EU-KI-Gesetz: Hochrisiko-Frist auf Dezember 2027 verschoben — was Teams jetzt tun sollten

Sophie Laurent Legal- & Compliance-Lead, YuSMP Group · Unterstützt Teams in den USA und der EU dabei, Datenschutz- und Regulierungskontrollen in ihre Plattformen einzubauen

Die kurze Antwort

Was die EU tatsächlich beschlossen hat

Die Maßnahme ist der Digital Omnibus — ein Vereinfachungspaket, das das KI-Gesetz ändert, statt es neu zu schreiben, und die erste substanzielle Änderung des Gesetzes seit seiner Verabschiedung 2024. Am 7. Mai 2026 wurde eine vorläufige Trilog-Einigung erreicht, am 16. Juni billigte das Europäische Parlament, und am 29. Juni gab der Rat sein endgültiges grünes Licht. Nach der Veröffentlichung im Amtsblatt der EU tritt das Paket am dritten Tag danach in Kraft; bis dahin bleiben rechtlich die alten Termine gültig — deshalb betonte der Rat die Annahme „rechtzeitig vor der Frist am 2. August 2026".

Kern des Pakets ist die zeitliche Entlastung für Hochrisiko-KI — jene Systeme, die das Gesetz als besonders folgenreich einstuft, etwa in der Personalauswahl, beim Credit Scoring, in Bildung, wesentlichen Diensten und kritischer Infrastruktur. Statt einer einzigen Klippe am 2. August 2026 beginnen die Pflichten für eigenständige Anhang-III-Systeme nun am 2. Dezember 2027, und die Pflichten für KI, die in bereits nach Anhang I regulierte Produkte eingebettet ist — Medizinprodukte, Maschinen, Fahrzeuge — am 2. August 2028. Neben dem Aufschub reduziert das Paket den Papieraufwand für Systeme, die sich selbst als nicht hochriskant einstufen, und weitet die leichtere KMU-Regelung des Gesetzes auf „kleine Mid-Cap"-Unternehmen mit bis zu 750 Beschäftigten aus — das vergrößert den Kreis der Firmen mit vereinfachter Dokumentation und reduzierten Sanktionen spürbar, gerade im deutschen Mittelstand.

Die neuen Fristen in einer Tabelle

So sieht der Zeitplan nach dem Omnibus aus. Die beiden Hochrisiko-Termine wurden verschoben; die früheren Pflichten nicht.

Ein Vorbehalt, der in jede Planungsvorlage gehört: Diese Termine hängen von der Veröffentlichung im Amtsblatt ab. Der Rat hat den Text angenommen, aber verbindliches Recht wird er erst, wenn er dort erscheint. Planen Sie mit den neuen Terminen, bestätigen Sie aber die Veröffentlichung, bevor Sie ein Compliance-Programm förmlich neu aufsetzen.

Was nicht verschoben wurde

Der Aufschub ist enger als die Schlagzeilen nahelegen, und ihn als „das KI-Gesetz liegt auf Eis" zu lesen, ist der Fehler, der teuer wird. Die verbotenen Praktiken — Social Scoring, bestimmte biometrische Kategorisierung, manipulative Systeme — sind seit Februar 2025 durchsetzbar. Die Transparenz- und Dokumentationspflichten für KI mit allgemeinem Verwendungszweck, die Modellanbieter seit August 2025 tragen, sind ebenso unangetastet. Wenn Sie ein Foundation-Modell feintunen oder einsetzen oder wenn Ihr Produkt in eine verbotene Kategorie fällt, hat sich am 29. Juni nichts davon geändert.

Zwei Punkte ziehen Arbeit sogar näher heran. Die Schonfrist für die Kennzeichnung KI-generierter Inhalte wurde von sechs auf drei Monate verkürzt und landet auf dem 2. Dezember 2026, und ein neues Verbot KI-generierter nicht einvernehmlicher intimer Darstellungen und von Darstellungen sexuellen Kindesmissbrauchs kam hinzu, mit einem Übergangsfenster bis zum selben Datum. Jedes Team, das generative Funktionen in die EU ausliefert — Bild, Audio oder Text —, sollte die Herkunftskennzeichnung von Inhalten als Aufgabe für 2026 behandeln, nicht für 2027.

Was das für Teams in den USA & der DACH-Region bedeutet

Nimmt man die Brüsseler Verfahrensschritte weg, ist das ein Planungssignal. Der Feuerlöschmodus vom August 2026, in dem Produkt- und Rechtsteams um die Klassifizierung von Systemen rannten, ist vorbei — die zugrunde liegende Pflicht, Hochrisiko-KI zu inventarisieren, zu klassifizieren, zu dokumentieren, zu protokollieren und mit menschlicher Aufsicht zu versehen, ist aber genau dieselbe, nur fällig im Dezember 2027. Es gewinnen die Teams, die Entlastung in Grundlagenarbeit umwandeln, statt die ganze Akte still zu depriorisieren.

