EU AI Act: Die Omnibus-Atempause - Was die verschobene Hochrisiko-Frist für den Mittelstand wirklich ändert

Am 7. Mai 2026 einigten sich Europäisches Parlament und Rat darauf, das gefürchtetste Datum der EU-KI-Verordnung zu verschieben. Die Anwendung der Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III, ursprünglich für den 2. August 2026 vorgesehen, wurde auf den 2. Dezember 2027 verlegt². In vielen Mittelstands-Vorständen war die Reaktion Erleichterung und dann Ruhe. Das Compliance-Projekt wanderte zurück in die Schublade.

Genau das ist die Falle. Der Digital Omnibus zur KI hat eine Frist verschoben, nicht die ganze Verordnung. Die Transparenzregeln, die Betreiberpflichten, das Verbot bestimmter Praktiken und die KI-Kompetenzpflicht gelten alle weiter auf ihren ursprünglichen Zeitachsen, von denen einige seit Februar 2025 in Kraft sind¹³. Eine verschobene Frist nützt nur, wenn Sie weiter darauf hinarbeiten. Wenn Sie aufhören, erreichen Sie den Dezember 2027 mit weniger Vorlauf, nicht mehr.

Dieser Leitfaden ist für die Geschäftsführerin, den Justiziar und die Compliance-Verantwortliche im deutschen Mittelstand, die gehört haben „die KI-Verordnung wurde verschoben“ und genau wissen müssen, was sich geändert hat, was nicht und was in diesem Quartal weiterzulaufen hat. Keine Panik, keine falsche Beruhigung. Nur die Fakten und ein Plan.

Was der Digital Omnibus tatsächlich geändert hat

Die EU-Kommission legte den Digital Omnibus zur KI am 19. November 2025 als Vereinfachungspaket vor¹. Nachdem eine erste Trilog-Runde am 28. April 2026 gescheitert war, erzielten die Institutionen am 6./7. Mai eine vorläufige politische Einigung, bestätigt durch die Mitgliedstaaten am 13. Mai³. Die Überschrift ist eine Verschiebung der Zeitachse, keine Neufassung des Risikomodells.

• Anhang-III-Hochrisiko verschoben - Eigenständige Hochrisiko-Systeme (Personalauswahl, Bonitätsbewertung, Versicherung, Bildung, biometrische Identifizierung) rücken vom 2. August 2026 auf den 2. Dezember 2027, eine Verschiebung um rund 16 Monate².
• Anhang-I-Hochrisiko verschoben - In regulierte Produkte wie Maschinen und Medizinprodukte eingebettete Hochrisiko-KI rückt vom 2. August 2027 auf den 2. August 2028³.
• Der Grund hinter dem Aufschub - Die Umsetzung lag sichtbar im Verzug; harmonisierte Normen von CEN-CENELEC und die Infrastruktur der benannten Stellen waren nicht bereit, daher soll die Zeit dem Unterbau zum Aufholen dienen⁶.
• Ein neues Verbot ergänzt - Das Paket ergänzt nach Artikel 5 ein Verbot von KI, die nicht einvernehmliche intime Darstellungen und Darstellungen sexuellen Kindesmissbrauchs erzeugt, wirksam ab 2. Dezember 2026³.
• Gezielte Vereinfachung - Einige Registrierungspflichten für selbstbewertete Nicht-Hochrisiko-Systeme wurden gestrichen, und sensible Daten dürfen genutzt werden, wo zwingend nötig, um Verzerrungen zu erkennen und zu mindern⁶.
• Reallabore verschoben - Die Frist für die Mitgliedstaaten, ein Reallabor zu betreiben, rückte um ein Jahr auf den 2. August 2027⁶.

Die zuständige Kommissarin beschrieb das Paket als Mittel, Unsicherheit zu senken, statt den Maßstab zu senken.

Was sich nicht verschoben hat (und warum das am meisten zählt)

Die Entlastung ist eng. Vier Säulen der KI-Verordnung bleiben vom Omnibus unberührt, und drei davon gelten bereits oder gelten in wenigen Wochen. Besteht Ihr KI-Einsatz aus Chatbots, Inhaltsgenerierung oder einem kundenseitigen Agenten, bringt der Aufschub fast nichts.

