Digital Omnibus 2026: Was sich am AI Act geändert hat

Was seit 27. Juli 2026 gilt

Verwenden Sie für jede Rechtsprüfung die konsolidierte Fassung des AI Act vom 27. Juli 2026. Die Verordnung (EU) 2026/1744 ist an diesem Tag in Kraft getreten; sie ist daher nicht mehr als Entwurf, Vorschlag oder erwartete Reform zu behandeln. Inkrafttreten und Beginn einzelner Pflichten bleiben jedoch getrennte Fragen.

Ersetzen Sie alte Zeitpläne nicht pauschal durch ein neues Enddatum. Führen Sie pro Use Case eine Fristenzeile mit Rolle, Systemtyp, relevanter Vorschrift, Anwendungsbeginn und Übergangsregel. Die Geschäftsleitung sollte die korrigierte Roadmap freigeben und für zeitkritische Punkte konkrete Owner, Budget und Kontrolltermine festlegen. Archivieren Sie den ersetzten Zeitplan und dokumentieren Sie, welche Maßnahmen vorgezogen, verschoben oder wegen bereits geltender Vorschriften unverändert fortgeführt werden. Offene Rechtsfragen erhalten eine Prüffrist statt eines vermeintlich sicheren Datums.

• Digital Omnibus seit 27. Juli 2026 als geltendes Änderungsrecht behandeln.
• Inkrafttreten und Anwendungsbeginn einzelner Pflichten strikt unterscheiden.
• Alte Roadmaps je Use Case und nicht durch einen pauschalen Datumstausch korrigieren.

Quellen: [1] [2] [3] [4]

Artikel 4 richtig operationalisieren

Anbieter und Betreiber müssen angemessene Maßnahmen treffen, um die Entwicklung der KI Kompetenz der einschlägig befassten Personen zu unterstützen. Zu berücksichtigen sind insbesondere Vorwissen, Erfahrung, Ausbildung, Nutzungskontext und betroffene Personengruppen. Die Neufassung verlangt weder ein garantiertes Kompetenzniveau jeder Person noch eine unionsweit standardisierte Zertifizierung.

Ermitteln Sie Rollen mit Einfluss auf Beschaffung, Entwicklung, Freigabe, Nutzung und Überwachung. Ordnen Sie ihnen bedarfsgerechte Maßnahmen zu, etwa Richtlinien, praktische Übungen, Warnhinweise, Freigabegrenzen und Schulungen. Dokumentieren Sie Zielgruppe, Kontext, Maßnahme und Aktualisierung; ein Teilnahmezertifikat allein belegt nicht, dass die Maßnahme zum realen Risiko passte. Rückfragen, Fehlanwendungen, Kontrollergebnisse und Systemänderungen sollten in die nächste Aktualisierung einfließen. So wird Artikel 4 als fortlaufende, kontextbezogene Unterstützungsaufgabe und nicht als einmalige Zertifikatsübung umgesetzt.

• Artikel 4 als Pflicht zu kontextbezogenen Unterstützungsmaßnahmen umsetzen.
• Weder ein garantiertes individuelles Kompetenzniveau noch ein Standardzertifikat unterstellen.
• Maßnahmen anhand von Rollen, Vorwissen, Einsatzkontext und Rückmeldungen aktualisieren.

Quellen: [1] [2]

Neue Verbote ab Dezember abgrenzen

Die ursprünglichen Verbote nach Artikel 5 gelten grundsätzlich seit 2. Februar 2025. Die durch den Digital Omnibus ergänzten Verbote zu bestimmten nicht einvernehmlichen intimen Darstellungen und Material über sexuellen Kindesmissbrauch werden dagegen ab 2. Dezember 2026 anwendbar. Sie dürfen für den Rechtsstand 16. September 2026 nicht als bereits geltende Verbote bezeichnet werden.

Prüfen Sie trotzdem sofort, ob Produkte oder Nutzungsszenarien in den künftigen Tatbestand fallen könnten, und planen Sie technische Schutzmaßnahmen sowie Vertriebsbeschränkungen. Artikel 5 ist tatbestandsgebunden: Zweckbestimmung, vorhersehbare und reproduzierbare Ergebnisse, Verwendung, Schutzvorkehrungen und gesetzliche Ausnahmen müssen konkret geprüft werden. Pauschale Aussagen über jede Bildgenerierung sind ebenso ungeeignet wie ein Abwarten bis zum Stichtag. Halten Sie Produktversion, geprüfte Funktionen, Missbrauchsszenarien, Schutzmaßnahmen und die Entscheidung über Bereitstellung oder Nutzung fest.

• Ursprüngliche Verbote seit Februar 2025 und neue Verbote ab 2. Dezember 2026 trennen.
• Tatbestandsvoraussetzungen und Ausnahmen statt pauschaler Produktverbote prüfen.
• Technische Schutzmaßnahmen und interne Nulltoleranzregeln schon vor dem Stichtag vorbereiten.

