EU-KI-Gesetz verschoben: Hochrisiko-Regeln auf Dezember 2027 vertagt

Dies ist eine regulatorische Atempause, keine Aufhebung. Am 16. Juni 2026 stimmte das Europäische Parlament mit 423–57–174 für die Annahme des KI-Gesetz-Digital-Omnibus und verschob die schwersten Compliance-Pflichten auf den 2. Dezember 2027. Die Kernarchitektur — risikobasierte Klassifizierung, verbotene Praktiken und Regeln für allgemeine KI — bleibt intakt. Die Uhr wurde tatsächlich zurückgesetzt, aber das Regelwerk verschwindet nicht.

Was passiert ist

Das Europäische Parlament verabschiedete am 16. Juni ein Paket gezielter Änderungen am EU-KI-Gesetz. Der Rat wird den Text voraussichtlich am 29. Juni formell annehmen, mit Veröffentlichung im Amtsblatt vor dem 2. August 2026.

Die Abstimmung war merklich kühler als das Verhandlungsmandat vom März 2026 (569 Ja, 45 Nein, 23 Enthaltungen). Die Unterstützung sank um 146 Ja-Stimmen, während sich die Enthaltungen fast vervierfachten — ein Signal, dass Vereinfachung politisch umstrittener ist, als es scheint (Matheson LLP, 2026).

Der neue Compliance-Zeitplan:

Die wichtigste Änderung: Eigenständige Hochrisiko-KI-Systeme unter Anhang III — die Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Strafverfolgung und Grenzmanagement abdecken — müssen nun bis zum 2. Dezember 2027 Compliance erreichen, statt bis zum 2. August 2026. Siebzehn zusätzliche Monate.

Ein substanzielles neues Verbot wurde hinzugefügt: KI-Systeme, die zur Erstellung nicht-einvernehmlicher intimer Bilder und Darstellungen sexuellen Kindesmissbrauchs konzipiert sind, sind nun ausdrücklich verboten. Während der Plenardebatte bezeichnete Co-Berichterstatter Michael McNamara das Verbot als Priorität: „Sie betreffen echte Menschen, überwiegend Frauen, mit dem Ziel, sie zu demütigen, herabzuwürdigen und zu objektivieren" (Dastra, 2026). Compliance-Frist: 2. Dezember 2026.

Mehrere Definitionen wurden verfeinert. Maschinenbauprodukte unter der Verordnung (EU) 2023/1230 sind von der direkten Anwendbarkeit des KI-Gesetzes ausgenommen. Die Definition der „Sicherheitskomponente" schließt nun KI-Systeme aus, die Nutzer lediglich unterstützen oder die Leistung optimieren — nur solche, deren Fehlfunktion Gesundheit oder Sicherheit gefährden würde, fallen in die Hochrisiko-Kategorie. Und die KI-Kompetenzpflicht wechselte von „Gewährleistung eines ausreichenden Niveaus" zu „Unterstützung der Entwicklung" — eine bedeutsame Reduzierung des rechtlichen Risikos (Pasquale Pillitteri, 2026).

Das EU-KI-Büro erhielt Zähne. Es verfügt nun über die ausschließliche Zuständigkeit zur Beaufsichtigung von KI-Systemen, die allgemeine KI-Modelle integrieren, wenn derselbe Anbieter sowohl das Modell als auch das System entwickelt, sowie solcher, die in sehr große Online-Plattformen eingebettet sind.

Warum es wichtig ist

Die ressourcenintensivsten Pflichten sind jetzt ein 18-monatiger Planungshorizont statt einer fünfwöchigen Feuerwehrübung. Für Frontier-Modellanbieter, die im EU-Markt tätig sind — einschließlich jedes Anbieters allgemeiner KI-Modelle — ist der unmittelbare Druck weg, aber die Atempause ist nicht bedingungslos.

Claude 4 Opus (Anthropic) und GPT-4o (OpenAI) bleiben vollständig im Anwendungsbereich der Regeln für allgemeine KI, die nach einem separaten Zeitplan laufen. Die Transparenzpflichten für KI-generierte Inhalte gelten weiterhin ab dem 2. August 2026 für neue Systeme. Und das KI-Büro verfügt jetzt über ausdrückliche Durchsetzungsbefugnisse gegenüber GPAI-Modellanbietern — regulatorische Muskeln, die angespannt werden.

Das Nudifier-Verbot ist die eine Änderung mit sofortiger Wirkung. Es tritt noch dieses Jahr in Kraft und betrifft sowohl Anbieter als auch Betreiber. Für jedes Tool oder jede Plattform, die zur Erstellung nicht-einvernehmlicher intimer Bilder zweckentfremdet werden könnte, tickt die Compliance-Uhr bereits.

Was sich nicht geändert hat: Verbotene Praktiken bleiben verboten, beschäftigungsbezogene KI bleibt Hochrisiko, und die Strafzahlungen wurden nicht reduziert. Die Verschiebung ist eine Zeitplanänderung, keine Deregulierung.

Was sich für dich ändert

Die praktischen Ratschläge von Rechtsanalysten sind einheitlich (Matheson LLP, 2026): Erstelle jetzt dein KI-System-Inventar, klassifiziere nach Risikostufe, erfasse Compliance-Fristen nach Kategorie und priorisiere die Abarbeitung. Die Uhr hat nicht angehalten — sie wurde nur für die teuersten Pflichten zurückgesetzt.

• Betreiber von Hochrisiko-KI: Du hast bis Dezember 2027 Zeit. Nutze die Zeit, um deinen Governance-Rahmen aufzubauen, nicht um den Start zu verschieben.
• Content-Plattformen und Tools: Das Nudifier-Verbot greift ab Dezember 2026. Prüfe deine Systeme jetzt auf potenziellen Missbrauch.
• GPAI-Modellanbieter: Deine Pflichten laufen nach einem separaten, früheren Zeitplan. Diese Verschiebung gilt nicht für dich.
• KI-Kompetenz: Die abgeschwächte Formulierung reduziert dein rechtliches Risiko, aber Regulierungsbehörden werden dennoch nachweisbare Anstrengungen erwarten.

FAQ

Hebt dies das EU-KI-Gesetz auf?

Nein. Die Kernarchitektur — risikobasierte Klassifizierung, verbotene Praktiken, Regeln für allgemeine KI und der Strafrahmen — ist unangetastet. Der Digital Omnibus ist eine Zeitplananpassung und definitorische Verfeinerung, keine Rücknahme.

Wann müssen Anbieter allgemeiner KI-Modelle compliant sein?

Die GPAI-Modellregeln laufen nach ihrem eigenen Zeitplan und sind von dieser Verschiebung nicht betroffen. Anbieter von Modellen wie Claude 4 Opus und GPT-4o unterliegen weiterhin den im ursprünglichen KI-Gesetz für allgemeine KI-Systeme festgelegten Fristen. Die Hochrisiko-Verlängerung betrifft Betreiber eigenständiger Hochrisiko-Systeme, nicht Modellentwickler unter dem GPAI-Kapitel.

Was tritt zuerst in Kraft?

Der 2. Dezember 2026 ist die nächste neue Frist: Wasserzeichen- und Transparenzpflichten für KI-generierte Inhalte sowie das neue Verbot von Nudifier-Apps und CSAM-generierenden KI-Systemen. Wenn dein System KI-generierte Bilder produziert oder dazu genutzt werden könnte, ist dies deine Prioritätsfrist.