AI Act nach dem Digital Omnibus: Die Fristen fürs Rechtskataster

Am 27. Juli 2026 ist die Verordnung (EU) 2026/1744 in Kraft getreten, bekannt als Digital Omnibus on AI. Sie ändert die EU-Verordnung über Künstliche Intelligenz an mehreren Stellen, lässt aber deren Risikoklassen und Grundstruktur unangetastet. Für das Rechtskataster eines Trägers heißt das: Ein Teil der Fristen ist verschoben, ein anderer Teil gilt unverändert weiter, und eine einzelne Pflicht ist inhaltlich schwächer geworden. Wer diese drei Kategorien vermischt, zahlt drauf. Er bindet entweder Geld für eine Pflicht, die noch anderthalb Jahre Zeit hat, oder er übersieht eine, die längst läuft.

Zwischen dem Inkrafttreten am 27. Juli 2026 und dem ursprünglichen Stichtag am 2. August 2026 lagen nur sechs Tage: der 28. bis 31. Juli, dazu der 1. und 2. August. In dieser kurzen Zeit mussten Marktüberwachungsbehörden, Zertifizierer und Rechtsabteilungen die neue Rechtslage verarbeiten, während der alte Stichtag in vielen Merkblättern längst gedruckt stand.

Verschoben ist zum Beispiel der Geltungsbeginn der Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III der KI-Verordnung. Dazu zählen die Konformitätsbewertung, also die förmliche Prüfung, ob ein System die Anforderungen erfüllt, außerdem die Registrierung, das Risikomanagement und die menschliche Aufsicht. Ursprünglich sollten diese Pflichten ab dem 2. August 2026 gelten. Jetzt gilt dafür der 2. Dezember 2027. Bis zu diesem Termin darf ein solches System weiterhin eingesetzt werden, ohne dass die volle Prüfpflicht bereits greift. Die Einstufung als Hochrisikosystem gilt aber schon jetzt. Betroffen sind unter anderem Systeme für Personalauswahl und Beschäftigungsentscheidungen (Anhang III Nummer 4) sowie Systeme, die im Behördenauftrag über Ansprüche auf öffentliche Grundleistungen entscheiden (Nummer 5 Buchstabe a).

Auch für Hochrisiko-KI nach Anhang I verschiebt sich der Termin. Diese KI ist als Sicherheitsbauteil in ein bereits reguliertes Produkt eingebaut, zum Beispiel in ein Medizinprodukt. Für sie gilt jetzt der 2. August 2028 statt, wie ursprünglich vorgesehen, der 2. August 2027. Betroffen sind vor allem Produkte, deren Konformitätsbewertung ohnehin über ein eigenes, sektorales Verfahren läuft, also über ein Prüfverfahren, das speziell für diese Produktart zuständig ist. Wer ein solches Produkt beschafft oder betreibt, sollte beim Hersteller nachfragen, zu welchem Zeitpunkt nach dem neuen Zeitplan die vollständige Konformitätsbewertung vorliegen wird.

Ein System, das unter Anhang III oder Anhang I fällt, bleibt also ein Hochrisikosystem, auch wenn die Pflichten dafür erst später greifen. Ein Träger, der jetzt schon ein solches System einführt, tut deshalb gut daran, die spätere Pflicht bei der Auswahl mitzudenken, statt sie 2027 nachzurüsten. Kurz gesagt: Die Uhr für die Hochrisikopflichten läuft weiter, nur mit einem späteren Zieldatum.

Zwei Pflichten aus der KI-Verordnung hat der Digital Omnibus nicht angetastet, zum Teil weil sie schon vorher galten. Die Verbote nach Artikel 5 in ihrer ursprünglichen Fassung gelten seit dem 2. Februar 2025, darunter das Verbot bestimmter Systeme zur Emotionserkennung am Arbeitsplatz. Wer bis heute kein Verfahren hat, verbotene Praktiken auszuschließen, hat also kein Zeitproblem, sondern eine bestehende Lücke.

Mit dem Digital Omnibus sind zwei weitere Verbote in Artikel 5 hinzugekommen: für KI-Systeme, die intime Bild-, Video- oder Tonaufnahmen ohne Zustimmung der abgebildeten Person erzeugen oder verändern, und für KI-Systeme, die Missbrauchsdarstellungen von Kindern erzeugen. Beide sind mit dem Inkrafttreten am 27. Juli 2026 in die Verordnung aufgenommen worden. Anwendbar sind sie aber erst ab dem 2. Dezember 2026, bis dahin läuft eine Übergangsfrist.

