Digital Omnibus: Was der 02.12.2027-Aufschub bedeutet

Am 16. Juni 2026 hat das Europäische Parlament den Digital Omnibus zur KI-Verordnung final gebilligt, der Rat der EU folgte am 29. Juni 2026. Mit der Veröffentlichung im Amtsblatt der EU ist die Änderung in Kraft getreten: Der Anwendungsbeginn der Pflichten für Hochrisiko-KI-Systeme nach Anhang III verschiebt sich vom 2. August 2026 auf den 2. Dezember 2027. Für Hochrisiko-KI, die in regulierte Produkte eingebettet ist (Anhang I), gilt sogar eine noch längere Frist bis zum 2. August 2028.

Für viele Unternehmen liest sich das wie eine Verschnaufpause. Das ist es auch — aber nur teilweise. Wer den Aufschub als Entwarnung versteht, verwechselt einen verschobenen Stichtag mit einem entschärften Regelwerk.

Was sich durch den Digital Omnibus tatsächlich ändert

Der Digital Omnibus verschiebt ausschließlich den Zeitpunkt, ab dem die Pflichten für Hochrisiko-KI-Systeme scharf geschaltet werden. Ursprünglich hätten Anbieter und Betreiber von Systemen nach Anhang III — etwa in den Bereichen Beschäftigung, Strafverfolgung, Migration, kritische Infrastruktur oder Bildung — ab dem 2. August 2026 vollständig konform sein müssen. Dieses Datum liegt jetzt 16 Monate weiter hinten, am 2. Dezember 2027.

Der Grund für die Verschiebung liegt vor allem in der noch unvollständigen Standardisierungs- und Aufsichtsinfrastruktur: harmonisierte Normen, notifizierte Stellen für Konformitätsbewertungen und nationale Marktüberwachungsbehörden waren zum ursprünglichen Stichtag in mehreren Mitgliedstaaten noch nicht einsatzbereit. Der Digital Omnibus reagiert darauf mit einer pragmatischen Fristverlängerung — nicht mit einer inhaltlichen Lockerung.

Bemerkenswert ist der zeitliche Ablauf: Die politische Einigung zwischen Rat und Parlament stand bereits im Mai 2026, also noch vor dem ursprünglichen Anwendungsbeginn am 2. August 2026. Es entstand dadurch keine Lücke, in der Hochrisiko-Pflichten kurzzeitig galten und dann wieder ausgesetzt wurden — die Verschiebung war rechtlich wirksam, bevor die alte Frist erreicht wurde. Für die Planung heißt das: Es gibt einen einzigen verbindlichen Stichtag, den 2. Dezember 2027, keinen doppelten Übergang.

Was unverändert bleibt

Das ist der Teil, der in der öffentlichen Berichterstattung oft untergeht: Die materiellen Pflichten aus Art. 9 bis 17 EU AI Act — Risikomanagementsystem, Daten-Governance, technische Dokumentation, automatische Protokollierung, menschliche Aufsicht sowie ein definiertes Niveau an Genauigkeit, Robustheit und Cybersicherheit — sind durch den Digital Omnibus inhaltlich nicht reduziert worden. Verschoben wurde der Zeitpunkt der Durchsetzung, nicht der Umfang der Anforderungen.

Auch die Klassifizierungslogik selbst bleibt bestehen: Welche Systeme unter Anhang III als Hochrisiko-KI gelten, hat sich durch den Omnibus nicht geändert. Wer heute ein Hochrisiko-System betreibt oder plant, muss weiterhin mit dem vollen Pflichtenkatalog rechnen — nur eben ab einem späteren Stichtag.

Warum der Aufschub kein Grund zum Zurücklehnen ist

Der naheliegende Reflex, 16 Monate zusätzliche Zeit als Puffer für später zu verbuchen, unterschätzt, wie lange belastbare Nachweise tatsächlich brauchen. Ein Risikomanagementsystem, das erst kurz vor dem Stichtag aufgesetzt wird, erzeugt keine Historie. Technische Dokumentation, die rückwirkend rekonstruiert werden muss, ist strukturell schwächer als Dokumentation, die während der Entwicklung entsteht. Und ein Nachweis menschlicher Aufsicht ist nur so glaubwürdig wie die Zeitspanne, über die er geführt wurde.

Genau hier liegt der Unterschied zwischen Compliance-Software und Trust-Infrastructure: Compliance-Software lässt sich kurzfristig vor einem Audit "scharf stellen". Trust-Infrastructure erzeugt fortlaufend Evidenz — und diese Evidenz gewinnt an Wert, je länger sie besteht. Ein Unternehmen, das im Dezember 2027 zwei Jahre belastbarer Aufzeichnungen vorweisen kann, steht deutlich besser da als eines, das im November 2027 erst beginnt.