• Transparenz nach Artikel 50 - Gilt ab dem 2. August 2026. Sie müssen offenlegen, wenn eine Person mit einem KI-System interagiert, und KI-generierte oder wesentlich veränderte Inhalte kennzeichnen. Vom Omnibus weitgehend unberührt¹⁰.
• Betreiberpflichten nach Artikel 26 - Gelten für Betreiber von Hochrisiko-Systemen und bleiben bestehen. System gemäß Anleitung nutzen, menschliche Aufsicht sicherstellen, Betrieb überwachen, Protokolle führen und Betroffene wo nötig informieren¹¹.
• Verbotene Praktiken nach Artikel 5 - Seit dem 2. Februar 2025 durchsetzbar. Social Scoring, manipulative KI, ungezieltes Auslesen von Gesichtsbildern und Emotionserkennung am Arbeitsplatz sind verboten. Der Omnibus ergänzte ein neues Verbot, er lockerte keine bestehenden¹².
• KI-Kompetenz nach Artikel 4 - Seit dem 2. Februar 2025 verbindlich. Anbieter und Betreiber müssen sicherstellen, dass Personal, das KI-Systeme bedient, über ein angemessenes KI-Kompetenzniveau verfügt. Der Omnibus hat die Formulierung leicht abgemildert, die Pflicht aber behalten¹³.
• Regeln für Allzweck-KI - Seit dem 2. August 2025 für GPAI-Modellanbieter in Kraft. Wer auf einem Basismodell aufbaut, dessen Anbieter trägt diese, Ihre nachgelagerten Pflichten bleiben⁹.
• Die EU-Registrierungsdatenbank - Die Pflicht zur Registrierung von Hochrisiko-Systemen in der zentralen EU-Datenbank bleibt bestehen; nur einige selbstbewertete Registrierungspunkte wurden gestrichen⁶.

Weiterhin gültig am 2. August 2026: die Transparenzschicht

Artikel 50 ist die Pflicht, die den breitesten Teil des Mittelstands trifft, weil heute fast jeder kundenseitige KI betreibt. Sie ist nicht verschoben. Das fordert sie konkret.

Die vier Transparenzpflichten

1. Offenlegung bei Chatbot und Agent - Jedes KI-System, das direkt mit einer Person interagiert, muss klarmachen, dass die Person es mit einer KI zu tun hat, sofern es sich nicht aus dem Kontext ergibt. Ein Sprachagent in der Service-Hotline oder ein Website-Chatbot zählen beide¹⁰.
2. Kennzeichnung von KI-Inhalten - Anbieter generativer KI müssen Ausgaben maschinenlesbar als künstlich erzeugt markieren. Betreiber, die sie nutzen, müssen offenlegen, wo Inhalte KI-generiert oder verändert sind¹⁰.
3. Offenlegung von Deepfakes - Bild-, Audio- oder Videoinhalte, die ein Deepfake sind, müssen als künstlich erzeugt oder verändert gekennzeichnet werden, mit engen Ausnahmen für künstlerische oder behördliche Nutzung¹⁰.
4. Hinweis bei Emotion und Biometrie - Betreiben Sie Emotionserkennung oder biometrische Kategorisierung, müssen Sie die exponierten Personen informieren. Mehrere solcher Nutzungen sind nach Artikel 5 zudem ganz verboten¹².

Wasserzeichen: die eine kurze Übergangsfrist

• Neue Systeme sofort konform - Generative Systeme, die nach dem 2. August 2026 in Verkehr gebracht werden, müssen Ausgaben ab diesem Datum markieren⁶.
• Bestandssysteme erhalten vier Monate - Systeme, die vor dem 2. August 2026 am Markt waren, haben bis zum 2. Dezember 2026 Zeit, maschinenlesbare Wasserzeichen zu ergänzen³.
• Das ist keine Hochrisiko-Frage - Wasserzeichen liegen unter Transparenz, also gelten sie unabhängig von der Anhang-III-Verschiebung.

Warum eine verschobene Frist eine Falle ist, wenn Sie aufhören

Ein Aufschub hilft nur den Unternehmen, die ihn nutzen. Wer das Projekt ablegt, steht im Dezember 2027 vor derselben Wand mit schlechteren Chancen, denn die Arbeit, die der Aufschub ermöglichen sollte, geschieht nicht von selbst. Fünf Mechaniken machen die Atempause gefährlich.

