Der 2. August 2026 stand rot in jedem Compliance-Kalender. Dann kam der Digital Omnibus, und in vielen Häusern hieß es: EU AI Act 2026 – Thema verschoben, Druck raus. Beides ist falsch. Ein Teil der Pflichten kommt pünktlich in vier Wochen. Der Rest ist verschoben, nicht gestrichen. Wer jetzt pausiert, zahlt 2027 doppelt.
Was der Digital Omnibus tatsächlich ändert
Am 7. Mai 2026 haben sich Europäisches Parlament und Rat auf den Digital Omnibus on AI geeinigt. Kern der Einigung: Die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III – darunter Kreditwürdigkeitsprüfung natürlicher Personen sowie Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung – greifen erst am 2. Dezember 2027 statt am 2. August 2026. Für AI als Sicherheitskomponente in regulierten Produkten nach Anhang I gilt der 2. August 2028.
Zwei Dinge werden dabei regelmäßig übersehen. Erstens: Das Parlament hat dem Omnibus am 16. Juni zugestimmt, der Rat hat ihn am 29. Juni 2026 förmlich angenommen – rechtsverbindlich werden die neuen Fristen aber erst mit der Veröffentlichung im Amtsblatt, die in diesen Tagen erwartet wird. Zweitens: Zum 2. August 2026 kommen die Transparenzpflichten nach Artikel 50 wie geplant, und die Durchsetzung der Pflichten für General-Purpose-AI-Modelle beginnt. Die AI-Kompetenzpflicht nach Artikel 4 und die Verbote nach Artikel 5 gelten ohnehin seit Februar 2025.
EU AI Act 2026 ändert den Zeitplan, nicht die Substanz
Die inhaltlichen Anforderungen an Hochrisiko-Systeme – Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht, Protokollierung – hat der Omnibus nicht angetastet. Verschoben wurde ausschließlich das Durchsetzungsdatum. Am 2. Dezember 2027 wird alles in vollem Umfang erwartet. Ohne Einführungsphase.
Für Banken und Versicherer kommt ein zweiter Punkt dazu, der in der allgemeinen Omnibus-Debatte untergeht: Die Aufsicht wartet nicht auf Brüssel. MaRisk und DORA gelten heute. Wer KI in kritische oder wichtige Funktionen integriert, bewegt sich bereits jetzt im Prüfraster der BaFin – unabhängig davon, wann der AI Act durchsetzbar wird. Der AI Act baut auf diesen Governance-Strukturen auf, er ersetzt sie nicht.
Genau deshalb halten wir die verbreitete Lesart „16 Monate gewonnen“ für einen Denkfehler. Richtig ist: 16 Monate, um Konformität in den Regelbetrieb zu bringen, statt sie 2027 unter Zeitdruck nachzurüsten. Die Institute, die das verstanden haben, behandeln Regulierung nicht als Blocker. Sie ist der Moat – der Grund, warum ein compliant betriebenes AI-System einen Vorsprung darstellt, den ein schneller Wettbewerber ohne Dokumentation nicht aufholen kann.
Drei Schritte bis August, ein Programm bis Dezember 2027
Bis zum 2. August gehören drei Dinge auf den Tisch. Ein vollständiges AI-Inventar, inklusive der Tools, die Fachbereiche längst ohne IT-Freigabe nutzen. Eine Risikoklassifizierung jedes Systems nach den vier Stufen der Verordnung. Und die Umsetzung der Transparenzpflichten: Wer Chatbots oder generative Systeme im Kundenkontakt einsetzt, muss die Kennzeichnung jetzt vorbereiten.
Danach beginnt die eigentliche Arbeit: Hochrisiko-Governance auf die bestehenden Strukturen aufsetzen – Modellrisiko-Management, Auslagerungssteuerung, Dokumentation. Wer den Betrieb seiner AI-Systeme sauber organisiert hat, erfüllt einen Großteil der Anforderungen nebenbei. Wer seine Systeme nur pilotiert, aber nie in den Produktivbetrieb gebracht hat, hat ein größeres Problem als den AI Act.
Der Stichtag ist verschoben. Die Frage ist es nicht: Wer weist im Dezember 2027 nach, dass seine AI-Systeme konform laufen – und wer sammelt dann erst Dokumente ein? Wenn Sie die Antwort für Ihr Haus strukturieren wollen: Sprechen Sie uns an.
Häufige Fragen zum EU AI Act 2026
Was gilt ab dem 2. August 2026?
Zum 2. August 2026 greifen die Transparenzpflichten nach Artikel 50 – unter anderem die Kennzeichnung von Chatbots und generativen Systemen im Kundenkontakt – und die Durchsetzung der Pflichten für General-Purpose-AI-Modelle beginnt. Die AI-Kompetenzpflicht nach Artikel 4 und die Verbote nach Artikel 5 gelten bereits seit Februar 2025.
Wurden die Hochrisiko-Pflichten verschoben?
Ja. Der Digital Omnibus verschiebt die Pflichten für Hochrisiko-Systeme nach Anhang III – darunter Kredit-Scoring natürlicher Personen sowie Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung – auf den 2. Dezember 2027. Für Systeme nach Anhang I gilt der 2. August 2028. Die inhaltlichen Anforderungen bleiben unverändert.
Was sollten Banken und Versicherer jetzt tun?
Drei Dinge bis August: ein vollständiges AI-Inventar inklusive Schatten-KI, eine Risikoklassifizierung aller Systeme und die Umsetzung der Transparenzpflichten. Danach: Hochrisiko-Governance auf bestehende Strukturen wie MaRisk und DORA aufsetzen – die Aufsicht prüft AI-Einsatz in kritischen Funktionen schon heute.
