Das AI-Omnibus trat am 27. Juli 2026 in Kraft und verschob die Hochrisiko-Verpflichtungen des EU AI Act vom 2. August 2026 auf den 2. Dezember 2027 [1][2]. Systeme in den sensiblen Bereichen des Anhangs III – Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Migration, Asyl, Grenzkontrolle – erhielten 16 Monate Aufschub. Organisationen, die ihre KI-Beschaffungsplanung auf das August-2026-Datum ausgerichtet hatten, verloren ihre zwingende Handlungsnotwendigkeit sechs Tage bevor diese wirksam wurde. Unsere Einschätzung: Dies ist eine Verzögerung bei der Normenreife und keine Änderung dessen, was letztlich gefordert wird. Die Interpretation als 16 Monate Nachsicht ist die teure Sichtweise.

Was sich am 27. Juli tatsächlich änderte

Das Omnibus wurde am 19. November 2025 vorgeschlagen, am 7. Mai 2026 politisch vereinbart und trat am 27. Juli 2026 in Kraft [2]. Es ändert zwei Termine. Hochrisiko-Systeme in den sensiblen Bereichen des Anhangs III gelten nun ab dem 2. Dezember 2027. Hochrisiko-KI, die in regulierte Produkte eingebettet ist – als Beispiele nennt das Gesetz Aufzüge und Spielzeug – verschiebt sich weiter auf den 2. August 2028 [1].

Drei Dinge blieben unverändert. Verbotene Praktiken und die Verpflichtung zur KI-Kompetenz gelten seit dem 2. Februar 2025. Verpflichtungen für GPAI-Modelle und der Governance-Rahmen gelten seit dem 2. August 2025. Und der 2. August 2026 bleibt das Datum, an dem das AI Office und die Behörden der Mitgliedstaaten mit der Überwachung und Durchsetzung des Gesetzes begannen [1].

Das Gesetz ist in Kraft und wird durchgesetzt. Ein Kapitel davon beginnt später als geplant.

Die Verzögerung betrifft die Normen, nicht den Inhalt

CEN und CENELEC wurden beauftragt, die harmonisierten Normen zur Untermauerung der Hochrisiko-Anforderungen bis August 2025 zu erstellen, was sie nicht leisteten [3]. Diese Lücke ist der Mechanismus. Ohne harmonisierte Normen gibt es keine festgelegte technische Grundlage, an der sich ein Anwender orientieren kann, und nichts Konkretes, an dem eine Bewertung vorgenommen werden kann. Deshalb lautet die Begründung der Kommission, dass die Regeln schneller voranschritten als die dafür erforderlichen Normen [3].

Das Paket folgte öffentlichem Druck von ASML, Airbus, Ericsson, Nokia, SAP, Siemens und Mistral AI, die argumentierten, Europa reguliere sich aus dem globalen KI-Wettlauf heraus. Es führte jedoch neue Verbote ein, anstatt nur Belastungen zu entfernen: Verbote für KI-Systeme, die nicht einvernehmliche sexuelle Deepfakes und kinderpornografisches Material erzeugen, wurden im selben Instrument hinzugefügt [3]. Das Omnibus als generelle Lockerung zu charakterisieren, ist eine Fehlinterpretation.

Die Leitlinien sind neben den Normen weiterhin unvollständig. Die Seite der Kommission zu Hochrisiko-Leitlinien, zuletzt aktualisiert am 6. Juli 2026, behandelt die Klassifizierung – wie eine Organisation bestimmt, ob ein System überhaupt hochriskant ist – und erklärt, dass Leitlinien zu den eigentlichen Verpflichtungen noch folgen [4]; Anwender, die sich heute vorbereiten, arbeiten mit Entwurfsunterlagen.

Was 16 Monate tatsächlich wert sind

Die Verpflichtungen, die am Ende der Verlängerung gelten, sind dieselben. Menschliche Aufsicht, Überwachung, Protokollierung und die Fähigkeit, jede dieser Maßnahmen auf Anfrage nachzuweisen, liegen weiterhin beim Anwender – der Bank, dem Krankenhaus, der Behörde – und nicht beim Modellanbieter. Wir haben diese Verpflichtungen auf Bereitstellungsarchitekturen abgebildet in EU AI Act 2026: Was sich bei On-Premises-Bereitstellung für die Compliance ändert.