• Normen kommen spät, Zertifizierung später - Die zusätzliche Zeit existiert, weil harmonisierte Normen und benannte Stellen nicht bereit sind. Wenn sie kommen, füllt sich die Warteschlange für die Konformitätsbewertung. Frühe Bewegung sichert Kapazität, Nachzügler warten⁶.
• Dokumentation entsteht langsam, nicht das Einreichen - Eine technische Hochrisiko-Akte nach Anhang IV umfasst Datenherkunft, Systemlogik, Risikomanagement und Testnachweise. Diese Historie muss beim Bauen erfasst werden, nicht im letzten Quartal rekonstruiert.
• Die politische Richtung ist umstritten - Mehr als 120 Bürgerrechtsorganisationen nannten den Omnibus Deregulierung statt Vereinfachung, und der Berichterstatter des Parlaments warnte, der Ansatz könne deregulierend wirken¹⁹. Auf weitere Entlastung zu setzen heißt, auf einen Konflikt mit offenem Ausgang zu setzen.
• Die anderen Pflichten beißen zuerst - Transparenz im August 2026 und Kompetenz seit Februar 2025 gelten jetzt. Wer die ganze Verordnung als „verschoben“ behandelt, verpasst Pflichten ohne Bezug zur Hochrisiko-Frist¹³.
• Kompetenz kumuliert - KI-Governance, saubere Einstufung und Aufsichtsdesign sind organisatorische Muskeln. Teams, die jetzt an Systemen mit niedrigem Risiko üben, sind bereit, wenn ein Hochrisiko-Fall auftaucht. Wer wartet, startet unter Fristdruck bei null.

Die KMU- und Small-Mid-Cap-Regelungen

Der Omnibus ist nicht nur ein Aufschub. Er bringt echte Entlastung für kleinere Unternehmen, und das ist der für den Mittelstand relevanteste Teil. Die Entlastung senkt die Last der Pflichten, sie hebt sie nicht auf.

• Die neue Small-Mid-Cap-Kategorie - Die Verordnung erhält eine Small-Mid-Cap-Klasse für Unternehmen bis 750 Beschäftigte und unter rund 150 Millionen Euro Umsatz (oder einer Bilanzsumme unter etwa 129 Millionen Euro), zwischen KMU und Großunternehmen⁴.
• Vereinfachte technische Dokumentation - Small Mid-Caps und KMU können vereinfachte Dokumentationsvorlagen nutzen, die benannte Stellen akzeptieren müssen, was den Papieraufwand für die Hochrisiko-Konformität senkt⁴.
• Verhältnismäßiges Qualitätsmanagement - Anforderungen an das Qualitätsmanagementsystem werden an die Unternehmensgröße angepasst, statt einheitlich angewandt⁴.
• Bevorzugter Reallabor-Zugang - Kleinere Unternehmen erhalten vorrangigen, kostenfreien Zugang zu nationalen Reallaboren, wo gutgläubiges Testen zur Compliance zählen kann⁴.
• Niedrigere Bußgeldgrenzen - Für KMU und Start-ups gilt jeweils der niedrigere von Festbetrag oder Umsatzprozentsatz, was die Haftung verhältnismäßig hält¹⁴.
• Ein Korrekturfenster - Kleinere Firmen erhalten nach einer Verwarnung eine kurze Frist, einen Verstoß zu beheben, bevor Sanktionen greifen, statt sofortiger Strafen⁴.

Was jetzt zu tun ist: ein praktischer Plan

Die richtige Antwort auf den Aufschub ist weder aufhören noch Panik. Es ist ein stetiger Arbeitstakt, der die aktiven Pflichten erledigt und auf den Dezember 2027 hinarbeitet. Das ist die Reihenfolge.

1. Jedes KI-System inventarisieren - Listen Sie alles, was Sie bauen oder einsetzen, samt Schatten-Tools, die Teams eigenmächtig eingeführt haben. Erfassen Sie je System Eigentümer, Funktion, berührte Daten und mögliche Anhang-III-Kategorie. Das ist die Grundlage für alles Weitere.
2. Jetzt nach Risiko einstufen - Ordnen Sie jedes System der Systematik verboten, hochriskant, begrenztes oder minimales Risiko zu. Die Substanz der Hochrisiko-Pflichten hat sich nicht geändert, nur der Zeitpunkt, daher bleibt eine heutige Einstufung gültig¹⁵.
3. Die Transparenzschicht klären - Ergänzen Sie für jeden Kunden-Chatbot, Sprachagenten und generativen Inhalt vor dem 2. August 2026 Offenlegung und Kennzeichnung. Dokumentieren Sie es. Das ist die nächste aktive Frist für die meisten¹⁰.
4. KI-Kompetenzschulung durchführen - Artikel 4 ist seit Februar 2025 Pflicht. Liefern Sie rollenbasierte Schulungen für alle, die KI bedienen, und führen Sie Nachweise. Günstig und für viele Firmen überfällig¹³.
5. Dokumentation laufend aufbauen - Erfassen Sie für jedes System, das hochriskant werden könnte, Datenherkunft, Modellentscheidungen, Aufsichtsdesign und Testergebnisse von Tag eins. Diese Ende 2027 zu rekonstruieren ist der teure Weg.
6. Betreiberpflichten festzurren - Klären Sie bei zugekaufter KI schriftlich, was der Anbieter abdeckt und was Sie nach Artikel 26 tragen: Aufsicht, Überwachung, Protokollierung und Information Betroffener¹¹.
7. Früh ins Reallabor - Sobald Ihr nationales Reallabor öffnet, steigen Sie ein. Die Kapazität ist begrenzt, und gutgläubiges Testen kann zur Compliance zählen⁴.
8. DSGVO und Betriebsrat im Blick behalten - Beides hat der Omnibus nicht berührt. Führen Sie eine Datenschutz-Folgenabschätzung durch, wo nötig, und stimmen Sie sich mit dem Betriebsrat zu Systemen ab, die Beschäftigte überwachen.

