Digital Omnibus: neue AI-Act-Fristen für Agenturen

Seit Februar 2025 hast du deinem Team eine KI-Schulung verpasst, die Prompts sauber dokumentiert und dich langsam auf den 2. August 2026 vorbereitet – das Datum, an dem weitere Teile des EU AI Act greifen sollten. Dann, mitten im Sommer, überschlagen sich die Meldungen: Fristen verschoben, Pflichten gelockert, „Entlastung für den Mittelstand". Ein Kunde schickt dir einen Zeitungsartikel mit der Frage, ob KI-Regeln jetzt „vom Tisch" seien. Und du fragst dich: War die ganze Vorbereitung umsonst – oder ist genau jetzt der falsche Moment, um sich zurückzulehnen?

Der Grund für die Aufregung heißt Digital Omnibus. Dieser Beitrag ordnet ein, was sich wirklich geändert hat, welche Fristen wirklich verschoben wurden, was ausdrücklich bleibt – und was das für kleine Agenturen und ihre Kundenprojekte bedeutet. Vorweg der Hinweis: Das ist eine journalistische Einordnung, keine Rechtsberatung. Bei konkreten Pflichten im Einzelfall gehört ein Blick in den Gesetzestext oder ein fachkundiger Rat dazu.

Digital Omnibus: das steckt hinter der Verschiebung

Der Digital Omnibus ist ein Gesetzespaket der EU-Kommission, mit dem Brüssel mehrere digitale Regelwerke gleichzeitig entschlacken will – DSGVO, Datenrecht, Cybersicherheit und eben die KI-Verordnung. Die Kommission stellte den Vorschlag am 19. November 2025 vor. Anders als bei den meisten EU-Vorhaben ging es danach ungewöhnlich schnell: Nach Trilog-Verhandlungen zwischen Kommission, Parlament und Rat wurde der KI-Teil des Pakets als eigene Verordnung verabschiedet und trat als Verordnung (EU) 2026/1744 am 27. Juli 2026 in Kraft, wie die Kanzlei activeMind dokumentiert.

Der Auslöser war handfest: Die Umsetzung des AI Act stockte an mehreren Stellen. Die technischen Normen, an denen sich Unternehmen bei der Einstufung ihrer Systeme orientieren sollen, waren nicht fertig; nationale Aufsichtsbehörden noch nicht überall benannt. Die internationale Kanzlei DLA Piper führt in ihrer Analyse zur verschobenen Hochrisiko-Frist genau diese Verzögerungen als Begründung an. Kurz gesagt: Man kann von Unternehmen schlecht verlangen, Regeln einzuhalten, deren technische Maßstäbe noch gar nicht vorliegen.

Was sich bei den AI-Act-Fristen wirklich ändert

Der Kern der Verschiebung betrifft die Hochrisiko-KI-Systeme. Für Systeme nach Anhang III – dazu zählen etwa KI im Personalwesen, bei der Bonitätsbewertung oder im Bildungsbereich – wurde die Frist von ursprünglich August 2026 auf mindestens den 2. Dezember 2027 verschoben, wie die Kanzlei Latham & Watkins zusammenfasst. Für Hochrisiko-KI, die in bereits regulierte Produkte eingebettet ist (Anhang I, etwa Medizinprodukte oder Maschinen), reicht die Frist sogar bis zum 2. August 2028.

Wichtig ist ein Detail, das in vielen Schlagzeilen untergeht: Die neue Frist ist an eine Bedingung geknüpft. Die Pflichten greifen früher, sobald die EU-Kommission bestätigt, dass die nötigen harmonisierten Normen und Unterstützungswerkzeuge tatsächlich verfügbar sind. Nach dieser Bestätigung bleibt dann noch eine Übergangszeit – rund sechs Monate für Anhang III, zwölf für Anhang I. Die Verschiebung ist also kein fester Stichtag in ferner Zukunft, sondern ein bewegliches Ziel, das sich nach vorn verschieben kann, wenn Brüssel liefert.

Neu ist außerdem, wie ein System überhaupt als hochriskant gilt. Nach der geänderten Fassung zählt ein System aus Anhang III nur dann als Hochrisiko-KI, wenn sein Ausfall oder eine Fehlfunktion real Risiken für Gesundheit, Sicherheit oder Grundrechte auslösen kann. Das klingt technisch, hat aber Folgen: Die Einstufung wird stärker zur eigenen Risikobewertung der Unternehmen – und damit zu einer Aufgabe, bei der Fehler teuer werden können.

Was ausdrücklich nicht verschoben wurde

Hier liegt der häufigste Denkfehler. Wer aus den Meldungen schließt, KI-Regeln seien pauschal aufgeschoben, irrt. Verschoben wurden die Hochrisiko-Pflichten – nicht die Regeln, die kleine Agenturen im Alltag am ehesten treffen.

Die Transparenz- und Kennzeichnungspflichten aus Artikel 50 bleiben bestehen. Chatbots müssen sich weiterhin als KI zu erkennen geben, KI-erzeugte Inhalte gekennzeichnet werden. Was das für Kundenprojekte konkret heißt, haben wir in unserem Beitrag zur KI-Kennzeichnungspflicht ab dem 2. August im Detail beschrieben. Ebenfalls unangetastet: die KI-Kompetenzpflicht aus Artikel 4, die seit Februar 2025 gilt. Wer KI im Betrieb einsetzt – und das tun heute die meisten Agenturen –, muss dafür sorgen, dass die eigenen Leute wissen, was sie tun. Die Anforderung wurde durch den Omnibus zwar sprachlich etwas weicher gefasst, sie fällt aber nicht weg.