Unverändert seit dem 2. August 2026 gelten außerdem die Transparenzpflichten nach Artikel 50. Wer mit einem KI-System interagiert oder KI-generierte Inhalte vor sich hat, muss darüber informiert werden. Für Systeme, die schon vor diesem Datum im Verkehr waren und synthetische Inhalte erzeugen, läuft für die Kennzeichnungspflicht eine gesonderte Übergangsfrist bis zum 2. Dezember 2026. Ein Chatbot im Klientenkontakt fällt in aller Regel unter diese Transparenzpflicht, unabhängig davon, ob er zusätzlich als Hochrisikosystem eingestuft ist. Für einen Träger heißt das: Wer ein KI-System im Klientenkontakt nutzt und diesen Hinweis unterlässt, verstößt bereits jetzt gegen geltendes Recht, unabhängig vom Digital Omnibus. Am Kalender hat sich für diese beiden Pflichten also nichts geändert, nur ihr Inhalt ist an einer Stelle gewachsen.

Artikel 4 der KI-Verordnung verpflichtet Anbieter und Betreiber schon seit dem 2. Februar 2025 zu Maßnahmen der KI-Kompetenz, also zur Vermittlung von Wissen und Fähigkeiten im Umgang mit KI-Systemen. An der Pflicht selbst hat der Digital Omnibus nichts geändert, wohl aber an ihrem Maßstab: Seit dem 27. Juli 2026 gilt eine mildere Fassung. Vorher stand im Text die Pflicht, ein ausreichendes Kompetenzniveau der eingesetzten Personen sicherzustellen. Jetzt steht dort ausdrücklich, dass kein bestimmtes Kompetenzniveau für eine einzelne Person garantiert werden muss. Aus einer Ergebnispflicht ist eine Bemühenspflicht geworden.

Für die Praxis heißt das nicht, dass Schulungen überflüssig werden. Wer im Haftungsfall belegen will, ordentlich geführt zu haben, braucht weiterhin Nachweise, dass Personal im Umgang mit KI-Systemen geschult wurde. Der Unterschied liegt darin, dass eine fehlende Garantie für Einzelne heute keinen eigenständigen Verstoß mehr darstellt, solange die Organisation nachweisbar Fördermaßnahmen ergriffen hat. Interne Dokumente, die noch von einer Pflicht zur Sicherstellung eines bestimmten Kompetenzniveaus ausgehen, geben deshalb einen Maßstab wieder, der seit dem 27. Juli 2026 nicht mehr gilt, und gehören vor dem nächsten internen Audit korrigiert. Wer unsicher ist, ob die eigenen Unterlagen den neuen Maßstab schon spiegeln, findet den genauen Wortlaut in der konsolidierten Fassung der Verordnung, die in den Quellen verlinkt ist. Der Maßstab ist milder geworden, die Pflicht zu schulen ist es nicht.

Anhang III Nummer 4 der KI-Verordnung nennt zwei Fallgruppen, die beide auf die Arbeitgeberrolle abstellen, unabhängig von der Größe des Trägers. Buchstabe a betrifft Systeme, die bestimmungsgemäß für die Einstellung oder Auswahl natürlicher Personen verwendet werden, etwa eine softwaregestützte Vorsortierung von Bewerbungen. Buchstabe b betrifft Entscheidungen über bestehende Arbeitsverhältnisse: die Aufgabenzuweisung, die Überwachung oder die Leistungsbewertung durch KI.

Das heißt aber nicht, dass jede Software, die bei der Vorsortierung hilft, automatisch als hochriskant gilt. Artikel 6 Absatz 3 der KI-Verordnung nimmt ein Anhang-III-System aus der Hochrisiko-Einstufung heraus, wenn es nur eine eng gefasste, risikoarme Verfahrensfunktion erfüllt. Sobald das System dagegen Profiling natürlicher Personen betreibt, also automatisiert persönliche Merkmale wie Arbeitsleistung oder Verhalten auswertet und daraus Schlüsse zieht, greift diese Ausnahme nicht mehr.

Wer sich auf die Ausnahme beruft, muss diese Einschätzung vor dem Einsatz dokumentieren und bleibt trotzdem zur Registrierung verpflichtet. Anhang III Nummer 5 Buchstabe a betrifft außerdem KI-Systeme, die von Behörden oder in deren Auftrag eingesetzt werden, um über Ansprüche auf öffentliche Grundleistungen zu entscheiden. Ohne Behördenauftrag greift diese Nummer nicht. Entscheidend bleibt in jedem Fall dieselbe Frage: Trifft das System eine eigene Bewertung über einen Menschen, oder sortiert es nur nach festen, überprüfbaren Kriterien vor, ohne diese Bewertung zu treffen?