Die Falle ist eine Fehlanpassung der Vorlaufzeiten. Ein Politikdokument, ein Risikoregister und eine Reihe interner Verfahren können innerhalb eines Quartals erstellt werden. Zu ändern, wo die Inferenz stattfindet, ist das nicht. Einen Produktionsworkflow von einer verwalteten API auf eine vom Bereitsteller betriebene Inferenz zu verlagern, die Auditierung in das eigene SIEM des Bereitstellers zu routen und die Identität hinter den IdP des Bereitstellers zu stellen, ist ein Beschaffungszyklus, gefolgt von einem Bereitstellungszyklus, und in regulierten Sektoren läuft allein der Beschaffungszyklus bereits neun bis zwölf Monate. Das Muster, das dies verursacht ist gut dokumentiert: Der technische Pilot besteht, dann liegt die Akte bei der Compliance.

Sechzehn Monate ermöglichen eine Architekturänderung. Sie ermöglichen keine zwei und auch keine eine plus ein Jahr Warten auf die Festlegung der Standards.

Der Treiber, der den Kalender des Gesetzes ignoriert

Aufenthaltsanforderungen werden unabhängig von einem Compliance-Termin in Projekte geschrieben. Forrester Principal Analyst Dario Maisto beschreibt, dass Käufer Datenresidenz und souveräne KI-Architektur bereits in der Planungsphase spezifizieren, statt sie als spätere Kontrolle anzuhängen [5]. Europäische Anbieter halten etwa 15 % des Cloud-Infrastrukturmarktes der Region, und Gartner erwartet, dass die Ausgaben für europäische souveräne Clouds zwischen 2025 und 2027 mehr als verdreifacht werden [5].

Das sind Marktzahlen, keine gesetzlichen Fristen, und genau das ist der Punkt. Nichts im Omnibus hat daran geändert, wo eine Organisation ihre Prompts verarbeiten lassen möchte.

Was wir mit dem Zeitfenster tun würden

Die Architekturänderung jetzt vornehmen, bei einer Arbeitslast, die nicht hochriskant ist, bei der ein Fehler einen Neuaufbau kostet und nicht einen Befund. Die Audit-Trail unter realer Nutzung ansammeln lassen. Bis eine Arbeitslast nach Anhang III nachgewiesen werden muss, läuft der Nachweisweg bereits ein Jahr und das Compliance-Memo beschreibt etwas, das bereits existiert.

Software Tailors AI Suite führt Inferenz auf Hardware aus, die der Bereitsteller betreibt, und AI Admin Console ist der Ort, an dem Richtlinien, Lizenzierung und inhaltsfreie Auditierung verwaltet werden. Sechs Fortune Global 500-Kunden aus Pharma, Finanzen, Regierung, Recht, Verteidigung und Energie betreiben diese Form (ehemalige Kunden).

Ein einwöchiger Pilot auf der eigenen Hardware des Bereitstellers reicht aus, um die vor Dezember 2027 entscheidende Frage zu beantworten: ob die Compliance-Abteilung die geforderten Nachweise tatsächlich erbringen kann.

Quellen

  1. Europäische Kommission. „AI Act — Regulatorischer Rahmen für KI.“ https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai. Zugriff am 04.08.2026. Seite zuletzt aktualisiert am 3. August 2026.
  2. Europäische Kommission. „AI-Omnibus tritt in Kraft.“ https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force. Zugriff am 04.08.2026. Seite zuletzt aktualisiert am 31. Juli 2026.
  3. The Register. „EU legt AI Act-Regeln nach Gegenwind der Industrie auf Eis.“ https://www.theregister.com/ai-and-ml/2026/05/07/eu-hits-snooze-on-ai-act-rules-after-industry-backlash/5234530. Veröffentlicht am 7. Mai 2026. Zugriff am 04.08.2026.
  4. Europäische Kommission. „Leitlinien für Anbieter und Betreiber von KI-Hochrisikosystemen.“ https://digital-strategy.ec.europa.eu/en/policies/guidelines-ai-high-risk-systems. Zugriff am 04.08.2026. Seite zuletzt aktualisiert am 6. Juli 2026.
  5. The Register. „Technologieeinkäufer berücksichtigen Souveränität von Anfang an, sagt Forrester.“ https://www.theregister.com/ai-and-ml/2026/07/31/tech-buyers-are-baking-in-sovereignty-from-day-one-says-forrester/5281208. Veröffentlicht am 31. Juli 2026. Zugriff am 04.08.2026.