EU AI Act verschoben auf Dez 2027: Warum das der teuerste Fehler ist

Pexon Consulting | 8 Min. Lesezeit | 25.05.2026

TL;DR

Der Digital Omnibus hat die Hochrisiko-Pflichten des EU AI Act von August 2026 auf Dezember 2027 verschoben. In jedem zweiten Vorstand wird seitdem entspannt. Falsch entspannt: Konformitätsbewertungen, Risk-Management-Systeme und Data-Governance-Dokumentation brauchen 12-18 Monate Vorlauf. Pexon Consulting empfiehlt, jetzt zu starten — wer Q3 2027 anfängt, bekommt das Audit nicht mehr rechtzeitig.

Was Digital Omnibus wirklich verschoben hat

Der Digital Omnibus Deal, am 7. Mai 2026 von Kommission und Mitgliedstaaten beschlossen, hat die Anwendung der Hochrisiko-Pflichten (Annex III) um 16 Monate verschoben — vom 2. August 2026 auf den 2. Dezember 2027. Das ist ein politischer Kompromiss, kein technischer Aufschub. Was nicht verschoben wurde, ist mindestens so wichtig wie das, was verschoben wurde.

Seit dem 2. August 2026 anwendbar: Transparenzpflichten nach Art. 50 inklusive Watermarking-Pflicht für GenAI-Outputs (für Altsysteme mit Übergang bis 02.12.2026), Governance, Sanktionsregeln und BNetzA-Marktüberwachung über die KoKIVO. GPAI-Anbieter-Pflichten gelten seit August 2025, KI-Kompetenz nach Art. 4 seit Februar 2025, seit dem Omnibus als Pflicht zu Maßnahmen, ohne Zertifikat und ohne eigenen Bußgeldtatbestand. Wer ChatGPT, Copilot oder Claude im Unternehmen einsetzt, hat damit schon heute Pflichten, unabhängig vom Hochrisiko-Status.

Was verschoben wurde, betrifft die schwergewichtigen Pflichten für Anbieter und Betreiber von Hochrisiko-Systemen: Risk-Management-System (Art. 9), Data Governance (Art. 10), Technische Dokumentation (Art. 11), Logging-/Audit-Trail-Pflichten (Art. 12), Konformitätsbewertung (Art. 43), CE-Kennzeichnung (Art. 48), Post-Market Monitoring (Art. 72). Genau die Punkte, die Personenmonate Aufwand erzeugen.

Warum 16 Monate Aufschub trotzdem zu wenig sind

Wir bauen seit zwei Jahren Compliance-Pakete für deutschen Mittelstand und sehen die Aufwände täglich. Eine ehrliche Aufschlüsselung für einen typischen 1.500-Mitarbeiter-Betrieb mit drei Hochrisiko-Systemen (HR-Tool mit AI-Scoring, Kreditscoring-Anbindung, Energie-Forecast für KRITIS):

Dezember 2027 minus 18 Monate ist Juni 2026 — vor einer Woche. Wer heute startet, ist im Plan. Wer im dritten Quartal 2027 anfängt, hat keine drei Monate mehr und keine Chance, die Konformitätsbewertung sauber abzuschließen. Genau das beobachten wir gerade in Vorstandsetagen: „Wir haben ja noch Zeit“. Diese Zeit existiert rechnerisch nicht.

Was schon ab August 2026 gilt

Die zweite Falle in der Verschiebungs-Logik: Wer entspannt, übersieht die Pflichten, die schon gelten. AI Literacy nach Artikel 4 ist seit Februar 2025 anwendbar. Seit dem Omnibus verlangt Art. 4 Maßnahmen zur Förderung der KI-Kompetenz, kein Zertifikat, und steht nicht im Bußgeldkatalog. Sinnvoll ist das für alle Mitarbeiter, die KI nutzen, also praktisch jeden Wissensarbeiter im Unternehmen.

Was wir zur Dokumentation empfehlen: Schulungsinhalte, Teilnehmerlisten, Datum, Auffrischungszyklus, rollenspezifische Vertiefung. Wer auf die Frage „Wann haben Sie Ihren Datenanalysten in AI Literacy geschult?“ mit „Wir haben mal eine Folie gezeigt“ antwortet, hat eine Lücke in der eigenen KI-Governance. Die Pflicht zu Maßnahmen ist nicht verschoben.

