Die KI-Verordnung wurde geändert, bevor sie überhaupt vollständig galt. Das Europäische Parlament billigte den Digital Omnibus zur KI am 16. Juni 2026, der Rat am 29. Juni: Das Paket verschiebt die schwersten Pflichten, jene für Hochrisikosysteme. Die daraus entstandene Schlagzeile — «die KI-Verordnung wird verschoben» — ist gleichwohl irreführend.
Was seit dem 2. August 2026 tatsächlich gilt
Die Transparenzpflichten des Art. 50 wurden nicht verschoben. Seit diesem Monat muss, wer ein System bereitstellt, das mit Menschen interagiert, deutlich machen, dass auf der anderen Seite eine künstliche Intelligenz steht, sofern sich das nicht aus dem Zusammenhang ergibt; synthetische Inhalte — Audio, Bilder, Video, Text — müssen maschinenlesbar gekennzeichnet werden; wer mit KI einen Deepfake erzeugt, muss dies offenlegen; und wer Emotionserkennung oder biometrische Kategorisierung einsetzt, muss die betroffenen Personen informieren.
Ein fast immer übersehener Punkt: Die Kennzeichnungspflicht für Deepfakes gilt auch ohne Täuschungsabsicht. Ähnelt der Inhalt einer realen Person, ist er zu kennzeichnen, gleich zu welchem Zweck — Werbekampagne, internes Schulungsvideo, egal.
Was verschoben wurde, und um wie viel
Eigenständige Hochrisikosysteme nach Anhang III — Personalauswahl, Bildung, kritische Infrastrukturen, Kreditwürdigkeitsprüfung, Strafverfolgung — rücken auf den 2. Dezember 2027. In Produkte nach Anhang I eingebettete KI, etwa Maschinen, Medizinprodukte und Fahrzeuge, auf den 2. August 2028. Bei der Transparenz bleibt ein einziges Übergangsfenster: Generative Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, haben bis zum 2. Dezember 2026 Zeit für die Kennzeichnung nach Art. 50 Abs. 2.
Was daraus für Datenschutzbeauftragte folgt
Die Bußgelder sind nicht gleich, und die falsche Stufe ist ein teurer Irrtum: Transparenzverstöße liegen in der Stufe von 15 Millionen Euro oder 3 % des weltweiten Umsatzes, die verbotenen Praktiken des Art. 5 in der Stufe von 35 Millionen oder 7 % — eine höhere Obergrenze als die der DSGVO.
Der praktische Schritt dieser Woche ist nicht das Studium des Hochrisikobereichs, sondern die Frage an jeden Mandanten, welche nutzerseitigen Systeme KI enthalten. Der Chatbot auf der Website, der Assistent im Portal, die für soziale Medien erzeugten Bilder, die synthetische Stimme der Telefonzentrale. Diese werden jetzt fällig, und kaum jemand hat sie erfasst, weil sie zu belanglos wirkten, um in ein Verzeichnis zu gehören.
Und eine Anmerkung zur Verschiebung: Zwei weitere Jahre beim Hochrisiko sind keine Pause. Sie sind die Zeit, die Konformitätsdokumentation aufzubauen — der langsame Teil. Wer 2027 als fern behandelt, wiederholt genau die Lage, die den Omnibus nötig gemacht hat.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
