebt die Pflichten für Hochrisiko-KI: Anhang III von August 2026 auf den 2. Dezember 2027, Anhang I von August 2027 auf den 2. August 2028. Nicht verschoben: Art. 4 (seit 02.02.2025), Art. 5 und die Transparenzpflicht nach Art. 50 (seit dem 02.08.2026). Für die meisten KMU, die keine Hochrisiko-KI betreiben, ändert der Aufschub wenig – für die wenigen mit Hochrisiko-Einsatz ist er wertvolle Vorbereitungszeit.
Betrifft mich Hochrisiko überhaupt?
Der kostenlose 5-Minuten-Schnellcheck ordnet Ihre KI in Sekunden einer Risikoklasse zu.
Zum KI-VO-Schnellcheck →Welche Fristen genau verschoben wurden
Der Grund für den Aufschub: Die harmonisierten technischen Standards (CEN/CENELEC) und die EU-Leitlinien zu den Hochrisiko-Anforderungen liegen nicht rechtzeitig zur ursprünglichen Frist (02.08.2026) vor. Der Omnibus koppelt die Anwendung deshalb an die tatsächliche Verfügbarkeit dieser Werkzeuge und verschiebt die Stichtage entsprechend:
| Bereich | Ursprünglich | Neu (Omnibus) |
|---|---|---|
| Hochrisiko-KI nach Anhang III (eigenständige Systeme) | 02.08.2026 | 02.12.2027 |
| Hochrisiko-KI nach Anhang I (in regulierten Produkten) | 02.08.2027 | 02.08.2028 |
| AI-Regulatory-Sandboxes (nationale Reallabore) | 02.08.2026 | 02.08.2027 |
[Art. 6, Art. 113, Anhang I + III KI-VO; Digital Omnibus on AI, COM(2025)837]
Bin ich überhaupt „Hochrisiko"?
Für die allermeisten KMU lautet die Antwort: nein. Hochrisiko sind nach Anhang III vor allem KI-Systeme, die Entscheidungen in sensiblen Bereichen treffen oder unterstützen:
- Personalauswahl und Personalmanagement (Recruiting, Bewerber-Screening, Leistungsbewertung)
- Kreditwürdigkeit, Versicherungs-Scoring, Zugang zu wesentlichen Leistungen
- Biometrische Identifizierung und Kategorisierung
- Kritische Infrastruktur, Bildung und Prüfungen, Strafverfolgung, Migration
Wer nur zugekaufte Standard-Tools für Büro, Texte oder Recherche nutzt (Betreiber, niedriges Risiko), fällt nicht unter Hochrisiko. Zum Einordnen: der Risikoklassen-Prüfbaum oder der ausführliche Beitrag AI Act Risikoklassen für KMU.
Faustregel: Standard-KI zum Schreiben und Recherchieren = kein Hochrisiko. KI, die über Menschen entscheidet (Bewerber, Kredite, Leistungen), = potenziell Hochrisiko – und für diese gilt der neue Zeitplan bis Dez. 2027 bzw. Aug. 2028.
Neu (Konsultation bis 23.07.2026): Die EU-Kommission hat am 19.05.2026 Entwurfs-Leitlinien zur Hochrisiko-Einstufung nach Art. 6 veröffentlicht – mit Praxisbeispielen, welche Systeme als Hochrisiko gelten (und welche nicht). Die öffentliche Konsultation läuft bis zum 23. Juli 2026. Für die eigene Einstufung lohnt der Blick in den Entwurf schon jetzt.
Was der Aufschub NICHT verschiebt
Wichtig – und oft missverstanden: Aufschub ist nicht Aufhebung, und er betrifft nur Hochrisiko. Diese Pflichten gelten unverändert weiter:
- Art. 4 – KI-Kompetenz: seit dem 02.02.2025 in Kraft. Wer KI nutzt, muss Kompetenz-Maßnahmen ergreifen und dokumentieren; seit dem 27.07.2026 ausdrücklich als Bemühenspflicht gefasst (VO (EU) 2026/1744).