Wie viele Träger der Sozialen Arbeit und der Pflege KI-gestützte Personalauswahl bereits einsetzen, ist nicht erhoben. Eine belastbare Zahl dazu gibt es nicht und wird hier deshalb auch nicht geschätzt. Die folgende Zahl bildet stattdessen nur die mögliche Grundgesamtheit an Arbeitgebern im Feld ab, also wie viele Einrichtungen überhaupt betroffen sein könnten, nicht die tatsächliche Nutzung:

Der AI Act ersetzt kein anderes Recht, er tritt daneben. Das heißt: Auch wenn eine Anwendung nicht als Hochrisikosystem gilt, können andere Gesetze trotzdem greifen. Die Datenschutz-Grundverordnung gilt unverändert, sobald ein KI-System personenbezogene Daten verarbeitet, unabhängig davon, ob das System zusätzlich als hochriskant im Sinn der KI-Verordnung eingestuft ist. Das Allgemeine Gleichbehandlungsgesetz gilt unverändert für Entscheidungen bei Einstellung und im Beschäftigungsverhältnis, auch wenn eine KI daran beteiligt war. Wo besondere Schweigepflichten bestehen, etwa nach § 203 Strafgesetzbuch, ändert der Einsatz von KI daran nichts. Wo KI an der Formulierung eines Berichts über eine Person beteiligt ist, gilt eine eigene fachliche Grenze, die der Beitrag Der Bericht über einen Menschen: Was KI darf und was nicht beschreibt.

Setzt ein Träger ein KI-System ein, das dazu bestimmt ist, das Verhalten oder die Leistung von Beschäftigten zu überwachen, hat die betriebliche Interessenvertretung ein Mitbestimmungsrecht bei dessen Einführung und Anwendung (§ 87 Betriebsverfassungsgesetz, kurz BetrVG). Dieses Recht folgt aus dem Betriebsverfassungsgesetz, nicht aus der KI-Verordnung, und hängt deshalb an keiner der hier beschriebenen Fristen. Es gilt unabhängig davon, ob das System als Hochrisikosystem eingestuft ist oder unter eine Ausnahme fällt.

Der AI Act ist mit anderen Worten eine zusätzliche Pflicht, keine Ablösung der bisherigen. Datenschutz, Diskriminierungsschutz und Mitbestimmung laufen neben ihm weiter, unabhängig davon, wie ein System nach der KI-Verordnung eingestuft ist.

Die vorangegangenen Abschnitte erklären, warum sich eine Frist verschiebt oder eben nicht. Für die tägliche Arbeit am Rechtskataster zählt daneben die genaue Zeile: welcher Artikel, welcher Stichtag, welcher Status. Die folgende Tabelle stellt deshalb die Rechtslage vor und seit dem Digital Omnibus gegenüber und trägt die Artikelnummern, die ins Rechtskataster gehören. Der Fließtext oben bleibt bewusst auf Entscheiderebene, die Einzelheiten stehen hier.

Eigene Auswertung der Verordnung (EU) 2026/1744 und der in den Quellen genannten Analysen. Stand 19. September 2026.

Das folgende Werkzeug ordnet einen Anwendungsfall der passenden Zeile aus dieser Tabelle zu. Wählen Sie unten den Fall, der zu Ihrer Einrichtung passt: Das Werkzeug bewertet nichts und rechnet nichts, es liefert nur eine fertige Zeile für Ihr Rechtskataster nach einer festen Zuordnung.

Wer heute Budget für 2027 plant, braucht Antworten auf zwei Fragen: Welche Systeme brauchen bis Dezember 2027 eine vollständige Konformitätsbewertung? Und welche Pflichten laufen schon jetzt weiter, ohne dass dafür ein Budgettitel reserviert ist? Wer diese Klärung verschiebt, plant das Budget 2027 auf Verdacht statt auf Basis der tatsächlichen Rechtslage, und läuft Gefahr, im Dezember 2027 unvorbereitet dazustehen. Die folgenden acht Schritte helfen, das zu klären. Sie richten sich an die Leitungsebene, nicht an eine einzelne Fachkraft.

Wo eine bestehende Fachsoftware per Update um KI-Funktionen erweitert wird, ohne dass ein neuer Vertrag geschlossen wird, gehört ebenfalls eine eigene Prüfung dazu. Sie ist Thema des Beitrags KI per Update: Was Träger bei der Fachsoftware prüfen müssen.

Wer diese acht Schritte abarbeitet, hat sein Rechtskataster auf einem Stand, der die tatsächliche Rechtslage abbildet, nicht den überholten Stichtag vom August 2026.

Quellen

Stand aller Angaben: 19. September 2026.

Christian Monat

Externer Qualitätsmanagementbeauftragter aus Chemnitz. Berufserfahrung in Eingliederungshilfe, Sozialpsychiatrie und Suchthilfe, seit 2019 in Leitungsfunktionen.