Die Hochrisiko-Frist des EU AI Act verschiebt sich auf Dezember 2027 — was das für Einkäufer ändert
Die AI Omnibus ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Pflichten des EU AI Act vom 2. August 2026 auf den 2. Dezember 2027 verschoben[1][2]. Systeme in den sensiblen Bereichen nach Anhang III — Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Migration, Asyl, Grenzkontrolle — haben 16 Monate gewonnen. Organisationen, die ihren KI-Beschaffungsfahrplan auf den August 2026 ausgerichtet hatten, verloren ihren Zeitdruck sechs Tage bevor er greifen sollte. Unsere Position: Dies ist eine Verzögerung wegen fehlender Normen und keine Änderung dessen, was am Ende verlangt wird — die 16 Monate als Puffer zu lesen, ist die teure Auslegung.
Was sich am 27. Juli tatsächlich verschoben hat
Die Omnibus wurde am 19. November 2025 vorgeschlagen, erreichte am 7. Mai 2026 die politische Einigung und trat am 27. Juli 2026 in Kraft [2]. Sie ändert zwei Daten. Hochrisiko-Systeme in den sensiblen Bereichen nach Anhang III gelten nun ab dem 2. Dezember 2027. Hochrisiko-KI, die in regulierte Produkte eingebettet ist — die Beispiele des Rechtsakts selbst sind Aufzüge und Spielzeug — rückt weiter nach hinten, auf den 2. August 2028 [1].
Drei Dinge haben sich nicht verschoben. Verbotene Praktiken und die KI-Kompetenzpflicht gelten seit dem 2. Februar 2025. Die Pflichten für GPAI-Modelle und der Governance-Rahmen gelten seit dem 2. August 2025. Und der 2. August 2026 bleibt das Datum, an dem das AI Office und die Behörden der Mitgliedstaaten mit Aufsicht und Durchsetzung des Rechtsakts begonnen haben [1].
Der Rechtsakt ist in Kraft und wird durchgesetzt. Ein Kapitel davon beginnt später als geplant.
Die Verzögerung betrifft die Normen, nicht die Substanz
CEN und CENELEC sollten die harmonisierten Normen, die den Hochrisiko-Anforderungen zugrunde liegen, bis August 2025 vorlegen und haben sie nicht geliefert [3]. Diese Lücke ist der Mechanismus. Ohne harmonisierte Normen gibt es keine gefestigte technische Grundlage, an die sich ein Betreiber halten kann, und nichts Konkretes, woran eine Bewertung ansetzen könnte — weshalb die erklärte Begründung der Kommission lautet, dass die Regeln sich schneller bewegten als die Normen, die sie tragen sollen [3].
Dem Paket ging öffentlicher Druck von ASML, Airbus, Ericsson, Nokia, SAP, Siemens und Mistral AI voraus, die argumentierten, Europa reguliere sich aus dem globalen KI-Rennen heraus. Es schrieb jedoch neue Verbote fest, statt nur Lasten zu streichen: Verbote von KI-Systemen, die nicht einvernehmliche sexuelle Deepfakes und Material über sexuellen Kindesmissbrauch erzeugen, wurden im selben Rechtsakt ergänzt [3]. Die Omnibus als allgemeine Lockerung zu beschreiben, verfehlt ihren Inhalt.
Neben den Normen bleibt auch die Orientierungshilfe unvollständig. Die Hochrisiko-Leitlinienseite der Kommission, zuletzt aktualisiert am 6. Juli 2026, behandelt die Einstufung — wie eine Organisation überhaupt feststellt, ob ein System hochriskant ist — und hält fest, dass Leitlinien zu den Pflichten selbst noch ausstehen [4]; wer sich heute vorbereitet, arbeitet mit Entwurfsmaterial.
Was 16 Monate tatsächlich wert sind
Die Pflichten, die am Ende der Verlängerung warten, sind dieselben Pflichten. Menschliche Aufsicht, Überwachung, Protokollaufbewahrung und die Fähigkeit, jede davon auf Anfrage nachzuweisen, treffen weiterhin den Betreiber — die Bank, das Krankenhaus, die Behörde — und nicht den Modellanbieter. Wir haben diese Pflichten in EU AI Act 2026: Was On-Premises-Bereitstellung an der Compliance ändert auf Bereitstellungsarchitekturen abgebildet.
