Der 2. August ist da – und ein Missverständnis über den 'Digital Omnibus' gleich mit

Gestern, am 2. August, ist die EU-KI-Verordnung nach Artikel 113 grundsätzlich vollständig in Kraft getreten. Gleichzeitig kursiert seit Wochen eine verkürzte Version dieser Nachricht: Die EU habe mit dem sogenannten Digital Omnibus die zentralen Pflichten des AI Act ohnehin verschoben, der Stichtag sei damit praktisch entschärft. Diese Lesart ist verbreitet – und falsch, an genau der Stelle, die für die meisten Unternehmen am wichtigsten ist.

Was der Digital Omnibus tatsächlich verschoben hat

Richtig ist: Die EU hat mit dem Digital Omnibus das Fristengerüst der KI-Verordnung neu geordnet und die besonders diskutierten Pflichten für Hochrisiko-KI-Systeme – etwa in den Bereichen Personalauswahl, Kreditvergabe oder kritische Infrastruktur – um 16 Monate nach hinten verschoben. Für Unternehmen, die solche Hochrisiko-Systeme einsetzen, ist das eine echte Atempause, mit spürbaren finanziellen Folgen: Allein die Compliance-Kosten für ein einzelnes Hochrisiko-System werden für den Mittelstand auf 50.000 bis 500.000 Euro geschätzt, bei großen Unternehmen auf 8 bis 15 Millionen Euro im ersten Jahr.

Was trotzdem gilt – und warum das übersehen wird

Von dieser Verschiebung ausdrücklich nicht erfasst ist Artikel 50 – die Kennzeichnungspflicht für KI-generierte Inhalte, über die ich bereits im Juli geschrieben habe. Diese Pflicht ist seit gestern in Kraft, unverändert vom Digital Omnibus, und betrifft nicht nur Technologiekonzerne, sondern jedes Unternehmen mit kundengerichteter KI – also praktisch jedes Unternehmen, das KI-generierte Bilder im Marketing, Chatbots im Kundenservice oder KI-erzeugte Texte veröffentlicht.

Das Missverständnis entsteht, weil beide Nachrichten – „16 Monate Aufschub" und „Stichtag 2. August" – gleichzeitig kursieren und selten sauber getrennt werden. Wer nur die Schlagzeile über den Digital Omnibus liest, geht leicht davon aus, der ganze AI Act sei entschärft. Genau diese Verwechslung ist gerade das größere Risiko als die Verordnung selbst.

Warum das genau zu dem passt, was ich in der Beratung sehe

Diese Unschärfe bestätigt ein Muster, das sich durch praktisch jede aktuelle Studie zur KI-Compliance zieht: Ein Großteil der Unternehmen hat kein formelles Inventar seiner KI-Systeme, die meisten haben niemanden, der intern für Compliance zuständig ist, und ein Großteil hat keinen Prozess, um die geforderte technische Dokumentation überhaupt zu erstellen. Das deckt sich exakt mit dem, was ich zur 95-Prozent-Studie über gescheiterte KI-Projekte geschrieben habe: Nicht die Technologie ist das Problem, sondern die fehlende Bestandsaufnahme. Wer nicht einmal weiß, welche KI-Systeme im eigenen Unternehmen laufen, kann weder einschätzen, ob er unter die verschobenen Hochrisiko-Pflichten fällt, noch ob Artikel 50 für ihn schon heute greift.

Was jetzt zu tun ist

Der pragmatische erste Schritt bleibt derselbe, den ich in unseren KI-Seminaren für Unternehmen vermittle, nur mit einer aktualisierten Reihenfolge: zuerst prüfen, ob eigene KI-Anwendungen unter Artikel 50 fallen – das betrifft die meisten Unternehmen mit Marketing- oder Kundenkontakt-KI bereits jetzt, unabhängig vom Digital Omnibus. Erst danach die Frage klären, ob überhaupt Hochrisiko-Systeme im Sinne der Verordnung im Einsatz sind, für die jetzt mehr Zeit bleibt. Wer diese Reihenfolge umdreht, verschenkt die zusätzliche Zeit beim Hochrisiko-Thema und übersieht gleichzeitig die Pflicht, die bereits gilt.

Fazit

Der Digital Omnibus ist eine echte Entlastung – aber nur für einen Teil der Verordnung. Wer daraus eine allgemeine Entwarnung macht, verwechselt eine verschobene Frist mit einer aufgehobenen. Artikel 50 gilt seit gestern, unabhängig davon, wie viel Aufschub anderswo gewährt wurde – und genau diese Unterscheidung sauber zu treffen, ist gerade die eigentliche Compliance-Aufgabe.