Die extraterritoriale Reichweite macht das auch zu einem US-Thema, nicht nur zu einem europäischen. Ein US-SaaS-Anbieter ist in dem Moment im Anwendungsbereich, in dem er ein KI-System auf dem EU-Markt in Verkehr bringt oder die Ausgabe seines Modells in der EU genutzt wird — das Gesetz interessiert nicht, wo das Unternehmen eingetragen ist. Deshalb sollten Teams, die nach Europa verkaufen, ihre Systeme jetzt klassifizieren und Daten-Governance als untrennbar von KI-Governance behandeln; dieselbe Disziplin, die der DSGVO-Compliance zugrunde liegt — Datenlandkarte, Rechtsgrundlage, Minimierung, Nachweise — ist das Fundament, auf dem das KI-Gesetz aufbaut.

Die Aufteilung eingebetteter KI zählt am meisten in regulierten Branchen. In der HealthTech folgt eine KI-Funktion in einem Medizinprodukt dem Anhang-I-Pfad bis zum 2. August 2028 und setzt auf der bestehenden MDR-Konformitätsarbeit auf; in der FinTech ist ein KI-Credit-Scoring-Modell klassische eigenständige Anhang-III-Hochrisiko-KI mit Frist 2. Dezember 2027. Dasselbe Unternehmen kann zwei verschiedene Uhren haben, je nachdem, wo das Modell sitzt — eine einzige Zeile „KI-Gesetz-Frist" in einer Roadmap ist deshalb meist falsch. Ordnen Sie jedes System seinem eigenen Pfad zu und bauen Sie die Kontrollen — Risikomanagement, Protokollierung, menschliche Aufsicht, technische Dokumentation — in die Entwicklung ein, statt sie 2027 unter Zeitdruck nachzurüsten.

So nutzen Sie den zusätzlichen Vorlauf

Behandeln Sie die achtzehn zusätzlichen Monate als eingeplante Entwicklungs- und Governance-Zeit, nicht als Puffer. Eine praktische Reihenfolge:

1. Inventarisieren Sie jedes KI-System. Listen Sie auf, was Sie bauen, einbetten, feintunen und einkaufen, einschließlich Drittanbieter-Modellen in Ihrem Produkt. Sie können nicht klassifizieren, was Sie nicht katalogisiert haben.
2. Klassifizieren Sie anhand der Risikoklassen. Ordnen Sie jedes System in verboten, hochriskant (Anhang III vs. Anhang I), begrenztes Risiko oder minimal ein — und halten Sie die Begründung fest. Dieser Schritt setzt jede nachgelagerte Frist.
3. Erledigen Sie zuerst die 2026er-Punkte. Die Herkunftskennzeichnung von Inhalten und das neue Verbot intimer Darstellungen sind Pflichten zum 2. Dezember 2026. Lassen Sie nicht zu, dass der 2027er-Termin die Aufmerksamkeit davon abzieht.
4. Bauen Sie die Hochrisiko-Kontrollen auf. Risikomanagement, Daten-Governance, Protokollierung, menschliche Aufsicht und technische Dokumentation sind Entwicklungsarbeit. Bauen Sie sie jetzt ins Produkt ein, damit 2027 ein Kontrollpunkt ist und kein Neubau.
5. Verzahnen Sie es mit Ihrem Datenschutzprogramm. KI-Governance und DSGVO überschneiden sich stark; führen Sie beides als einen Arbeitsstrom, damit Nachweise, Datenlandkarten und Kontrollen wiederverwendet und nicht doppelt erstellt werden.
6. Benennen Sie eine verantwortliche Person und bestätigen Sie die Veröffentlichung. Weisen Sie die Verantwortung für die KI-Gesetz-Akte zu und setzen Sie den Plan erst neu auf, wenn der Omnibus im Amtsblatt erscheint.

Nichts davon ist Rechtsberatung, und die genauen Pflichten hängen von Ihren Systemen, Ihren Märkten und dem endgültig veröffentlichten Text ab. Das strategische Signal ist aber klar: Die EU hat beim Zeitplan nachgegeben, nicht in der Sache. Hochrisiko-KI-Regeln kommen, die frühesten Pflichten sind bereits da, und der Vorteil gehört den Teams, die jetzt auf Governance hin entwickeln, statt Ende 2027 auf eine Frist zuzusprinten.

Häufig gestellte Fragen

Quellen

Rat der EU — Artificial Intelligence: Council gives final green light to simplify and streamline rules, 29. Juni 2026 (Primärquelle)
Gibson Dunn — EU AI Act Omnibus Agreement: Postponed High-Risk Deadlines and Other Key Changes, 2026
White & Case — EU agrees Digital Omnibus deal to simplify AI rules, 2026