Die Falle ist ein Missverhältnis der Vorlaufzeiten. Ein Regelwerk, ein Risikoregister und interne Verfahren lassen sich in einem Quartal aufsetzen. Zu ändern, wo Inferenz stattfindet, nicht. Einen produktiven Workflow von einer verwalteten API auf Inferenz umzustellen, die der Betreiber selbst betreibt, das Audit in das eigene SIEM zu leiten und die Identität hinter den eigenen IdP zu legen, ist ein Beschaffungszyklus gefolgt von einem Bereitstellungszyklus — und in regulierten Branchen läuft allein der Beschaffungszyklus seit jeher neun bis zwölf Monate. Das Muster, das ihn aufzehrt, ist gut dokumentiert: Der technische Pilot besteht, dann bleibt die Akte bei Compliance liegen.
Sechzehn Monate reichen für eine Architekturänderung. Sie reichen nicht für zwei, und sie reichen nicht für eine plus ein Jahr Warten darauf, dass sich die Normen setzen.
Der Treiber, der den Kalender des Rechtsakts ignoriert
Anforderungen an die Datenresidenz werden unabhängig von jedem Compliance-Datum in Projekte geschrieben. Forrester-Chefanalyst Dario Maisto beschreibt Käufer, die Datenresidenz und souveräne KI-Architektur bereits in der Planungsphase festlegen, statt sie später als Kontrolle anzuflanschen [5]. Europäische Anbieter halten rund 15 % des Cloud-Infrastrukturmarkts der Region, und Gartner erwartet, dass sich die europäischen Ausgaben für souveräne Cloud zwischen 2025 und 2027 mehr als verdreifachen [5].
Das sind Marktzahlen, keine gesetzlichen Fristen, und genau darum geht es. Nichts in der Omnibus hat daran etwas geändert, wo eine Organisation ihre Prompts verarbeitet haben möchte.
Was wir mit dem Zeitfenster tun würden
Die Architekturänderung jetzt vornehmen, an einem Workload, der nicht hochriskant ist und bei dem ein Fehler einen Umbau kostet statt einer Beanstandung. Den Audit-Trail unter echter Nutzung anwachsen lassen. Bis ein Anhang-III-Workload nachgewiesen werden muss, läuft der Nachweispfad seit einem Jahr, und das Compliance-Memo beschreibt etwas, das bereits existiert.
Die AI Suite von Software Tailor führt Inferenz auf Hardware aus, die der Betreiber selbst betreibt, und in der AI Admin Console werden Richtlinien, Lizenzierung und inhaltsfreies Audit verwaltet. Sechs Fortune-Global-500-Kunden aus Pharma, Finanzwesen, öffentlicher Hand, Recht, Verteidigung und Energie betreiben diese Form (bisherige Kunden).
Ein einwöchiger Pilot auf der eigenen Hardware des Betreibers genügt, um die vor Dezember 2027 entscheidende Frage zu beantworten: ob sich der Nachweis, nach dem ein Compliance-Team fragen wird, tatsächlich erbringen lässt.
Quellen
- Europäische Kommission. „AI Act — Regulatory framework on AI." digital-strategy.ec.europa.eu. Abgerufen am 2026-08-04. Seite zuletzt aktualisiert am 3. August 2026.
- Europäische Kommission. „AI Omnibus enters into force." digital-strategy.ec.europa.eu. Abgerufen am 2026-08-04. Seite zuletzt aktualisiert am 31. Juli 2026.
- The Register. „EU hits snooze on AI Act rules after industry backlash." theregister.com. Veröffentlicht am 7. Mai 2026. Abgerufen am 2026-08-04.
- Europäische Kommission. „Guidelines for providers and deployers of AI high-risk systems." digital-strategy.ec.europa.eu. Abgerufen am 2026-08-04. Seite zuletzt aktualisiert am 6. Juli 2026.
- The Register. „Tech buyers are baking in sovereignty from day one, says Forrester." theregister.com. Veröffentlicht am 31. Juli 2026. Abgerufen am 2026-08-04.
Verwandte Artikel
Sechzehn Monate sind eine Architekturänderung. Fangen Sie an.
Ein einwöchiger Pilot auf der eigenen Hardware des Betreibers bringt Inferenz, Audit und Identität an einem echten Workload innerhalb des Perimeters — so existiert der Nachweis der Betreiberpflichten lange vor dem 2. Dezember 2027, statt gegen eine Frist entworfen zu werden.