KI-Verordnung: Hochrisiko-Pflichten werden verschoben

Der 2. August 2026 galt bislang als einer der wichtigsten Stichtage der europäischen KI-Verordnung. Ab diesem Datum sollten insbesondere die umfangreichen Anforderungen an viele Hochrisiko-KI-Systeme gelten.  

Kurz vor Ablauf der Frist haben das Europäische Parlament und der Rat eine Änderung des Zeitplans beschlossen. Die Veröffentlichung der Änderungsverordnung im Amtsblatt der Europäischen Union und ihr anschließendes Inkrafttreten stehen derzeit noch aus.

Mit dem Digital Omnibus werden die Hochrisiko-Pflichten nicht aufgehoben, sondern zeitlich verschoben. Unternehmen erhalten dadurch zusätzliche Vorbereitungszeit. Der 2. August 2026 verliert seine Bedeutung allerdings nicht vollständig. 
 

Neue Fristen für Hochrisiko-KI-Systeme
 

Die wichtigste Änderung betrifft die Einstufungsregeln und Anforderungen für Hochrisiko-KI-Systeme aus den Abschnitten 1 bis 3 des Kapitels III der KI-Verordnung. Hierzu gehören unter anderem Vorgaben zum Risikomanagement, zur Datenqualität, zur technischen Dokumentation, zur menschlichen Aufsicht sowie zur Genauigkeit und Cybersicherheit von Hochrisiko-KI-Systemen.

Diese Anforderungen gelten künftig zu unterschiedlichen Zeitpunkten:
 

• Ab dem 2. Dezember 2027 für eigenständige Hochrisiko-KI-Systeme nach Art. 6 Abs. 2 in Verbindung mit Anhang III KI-VO.  
• Ab dem 2. August 2028 für Hochrisiko-KI-Systeme nach Art. 6 Abs. 1 in Verbindung mit Anhang I KI-VO, die als Sicherheitsbauteil eines regulierten Produkts eingesetzt werden oder selbst ein solches Produkt darstellen.  

Anhang III erfasst KI-Systeme anhand ihres konkreten Verwendungszwecks. Dazu gehören beispielsweise bestimmte Systeme für die Bewerberauswahl und das Personalmanagement, für die Kreditwürdigkeitsprüfung, im Bildungsbereich oder beim Zugang zu grundlegenden privaten und öffentlichen Leistungen.

Anhang I betrifft dagegen insbesondere KI-Systeme, die Bestandteil bereits regulierter Produkte sind. Hierzu zählen beispielsweise Medizinprodukte, Spielzeug, Aufzüge oder andere Produkte, die bereits besonderen europäischen Produktsicherheitsvorschriften unterliegen.

Die Verschiebung soll verhindern, dass Unternehmen umfangreiche Anforderungen umsetzen müssen, bevor die dafür erforderlichen harmonisierten Normen, technischen Spezifikationen und Leitlinien vollständig vorliegen.

Was gilt weiterhin ab dem 2. August 2026?
 

Die Fristverschiebung betrifft nicht die gesamte KI-Verordnung. Der 2. August 2026 bleibt vielmehr der allgemeine Geltungsbeginn für zahlreiche weitere Vorschriften.

Für viele Unternehmen werden ab diesem Zeitpunkt insbesondere die Transparenzpflichten nach Art. 50 KI-VO relevant. Abhängig vom eingesetzten System kann unter anderem erforderlich sein:

• natürliche Personen darüber zu informieren, dass sie mit einem KI-System interagieren;  
• bestimmte KI-generierte oder manipulierte Inhalte maschinenlesbar zu kennzeichnen;  
• den Einsatz von Systemen zur Emotionserkennung oder biometrischen Kategorisierung offenzulegen;  
• Deepfakes und bestimmte KI-generierte Texte über Angelegenheiten von öffentlichem Interesse als solche kenntlich zu machen.  

Anbieter generativer KI-Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht wurden, müssen die technische Kennzeichnung synthetischer Inhalte spätestens bis zum 2. Dezember 2026 umsetzen.

Bereits geltende Pflichten bleiben bestehen
 

Auch die bereits seit dem 2. Februar 2025 geltenden Anforderungen werden durch die Fristverschiebung nicht ausgesetzt.

Dies betrifft insbesondere das Verbot bestimmter KI-Praktiken nach Art. 5 KI-VO und die Verpflichtung zur Förderung der KI-Kompetenz nach Art. 4 KI-VO. Anbieter und Betreiber müssen weiterhin geeignete Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihrer Beschäftigten und anderer Personen zu unterstützen, die in ihrem Auftrag KI-Systeme betreiben oder nutzen. Künftig müssen sie jedoch nicht mehr gewährleisten, dass jede einzelne Person ein bestimmtes Kompetenzniveau erreicht. Die Pflicht zur Förderung der KI-Kompetenz bleibt bestehen.

Was sollten Unternehmen jetzt tun?
 

Die neuen Fristen verschaffen Unternehmen zusätzliche Zeit. Diese sollte insbesondere für folgende Schritte genutzt werden:

• Eingesetzte und entwickelte KI-Systeme in einem KI-Inventar erfassen.  
• Die eigene Rolle als Anbieter, Betreiber, Einführer oder Händler bestimmen.  
• Transparenzpflichten nach Art. 50 KI-VO bis August 2026 prüfen und umsetzen.  
• Potenzielle Hochrisiko-KI-Systeme nach Anhang I und Anhang III identifizieren.  
• Für Hochrisiko-Systeme einen Umsetzungsplan bis Dezember 2027 beziehungsweise August 2028 erstellen.  
• Schulungsmaßnahmen nach Art. 4 KI-VO fortführen und dokumentieren.  

Fazit
 

Der Digital Omnibus nimmt den unmittelbaren Zeitdruck aus der Hochrisiko-Compliance. Die umfassenden Anforderungen gelten künftig ab dem 2. Dezember 2027 für eigenständige Hochrisiko-KI-Systeme und ab dem 2. August 2028 für produktbezogene Hochrisiko-KI-Systeme.

Für Unternehmen bedeutet dies jedoch keine allgemeine Verschiebung der KI-Verordnung. Bereits geltende Pflichten bleiben bestehen und ab dem 2. August 2026 rücken insbesondere die Transparenzpflichten in den Vordergrund. Die zusätzliche Zeit sollte daher nicht zum Abwarten, sondern zur strukturierten Vorbereitung genutzt werden.

Wie Bitkom Consult unterstützt
 

Unternehmen sollten die neuen Fristen nutzen, um ihre KI-Systeme strukturiert zu erfassen, Rollen und Risikoklassen zu bestimmen und einen belastbaren Umsetzungsplan zu entwickeln. Bitkom Consult unterstützt Sie dabei, ein KI-Inventar aufzubauen, potenzielle Hochrisiko-KI-Systeme zu identifizieren und die Anforderungen der KI-Verordnung in bestehende Datenschutz- und Compliance-Prozesse zu integrieren.

Sie möchten wissen, welche Fristen und Pflichten für Ihre KI-Systeme gelten? Schreiben Sie uns gern an datenschutz@bitkom-consult.de.