Die zweite Pflicht, die viele unterschätzen: GPAI-Anbieter-Dokumentation. Wer Microsoft Copilot, ChatGPT Enterprise, Claude Enterprise oder ein anderes GPAI-Modell produktiv nutzt, muss vom Anbieter Tech-Doc und Trainings-Daten-Summary anfordern und archivieren. Microsoft, OpenAI und Anthropic stellen diese Dokumente bereit — sie kommen aber nicht automatisch. Sie müssen aktiv angefordert und versioniert archiviert werden.

Drittens: Betreiber-Pflichten nach Artikel 26 gelten für Hochrisiko-Systeme nach Anhang III ab 02.12.2027, die Transparenzpflichten nach Artikel 50 schon seit 02.08.2026. Audit-Trail 6 Monate aufbewahren, Human-Oversight operational, Betroffene informieren wenn KI gegenüber Kunden eingesetzt wird. Wer diese Abläufe erst 2027 aufbaut, ist zu spät.

Was wir Mittelstand-CIOs jetzt empfehlen

Unsere klare Empfehlung — gegen die aktuelle „Wir warten ab“-Stimmung in Vorstandskreisen: Starten Sie die Inventarisierung diesen Monat, klassifizieren Sie bis Juli, fangen Sie mit dem Risk-Management-System in Q3 an. Das ist keine Übertreibung der Berater-Branche, das ist eine ehrliche Time-Sequence-Rechnung.

Drei Schritte, die wir typischerweise mit Mittelstand-Kunden in den ersten 90 Tagen machen.

Erster Schritt: KI-Inventarisierung. Wir scannen Microsoft Tenant, Google Workspace, Azure-Subscription und SaaS-Logs auf KI-Nutzung — inklusive Shadow-IT. Bei einem 800-MA-Unternehmen finden wir typisch zwischen 12 und 28 unterschiedliche KI-Systeme im Produktiveinsatz, davon 30-50% nicht zentral erfasst. Marketing nutzt Midjourney, Sales nutzt eigene ChatGPT-Accounts, HR setzt LinkedIn Recruiter mit AI-Scoring ein.

Zweiter Schritt: Risiko-Klassifizierung. Pro System wird gemappt, ob es unter Annex III fällt, ob das Unternehmen Anbieter oder Betreiber ist, welche Pflichten greifen. Die Anbieter-vs-Betreiber-Unterscheidung ist die häufigste Falle — Fine-Tuning eines GPAI-Modells auf eigenen Daten macht aus dem Betreiber einen Anbieter mit voller Pflichtenkette.

Dritter Schritt: Roadmap mit Quartalszielen. Wann ist das Risk-Management-System produktiv, wann die Tech-Doc für das HR-Tool fertig, wann läuft die erste Konformitätsbewertung? Wer das in Quartalsschritten dokumentiert, hat bei einer Prüfung der Marktüberwachung eine andere Position als jemand mit Excel-Liste.

Was Vorstände aktuell falsch verstehen

Wir sehen drei Mythen in fast jedem Gespräch, die wir explizit ausräumen.

Mythos 1: „Verschoben heißt nicht relevant.“ Falsch. Die GPAI- und Watermark-Pflichten gelten bereits, KI-Kompetenz nach Art. 4 seit Februar 2025, die Marktüberwachung läuft seit August 2026. Die Verschiebung betrifft nur den Annex-III-Teil.

Mythos 2: „Wir sind ja Mittelstand, KMU-Sonderregel schützt uns.“ Die KMU-Regel reduziert die maximale Strafe auf den niedrigeren Wert (1-7% vom Umsatz oder den absoluten EUR-Betrag), schützt aber nicht vor der Pflichtenkette. Ein 200-Mio-Mittelständler kann immer noch 6 Mio EUR Strafe bekommen — und das ist die Untergrenze, nicht die Obergrenze.

Mythos 3: „Unsere DSFA reicht.“ Die DSGVO-Folgenabschätzung adressiert Datenschutz, der AI Act adressiert Risiko-Management, Robustheit, Diskriminierungsfreiheit, Human Oversight und Cybersicherheit. Das sind unterschiedliche Disziplinen. Wir sehen regelmäßig Unternehmen, die ihre DSFA mit dem AI-Act-Assessment verwechseln und am Audit-Tag durchfallen.