Unterschiedliche Ausgangslage für Provider und Deployer

Der verschobene Stichtag trifft Anbieter und Betreiber von Hochrisiko-KI nicht gleichermaßen. Provider — die Organisationen, die ein Hochrisiko-System entwickeln und in Verkehr bringen — tragen die Hauptlast der Konformitätsbewertung: technische Dokumentation, Qualitätsmanagementsystem und, je nach System, die Einbindung einer notifizierten Stelle. Für sie verschafft der Aufschub bis 02.12.2027 zusätzliche Zeit, um Entwicklungsprozesse so umzubauen, dass Nachweise als Nebenprodukt der Arbeit entstehen statt als nachträgliche Dokumentationsaufgabe.

Deployer — Unternehmen, die ein Hochrisiko-System im eigenen Betrieb einsetzen, ohne es selbst entwickelt zu haben — haben eine andere Aufgabe: menschliche Aufsicht organisieren, Nutzungsprotokolle führen, Betroffene informieren und im eigenen Kontext prüfen, ob der Einsatzzweck noch dem entspricht, für den das System zugelassen wurde. Auch hier gilt: Die Frist verschiebt sich, die Pflicht nicht. Wer als Deployer erst kurz vor dem Stichtag beginnt, entsprechende Prozesse aufzusetzen, hat wenig Spielraum, Lücken vor einer Marktüberwachungsprüfung zu schließen.

Diese Rollenklärung lohnt sich unabhängig vom Zeitpunkt: Ein Unternehmen kann für dasselbe System gleichzeitig Provider-Pflichten (bei Eigenentwicklung) und Deployer-Pflichten (beim operativen Einsatz) haben. Wer diese Zuordnung nicht früh trennt, riskiert, Pflichten doppelt oder gar nicht abzudecken.

Was Unternehmen bis zum 02.12.2027 konkret vorbereiten sollten

Drei Ansatzpunkte lassen sich aus dem verschobenen Stichtag ableiten, unabhängig von der jeweiligen Branche:

Erstens die Bestandsaufnahme: Ohne ein vollständiges und aktuelles Inventar aller eingesetzten KI-Systeme lässt sich keine belastbare Aussage darüber treffen, welche Systeme überhaupt unter Anhang III fallen. Diese Klassifizierungsarbeit lässt sich unabhängig vom Stichtag schon jetzt beginnen.

Zweitens die Governance-Struktur: Rollen und Verantwortlichkeiten für Risikomanagement, Dokumentation und Meldewege sollten geklärt sein, bevor der regulatorische Druck steigt — nicht erst danach. Ein AI-Management-System nach dem AIMS-Ansatz (ISO 42001 kombiniert mit CMMI-Reifegradlogik) bietet dafür einen strukturierten Rahmen, der über reine Checklisten hinausgeht.

Drittens die Nachweisführung selbst: Protokolle, Testergebnisse, Risikobewertungen und Freigabeentscheidungen sollten von Anfang an so dokumentiert werden, dass sie im Zweifel einer notifizierten Stelle oder einer Marktüberwachungsbehörde vorgelegt werden können. Je früher diese Praxis etabliert ist, desto geringer der Aufwand kurz vor dem Stichtag.

Für Systeme, die konkret unter Anhang III fallen, lohnt sich ein genauer Blick auf die jeweilige Fallgruppe — mehr dazu unter hochrisiko-ki.com.

Der Aufschub gilt nur für die EU-Frist

Wichtig für Unternehmen mit Aktivitäten über die EU hinaus: Der Digital Omnibus ändert ausschließlich den Anwendungsbeginn der EU-Verordnung. Für Organisationen, die zusätzlich in UK oder der Schweiz tätig sind, bleibt die dortige Rechtslage unberührt — in beiden Rechtsräumen existiert kein direktes Äquivalent zum EU AI Act, sondern eigene, sektorale beziehungsweise prinzipienbasierte Aufsichtsansätze. Wer über DE und den EU27-Rest hinaus in UK oder CH aktiv ist, sollte die Fristen daher getrennt betrachten statt den EU-Aufschub fälschlich auf andere Rechtsräume zu übertragen.

Fazit

Der 2. Dezember 2027 ersetzt den 2. August 2026 als das Datum, auf das sich die Vorbereitung ausrichtet. Das ist mehr Zeit — aber keine geringeren Anforderungen. Unternehmen, die den Aufschub für den Aufbau nachweisbarer Prozesse statt für Aufschieberitis nutzen, kommen mit einer Grundlage am Stichtag an, die sich nicht in wenigen Monaten nachholen lässt.

Mehr zur AEGIRA Trust-Platform: aegira.ai