Für die typische Fünf-Personen-Webagentur bedeutet das: Die Pflichten, die dich betreffen, gelten schon – die, die verschoben wurden, betreffen dich meist ohnehin nicht direkt, weil du selten selbst Hochrisiko-KI baust.

Auch die DSGVO wird angefasst

Der zweite große Teil des Pakets zielt auf den Datenschutz – und der ist für Agenturen oft relevanter als die exotischen Hochrisiko-Fälle. Latham & Watkins listet mehrere geplante Änderungen auf, die den Arbeitsalltag berühren.

Bei Datenpannen soll sich zweierlei verschieben: Die Meldefrist an die Aufsichtsbehörde wird von 72 auf 96 Stunden verlängert, und die Schwelle steigt – gemeldet werden muss künftig eher bei einem „hohen Risiko" für die Betroffenen statt schon bei jedem denkbaren Risiko. Für die KI-Praxis ebenfalls bedeutsam: Das Training von KI-Modellen auf personenbezogenen Daten soll sich klarer auf das berechtigte Interesse als Rechtsgrundlage stützen können, flankiert von Schutzmaßnahmen wie Datenminimierung und einem Widerspruchsrecht.

Und schließlich die Cookies: Die Einwilligungsregeln sollen vom bisherigen ePrivacy-Rahmen stärker in die DSGVO-Logik überführt werden, mit Ausnahmen etwa für aggregierte Reichweitenmessung. Ob das das leidige Banner-Thema wirklich entschärft, ist offen – warum die Banner trotz aller Ankündigungen vorerst bleiben, haben wir bereits im Beitrag Cookie-Banner ade? eingeordnet. Bemerkenswert ist, dass gerade der Datenschutzteil auf Kritik stößt: Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte warnten laut einer Einordnung von TÜV Consulting vor einer Absenkung des Schutzniveaus bei sensiblen Daten. Anders als der KI-Teil ist der allgemeine Datenschutzteil des Omnibus deshalb noch nicht abschließend beschlossen – hier lohnt es, die weitere Entwicklung im Auge zu behalten.

Erleichterungen für kleinere Anbieter

Ein Teil des Pakets zielt ausdrücklich auf kleinere Unternehmen. Der Omnibus führt eine eigene Kategorie für kleine und mittlere Akteure ein, für die unter anderem eine vereinfachte technische Dokumentation vorgesehen ist, dazu erleichterter Zugang zu regulatorischen Testumgebungen („Sandboxes") und die Möglichkeit, bei Bußgeldern die wirtschaftliche Leistungsfähigkeit stärker zu berücksichtigen. Für eine Fünf-Personen-Agentur, die nicht über eine eigene Rechtsabteilung verfügt, ist das eine spürbare Entlastung – zumindest dem Grundgedanken nach. Ob die Vereinfachungen im Detail halten, was sie versprechen, wird sich erst in der Anwendung zeigen; die praktischen Leitlinien dazu stehen teils noch aus. Verlassen solltest du dich also auf den Geist der Regel, nicht auf eine bestimmte Auslegung, die es noch gar nicht schriftlich gibt.

Was das konkret für kleine Agenturen heißt

Die nüchterne Botschaft lautet: mehr Zeit, aber keine Entwarnung. Drei Punkte sind für die Praxis entscheidend.

Erstens: Verkaufe die Verschiebung deinen Kunden nicht als „KI-Regeln gestrichen". Genau dieser Kurzschluss führt in die Falle. Die Pflichten, die für einen KI-Chatbot auf einer Kundenwebsite gelten – Kennzeichnung, Transparenz, saubere Datenverarbeitung –, sind aktiv. Wer jetzt schludert, weil er die Schlagzeile falsch gelesen hat, riskiert genau das, was der Aufschub nie versprochen hat.

Zweitens: Nutze die gewonnene Zeit als Argument, nicht als Ausrede. Die verlängerten Fristen für Hochrisiko-Systeme geben dir und deinen Kunden Luft, Prozesse ordentlich aufzusetzen, statt in Torschlusspanik zu improvisieren. Für eine Agentur, die Compliance ohnehin als Teil ihrer Dienstleistung versteht, ist das ein Verkaufsargument: „Wir richten das jetzt in Ruhe richtig ein, solange die Frist noch nicht drückt."

Drittens: Behalte den beweglichen Auslöser im Blick. Weil die Hochrisiko-Frist an die Verfügbarkeit der Normen gekoppelt ist, kann sie sich nach vorn verschieben, sobald Brüssel die technischen Grundlagen bereitstellt. Wer plant, als sei 2027 in Stein gemeißelt, könnte überrascht werden.

Für den Kunden mit dem Zeitungsartikel vom Anfang ist die ehrliche Antwort deshalb keine Schlagzeile, sondern eine Unterscheidung: Ja, große Teile der Hochrisiko-Regeln kommen später. Nein, die Pflichten, die deinen Chatbot und deine Datenverarbeitung betreffen, sind nicht verschwunden. Wer wie bei einem belegpflichtigen KI-Chatbot von vornherein auf nachvollziehbare, DSGVO-konforme Verarbeitung setzt, muss bei jeder neuen Frist ohnehin wenig nachjustieren. Das ist der eigentliche Vorteil, den dir der Digital Omnibus verschafft: nicht weniger Verantwortung, sondern mehr Zeit, sie souverän zu tragen.