KI-Omnibus im Amtsblatt: Europa verhandelt die Fristen des AI Act neu

Am 24. Juli im Amtsblatt der Europäischen Union veröffentlicht, tritt die Verordnung (EU) 2026/1744 — bekannt als digitaler KI-Omnibus — am 27. Juli in Kraft und verändert den Anwendungszeitplan des AI Act erheblich. In Straßburg von Roberta Metsola und Tadgh Byrne unterzeichnet, korrigiert der Rechtsakt den ursprünglichen Kalender, der den 2. August 2026 als Beginn der schwersten Pflichten für Hochrisikosysteme festgelegt hatte. Das Gesetzgebungsverfahren, das mit der Zustimmung des Europäischen Parlaments im Juni und der anschließenden Freigabe durch den Rat endete, verschiebt die Konformität für Systeme nach Anhang III auf den 2. Dezember 2027 und für jene nach Anhang I auf den 2. August 2028 und verändert damit den zeitlichen Horizont der Unternehmen der Branche.

Während die Fristen im Hochrisikobereich gelockert werden, verlangt die Verordnung im Gegenzug strenge Auflagen für bereits im Umlauf befindliche synthetische Inhalte. Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und vor dem 2. August 2026 in Verkehr gebracht wurden, müssen die Kennzeichnungspflicht nach Artikel 50 Absatz 2 bis zum 2. Dezember 2026 erfüllen. Parallel dazu führt Artikel 5 neue, gezielte Verbote ein, die sich ausdrücklich gegen die Erzeugung oder Manipulation nicht einvernehmlichen intimen Materials und von Missbrauchsdarstellungen Minderjähriger richten; der Anwendungsbereich beschränkt sich auf realistische Darstellungen intimer Körperteile oder sexuell expliziter Handlungen, ausgenommen bleiben Fälle, in denen intime Körperteile nicht gezeigt werden oder mit frei erteilter Einwilligung gezeigt werden. Diese Verbote gelten ab dem 2. Dezember 2026.

Bei Sanktionen und Governance führt der Text Korrektive der Verhältnismäßigkeit ein: Die Mitgliedstaaten müssen die Interessen von KMU, Start-ups und kleinen Unternehmen mit mittlerer Kapitalisierung berücksichtigen; für Letztere entspricht die Geldbuße dem niedrigeren der beiden in den Absätzen 4 und 5 vorgesehenen Werte, dem Umsatzprozentsatz oder dem Festbetrag. Für Hochrisikosysteme, die für Behörden bestimmt sind, haben Anbieter und Betreiber bis zum 2. August 2030 Zeit. In Italien, wo die Aufsicht der nationalen Cybersicherheitsagentur und die Meldeverfahren der AgID zugewiesen sind, müssen die operativen Details noch über die Durchführungsdekrete des Gesetzes 132/2025 festgelegt werden.

Die von der Kommission vorangetriebene Vereinfachung erscheint damit als Neujustierung des Gleichgewichts zwischen Innovation und Regulierung: Den komplexesten Infrastrukturen wird Zeit eingeräumt, während sich der Kreis um die Auswüchse generierter Inhalte enger zieht. Unverändert am 2. August 2026 bleiben dagegen die Transparenzregeln des Artikels 50 für Systeme, die ab diesem Datum in Verkehr gebracht werden, ebenso wie das Sanktionsgefüge. Die eigentliche Herausforderung ist nun nicht mehr das Datum des Inkrafttretens, sondern die Fähigkeit der Beteiligten, diese neuen Fristen in technische Compliance zu übersetzen — eine Aufgabe, die dadurch erschwert wird, dass weitere für 2027 angekündigte Leitlinien der Kommission abgewartet werden müssen.

— Olya