Quellen: [1] [2]

Transparenz nach Artikel 50 nicht verschieben

Artikel 50 gilt grundsätzlich seit 2. August 2026. Er unterscheidet Pflichten von Anbietern und Betreibern, darunter Erkennbarkeit direkter KI Interaktion, maschinenlesbare Kennzeichnung bestimmter synthetischer Ausgaben und Offenlegung in bestimmten Einsatzkontexten. Nicht jeder KI Inhalt muss sichtbar nach einer einzigen Standardformel gekennzeichnet werden.

Nur für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, besteht für Artikel 50 Absatz 2 eine Übergangsfrist bis 2. Dezember 2026. Übertragen Sie diese Ausnahme nicht auf Chatbots, Deepfakes oder andere Pflichten. Inventarisieren Sie Inhalte, Rollen und Veröffentlichungskontexte und hinterlegen Sie je Kanal eine überprüfte Kennzeichnungsentscheidung. Prüfen Sie außerdem, ob die Information rechtzeitig, klar und zugänglich erfolgt und ob maschinenlesbare Kennzeichnung technisch erhalten bleibt. Ausnahmen werden mit Tatbestand und verantwortlicher Freigabe dokumentiert.

• Artikel 50 grundsätzlich seit 2. August 2026 anwenden.
• Anbieterpflichten zur maschinenlesbaren Kennzeichnung von Betreiberpflichten zur Offenlegung trennen.
• Übergangsfrist bis 2. Dezember 2026 nur auf bestimmte Altsysteme nach Artikel 50 Absatz 2 beziehen.

Quellen: [1] [2]

Zwei Hochrisikofristen steuern

Für Systeme nach Artikel 6 Absatz 2 in Verbindung mit Anhang III gelten die zentralen Regeln der Abschnitte 1 bis 3 des Kapitels III grundsätzlich ab 2. Dezember 2027. Für Systeme nach Artikel 6 Absatz 1 und Anhang I gilt grundsätzlich der 2. August 2028. Die Maschinenverordnung wurde allerdings in Abschnitt B des Anhangs I verschoben. Für die dort erfassten Systeme begrenzt Artikel 2 Absatz 2 die unmittelbare Geltung des AI Act; die Einbindung der Anforderungen in das sektorale Produktrecht muss deshalb gesondert geprüft werden.

Nutzen Sie die Verschiebung als Umsetzungszeit, nicht als Stillhaltefrist. Rollenklärung, Inventar, Daten- und Vertragsanalyse, technische Tests sowie Ressourcenplanung müssen vor dem jeweiligen Stichtag abgeschlossen sein. Andere bereits anwendbare Regeln, insbesondere DSGVO, Vertrags-, Arbeits-, Gleichbehandlungs-, Verbraucher- und Produktrecht, gelten unabhängig von den Hochrisikofristen weiter. Legen Sie rückwärts vom einschlägigen Termin Meilensteine für Klassifikation, Beschaffung von Nachweisen, technische Abhilfe, Konformitätsbewertung und Betriebsfreigabe fest. Abhängigkeiten von Standards oder Leitlinien werden als solche markiert und überwacht.

• Anhang-III-Systeme grundsätzlich auf den 2. Dezember 2027 terminieren.
• Systeme nach Artikel 6 Absatz 1 grundsätzlich auf den 2. August 2028 terminieren.
• Für Anhang I Abschnitt B die Sonderregel des Artikels 2 Absatz 2 und das sektorale Produktrecht prüfen.

Quellen: [1] [2]

Aufsicht und Veröffentlichung kontrollieren

Der Digital Omnibus änderte auch Teile der Aufsichts- und Durchsetzungsarchitektur, darunter Zuständigkeiten des AI Office. In Österreich war laut amtlicher Bestandsaufnahme am Stichtag die allgemeine nationale Zuweisung von Marktüberwachungs- und Notifizierungszuständigkeiten noch nicht abschließend umgesetzt; die RTR KI Servicestelle ist nicht allein deshalb allgemeine Aufsichtsbehörde.

Vor jeder Veröffentlichung und vor wesentlichen Projektentscheidungen sind konsolidierter Text, österreichische Behördenlage, Sanktionen, Leitlinien und technische Standards erneut zu prüfen. Bestimmen Sie eine Stelle, die Rechtsänderungen überwacht und Änderungen in Richtlinien, Verträgen, Inventar und Kompetenzmaßnahmen überführt. Ein Rechtsänderungsprotokoll sollte Quelle, betroffene Prozesse, Entscheidung, Owner und Umsetzungsfrist ausweisen. Dieser Prozess unterstützt Compliance, ersetzt aber keine Einzelfallprüfung und bietet keine Haftungsgarantie.

• Zuständigkeiten des AI Office und nationaler Behörden fallbezogen bestimmen.
• RTR KI Servicestelle nicht pauschal als Marktüberwachungsbehörde bezeichnen.
• Österreichische Behörden- und Sanktionslage vor Veröffentlichung erneut amtlich prüfen.

Quellen: [1] [2]

Häufige Fragen