Ein einfacher Takt für die kommenden Monate

Wie Superkind passt

Superkind baut maßgeschneiderte KI-Agenten für KMU und Unternehmen, und Compliance ist Teil des Bauens, nicht eine nachträglich aufgesetzte Schicht. Der Ansatz ist prozessorientiert: Wir kartieren Ihre Abläufe und Systeme, bevor Code entsteht, was zugleich eine saubere KI-Verordnungs-Dokumentation erzeugt.

• Einstufung eingebaut - Jeder Agent wird beim Design gegen die Risikosystematik der KI-Verordnung bewertet, sodass Sie vor dem Livegang wissen, ob ein Fall minimal, begrenzt oder hochriskant ist.
• Transparenz standardmäßig - Kundenseitige Agenten weisen sich als KI aus und kennzeichnen generierte Inhalte, sodass die Artikel-50-Pflichten von Tag eins erfüllt sind, nicht nachgerüstet werden.
• Dokumentation als Nebenprodukt - Weil wir Prozess und Datenflüsse vorab kartieren, wächst die technische Dokumentation für ein potenzielles Hochrisiko-System beim Bauen, nicht in letzter Minute.
• Human-in-the-Loop-Design - Kritische Entscheidungen laufen zu einer Person mit dem nötigen Kontext, was gute Praxis und zugleich die geforderte menschliche Aufsicht ist.
• Aufsatz auf Ihrem Stack - Agenten verbinden sich über APIs mit Ihrem bestehenden ERP, CRM und Dokumentensystem. Kein Rip-and-Replace, und der Prüfpfad bleibt in Ihrer Infrastruktur.
• Daten unter Ihrer Kontrolle - Verschlüsselte Verbindungen und EU-freundliche Betriebsoptionen halten die DSGVO-Lage sauber, was der KI-Verordnungs-Aufschub nicht ändert.
• Kompetenz kommt mit dem Rollout - Die Teams, die mit dem Agenten arbeiten, lernen ihn zu bedienen und zu beaufsichtigen, was direkt auf Ihre Artikel-4-Kompetenzpflicht einzahlt.
• Ergebnisse statt Lizenzen - Die Abrechnung erfolgt pro Anwendungsfall mit messbarem ROI, der vor dem Bau definiert wird, sodass Compliance-Arbeit eingegrenzt ist, nicht offen.

Entscheidungsrahmen: Wie exponiert sind Sie?

Der Aufschub ändert Ihre Zeitachse nur, wenn Sie tatsächlich Hochrisiko-Systeme betreiben. Nutzen Sie diese Signale, um zu entscheiden, wie stark Sie die Atempause betrifft.

Häufig gestellte Fragen

Verwandte Artikel

• KI-Kompetenz für den Mittelstand: Artikel 4 der EU-KI-Verordnung in der Praxis umsetzen
• DSFA für KI-Agenten: Wie der Mittelstand Artikel 35 DSGVO für Agenten-Rollouts umsetzt
• ChatGPT im Arbeitsalltag: Der Mittelstands-Leitfaden zu Erlaubtem, Verbotenem und Geschultem
• Voice-KI-Agenten am Telefon: KI-Anrufe einführen, ohne dass Kunden auflegen
• KI als Compliance-Assistent: Audit-Trails, Richtlinien und Reporting automatisieren
• KI-Agenten für den Mittelstand: Wie Deutschlands Hidden Champions KI einsetzen

Henri Jung

Mitgründer von Superkind, wo er KMU und Unternehmen hilft, maßgeschneiderte KI-Agenten einzusetzen, die wirklich zu ihren Teams passen. Henri schließt mit Leidenschaft die Lücke zwischen dem, was KI kann, und dem Wert, den sie in echten Unternehmen schafft. Er ist überzeugt, dass der Mittelstand alles hat, um bei KI führend zu sein - es braucht nur den richtigen Ansatz und eine Compliance-Haltung, die Regulierung in einen Vorsprung verwandelt statt in eine Hetzjagd.