- Art. 5 – Verbotene Praktiken: seit 02.02.2025 untersagt.
- Art. 50 – Transparenz: seit dem 02.08.2026 – auch die maschinenlesbare Kennzeichnung KI-generierter Inhalte (Abs. 2). Generative Systeme, die vor dem 02.08.2026 in Verkehr gebracht wurden, haben dafür bis 02.12.2026 Zeit (Art. 111 Abs. 4).
- GPAI-Pflichten für Anbieter allgemeiner KI-Modelle: seit 02.08.2025.
Für Hochrisiko-Betreiber: Der Aufschub ist Zeit zum Vorbereiten, nicht zum Ignorieren. Bis Dez. 2027 müssen Risikomanagement, Dokumentation und menschliche Aufsicht stehen – das baut man nicht in zwei Wochen auf.
Was Hochrisiko-Betreiber mit der Zeit tun sollten
- Einstufung sichern: verbindlich klären, welche Systeme Anhang III unterfallen (im Zweifel höher einstufen).
- Risikomanagement aufsetzen (Art. 9) und Daten-Governance dokumentieren (Art. 10).
- Menschliche Aufsicht sicherstellen (Art. 14) und technische Dokumentation/Logging vorbereiten (Art. 11–12).
- Grundrechte-Folgenabschätzung (FRIA) für Betreiber in sensiblen Bereichen (Art. 27).
- Parallel: Art.-4-Schulung + KI-Inventar – gilt ohnehin schon heute.
Die Zeit bis 2027 sinnvoll nutzen
Das AI Act Compliance Kit liefert die Vorlagen für den Aufbau – KI-Inventar, Risikoklassifizierung, Schulungsnachweis, KI-Richtlinie und 90-Tage-Plan.
Pakete ab 149 € ansehen →Häufige Fragen zu den Hochrisiko-Fristen
Ist der AI Act durch den Digital Omnibus verschoben worden?
Nur teilweise. Verschoben wurden die Hochrisiko-Pflichten: Anhang III auf den 2. Dezember 2027, Anhang I auf den 2. August 2028. Art. 4 (seit 02.02.2025), Art. 5 und Art. 50 (seit dem 02.08.2026) sind nicht verschoben.
Wann gelten die Hochrisiko-Pflichten jetzt konkret?
Für eigenständige Hochrisiko-Systeme (Anhang III) ab dem 2. Dezember 2027, für Hochrisiko-KI in regulierten Produkten (Anhang I) ab dem 2. August 2028.
Muss mein KMU jetzt gar nichts tun?
Doch. Die KI-Kompetenzpflicht (Art. 4) gilt seit dem 02.02.2025, die Verbote (Art. 5) ebenfalls, und seit dem 02.08.2026 die Transparenzpflicht (Art. 50). Ein KI-Inventar und dokumentierte Schulungen sind ohnehin sinnvoll.
Woran erkenne ich, ob meine KI Hochrisiko ist?
An den Anhang-III-Bereichen: Personalauswahl, Kreditwürdigkeit, Versicherung, Biometrie, kritische Infrastruktur, Bildung, Strafverfolgung. Die meisten KMU mit Standard-Tools sind nicht betroffen.
Kann sich die Frist noch einmal ändern?
Die Fristen stehen: Der Omnibus ist als Verordnung (EU) 2026/1744 seit dem 27.07.2026 in Kraft, der 2. Dezember 2027 ist geltendes Recht. Die Anwendung ist an die Verfügbarkeit harmonisierter Standards und Unterstützungstools gekoppelt – eine erneute Anpassung würde eine weitere Änderungsverordnung erfordern und ist derzeit nicht angekündigt.
Weiterlesen
Stand: Juli 2026. Dieser Artikel dient der Information und ersetzt keine Rechtsberatung. Maßgeblich ist die Verordnung (EU) 2024/1689 in der jeweils geltenden Fassung inkl. Digital Omnibus on AI (VO (EU) 2026/1744, in Kraft seit 27.07.2026). Für spezifische Fragen konsultieren Sie eine auf KI-Recht spezialisierte Beratung.