Die teuerste Variante: Last-Minute-Compliance

Wir haben in den letzten zwölf Monaten zwei Unternehmen aus genau dieser Last-Minute-Falle gerettet. Beide hatten Februar 2027 erkannt, dass sie unter Hochrisiko fallen und reagieren müssen — und liefen mit Hochdruck in eine schlechte Lösung.

Der erste: Ein Versicherer mit AI-gestütztem Underwriting für Spezialrisiken. Externe Notified-Body-Bewertung war nicht mehr machbar, also haben sie das System „vorsichtshalber“ außer Betrieb genommen. Bekannte Folge: 4 Mio EUR Umsatzausfall, weil das Underwriting-Team manuell zurückskalieren musste. Hätte das Unternehmen 18 Monate früher gestartet, wäre die interne Konformitätsbewertung (Annex VI) ausreichend gewesen.

Der zweite: Ein Energieversorger mit AI-Lastprognose, die unter Kritische Infrastruktur fiel. Letzte-Minute-Pivot auf ein Standardprodukt mit GPAI-Zertifikat — drei Mal so teuer wie die Eigenlösung, weniger genau, lock-in zu einem US-Anbieter. Die kombinierten Mehrkosten über drei Jahre liegen im siebenstelligen Bereich. Compliance-Schulden zahlen sich teuer zurück.

Häufig gestellte Fragen

Heißt die Verschiebung wirklich, dass ich erst 2027 starten muss?

Nein. Die Verschiebung betrifft ausschließlich Hochrisiko-Pflichten (Annex III ab 2. Dezember 2027, Annex I ab 2. August 2028). Transparenzpflichten nach Artikel 50 gelten seit 2. August 2026, GPAI-Pflichten seit August 2025, KI-Kompetenz nach Artikel 4 seit Februar 2025. Die Bundesnetzagentur ist seit dem KI-MIG Marktüberwachungsbehörde. Wer bei Artikel 50 lückenhaft ist, riskiert Bußgelder bis 15 Mio EUR oder 3%.

Wieviel Zeit brauche ich wirklich für eine Konformitätsbewertung?

Realistisch 12-18 Monate für ein mittleres Hochrisiko-System inklusive Risk-Management-System-Aufbau, Tech-Dokumentation, Data-Governance und interner Annex-VI-Bewertung. Bei externer Notified-Body-Bewertung (zwingend bei Biometrie nach Annex III) plus 3-6 Monate. Dezember 2027 minus 18 Monate ist Juni 2026 — die Vorbereitungs-Window läuft jetzt.

Was prüft die Bundesnetzagentur ab August 2026 konkret?

Die Bundesnetzagentur ist seit dem KI-MIG (in Kraft seit 29.07.2026) Marktüberwachungsbehörde. Sie überwacht die seit August 2026 anwendbaren Pflichten wie die Transparenzpflichten nach Art. 50 und ab 2. Dezember 2027 die Hochrisiko-Pflichten nach Annex III. KI-Kompetenz nach Art. 4 verlangt Maßnahmen, kein Zertifikat, und steht nicht im Bußgeldkatalog. Sektorale Behörden (BaFin, BfArM, BAuA) prüfen branchenspezifisch.

Wer haftet bei einem AI-Act-Verstoß — Vorstand, IT, Datenschutz?

Geschäftsführung primär, soweit die Pflichtenverantwortung organisatorisch nicht delegiert ist. Bei dokumentierter Delegation (KI-Governance-Owner) wandert die Verantwortung dorthin. Persönliche Haftung der Geschäftsführung greift bei vorsätzlicher Pflichtverletzung. DORA-Parallele: Senior Management haftet persönlich bis 1 Mio EUR — der AI Act hat diese explizite Klausel nicht, das Organhaftungs-Risiko bleibt.

Lohnt sich ein externer Berater für den AI-Act-Aufbau oder machen wir das intern?

Wenn der Datenschutzbeauftragte schon ausgelastet ist und das Unternehmen keinen dedizierten AI-Compliance-Officer hat: extern. Der Aufbau des Risk-Management-Systems ist standardisierbar, aber zeitintensiv (30-50 PT). Externer Senior bringt Standard-Templates mit, internes Team passt sie an und übernimmt den laufenden Betrieb. Wir bauen das typischerweise als Hybrid — 6-8 Wochen extern, danach Skill-Transfer.

Nächster Schritt

Verwandte Themen